Sicher im Netz unterwegs

Helfen Sie sich selbst: Die meisten Sicherheitsvorfälle im Netz können durch einfache grundlegende Schutzvorkehrungen und eine aktiv gelebte IT-Sicherheitskultur abgewehrt werden. So haben Cyberkriminelle keine Chance. Die Maßnahmen sind leicht und mit wenigen Ressourcen anzustoßen. Voraussetzung ist nur die Bereitschaft zu kleinen Anpassungen im Arbeitsalltag.

Das bisschen IT-Sicherheit ist doch kein Problem? 58 Prozent der Unternehmen in Deutschland sagen, dass ihre Mitarbeiterinnen und Mitarbeiter häufig von IT-Sicherheitsanforderungen genervt sind, so eine Umfrage des TÜV Nord. Regelmäßige Passwortwechsel, komplizierte Anmeldevorgänge, Spamfilter: Welche Sicherheitsmaßnahmen im Arbeitsalltag tragen effektiv zum Schutz im Netz bei? Sich im Büroalltag sicher im Netz zu bewegen ist vielen Menschen ein wichtiges Anliegen und ist auch für den Erfolg von Unternehmen ein zunehmend wichtiger Faktor.

Laut der aktuellen „Cyber-Sicherheits-Umfrage“ des Bundesamts für Sicherheit in der Informationstechnik (BSI) gaben mehr als Dreiviertel der Befragten in deutschen Unternehmen an, Angriffe Cyberkrimineller hätten das Potenzial, betriebliche Prozesse erheblich zu beeinträchtigen. Jeder und jede Einzelne kann dazu beitragen, digitale Einfallstore zu minimieren und die IT-Sicherheit nicht nur für sich selbst, sondern auch für das Unternehmen und Arbeitsumfeld zu erhöhen.

Gelebte IT-Sicherheit: Jeder ist ein Vorbild im Kampf gegen Cyberkriminelle

„Der digitalisierte Berufsalltag fordert von allen Beteiligten einen sensiblen Umgang mit Daten und der IT – die größte Schwachstelle eines jeden IT-Systems sind häufig immer noch Unwissen und Unachtsamkeit des Faktors Mensch“, so Dr. Michael Littger, Geschäftsführer des Vereins Deutschland sicher im Netz. „Deshalb ist es wichtig, dass Mitarbeiter den Stellenwert von IT-Sicherheit für den Erfolg eines Unternehmens verstehen.“

IT-Sicherheit beginnt am eigenen Arbeitsplatz

Gute IT-Sicherheit fängt immer beim Menschen an. Auch als Mitarbeiter ist es daher wichtig, Risiken zu kennen und einzuschätzen. „Mit kleinen Handgriffen und einem guten IT-Basisschutz für die tägliche Arbeit können Sie einen wertvollen Beitrag für die IT-Sicherheit des ganzen Unternehmens leisten.“ Mit regelmäßigen Schulungen bleibt das Thema bei den Mitarbeiter im Unternehmen präsent.

Gefährlich: Bequemlichkeit und Unachtsamkeit

Der heutige Grad der Digitalisierung lässt die Grenzen zwischen beruflich und privat zunehmend verschwimmen. Auch mobile Geräte sind in Unternehmen weit verbreitet. Doch Angreifer nutzen das gezielt für Angriffe, beispielsweise beim sogenannten Social Engineering, also der bewussten zwischenmenschlichen Beeinflussung von Personen über das Internet mit dem Ziel, sie zum Beispiel zur Preisgabe von vertraulichen Informationen, zum Kauf eines Produkts oder zur Freigabe von Finanzmitteln zu bewegen. Aber auch Unachtsamkeit und Bequemlichkeit der Mitarbeiter und Mitarbeiterinnen können zu Datenverlust bis hin zu Systemausfällen führen. Es ist daher aus Sicherheitsgründen ratsam, die private von der geschäftlichen Nutzung zu trennen.

Der sichere Log-in: Wie schütze ich meine digitalen Zugänge?

Im Durchschnitt haben deutsche Internetnutzer heute über 78 Onlinekonten, Tendenz steigend. Damit wird auch der häufige Wechsel der Passwörter, der lange als Standard für die Absicherung von Onlinezugängen galt, in der Praxis immer komplizierter. Das BSI hat in diesem Jahr den regelmäßigen Passwortwechsel aus seinem Grundschutzkompendium gestrichen.

