Montag morgen. Herr M. startet seinen Rechner, meldet sich an und möchte seinen Mailclient zu öffnen - Fehlanzeige. Verflixte Technik, denkt er - muss ich später prüfen... Aber sein Textverarbeitungsprogramm, mit dem er schnell vor der Teambesprechung noch den am Freitag erstellten Bericht um einen Gedanken ergänzen will, reagiert auch nicht. Ein Neustart bringt kein besseres Ergebnis. Was ist hier los?
Herr M. erinnert sich plötzlich: Da war doch am Freitag diese Mail...
Darin teilte man ihm mit, dass sein Rechner virenverseucht wäre. Der Mailabsender hätte in der Prozessliste auf Herrn M.'s Rechner ‚lsass.exe' entdeckt - einen Prozess, der ein Virus sei. Herr M. hatte das geprüft und tatsächlich diesen Namen in der Liste gefunden. Doch der Absender schickte ihm ja netterweise gleich das passende Programm zum Entfernen des Virus mit. Wie einfach und praktisch, hatte Herr M. noch gedacht...
Unsicherheitsfaktor Mensch
Was war passiert? Der Rechner von Herrn M. wurde in der Tat mit einem Virus infiziert. Jedoch war der nicht im Prozess ‚lsass.exe' enthalten (dieser ist ein windowseigener und wichtiger Systemprozess), sondern im angeblichen ‚Virenentfernungstool', das er mit der eMail erhalten hatte. Man zählt diese Methode der Virenverbreitung zum "Social Engineering". Eine von vielen Möglichkeiten, dem Opfer unter Vortäuschung falscher Tatsachen und mit psychologischen Tricks Informationen zu entlocken. Oder - wie in diesem Fall - dazu zu bewegen, ein Programm auf seinem Rechner auszuführen, das den Virus installiert. Es ist für den Laien oft schwierig, die Echtheit solcher Nachrichten zu überprüfen. Social Engineering geht noch viel weiter und weit über einfache eMails hinaus. So ist es z.B. durchaus möglich, dass Sie (sollten Sie in einer größeren Firma arbeiten) einen Anruf von einem ‚neuen' Mitarbeiter der IT-Abteilung bekommen. Der nette Gesprächspartner berichtet, dass nach einem Crash ein Server neu aufgesetzt werden musste und in diesem Zusammenhang einige Benutzereinstellungen verloren gingen. Um diese vollständig wiederherzustellen, benötigt der Herr aus der IT noch kurz das Passwort von Ihnen und dann ist wieder alles in Ordnung...
Es muss aber noch nicht einmal das Passwort sein. Auch Informationen wie Mittagspausen, längere Abwesenheiten von Kollegen, nähere Infos über eingesetzte Server-Hard- und Software usw. dienen mitunter der Informationsbeschaffung und könnten einem potenziellen Angreifer sehr nützlich sein.
Das eingangs geschilderte Szenario offenbart zwei Schwachstellen. Zum Einen war kein aktueller Virenscanner installiert, der den Virus im ‚Virenentfernungstool' hätte entlarven können. Zum Anderen war dem Mitarbeiter nicht klar, dass es sehr riskant ist, Dateianhänge von unbekannten Absendern zu öffnen.
Mit einer regelmäßig verifizierten und automatischen Aktualisierung der Antivirus-Installation auf Servern und Arbeitsplätzen haben selbst aktuelle Viren und Würmer kaum Chancen. Aber auch eine Sensibilisierung der Mitarbeiter ist wichtig, um diese in den Sicherheitsprozess mit einzubinden. Denn nur mit Technik kann man Netzwerke nicht absichern - Systemsicherheit wird beeinflusst durch Menschen, Prozesse und Technologie.
Angreifer im eigenen Unternehmen?
Und nicht nur das Social Engineering oder Viren können uns gefährlich werden. Spam, Trojaner, bösartige Hacker, DoS-Angriffe, Sniffer, Hijacker, u.v.m. sind Begriffe, die wir in diesem Zusammenhang immer öfter hören und lesen werden.
Zwei Drittel aller ‚Angriffe' erfolgen von innerhalb des Netzes - von den eigenen Mitarbeitern - selten gewollt, meist unbeabsichtigt.
Wie schnell hat man mal mit dem Windows Explorer und einer zu ungeduldigen Mausbewegung ganze Verzeichnisbäume verschoben. Das wird oft nicht sofort bemerkt. Erst, wenn die wichtigen Protokolle oder Vertriebslisten dringend benötigt werden, findet man sie dann nicht mehr wieder.
