Alles, was Sie schon immer über E-Mail- und Internet-Sicherheit wissen wollten

Alles, wAs sie schon immer über e-mAil- und internet-sicherheit wissen wollten Ein LEitfadEn für nicht-tEchnikEr in kLEinEn und mittLErEn untErnEhmEn >inhAlt >einleitung >1 >ihnen kAnn dAs nicht pAssieren? >1 >Viren, spAm und phishing >2 >Von Anstössigen inhAlten und unzulässigem mitArbeiterVerhAlten >3 >wie lässt sich dAs risiko bemessen? >4 >wAs sie tun können >5 >beispiel Aus der prAxis: Acorn Assessors >7 >einleitung Pures Unwissen hat schon so manches Unternehmen in den Ruin getrieben. Es bleibt Ihnen also gar keine andere Wahl, als sich mit dem Thema IT- Sicherheit auseinanderzusetzen. Denn das Internet ist zwar in den letzten Jahren zu einer Quelle ständiger Gefahren geworden, aber ein modernes Unternehmen ohne Internetzugang ist heutzutage nicht mehr denkbar. Cyber-Kriminelle sind die Dotcom-Aufsteiger der Schattenwelt, die mit ihren Computern im weltumspannenden Netz ihrem dunklen Geschäft nachgehen. it-sicherheit Schutzlose Unternehmen sind dabei besonders reiche Beute. ist nicht Die schlechte Nachricht: Das Geschäft mit Viren, Spam-Mails und Spyware nur eine boomt. Online-Kriminalität wirft weltweit über 105 Milliarden US-Dollar1 ab und ist damit profitabler als der globale Drogenhandel. Wo so viel Geld lockt, VorsichtsmAss- ist es nicht verwunderlich, dass sich die Situation verschärft. nAhme, sie zAhlt Die gute Nachricht: Die Risiken des Internets sind nur die eine Seite der sich Auch in Medaille. Internetsicherheit schafft auch Wettbewerbsvorteile. Kunden und Lieferanten brauchen Unternehmen, denen sie vertrauen können. bArer münze Aus. Wer Sicherheitspannen hat, der braucht sich nicht zu wundern, wenn die Kunden zur Konkurrenz abwandern. IT-Sicherheit ist nicht nur eine Vorsichtsmaßnahme, sie zahlt sich auch in barer Münze aus. >ihnen kAnn dAs nicht pAssieren? Viele Unternehmen, darunter vor allem Unternehmen, bei denen Informationstechnologie nur eine untergeordnete Rolle spielt, schützen sich nur sehr unzureichend gegen Internetkriminalität. Gerade dadurch geraten sie jedoch verstärkt ins Visier der Betrüger. Da gibt es z. B. die Geschichte von einem Steuerbüro, dessen Rechner von einem Virus befallen wurden, weil das Virenschutzprogramm nicht auf dem neuesten Stand war. Es dauerte Tage, bis die Computer wieder im Einsatz waren. Bis dahin war der Ruf des Unternehmens bereits ruiniert: Die Rechner waren inzwischen Teil eines Botnets und hatten als sogenannte Zombies Spam-Mails in die halbe Welt geschickt. Die Reparatur kostete Tausende von Euros, aber der Imageschaden ging ins Unermessliche. Oder stellen Sie sich einen Betrieb vor, in dem einzelne Mitarbeiter Porno- Videos auf die Firmenrechner herunterladen. Ein Kavaliersdelikt? Zieht ein Mitarbeiter dieses Unternehmens wegen anstößiger und entwürdigender Arbeitsumstände vor Gericht, kann sich daraus ein zeitraubender Prozess entwickeln, der zu allem Überfluss auch noch ein empfindliches Bußgeld nach sich zieht. Das ist alles schon passiert. Vor Kurzem wurde ein Arbeitgeber wegen sexueller Diskriminierung verurteilt, weil Angestellte seines Unternehmens Porno-Videos in einem Büroraum angesehen hatten. Für Unternehmen ist die Sicherheit ihrer IT-Systeme und Datenverbindungen wichtiger denn je. Viele Kleinunternehmer haben inzwischen eingesehen, dass Datensicherheit für sie ebenso ausschlaggebend ist wie für Großunternehmer. Laut einer Studie des britischen Handelsministeriums2 haben 2008 fast 50 % der britischen Firmen IT-Sicherheitspannen gemeldet. Bei den ernstzunehmenden Fällen entstand dabei durchschnittlich ein Schaden in Höhe von 10 000 bis 20 000 Pfund. Angesichts dieser Zahlen leuchtet es ein, dass sich jeder in die Sicherheit investierte Cent um ein Vielfaches bezahlt macht. 