Weiterbildung

Cybersecurity und Homeoffice: Learnings aus der Krise

18. Mai 2020

Zertifizierte Kompetenz, um Angriffe abzuwehren und Werte zu schützen auf der Basis von BSI/ISO. Darum geht es in 15 intensiven Tagen unseres Lehrgangs. Neben Risikoanalysen, Security Frameworks und einem Deep Dive in Cybersecurity-Technologien, schreiben unsere Absolventinnen und Absolventen einen Blogbeitrag. Dieser ist von José Caillet.

Aufgrund der Covid-19-Pandemie musste ein Grossteil der Mitarbeitenden in der Schweiz innerhalb von wenigen Tagen den gewohnten Alltag im Büro gegen das Homeoffice eintauschen. Wie gingen die Firmen in der Schweiz damit um?

Neben den technischen und räumlichen Herausforderungen im Homeoffice mussten auch die Sicherheitsaspekte im Bereich IT berücksichtigt werden. Was wurde unternommen, um die Mitarbeitenden vor möglichen Attacken zu schützen? Wie stellt man die Belegschaft auf diese neue Arbeitsweise ein?

Mit einigen Massnahmen kann die Cybersicherheit erhöht und damit das Risiko eines Cyberangriffs minimiert werden. Dazu diese fünf Tipps:

Phishing-Mails
Während der Corona-Krise müssen die Mitarbeitenden vermehrt auf Phishing-Mails mit Bezug auf die Corona-Pandemie achten. Phishing-Mails beinhalten Schadsoftware oder Links zu gefährlichen Webseiten, deshalb sollten diese keinesfalls geöffnet, sondern gelöscht und an die IT-Security-Organisation des Unternehmens gemeldet werden, um die Abwehr schon im Vorfeld verbessern zu können, damit die Phishing-Mails die Inbox der Mitarbeitenden gar nicht erst erreichen. Sollte eine Phishing-Attacke doch erfolgreich sein, hätte dies zur Folge, dass Unbefugte die digitale Identität des Mitarbeitenden teilweise oder ganz übernehmen und auf Firmendaten und die Mailbox des Opfers zugreifen könnten. Die dabei erbeuteten Daten werden meist für illegale Zwecke missbraucht. Häufig werden auch Dateien oder ganze Systeme verschlüsselt und die Opfer zur Zahlung eines Lösegelds (z. B. Bitcoin) aufgefordert, um den Entsperrungscode zu erhalten.

Kommunikation im Home-Netzwerk über eine gesicherte Verbindung
Der Zugriffspunkt kann im Homeoffice ein hohes Sicherheitsrisiko darstellen. Um einen sicheren Zugriff auf das Firmennetz zu gewährleisten, sollte das private Netzwerk vom Netzwerk, das für geschäftliche Zwecke verwendet wird logisch getrennt sein. Dies kann z. B. durch ein separates WLAN erfolgen.

Wenn die Mitarbeitenden auf Daten, Informationen oder auf das Intranet im Firmennetzwerk zugreifen wollen, muss dies immer über eine gesicherte Verbindung geschehen. Der sicherste Verbindungsweg in ein Firmennetzwerk ist ein VPN-Tunnel (Virtual Private Network), der eine verschlüsselte Verbindung ins Firmennetzwerk darstellt. Der Authentifizierungsprozess für den VPN-Zugriff muss zwingend eine Zwei-Faktor- Authentifizierung beinhalten, um eine möglichst hohe Sicherheit zu gewährleisten.

Ohne verschlüsselte VPN-Verbindung können Cyberkriminelle sich durch Man-In-The-Middle-Angriffe Zugriff auf den Datenstrom verschaffen, der Benutzernamen, Passwörter und weitere sensible Daten enthalten kann.

Die neusten Updates müssen installiert sein
Da im Heimnetzwerk meist die privaten Geräte sowie die Arbeitsgeräte des Unternehmens im gleichen Netzwerk koexistieren, ist es essenziell, dass sämtliche Geräte, einschliesslich des Internet Modems/Routers einen aktuellen Firm- bzw. Softwarestand mit aktuellen Sicherheitsupdates vorweisen.