Administratoren-Rechte auf Servern oder Arbeitsplätzen laden dazu ein, Einstellungen vorzunehmen, die mitunter ungewollte Nebenwirkungen hervorrufen können. Außerdem haben es bösartige Programme damit wesentlich einfacher, Schaden im System anzurichten.
Eine Zugriffskontrolle auch innerhalb des Netzwerkes ist deshalb wichtig. Sie verringert den administrativen Aufwand, den Daten- oder Systemwiederherstellung benötigen. Darüber hinaus hätte sonst ein Angreifer, der sich eventuell physischen Zugang zum Netzwerk verschaffen konnte, keinerlei Einschränkungen mehr.
Kredite und Versicherung gefährdet!
Auch die Versicherungen übernehmen mittlerweile solche Schäden in den Unternehmen nicht mehr ‚ohne Murren'. Sie möchten sich erst einmal davon überzeugen, ob im Vorfeld alles Nötige getan wurde, um den Schaden zu verhindern. Oder hat man den Angreifer etwa quasi eingeladen...?
Die Erfüllung solch grundsätzlicher Sicherheitsvorkehrungen im IT-Bereich erwarten übrigens nicht nur die Versicherungen. Auch bei der Geldaufnahme und damit verbundenen Rating-Gesprächen gehört die Frage der IT-Sicherheit mittlerweile zu den weichen Faktoren (europaweite Norm im Banken- und Kreditwesen - Basel II). Wie gut durchdacht und organisiert die IT-Sicherheitsstruktur ist, kann sich daher auch finanziell auswirken.
Bei solch diffizilen Dingen lohnt es sich, externe Unterstützung durch Experten in Anspruch zu nehmen. Dass kein noch so kleines Detail übersehen wird, dafür sorgen z.B. die Systemspezialisten der Nemetschek Bausoftware GmbH. Als Dienstleistung analysieren sie Firmen-Netzwerke und helfen dabei, gegebenenfalls vorhandene Sicherheitslücken aufzudecken. Nach der Analyse wird während eines ausführlichen Beratungsgespräches exakt protokolliert, was zu tun ist. Auch für die Umsetzung wird Hilfe angeboten. Individuelle Security-Checks, die auf hauseigene Schwerpunkte Rücksicht nehmen, können ebenso mit interessierten Unternehmen definiert werden. Schulungen zur Sensibilisierung der Mitarbeiter auf das Thema IT-Sicherheit werden angeboten, ebenso auch Überprüfungen der Webpräsenz. --> www.bausoftware.de
Herr M. erinnert sich plötzlich: Da war doch am Freitag diese Mail...
Darin teilte man ihm mit, dass sein Rechner virenverseucht wäre. Der Mailabsender hätte in der Prozessliste auf Herrn M.'s Rechner ‚lsass.exe' entdeckt - einen Prozess, der ein Virus sei. Herr M. hatte das geprüft und tatsächlich diesen Namen in der Liste gefunden. Doch der Absender schickte ihm ja netterweise gleich das passende Programm zum Entfernen des Virus mit. Wie einfach und praktisch, hatte Herr M. noch gedacht...
Unsicherheitsfaktor Mensch
Was war passiert? Der Rechner von Herrn M. wurde in der Tat mit einem Virus infiziert. Jedoch war der nicht im Prozess ‚lsass.exe' enthalten (dieser ist ein windowseigener und wichtiger Systemprozess), sondern im angeblichen ‚Virenentfernungstool', das er mit der eMail erhalten hatte. Man zählt diese Methode der Virenverbreitung zum "Social Engineering". Eine von vielen Möglichkeiten, dem Opfer unter Vortäuschung falscher Tatsachen und mit psychologischen Tricks Informationen zu entlocken. Oder - wie in diesem Fall - dazu zu bewegen, ein Programm auf seinem Rechner auszuführen, das den Virus installiert. Es ist für den Laien oft schwierig, die Echtheit solcher Nachrichten zu überprüfen. Social Engineering geht noch viel weiter und weit über einfache eMails hinaus. So ist es z.B. durchaus möglich, dass Sie (sollten Sie in einer größeren Firma arbeiten) einen Anruf von einem ‚neuen' Mitarbeiter der IT-Abteilung bekommen. Der nette Gesprächspartner berichtet, dass nach einem Crash ein Server neu aufgesetzt werden musste und in diesem Zusammenhang einige Benutzereinstellungen verloren gingen. Um diese vollständig wiederherzustellen, benötigt der Herr aus der IT noch kurz das Passwort von Ihnen und dann ist wieder alles in Ordnung...
