Social-Engineering-Angriffe nehmen weiter zu und werden für Unternehmen zu einer immer größeren Gefahr. Dazu kommt, dass immer mehr vernetzte Endgeräte und neue Kommunikationsanwendungen im Einsatz sind. Das gibt Angreifern viele Ansatzpunkte, um Menschen zu manipulieren.
Laut der Wirtschaftsschutz-Auswertung 2020 des Branchenverbands Bitkom war allein 2019 jedes fünfte Unternehmen in Deutschland von Social-Engineering-Angriffen betroffen, offline ebenso wie digital.
Trotzdem gehen noch immer viele Firmen das Thema „Security Awareness“ nicht planvoll an. Die Folge sind gehäufte Sicherheitsvorfälle, weil den Mitarbeitern das Sicherheitsbewusstsein fehlt oder es nicht ausreicht.
Social Engineering hat viele Erscheinungsformen
Immer öfter greifen Cyberkriminelle unvorsichtige Mitarbeiter an. Mit ausgefeilten Manipulationstechniken nutzen sie deren Neugier, Sorglosigkeit und Hilfsbereitschaft aus. So kommen sie an wertvolle Dokumente, verschaffen sich Zugang zu geschützten Netzwerken und Online-Konten oder sabotieren IT-Systeme und Firmennetze mit Schadsoftware.
Eine aktuelle Untersuchung von Barracuda zeigt, dass Unternehmen im Schnitt jedes Jahr mit über 700 Social-Engineering-Angriffen konfrontiert sind.
Deshalb müssen Mitarbeiter immer wieder auf die Gefahren durch Social Engineering hingewiesen und über aktuelle Angriffsmaschen informiert werden.
Dafür eignen sich Security-Awareness-Maßnahmen, die auf die jeweilige Zielgruppe zugeschnitten sind.
In einer Security-Awareness-Schulung lernen die Mitarbeiter, passend zu ihrem Bedarf und ihrer Rolle, worauf es bei der IT-Sicherheit ankommt. Gleichzeitig bekommen sie das Wissen, das sie im Ernstfall brauchen.
Security Awareness braucht Beständigkeit
Jedes Unternehmen muss heute große Mengen wertvoller Informationen vor Diebstahl, Missbrauch und anderen ausgeklügelten Angriffen aus dem Internet schützen. Gleichzeitig steigt die Zahl erfolgreicher Social-Engineering-Angriffe, die auf den falschen Umgang mit der Infrastruktur und fehlendes Sicherheitsbewusstsein der Mitarbeiter zurückgehen.
Laut dem Data Breach Investigations Report 2021 von Verizon gingen allein im vergangenen Jahr 85 % der Sicherheitsverletzungen auf menschliches Versagen zurück.
Maßnahmen, die Mitarbeiter für Sicherheit sensibilisieren, zählen deshalb heute fast noch mehr als technische und organisatorische Schutzmaßnahmen allein.
Security-Awareness-Seminare sollten dafür Wissen vermitteln und zugleich das Verhalten der Mitarbeiter auf Dauer verändern.
Das gelingt, wenn Security-Awareness-Maßnahmen diese Voraussetzungen erfüllen:
Wissen über verschiedene Medien vermitteln
„Steter Tropfen höhlt den Stein“ gilt auch hier. Unternehmen sollten sich bei Security-Awareness-Maßnahmen deshalb nicht allein auf Schulungen vor Ort verlassen. Webinare, Onlinetrainings, E-Mails, Filme, Quizze, Printmedien, Merkblätter, Aufkleber, Hintergrundbilder und Knowledge Bases erreichen die Mitarbeiter an ganz unterschiedlichen Stellen ihres Arbeitstags. Dieser Omni-Channel-Ansatz spricht verschiedene Lerntypen an und versorgt die gesamte Belegschaft laufend mit Informationen zur Sicherheit.Verhalten mit realistischen Angriffsszenarien ändern. Nichts sensibilisiert Kollegen so sehr wie ein simulierter Angriff. Unternehmen sollten deshalb unter anderem Scam-Mails, Smishing, also Betrug per SMS, Kryptotrojaner und Angriffe über Datenträger wie USB-Sticks und CDs simulieren. So messen sie, wie anfällig die Mitarbeiter sind, und senken diesen Wert auf Dauer. Gleichzeitig bereiten sie alle in einem sicheren Rahmen auf den echten Angriff vor.
Inhalte mit Geschichten im Gedächtnis verankern. Wer Mitarbeiter erreichen will, muss sie emotional ansprechen. In Security-Awareness-Schulungen helfen dabei Geschichten, die im Kopf bleiben. Echte Vorfälle aus der jüngsten Vergangenheit machen ein Sicherheitsthema glaubwürdig, zeigen seine Bedeutung und machen greifbar, wie IT-Sicherheitsstrategien wirken.
Ein sicheres Unternehmen entsteht nicht von selbst
Social Engineering hat viele Gesichter.
Viele IT-Security-Lösungen wehren heute einen Teil dieser Angriffe ab. Der beste Schutz gegen diese Art von Risiken sind aber gut geschulte Mitarbeiter, die Social Engineering früh erkennen.
Eine halbtägige Schulung einmal im Jahr reicht dafür allerdings nicht aus. Unternehmen sollten Security-Awareness-Maßnahmen über verschiedene Kanäle einsetzen, damit ihre Mitarbeiter immer wieder auf Sicherheitslücken aufmerksam werden und bei IT-Security, Informationssicherheit, Internetsicherheit und Datenschutz wachsamer sind.
Regelmäßige Security-Awareness-Maßnahmen helfen auch, die rechtlichen Anforderungen der Datenschutzgrundverordnung an die IT-Sicherheit zu erfüllen. Neben technischen und organisatorischen Maßnahmen gehören dazu regelmäßige Unterweisungen der Mitarbeiter, die revisionssicher dokumentiert werden müssen.
Wenn Sie das Sicherheitsbewusstsein Ihrer Mitarbeiter stärken und eine dauerhafte IT-Sicherheitskultur aufbauen möchten, beginnen Sie mit einem simulierten Angriff. Er zeigt, wie anfällig Ihr Unternehmen heute ist, und liefert den Ausgangswert für die weiteren Schulungen.
Wir bei aconitas beraten Sie gern im persönlichen Gespräch.
