IT-Sicherheit: Firmendaten sind Gold wert

Digitale Firmendaten sind für Unternehmen Gold wert. Doch leider haben auch Cyberkriminelle das erkannt, und Hacker entwickeln immer raffiniertere Methoden, um an diese Datenschätze zu gelangen. Die Angriffe gelten dabei längst nicht nur Energieversorgern, Automobilherstellern, Hotels und Krankenhäusern. Auch kleine und mittelständische Betriebe werden zunehmend Opfer von Cyber-Attacken. Die Folgen können verheerend sein: Produktionsabläufe kommen zum Erliegen, Großaufträge gehen verloren, Patente, Konzeptionen und Kundendaten geraten in fremde Hände. Am Ende kostet der Hackerangriff somit nicht nur viel Geld, sondern er kann auch das Ende für das Unternehmen bedeuten. Doch um den Datendiebstahl zu verhindern, gibt es auch in unserer Region zahlreiche Experten, die die Betriebe beim Thema IT-Sicherheit unterstützen.

›› „Es gibt zwei Arten von Unternehmen: Die einen sind gehackt worden, die anderen wissen es nur noch nicht.“ So antworten IT-Experten auf die Frage, wie gut deutsche Firmen vor Cyberkriminalität geschützt sind. Die Bedrohungslage für die Betriebe ist hoch. Unabhängig von Größe, Struktur oder Branche kann jedes Unternehmen von einem Hackerangriff betroffen sein. 

Deutschland ist ein bevorzugtes Ziel von Cyberkriminellen und Hackern. Die Zahl der Opfer und die Summe der Schäden wachsen stetig. Das Bundeskriminalamt spricht von fast 86.000 Fällen, die 2017 offiziell bundesweit dokumentiert wurden. Die Dunkelziffer ist weit höher einzuschätzen. Der Digitalverband Bitkom beziffert den finanziellen Schaden für die deutsche Wirtschaft durch Cyberkriminalität auf 55 Mrd. € pro Jahr. Im Schnitt verursacht Cyberkriminalität bei Unternehmen mit weniger als 100 Mitarbeitern Kosten von knapp 22.000 €. Das ermittelte Hiscox, Spezialversicherer für IT-Haftpflichtversicherungen, in seinem „Cyber Readiness Report 2017“. Beinahe jeder zweite Mittelständler in Deutschland hat Datenklau,Geheimnisverrat oder Spionage schon erlebt, wie das Max-Planck-Institut für ausländisches und internationales Strafrecht gemeinsam mit dem Fraunhofer-Institut für System- und Innovationsforschung und der Polizei herausgefunden hat. Dabei haben Cyberkriminelle auch den Wirtschaftsstandort NRW im Fokus. Vor zwei Jahren wurde beispielsweise das Lukas-Krankenhaus in Neuss Ziel eines Hackerangriffs. Viele technische Geräte waren anschließend nicht mehr verfügbar, und die IT-Abteilung arbeitete Tag und Nacht durch, um Daten zu sichern und die Computer wieder zu entschlüsseln. Etwa einen Monat hat es gedauert, bis alle Systeme wieder funktionstüchtig waren.

Insgesamt hat der Angriff das Krankenhaus rund 1 Mio. € gekostet. Beim letzten IT-Sicherheitstag NRW in Wuppertal bezifferte Burkhard Freier, Leiter des Verfassungsschutzes NRW, den jährlich durch Cyberkriminalität entstehenden wirtschaftlichen Schaden Nordrhein-Westfalens auf etwa 10 bis 12 Mrd. €. Demnach ist jedes zweite hier ansässige Unternehmen bereits ins Visier von Hackern geraten. Vorbei sind allerdings die Zeiten, in denen die Täter versuchten, mittels stümperhafter Rundmails mit gefälschten Briefköpfen und zahlreichen Rechtschreibfehlern an Kontodaten, Kontakte und Passwörter zu gelangen. Inzwischen haben sie sich zu „IT-Experten“ entwickelt, die ein großes Repertoire an Methoden beherrschen: ausgeklügelte Phishing-Mails, digitale Erpressungen mit Lösegeldforderungen durch Ransomware, Daten- und Passwortdiebstahl, Infiltrieren der Unternehmens-IT durch Viren, Trojaner, Würmer und Spy-Software, flächendeckende wahllose Massenangriffe mit Schadprogrammen nach dem Zufallsprinzip oder gezieltes Ausspähen einzelner Unternehmen mithilfe von Social Engineering. Dabei werden arglose Benutzer ganz persönlich dazu bewegt, vertrauliche Daten an den Angreifer zu senden. Gefährlich ist derzeit eine ganz besondere Betrugsmasche namens „CEO Fraud“, bei der Firmen unter Verwendung falscher Identitäten zur Überweisung von Geld manipuliert werden. Das ist quasi der „Enkeltrick de luxe“, dennhier geben sich die Betrüger als Chefs aus und fordern ein zahlungsberechtigtes Mitglied des Unternehmens per E-Mail zu einer dringenden Zahlung einer höheren Summe ins Ausland auf. Zum Teil führen die Angreifer dabei die klassische Wirtschaftsspionage durch, bei der sie oftmals unbemerkt Daten über Produktionsabläufe, Zukunftsprojekte, Zulieferer oder aber das Warensortiment samt Preisgestaltung hacken. Andere verschlüsseln Daten und Netzwerkzugänge nur, um anschließend „Lösegeld“ zu erpressen.