Sicher ist, dass nichts sicher ist. Selbst das nicht.“

Joachim Ringelnatz, deutscher Schriftsteller, Kabarettist und Maler (1883-1934)

Schwere Fehler bei der Passwortvergabe

Denn im Resultat bedeutet ein häufiger Wechsel der Log-in-Daten vor allem eines: „123456“ und „password“ gehörten auch 2019 zu den meistgenutzten Passwörtern in Deutschland. Ebenso fahrlässig – und in den Konsequenzen womöglich fatal – ist die Verwendung desselben Passworts für unterschiedliche Zugänge.

„Wichtig ist, dass jeder Onlinezugang mit einem eigenen starken Passwort gesichert ist“, so Littger. Nach Ansicht von Deutschland sicher im Netz ist ein Umsteuern zugunsten zusätzlicher Sicherungen erforderlich. „Es geht um den bewussten Umgang mit Log-in-Daten. Neue Zugangstechnologien wie Zwei-Faktor-Authentifizierung und Passwortmanager erleichtern heute vielfach den Schutz von Onlinekonten.“

Fünf Tipps für einen sicheren Log-in:

• Ein Passwort, ein Zugang:
  Grundsätzlich sollte jedes Onlinekonto mit einem individuellen, starken Passwort geschützt werden. Die mehrfache Verwendung desselben Passworts ermöglicht es Angreifern, sich im Zweifelsfall Zugang zu gleich mehreren, möglicherweise sensiblen Konten zu verschaffen.
• Merksatzmethode:
  Für die Sicherheit des Passworts hilft die Merksatzmethode, bei der von einem Satz Anfangsbuchstaben und Satzzeichen genommen werden, wie zum Beispiel: „Bedecke deinen Himmel, Zeus, mit Wolkendunst!“ Das ergibt das Passwort „BdH,Z,mW!“. Es gilt: Je individueller der Merksatz, desto sicherer das Passwort.
• DsiN-Passwortkarte:
  

  PRAXIS-TIPP:
  Die Passwortkarte können Sie unter Angabe Ihrer Versandadresse kostenlos bestellen:
  info@sicher-im-netz.de oder https://www.sicher-im-netz.de/dsin-passwortkarte

  Mithilfe eines Koordinatensystems können mit der DsiN-Passwortkarte individuelle Passwörter erstellt werden. Das Zeichenfeld beinhaltet alle Zeichen, die zur Passwortbildung erlaubt sind. Statt der kompletten Zeichenkombination müssen Sie sich nur die verwendeten Koordinaten merken.
• Zwei-Faktor-Authentifizierung:
  Viele Anbieter bieten heute neben dem Passwort einen zweiten Faktor für den Zugang an. Dazu zählen SMS-Code per Telefon oder ein USB-Stick. Dieser doppelte Zugang (kurz: 2FA) ist sicherer, da neben dem Passwort auch ein direkter Zugriff auf das für die Authentifizierung hinterlegte Gerät notwendig ist.
• Passwortmanager:
  Wie in einem digitalen Schlüsselkasten speichern Passwortmanager Log-in-Daten verschlüsselt ab und sind nur mit einem Masterpasswort zugänglich. Zudem helfen die Programme beim Generieren sicherer, komplexer Passwörter. Im Passwortmanagertest der Stiftung Warentest schnitten in diesem Jahr 3 von 14 Produkten gut ab, eines davon ist gratis erhältlich.

E-Mail & Co. im Beruf sicher nutzen

Während Fax und das analoge Telefon in vielen Büros mittlerweile den Ruf eines Auslaufmodells genießen, werden digitale Kommunikationskanäle zunehmend zum Standard in der privaten und beruflichen Kommunikation.

Die E-Mail ist nach wie vor die häufigste Form des Onlineaustauschs von Informationen. Sie ist einfach zu versenden, kostet kein Porto und lässt sich leicht archivieren. Aber auch soziale Medien und Messengerdienste finden Eingang in den Geschäftsalltag. Moderne Kommunikationsmedien beschleunigen den Austausch, fordern aber auch ein stärkeres Bewusstsein für IT-Sicherheit und Datenschutz.

Einfach, schnell, mobil … aber auch sicher? Oft wird der Versand unverschlüsselter E-Mails mit dem Verschicken einer Postkarte verglichen. Denn ohne Verschlüsselung können die elektronischen Nachrichten auf dem Weg zum Empfänger abgefangen und leicht ausgelesen werden. Neben dem Basisschutz wie Spam- und Virenfiltern spielt Verschlüsselung daher zunehmend eine wichtige Rolle auch für die Wahrung von Persönlichkeitsrechten sowie die Einhaltung des Datenschutzes.

