[Parole d'expert] Die Cybersicherheitsherausforderungen von KMU im Jahr 2021

Nicht nur große Unternehmen sind Ziel von Piraten. Nicht im Geringsten. Nach einer Verizon-Studie von 2019 wären 43 % der Opfer von Cyberangriffen KMU. Eine Zahl, die sich seit Anstieg des Homeoffice wegen Covid-19 sogar erheblich erhöht hat, was die Netzwerke des Unternehmens anfälliger macht.

Dieser Anfang 2021 ist ein guter Zeitpunkt, um die Herausforderungen Cybersicherheit, denen KMU ausgesetzt sind, zu überprüfen.

Was sind die Hauptbedrohungen und woher stammen sie? Welche Maßnahmen sollten getroffen werden, um sich davor zu schützen? Welche Vorteile können von einem wirksamen Cybersicherheitsansatz erwartet werden?

Um diese Fragen zu beantworten, haben wir zwei Fachleute befragt, die besonders von diesen Herausforderungen betroffen sind:

• Laurent Hausermann, Direktor für Engineering Security IoT bei Cisco
• Winoc Coppens, Direktor der Informationssysteme der 20 Minutes-Gruppe

In diesem Interview geben sie uns ihre Analyse der wichtigsten Cyber-Risiken, denen sich KMU 2021 gegenübersehen werden, sowie ihre Schlüsseltipps zur Bekämpfung von Cyberangriffen.

Die Hauptcyber-Risiken 2021 für KMU

Im Jahr 2020 haben Homeoffice und das Wachstum von BYOD (Bring Your Own Device, d.h. die Nutzung privater Geräte in einem geschäftlichen Kontext) Cyberangriffe gefördert und beschleunigt. Nach einer Proofpoint-Studie wären 9 von 10 französischen Unternehmen im letzten Jahr Opfer von Cyberangriffen geworden.

Siehe auch: [Digitale Lösungen] Cyberbedrohungen: "die Stunde ist ernst", Guillaume Poupart

Drei Arten von Angriffen bedrohen besonders KMU:

Malwares / Ransomwares

Nach Ansicht von Winoc Coppens ist die erste Bedrohung für KMU die Malware / Ransomware.

Malware ist "ein Virus, der alle Daten verschlüsselt und damit dem Mitarbeitenden (oder sogar dem ganzen Unternehmen) den Zugriff auf seine Dateien verhindert". Es handelt sich um einen der Angriffe, "die am einfachsten durchzuführen sind" für Hacker, die "mit breitem Netz fischen", indem sie an eine Reihe von E-Mail-Adressen eine beschädigte Nachricht senden, in der Hoffnung, dass der Inhaber einer dieser Adressen diese auf seinem Arbeitsplatz öffnet.

Das heißt, es besteht darin, "die Daten des Unternehmens als Geisel zu nehmen und dann ein Lösegeld[daher der Name Ransomware] zu fordern, um den Zugriff freizugeben", erklärt Laurent Hausermann.

Siehe auch: [Podcast] Computerattacken: die Welle der Ransomware

"Bei dieser Art von Angriff geht der Hacker immer auf die gleiche Weise vor:

• er sucht einen anfänglichen Verteilungspunkt, zum Beispiel eine E-Mail mit bösartigen Links, die an Mitarbeitende verschickt wird.
• Nach dem Klick auf den Link in der E-Mail installiert sich die Malware automatisch auf dem Computer des Mitarbeitenden oder sogar auf dem Server des Unternehmens.
• Dann folgt oft eine Phase der lateralen Bewegung, in der die Ransomware sehr schnell von einem Server zu einem anderen repliziert wird; und am Ende ihrer Ausbreitung wird oft die gesamte IT-Infrastruktur des Unternehmens gesperrt".