Es muss aber noch nicht einmal das Passwort sein. Auch Informationen wie Mittagspausen, längere Abwesenheiten von Kollegen, nähere Infos über eingesetzte Server-Hard- und Software usw. dienen mitunter der Informationsbeschaffung und könnten einem potenziellen Angreifer sehr nützlich sein.
Das eingangs geschilderte Szenario offenbart zwei Schwachstellen. Zum Einen war kein aktueller Virenscanner installiert, der den Virus im ‚Virenentfernungstool' hätte entlarven können. Zum Anderen war dem Mitarbeiter nicht klar, dass es sehr riskant ist, Dateianhänge von unbekannten Absendern zu öffnen.
Mit einer regelmäßig verifizierten und automatischen Aktualisierung der Antivirus-Installation auf Servern und Arbeitsplätzen haben selbst aktuelle Viren und Würmer kaum Chancen. Aber auch eine Sensibilisierung der Mitarbeiter ist wichtig, um diese in den Sicherheitsprozess mit einzubinden. Denn nur mit Technik kann man Netzwerke nicht absichern - Systemsicherheit wird beeinflusst durch Menschen, Prozesse und Technologie.
Angreifer im eigenen Unternehmen?
Und nicht nur das Social Engineering oder Viren können uns gefährlich werden. Spam, Trojaner, bösartige Hacker, DoS-Angriffe, Sniffer, Hijacker, u.v.m. sind Begriffe, die wir in diesem Zusammenhang immer öfter hören und lesen werden.
Zwei Drittel aller ‚Angriffe' erfolgen von innerhalb des Netzes - von den eigenen Mitarbeitern - selten gewollt, meist unbeabsichtigt.
Wie schnell hat man mal mit dem Windows Explorer und einer zu ungeduldigen Mausbewegung ganze Verzeichnisbäume verschoben. Das wird oft nicht sofort bemerkt. Erst, wenn die wichtigen Protokolle oder Vertriebslisten dringend benötigt werden, findet man sie dann nicht mehr wieder.
Administratoren-Rechte auf Servern oder Arbeitsplätzen laden dazu ein, Einstellungen vorzunehmen, die mitunter ungewollte Nebenwirkungen hervorrufen können. Außerdem haben es bösartige Programme damit wesentlich einfacher, Schaden im System anzurichten.
Eine Zugriffskontrolle auch innerhalb des Netzwerkes ist deshalb wichtig. Sie verringert den administrativen Aufwand, den Daten- oder Systemwiederherstellung benötigen. Darüber hinaus hätte sonst ein Angreifer, der sich eventuell physischen Zugang zum Netzwerk verschaffen konnte, keinerlei Einschränkungen mehr.
Kredite und Versicherung gefährdet!
Auch die Versicherungen übernehmen mittlerweile solche Schäden in den Unternehmen nicht mehr ‚ohne Murren'. Sie möchten sich erst einmal davon überzeugen, ob im Vorfeld alles Nötige getan wurde, um den Schaden zu verhindern. Oder hat man den Angreifer etwa quasi eingeladen...?
Die Erfüllung solch grundsätzlicher Sicherheitsvorkehrungen im IT-Bereich erwarten übrigens nicht nur die Versicherungen. Auch bei der Geldaufnahme und damit verbundenen Rating-Gesprächen gehört die Frage der IT-Sicherheit mittlerweile zu den weichen Faktoren (europaweite Norm im Banken- und Kreditwesen - Basel II). Wie gut durchdacht und organisiert die IT-Sicherheitsstruktur ist, kann sich daher auch finanziell auswirken.
Bei solch diffizilen Dingen lohnt es sich, externe Unterstützung durch Experten in Anspruch zu nehmen. Dass kein noch so kleines Detail übersehen wird, dafür sorgen z.B. die Systemspezialisten der Nemetschek Bausoftware GmbH. Als Dienstleistung analysieren sie Firmen-Netzwerke und helfen dabei, gegebenenfalls vorhandene Sicherheitslücken aufzudecken. Nach der Analyse wird während eines ausführlichen Beratungsgespräches exakt protokolliert, was zu tun ist. Auch für die Umsetzung wird Hilfe angeboten. Individuelle Security-Checks, die auf hauseigene Schwerpunkte Rücksicht nehmen, können ebenso mit interessierten Unternehmen definiert werden. Schulungen zur Sensibilisierung der Mitarbeiter auf das Thema IT-Sicherheit werden angeboten, ebenso auch Überprüfungen der Webpräsenz. --> www.bausoftware.de