„Auch hier in der Region sind wir von Industriespionage betroffen“, sagt Thomas Paar, Geschäftsführer der PAAR IT GmbH in Siegen. Der Ansprechpartner für IT-Beratung und Lösungen für Kunden unterschiedlichster Branchen und Unternehmensgrößen weiß, wie wichtig IT-Sicherheit im Unternehmen ist. „Zu unseren Kunden gehören unter anderem Weltmarktführer und Hidden Champions. Allen ist klar, dass Produktionsprozesse andernorts vielleicht günstiger ausgeführt und deshalb auch verlagert werden könnten. Aber das Know-how soll hier in der Region bleiben und natürlich nicht abfließen. Voraussetzung dafür sind ein möglichst hoher Schutz sowie die Verfügbarkeit der Daten.“ Längst haben Cyberkriminelle nicht nur die „Big Player“, sondern auch die Mittelständler als Erpressungsziel ausgemacht. Während in DAX-Unternehmen ganze Abteilungen mit großem personellen, technischen und finanziellen Aufwand einen maximalen Schutz vor Angriffen sicherstellen sollen, wird das Sicherheitsthema bei einem kleinen Metallverarbeiter mit zehn Beschäftigten, bei der Zahnarztpraxis oder beim Autohaus manchmal doch eher nachrangig behandelt.

Geringes Budget für vermeintlich verzichtbare und „zu teure“ IT-Sicherheit, ein laxer Umgang mit Passwörtern und Zugangsrechten für Mitarbeiter sowie ein mangelhaftes Bewusstsein für die Folgen des Verlusts von Firmen, Kunden-und Produktionsdaten – hier kommen Angreifer mit Phishing-Mails oder Ransomware schnell ans Ziel. „Eines muss den Unternehmen klar sein: Ein Cyberangriff kann jedem passieren – ganz egal, ob Klein- oder Großunternehmen. Denn neben Angriffen auf große Firmen haben wir auch Fälle, bei denen Hacker kleine Steuer- und Lohnbüros, Rechtsanwaltskanzleien und Arztpraxen hier in der Region angegriffen haben“, berichtet Thomas Paar, der mit einem Team von zehn IT-Spezialisten in den Bereichen IT-Security, Netzwerklösungen, Serverspeicher und Client-Management bundesweit 350 Kunden betreut. Um eine möglichst hohe IT-Sicherheit zu gewährleisten, gibt Thomas Paar den simplen Ratschlag, stets mit gesundem Menschenverstand vorzugehen. Übersetzt könnte das auch heißen: „Erst denken, dann klicken.“ Vorsicht ist weiterhin auch bei E-Mail-Anhängen geboten. Zudem sollten Virenscanner und Firewalls installiert und immer auf dem neuesten Stand sein. „So wird permanent kontrolliert, welche Daten und Mails ein- und ausgehen.“

Laut Thomas Paar müsse am Anfang der Strategiekette zur IT-Sicherheit eines Unternehmens stets die Risikobewertung stehen. Dabei solle man sich folgende Fragen stellen: Welche Daten habe ich? Welche Folgen hätte deren Verlust? Wie hoch wäre der Schaden bei nur einem Tag Systemausfall? „Erst wenn ich die Konsequenzen eines Datenverlustes überblicke, kann ich geeignete Maßnahmen zur Sicherung meiner IT einleiten. So bedeutet ein einziger Tag Datenverlust bei einem Buchhaltungsbüro mit 25 Mitarbeitern zum Beispiel bereits umgerechnet 25 Manntage.“ Paar rät Unternehmen in puncto Datensicherheit vor allem zu einer wichtigen Maßnahme: „Backups machen!“ Am besten solle man diese über eigene Server und Festplatten erstellen, die im Idealfall mobil und außerhalb des Büros gelagert werden. „Natürlich gibt es keine hundertprozentige Sicherheit. Aber wenn es mich als Unternehmer trotz aller Schutzmaßnahmen doch mal erwischen sollte, kann ich mit einer funktionsfähigen und aktuellen Datensicherung viel gelassener auf einen Angriff reagieren.“ Während das Bundeskriminalamt rät, der Erpressung nicht nachzugeben und sie auf jeden Fall zu melden, sieht die Praxis oft anders aus. „Ich kenne allein elf Fälle, in denen heimische Unternehmen das Lösegeld gezahlt haben. Die Erpresser haben die Höhe dabei genau kalkuliert und auf die Zahlungsfähigkeit des Unternehmens abgestimmt. Meistens müssen dann Beträge bis zu knapp unter 10.000 € auf irgendein Konto in der Ukraine gezahlt werden“, verrät Thomas Paar. Denn laut Geldwäschegesetz sind Bargeld-Transaktionenin den oder aus dem EU-Wirtschaftsraum bis zur Grenze von 9.999 € nicht meldepflichtig.