Nachdem die Daten gesperrt sind, wenden sich die Hacker an das Unternehmen, um Geld gegen die Entschlüsselung / Freigabe der Daten zu fordern. Eine klassische Erpressungspraxis, die nach heutigem Geschmack der digitalen Wirtschaft modernisiert wurde.

Siehe auch: Eindringversuch: Wie Lactalis der Katastrophe entging

DDoS-Angriffe (Denial of Service)

DDoS-Angriffe (Distributed Denial of Service), oder Denial-of-Service-Angriffe, bestehen darin, "eine Website oder einen Webdienst unzugänglich zu machen, indem man einen massiven Ansturm von Traffic schafft, der den Server lahmlegt", erklärt Winoc Coppens.

Abgesehen von KMU, deren Geschäftstätigkeit der Verkauf von Produkten oder Dienstleistungen online ist, sind diese Angriffe weniger häufig als Malwares und Ransomwares und haben oft keine so großen Auswirkungen.

Interne Bedrohungen

Schwerer zu erkennen sind die internen Bedrohungen von jeder Person, die Zugang zu sensiblen Daten Ihres Unternehmens hat: Ihre Mitarbeitenden, Ihre Lieferanten, Ihre Partner und sogar Ihre ehemaligen Mitarbeitenden.

Diese Bedrohungen können unbeabsichtigt sein, d.h. im Zusammenhang mit einem Unfall oder einer Fahrlässigkeit eines Benutzers (was am häufigsten vorkommt), oder böswillig, d.h. mit der Absicht, dem Unternehmen zu schaden.

"Der klassische Fall, der ab und zu vorkommt, ist der eines ehemaligen Mitarbeitenden oder eines mit seinem Schicksal frustrierten Mitarbeitenden, der zurückommt, um sich einzuloggen und Dateien zu löschen", warnt Laurent Hausermann.

Die zu ergreifenden Schlüsselmaßnahmen

Um diese verschiedenen Risiken zu antizipieren, ist Laurent Hausermann der Meinung, dass die IT erhebliche und bewusste Anstrengungen unternehmen muss, um sowohl Werkzeuge als auch vorbeugende Maßnahmen einzuführen. Die Größenordnung? "etwa 10 % des Gesamtbudgets für IT":

Grundlegende Regeln der Computerhygiene

Nach Ansicht des Direktors für Engineering und Sicherheit IoT bei Cisco ist "die Priorität für KMU die Einführung elementarer Regeln für Computerhygiene", wie zum Beispiel:

• die Durchführung von regelmäßigen Sicherungen
• der Abschluss einer Cyber-Versicherung "die es Ihnen ermöglicht, sich im Falle eines Angriffs von einem Spezialisten begleiten zu lassen"
• die Einführung einer Richtlinie für regelmäßige Systemaktualisierungen
• die Umsetzung einer Passwortrichtlinie
• die Bereitstellung eines Antivirus
• die Durchführung eines Sicherheitsaudits jedes Jahr

Diese Computerhygiene-Praktiken sind bereits ein wichtiger Schutz gegen viele Risiken (wie kürzlich von der CISA Cybersecurity & Infrastructure Security Agency, eine Behörde für Cybersicherheit, die der US-Regierung untersteht, hervorgehoben wurde).

Sicherung von Remote-Zugriff

Danach muss es "den Zugriff auf Daten und Cloud-Plattformen aus der Ferne sichern". Besonders mit der Verallgemeinerung von Homeoffice und der Verbreitung des Zugriffs auf entfernte Dienste.

Hierzu erläutert Laurent Hausermann mehrere bewährte Verfahren:

• ein sicheres VPNeinrichten
• die Verwaltung von Remote-Zugriff überprüfen und die Liste der Benutzer, die auf Unternehmensressourcen zugreifen können, regelmäßig aktualisieren, um interne Bedrohungen zu bekämpfen
• ein System der Zwei-Faktor-Authentifizierung verwenden, das es ermöglicht, die Identität des Mitarbeitenden in zwei Schritten zu überprüfen (auf dem PC, dann auf dem Mobiltelefon)
• ein System der Verwaltung mobiler Geräte (MDM) einrichten, um Daten bei Verlust oder Diebstahl des Geräts aus der Ferne löschen zu können

Dies ist ganz im Sinne der heutigen Zero-Trust-Ansätze, die Experten befürworten.

