Hacks, Scams und sonstiger Sicherheitsvorfälle sind ein dauerndes und mitunter teueres Ärgernis für Unternehmen. Dabei sind sich viele Untersuchungen zum Thema einig: Das Gros der Bedrohungen kommt von Innen.
Foto: Ollyy - shutterstock.com
Der verschwiegene Hackerangriff
Viel schlimmer noch ist allerdings, dass viele Unternehmen von den Sicherheitsvorfällen, die durch Innentäter verursacht werden gar nichts mitbekommen. In 40 Prozent aller Unternehmen weltweit haben Mitarbeiter schon einmal Vorfälle mit IT-Security-Bezug unter den Teppich gekehrt. Zu diesem Ergebnis kommt eine Studie von Kaspersky Lab und B2B International, die zu diesem Thema Mitarbeiter aus 5000 Unternehmen aus aller Welt befragt haben.
Trotzdem ist den Firmen das erhöhte Sicherheitsrisiko durch die eigenen Mitarbeiter durchaus bewusst: Mehr als die Hälfte aller Unternehmen (52 Prozent) glaubt fest daran, dass die eigene Belegschaft den größten Security-Schwachpunkt darstellt. Dabei sind es in der Regel nicht einmal böse Absichten, die Mitarbeiter dazu bringen, die IT-Sicherheit mit Füßen zu treten.
Nachlässigkeit und Unwissenheit von Mitarbeitern stellen die größten Risiken im Business-Umfeld dar, wenn es um zielgerichtete Attacken geht. Der Studie zufolge sind 28 Prozent aller Cyberangriffe auf Phishing und Social Engineering zurückzuführen, weitere 30 Prozent entfallen auf Exploits und den Verlust von mobilen Endgeräten. Laut Kaspersky waren im vergangenen Jahr 46 Prozent aller Cybersecurity-Vorkommnisse auf uninformierte oder nachlässige Mitarbeiter zurückzuführen.
Foto: Kaspersky Lab
Als Hauptprobleme identifiziert die Studie von Kaspersky und B2B das Verschweigen von Sicherheitsvorfällen und die unautorisierte Nutzung von mobilen Endgeräten im Firmennetzwerk. Insbesondere erstgenannter Fall kann zu weiteren Konsequenzen führen, denn es besteht die Möglichkeit, dass weiterer Schaden entsteht. Versucht etwa ein Mitarbeiter selbstständig, die gerade eingefangene Ransomware auf dem Firmenrechner dadurch zu besiegen, dass er einfach das Lösegeld zahlt, ist noch lange nicht sichergestellt, dass das System danach komplett bereinigt ist.
Die Malware könnte weiterhin aktiv sein und sich auch auf andere Rechner ausbreiten. Die Studienmacher mahnen daher die Unternehmen, das Problem des "Unter-den-Teppich-Kehrens" offen anzusprechen - und zwar nicht nur bei den Mitarbeitern, sondern auch in Management- und HR-Kreisen. Schließlich müsse es ja einen Grund für das Verschweigen geben. Dieser könne etwa in einem Klima der Angst liegen.
Die Nutzung von mobilen Endgeräten im Unternehmensnetzwerk sorgt weiterhin für Kopfschmerzen: Immer noch ist laut der Studie jedes dritte Unternehmen weltweit besorgt über die Thematik "Bring your own device" (ByoD). Hierbei spielt auch der mögliche Verlust von mobilen Devices eine Rolle. Laut Studie sind mehr als die Hälfte aller Sicherheitsvorfälle bei den befragten Unternehmen auf den Verlust eines solchen Geräts zurückzuführen.
Sorgen bereitet den Unternehmen aber auch, dass es bei ByoD im Wesentlichen an den Mitarbeitern selbst liegt, verantwortungsvoll und im Sinne der Security-Policy mit Unternehmensdaten umzugehen. Das wiederum scheint leider alles andere als selbstverständlich: 44 Prozent der befragten Firmen gab an, dass die Mitarbeiter den Sicherheits-Richtlinien nicht Folge leisten.
Die gute Nachricht: Die Mehrheit der befragten Unternehmen will tätig werden. In erster Linie durch die Einführung neuer Security-Softwarelösungen (43 Prozent), doch auch die Weiterbildung über Trainings und Awareness-Programme steht hoch im Kurs (35 Prozent).