Welche E-Mail-Verschlüsselung ist wann sinnvoll?

Die Datenschutz-Grundverordnung (DSGVO) fordert explizit eine Verschlüsselung des Schriftverkehrs, um eine angemessene Sicherheit der personenbezogenen Daten zu gewährleisten. Bei der Transportverschlüsselung, die bei vielen E-Mail-Providern mittlerweile Standard ist, werden alle Daten, die zwischen den Kommunikationspartnern ausgetauscht werden, während des Versands verschlüsselt.

Im Unterschied dazu werden bei der sogenannten Ende-zu-Ende-Verschlüsselung nicht die einzelnen Abschnitte im Versandkanal verschlüsselt, sondern jede einzelne E-Mail selbst. „Nur Sender und Empfänger können die E-Mail im Klartext lesen, wenn diese über den notwendigen Schlüssel verfügen“, bestätigt das Bundesamt für Sicherheit in der Informationstechnik. „Weder die beteiligten

E-Mail-Anbieter können die E-Mail lesen noch haben potenzielle Angreifer die Möglichkeit, die E-Mails unterwegs zu manipulieren. Damit erfüllt nur diese Technik die drei Ziele der Verschlüsselung im Internet: Vertraulichkeit, Authentizität, Integrität.“

Gerade bei sensiblen oder persönlichen Inhalten empfehlen Datenschützer auch aus rechtlichen Gründen, auf den Einsatz einer Ende-zu-Ende-Verschlüsselung zu setzen. Exemplarische Schritt-für-Schritt-Anleitungen für die Ende-zu-Ende-Verschlüsselung werden den Anwendern mittlerweile von vielen E-Mail-Dienstleistern angeboten.

Sichere Kommunikation für Mitarbeiter

Die folgenden Hinweise helfen Ihnen, die Herausforderungen der sicheren Arbeitskommunikation besser zu meistern:

• Wählen Sie den richtigen Kanal für jede Information:
  Für welche Daten und Informationen ist welcher Kommunikationsweg geeignet? Geht es um persönliche Daten von Mitarbeitenden, Finanztransaktionen und vertrauliche interne Daten, sind Messengerdienste und unverschlüsselte E-Mails unzureichend geschützt. Stattdessen bieten ein verschlüsselter E-Mail-Verkehr und die Nutzung eines abgesicherten Servers besseren Schutz. Auch wenn die meisten Messengerdienste wie WhatsApp eine Ende-zu-Ende-Verschlüsselung einsetzen, werden etwa Verkehrsdaten weiterhin gespeichert. Auch wenn der Inhalt von Nachrichten verschlüsselt ist, können Messenger also einsehen, wer wem wann geschrieben hat, was wiederum erhebliche Rückschlüsse auf das Umfeld des Nutzers zulässt.
• Geben Sie persönliche Daten nicht ohne Einwilligung weiter:
  Übertragen Sie personenbezogene Daten nur mit Einwilligung der Betroffenen. Dazu zählt auch die E-Mail-Adresse eines Kunden oder einer Kundin.
• Verschicken Sie sensible Daten nur geschützt:
  Versehen Sie Dokumente und Daten mit einem Passwortschutz und übermitteln Sie das Passwort separat über einen weiteren Kanal. Hochsensible Daten und Anhänge sollten nur komplett verschlüsselt übertragen werden. Das betrifft neben Finanz- und Kontodaten besonders auch personenbezogene Daten im Sinne der DSGVO. Das gilt vor allem auch bei der Arbeit im Homeoffice. Die Verbindung zum Firmennetzwerk muss sicher sein und die Mitarbeiter, die mobiles Arbeiten nutzen, müssen entsprechend geschult werden.
• Prüfen Sie E-Mails auf Plausibilität:
  Viele IT-Angriffe beginnen mit gefälschten E-Mails. Seien Sie deshalb bei jeder eingehenden Nachricht aufmerksam: Erwarten Sie diese? Wer ist der Absender und ist es stimmig? Ihre Bank wird Sie niemals per E-Mail zur Prüfung Ihres Bankkontos auffordern.

Besprechen Sie in jedem Fall mit der IT in Ihrem Haus, welche Maßnahmen und Vorkehrungen sie getroffen hat, um für mehr Sicherheit in Ihrem Unternehmen zu sorgen.