Siehe auch: Hybrid Work: Wie sichern Sie die von Ihren Mitarbeitenden gemeinsam genutzten Daten?

Netzwerksegmentierung

Winoc Coppens betont auch die Wichtigkeit, "das Netzwerk zu segmentieren", d.h. die Anwendungen und die Infrastruktur des Unternehmens in verschiedene Segmente zu unterteilen, um Cyberangriffe einzudämmen und zu verhindern, dass sie sich auf andere Bereiche ausbreiten.

"Die Idee ist, mehrere Module und Lösungen auszuwählen und auf verschiedenen Systemen oder Servern zu installieren. Es ist gut bekannt: Man sollte nicht alle Eier in einen Korb legen."

Eine weitere Alternative, um die Angriffsflächen zu reduzieren, ist "die täglich ausgetauschten E-Mails zu reduzieren, besonders intern". Die Einführung einer Zusammenarbeitsplattform ermöglicht es Ihnen, Informationen direkt über einen Team-Chat auszutauschen, was die internen E-Mail-Flüsse reduziert… und damit die Gefahr.

Siehe auch: Wie die Agentur Bergamote ihre E-Mails um 95 % reduziert hat und ihre Produktivität mit Talkspirit gesteigert hat

Sensibilisierung und Schulung

Schließlich und das ist das wichtigste Element: Sie müssen die Benutzer regelmäßig für Risiken und bewährte Sicherheitspraktiken sensibilisieren und schulen. Ein wesentlicher Schritt, um ihnen bewusst zu machen, welche Rolle sie spielen und ihnen die richtigen Reflexe zu geben.

Hierzu kann das Unternehmen "jedes Quartal Informationsveranstaltungen zu Cyber-Sicherheitsrisiken organisieren und einige davon zur Pflicht machen", schlägt Laurent Hausermann vor.

Ziel ist es, die Benutzer in die Verantwortung zu nehmen.

"Bei 20 Minutes laden wir Mitarbeitende ein, die gleichen bewährten Praktiken im beruflichen Kontext und in ihrem persönlichen Kontext anzuwenden. Das Ziel dieser Bewusstseinserweiterung ist, dass sie diese Vorsichtsmaßnahmen nicht als Zwang, sondern als Reflexe sehen, die in ihrem Interesse sind", erklärt Winoc Coppens.

Um diese Schulungs-Sitzungen zu entwickeln, kann sich das Unternehmen auf zahlreiche Online-Ressourcen stützen. Zum Beispiel "das ANSSI bietet auf seiner Website Webinare und sehr nützliche Dokumentation für IT-Fachleute", weist Winoc Coppens hin.

Siehe auch: Vincent Montet, EFAP: « Schulung ist eine der Antworten auf digitalen Darwinismus »

In ihrem "Leitfaden für bewährte IT-Praktiken", bietet die CPME ihren Mitgliedern 12 wesentliche Regeln an, um die IT-Sicherheit ihres Unternehmens zu gewährleisten, insbesondere:
• Wählen Sie Ihre Passwörter sorgfältig aus
• Aktualisieren Sie Ihre Software
• Kennen Sie Ihre Benutzer und Dienstleister gut

Es gibt mehrere Plattformen zum Lernen. Laurent Hausermann erwähnt insbesondere das Programm NetAcad von Cisco, das Online-Kurse anbietet, um Fähigkeiten in der Informatik zu entwickeln. Nach Ansicht des Cybersicherheitsexperten "ist es wichtig, Mitarbeitenden diese Schulungsmöglichkeit zu bieten, da sie durch Wissen und Fähigkeiten die Cyber-Bedrohungen erkennen können, die sie umgeben".