Gibt ein Unternehmen dem Erpresser nach und zahlt es das Lösegeld, ist das aber noch lange keine Garantie dafür, dass die verschlüsselten Dateien und Server wieder freigeschaltet werden. „Im schlimmsten Fall sind die Daten und auch das Geld weg!“ Gezahltes Lösegeld, dazu der Image- und Vertrauensverlust bei den Kunden – das würde so mancher Betrieb nicht überleben, sagt Paar. Viele heimische Unternehmen würden leider erst durch Schaden klug. „Wer IT-Sicherheit nicht ernst nimmt und sie nicht zur Chefsache erklärt, ist früher oder später weg vom Markt!“ Damit der Worst Case gar nicht erst eintrifft, bieten IT-Sicherheitsberater wie PAAR IT einige Präventionsstrategien an: IT-Security Check, Zugangsmanagement, Daten- und E-Mail-Verschlüsselung, Endgeräteschutz sowie intelligente Backupund Recovery-Lösungen. Tritt der Ernstfall durch einen Cyberangriff wider Erwarten doch ein, ist Zeit der wichtigste Faktor. So gehört der exakt festgelegte Notfallplan zwingend zu einer kompletten IT-Sicherheitsstrategie. Thomas Paar: „Dieser Plan liegt natürlich nicht auf einem Rechner. Die zuständigen Mitarbeiter kennen dann den Ordner im Regal mit den Anweisungen: Was sind die ersten Handgriffe? Wen rufe ich an? Woher bekomme ich einen Server? Wo sind die Backups?“ Dann muss alles sehr schnell gehen, umden Schaden zu begrenzen.

Um die IT-Sicherheit in Unternehmen und den Schutz vor Cyber-Attacken zu gewährleisten, rät Christian Weiß von der connect SYSTEMHAUS AG zu einer möglichst lückenlosen Strategie. „Die Themen Brandschutz, Unfallschutz und Sicherheitstechnik sind im Unternehmen selbstverständlich. Aber wie sieht es mit der Datensicherheit aus? Darüber machen sich immer noch zu wenige Unternehmer ernsthaft Gedanken. Doch wenn man bedenkt, dass der Schaden und der Imageverlust durch eine Daten-Verschlüsselung und Erpressung so groß sind, dass mehr als die Hälfte der betroffenen kleinen und mittleren Betriebe in den nächsten zwei Jahren daran kaputtgeht, ist diese Haltung fatal.“ Der Prokurist des IT-Management-Anbieters aus Siegen-Geisweid empfiehlt den Unternehmern daher ein bedarfsgerechtes Paket an Maßnahmen: Firewall, Virenschutz für PC, Server und Smartphones sowie ein ständiges Monitoring, verbunden mit der Überwachung der Systemzugriffe. Dazu kommen Backup-Lösungen mit der regelmäßigen Überprüfung, ob diese Sicherung denn auch tatsächlich funktioniert (Stichwort: Restore), Mail-Security sowie ein Patch-Management, das die Sicherheitslücken mittels Software-Updates behebt.

Große Bedeutung haben auch die Netzwerk-Segmentierung, die Authentifizierung und die Rechtevergabe speziell für jeden Mitarbeiter. Diese Überwachung trägt einer anderen oft unterschätzten Sicherheitslücke Rechnung: So beruht ein großer Teil der Cyber-Attackenimmer noch auf internen Angriffen aus dem Unternehmen. Meist stammen die Attacken von frustrierten oder unbedarften Mitarbeitern, die entweder aus Unwissenheit handeln oder sich zur Spionage und Sabotage instrumentalisieren lassen. Daher ist ein ebenso wichtiger Sicherheitsbaustein die stetige Sensibilisierung und Schulung der Mitarbeiter im Unternehmen. Schließlich ist der Mensch neben der technischen Infrastruktur ein wesentlicher Faktor für die IT-Sicherheit. Vielfach ist es unbedachtes Handeln, das den Erfolg einer Cyber-Attacke erst möglich macht. Und genau zu diesem Aspekt geben alle drei IT-Experten denselben Rat: Finger weg von USB-Sticks und von WORD-Dokumenten, die im Quellcode bereits die Schadsoftware enthalten können. Christian Weiß unterstreicht: „Die beste IT nützt nichts, wenn die Mitarbeiter fahrlässig handeln, weil sie nicht wissen, wie sie die Gefahren abwehren können.“