Um die Verwaltung der Firmengeräte ausserhalb des Firmennetzwerks sicherzustellen, muss die benötigte IT-Infrastruktur zur Fernverwaltung der Geräte durch das Unternehmen bereitgestellt werden, um den Geräten zu jeder Zeit wichtige Sicherheitsupdates zu ermöglichen.

Praxisbeispiel Corona-Pandemie:
Seit mehreren Wochen arbeitet ein Grossteil der Schweizer Bevölkerung im Homeoffice und hat teilweise keine direkte Verbindung zu den Verwaltungssystemen der Geräte, die im Normalfall Software- und Sicherheitsupdates zur Verfügung stellen. Dies kann dazu führen, dass die Geräte eine grosse Angriffsfläche für Cyberkriminelle bieten, da Sicherheitslücken nicht wie vorgesehen durch Updates geschlossen werden.

Die Tücken der sprachgesteuerten Assistenzgeräte
Sprachassistenten (z. B. Alexa, Siri, Echo etc.) finden sich heutzutage in vielen Schweizer Haushaltungen. Die Mitarbeitenden im Homeoffice sollten sich daher auch über deren Gefahren bewusst sein. Geräte, die über eine Sprachsteuerung oder eine Kamera verfügen, nehmen die Umgebungsgeräusche einschliesslich der Gespräche permanent auf, werten diese teils mittels KI (Künstliche Intelligenz) aus und reagieren auf sogenannte Schlüsselwörter. Deshalb sollten solche Geräte während geschäftlicher Konversationen ausgeschaltet werden, um zu vermeiden, dass Informationen an ungewollte Empfänger z. B. bei den Anbietern dieser Geräte gelangen (Stichwort “Mithören zur Qualitätsverbesserung”).

Nutzung der Geräte im Homeoffice nur durch befugte Benutzer und Benutzerinnen und unter Einhaltung der Security Policies
Beim Verlassen des Arbeitsplatzes im Homeoffice muss das Arbeitsgerät jeweils gesperrt werden, um es vor unbefugter Nutzung zu sichern. Firmengeräte sollten keinesfalls von Drittpersonen (z. B. Familienmitgliedern oder WG-Mitbewohnern und WG-Mitbewohnerinnen) genutzt werden. Einen zusätzlichen Schutzmechanismus bietet die Zwei-Faktor-Authentisierung. Diese kann zum Beispiel mittels eines Badges und einem dafür zusätzlichen Passwort erfolgen.

Fazit
Nur wenige Unternehmen waren vollumfänglich auf diese Situation vorbereitet. Es fehlte nicht nur an Hardware, sondern auch die nötigen Softwarelizenzen waren bei vielen Unternehmungen nicht ausreichend vorhanden. Die Mindestanforderungen für das Arbeiten zu Hause wären vollständig konfigurierte Clients, die die Sicherheit und benötigte Software betreffen, gewesen sowie leistungsfähige Internetverbindungen.

Ein wesentlicher Faktor zur Verhinderung erfolgreicher Cyberangriffe sind die Mitarbeitenden eines Unternehmens, die durch ihr korrektes Verhalten erfolgreiche Angriffe verhindern oder deren Auswirkungen minimieren können.

Um das korrekte Verhalten der Mitarbeitenden zu fördern, sind Schulungen und Trainings nicht nur unter generellen Sicherheitsaspekten, sondern auch in Bezug auf die besondere Situation im Homeoffice unerlässlich.

Durch die Corona-Krise wurde die Schweizer Wirtschaft hart getroffen. Cyberattacken könnten zusätzliche schwerwiegende wirtschaftliche Folgen nach sich ziehen.

Literaturquellen:
https://blog.malwarebytes.com/101/2016/08/how-to-secure-your-remote-workers/
https://huit.harvard.edu/are-you-ready-work-remotely-checklist
https://www.comparitech.com/blog/information-security/security-remote-working/
https://www.it-zoom.de/mobile-business/e/grosser-lauschangriff-im-wohnzimmer-16881/

Autor: José Caillet