Und denken Sie daran, dass Sie auch immer eine Vorbildfunktion haben: Agieren Sie vorsichtig und animieren Sie so Ihre Kolleginnen und Kollegen, ebenso zu handeln.

Cybergefahren erkennen und ihnen begegnen

Auch bei gutem Basisschutz bleibt es unabdingbar, sich regelmäßig über aktuelle IT-Sicherheitsrisiken zu informieren. Social Engineering etwa, also die digitale Manipulation mit dem Ziel, an sensible Daten zu gelangen, und Phishing, also das Ausspähen von Passwörtern, sind zu einem wiederkehrenden Problem für viele Unternehmen und Mitarbeiter geworden.

Der DsiN-Sicherheitsindex erfasst einmal im Jahr in Form einer repräsentativen Umfrage die digitale Sicherheitslage von Internetnutzern in Deutschland.

• Laut aktueller Studie registrierten deutsche Onliner einen Anstieg besonders bei Finanztransaktionen wie dem Ausspähen von Zugangsdaten für das Onlinebanking oder Onlinekreditkartenbetrug.
• Daneben gehören der Erhalt von unerwünschten E-Mails (53,8 Prozent betroffene Internetnutzer), Phishingversuche (30,7 Prozent) und der Erhalt infizierter E-Mails, Anhänge oder Weblinks (26,3 Prozent) weiterhin zu den Spitzenreitern unter den digitalen Sicherheitsvorfällen in Deutschland.

Der Betrug mit der „Chef-Masche“

Häufig sind Spammails und infizierte Links jedoch nur der erste Schritt eines Betrugsversuchs. Die „Chef-Masche“ (CEO-Fraud) geht sogar so weit, dass sich Angreifer als Vorgesetzte ausgeben und Mitarbeiter beispielsweise aus der Buchhaltung so lange manipulieren, bis sie Geld auf ein fremdes Konto überweisen.

Die Verluste sind für das betroffene Unternehmen oftmals schmerzhaft. So erbeutete im vergangenen Jahr beispielsweise ein Betrüger 220.000 Euro, indem er mit einem „Deepfake“ synthetisch die Stimme eines Vorgesetzten nachahmte.

Grundregeln zur Erkennung betrügerischer Angriffe

Ein hohes Maß an Aufmerksamkeit ist ein wirksamer Schutz gegen Betrug. Die folgenden Hinweise helfen Ihnen dabei, im Alltag aufmerksamer zu sein:

• Seien Sie neuen Kontaktanfragen gegenüber skeptisch:
  Geben Sie Fremden keine sensiblen Daten heraus. Vergewissern Sie sich im Zweifel noch einmal über die Vertraulichkeit des neuen Kontakts durch öffentlich zugängliche Informationen.
• Öffnen Sie keine unerwarteten E-Mails und Anhänge:
  Insbesondere bei der „Chef-Masche“ setzen Angreifer auf die E-Mail – und erzeugen beispielsweise Zeitdruck auf den Empfänger. Wenden Sie sich direkt an Ihren Chef und vergewissern Sie sich lieber, wenn Ihnen etwas nicht geheuer vorkommen sollte!
• Erkennen Sie Phishingangriffe:
  Die Universität Darmstadt bietet ein Onlinelehrprogramm für Phishing an, mit dem Sie routinierter bei der täglichen Arbeit mit E-Mail & Co. und so für Angriffe sensibler werden.
• Gehen Sie vorsichtig mit allzu guten Angeboten um, denn auch in der Geschäftswelt gilt:
  Seien Sie stets skeptisch gegenüber allzu verlockenden Angeboten oder Offerten. Oftmals verbirgt sich dahinter ein Trick, um schnell an Informationen zu gelangen.

Weitere alltagstaugliche Informationen rund um IT-Sicherheit im Büroalltag

• SiBa-App:
  Das Sicherheitsbarometer informiert über Spamwellen, Viren, kritische Sicherheitslücken und andere Bedrohungen der digitalen Sicherheit in verbreiteten Programmen und Diensten. Gleichzeitig stellt die kostenlose App für Android, iOS und Windows Phone erste Handlungsempfehlungen und Sicherheitstipps bereit.
• Datenschutz-Navigator:
  Der Datenschutz-Navigator führt praxisrelevant durch die Themen der DSGVO und zeigt auf, worauf Sie bei der Umsetzung achten müssen.
• DsiN-Computercheck:
  Der DsiN-Computercheck kann mehrere Sicherheitsprobleme auf Ihrem System erkennen und hilft Ihnen bei der Behebung der gefundenen Fehler