"Als IT-Fachleute ist es auch eine gute Praxis, einem IT-Fachleute-Club, wie dem CLUSIR oder dem Clusif ", beizutreten, um über die besten Lösungen auszutauschen und Erfahrungen mit Kollegen auszutauschen.

Die Vorteile einer wirksamen Cybersicherheitspolitik

Nach Ansicht der beiden Fachleute bringt die Umsetzung dieser verschiedenen Maßnahmen zwei Hauptvorteile für KMU:

Eine Frage der Nachhaltigkeit

"Ein Unternehmen, das mehrere bewährte Cybersicherheitspraktiken umgesetzt hat, gibt sich bessere Chancen auf Überleben im Falle eines Angriffs", erklärt Laurent Hausermann. Tatsächlich erholen sich manche Unternehmen nicht von solchen Angriffen oder wenn sie bereits fragil sind, könnte dies ihren Todesstoß bedeuten (wie zum Beispiel die Lingerie-Marke Lise Charmel im Jahr 2020).

Siehe auch: Ransomware bei Sopra Steria: ein 40-Millionen-Euro-Vorfall?

Doch viele Unternehmen treffen immer noch nicht die notwendigen Maßnahmen. Nach der National Cyber Security Alliance machen 60 % der KMU, die Opfer von Cyberangriffen werden, innerhalb von sechs Monaten Konkurs, was ihre Anfälligkeit angesichts eines ungeplanten Ereignisses verdeutlicht.

Ein Wettbewerbsvorteil

"Eine wirksame Cybersicherheitspolitik kann auch ein Wettbewerbsvorteil für die KMU sein, denn sie wird sowohl Kunden als auch Partner, aber auch Mitarbeitende beruhigen", erklärt Winoc Coppens.

Tatsächlich verlangen Entscheidungsträger zunehmend Garantien von Partner- oder Subunternehmen. Sie werden mehr Vertrauen in eine KMU haben, die besondere Aufmerksamkeit auf die Sicherheit ihrer Daten legt, und werden eher mit ihr zusammenarbeiten.

In Zukunft schätzt Laurent Hausermann, dass "große Unternehmen und der Staat ihre Anforderungen in Bezug auf IT-Sicherheit in Ausschreibungen verschärfen werden und ihre Lieferanten zwingen, diese Kriterien einzuhalten."

*
* *

Im Jahr 2021 müssen IT-Leiter und IT-Verantwortliche französischer KMU ihre Anstrengungen verdoppeln, um ihr Unternehmen wirksam vor verschiedenen Cybersicherheitsbedrohungen zu schützen. Neben der Verbesserung der Infrastruktur werden auch Sensibilisierung und Schulung wesentlich sein. Eine große Herausforderung, die IT-Abteilungen und Human Resources meistern müssen.

Möchten Sie mehr über bewährte Cybersicherheitspraktiken und die in einem hybriden Arbeitskontext zu implementierenden Werkzeuge erfahren, der Homeoffice und Präsenzarbeit verbindet? Lesen Sie unser Whitepaper "Hybrid Work: Die IT-Abteilung vor neuen Herausforderungen":

Auf das Whitepaper zugreifen

In unserem Whitepaper "Hybrid Work: Die IT-Abteilung vor neuen Herausforderungen" erfahren Sie: die 3 Hauptherausforderungen der IT-Abteilungen im Zeitalter des Hybrid Work; konkrete Tipps zur Beschleunigung Ihrer digitalen Transformation, zur Sicherung Ihrer Arbeitsplätze und zur Verbesserung der Collaborateur-Erfahrung, sowie Aussagen von 10 IT-Fachleuten aus Unternehmen, Verwaltungen und Vereinen.

Herunterladen

¹ Digital Transformation Index 2020 von Dell Technologies

–
Autorin: Emmanuelle Abensur