1 The Online Shadow Economy – MessageLabs-Whitepaper 2 BERR; 2008 Information Security Breaches Survey 1 >Viren, spAm und phishing Im Jahresbericht 2009 kommt MessageLabs Intelligence3 nach einer Auswertung von wöchentlich mehreren Milliarden E-Mails und Webseiten zu folgenden Ergebnissen: jede 286. E-Mail ist verseucht und eine von 325 E-Mails stellt einen Phishing-Angriff dar. Bei 87 % der E-Mails handelt es sich um lästige Spam-Mails, jeden Tag werden über 2.400 neue Webseiten mit Schadprogrammen entdeckt. Kurz gesagt: Wer sich nicht wirkungsvoll schützt, der wird sich beim E-Mail- und Internetdatenverkehr vor Problemen Viren können nicht mehr retten können. hAckern den Aber was bedeuten diese Zahlen für Ihr Unternehmen? Wenn es sich bei 87 FernzugriFF % der E-Mails um lästige Spam-Mails handelt, heißt das, dass Sie 87 % der Speicherkapazität Ihres Mail-Servers und 87 % der Übertragungskapazität AuF ihre mit Daten verschwenden, die Sie gar nicht nutzen4. E-Mails kosten kein Geld, dAten und die aber Sie zahlen für die Server und die Internetverbindung. Ist es da nicht besser, unerwünschte Mails abzufangen, bevor sie Ihr Datennetz erreichen? Fernsteuerung Auf diese Weise können Sie die Übertragungs- und Speicherkapazitäten Ihres Unternehmens für Ihre Zwecke nutzen, statt sie dem Spam zu überlassen. ihrer systeme ermöglichen. Phishing-Mails stellen eine größere Gefahr dar. Ihr Ziel ist die Preisgabe persönlicher Daten auf täuschend echt nachgebildeten Webseiten. Eine beliebte Masche sind E-Mails, die den Empfänger auf eine Fehlüberweisung hinweisen und ihn dazu verleiten, sich bei einem Bankkonto anzumelden. Über die gefälschten Webseiten schöpfen die Betrüger daraufhin Kontonummern, Kennwörter und Kreditkartendaten ab. Ein anderer weit verbreiteter Trick besteht darin, Mitarbeitern über eine gefälschte Unternehmenswebseite Benutzernamen und Kennwörter für das Firmennetz zu entlocken. Den möglichen Schaden können Sie sich sicher selbst ausmalen. Einige dieser Webseiten sind so perfekt nachgemacht, dass selbst Experten sie nicht von den echten unterscheiden können. Ist es da nicht besser sicherzustellen, dass Ihre Mitarbeiter diese E-Mails gar nicht erst erhalten? Welche Gefahr geht von den Schadprogrammen aus? Egal, ob es sich um Viren, Würmer, Trojaner oder Spyware handelt, etwas Gutes ist in keinem Fall zu erwarten. Bei Schadprogrammen, auch Malware genannt, handelt es sich um von Kriminellen geschriebene Programme, die auf den Computern Ihres Unternehmens ausgeführt werden. Solche Programme wünscht sich kein Unternehmen. Welcher Schaden kann entstehen? Viren können Hackern den Fernzugriff auf Ihre Daten und die Fernsteuerung Ihrer Systeme ermöglichen. Sie können auch für Angriffe auf andere Rechner genutzt werden, z. B. zum Aussenden von Tausenden von Spam-Mails oder zur Weitergabe von Viren. Das Beunruhigende dabei ist, dass dies alles völlig unbemerkt geschehen kann. Andere Viren zeigen aufdringliche pornografische Werbung an oder deaktivieren Ihre Sicherheitssoftware. Einfach gesagt, wenn es eine Möglichkeit gibt, über ihre Computer Geld zu verdienen, dann gibt es einen passenden Virus, der diese Gelegenheit nutzt. Viren lauern in Mail-Anhängen, auf Webseiten und beim Datenaustausch zwischen Computern im Netz. Der einzige sichere Schutz gegen Viren besteht darin, sie gar nicht erst ins Firmennetz hineinzulassen. 3 MessageLabs Intelligence; 2009 Annual Security Report http://de.messagelabs.com/resources/mlireports 2 >Von Anstössigen inhAlten und unzulässigem mitArbeiterVerhAlten Darüber hinaus sind juristische Fragen und die möglichen Auswirkungen der Cyber-Kriminalität auf die Produktivität Ihrer Mitarbeiter und den Ruf Ihres Unternehmens zu beachten: • Wollen Sie es zulassen, dass Ihre Mitarbeiter pornografische oder sonstige anstößige Inhalte auf die Firmenrechner herunterladen? Das könnte passieren – pornografische Webseiten verzeichnen die meisten Aufrufe während der Geschäftszeiten. • Was geschieht, wenn Mitarbeiter in einer E-Mail unabsichtlich andere bloßstellen oder per E-Mail einen Vertrag eingehen, der Ihre Firma schädigt? E-Mails gelten vor Gericht als Beweis.