Angriffe auf Stadtwerke haben durchaus zugenommen. "Wir haben mehr Angriffe, auch direkte Angriffe aufs Netz, die wir aber auch erkannt haben", bestätigt Andreas Berg, Abteilungsleiter IT/Datenverarbeitung bei den Stadtwerken Ludwigsburg-Kornwestheim beim IT-Kongress des VKU 2019 in Hannover. Die meisten Angriffe fänden aber hauptsächlich im Kundenbereich, also im Office-Bereich, statt. Die Begeisterung für den IT-Katalog hält sich bei Berg in Grenzen: "Der Katalog hat uns einen Haufen Papierarbeit gebracht. Aber indem wir alles zusammenfassen und sortieren mussten, haben wir jetzt organisatorisch einen wesentlich besseren Überblick", so sein Fazit.
Viele erfolgreiche Attacken lassen sich verhindern
Vor der besonderen Gefahr von Emotet warnte Leon Klein, Information Security Consultant beim Sicherheitsspezialisten 8com. Er skizzierte nach, was bei einer Infizierung mit der Erpressersoftware passiert: Erst nach 30 Tagen würde der Geschäftsbetrieb wieder laufen – von den Kosten ganz zu schweigen. Spätestens, wenn Geschäftspartner infiziert werden, wird es richtig richtig kostspielig", warnt Klein.
Ihm zufolge hätten die Opfer, darunter der Heise Verlag, Krankenhäuser, etc., die Schäden einfach verhindern können. Wichtig sei eine erhöhte Awareness. Etwa indem man sich informiere, ob Geschäftspartner bereits Cyber-Opfer wurden oder ob jemand aus dem Unternehmen gehackt wurde. Auch helfe es, bei Social Media zu überprüfen, wer mit wem befreundet ist.
Schwachstellen
Einfallstüren öffnen sich etwa durch das Ausspähen von Informationen oder aktiv durch die Kontaktaufnahme zu Firmenpersonal, sagt Erek Laatz, CISO und Senior Consultant bei Consist Software Solutions. Aber auch öffentlich zugängliche Informationen aus anderen Angriffen, zum Beispiel zu ungeschützten Datenbanken, bieten Möglichkeiten zum Angriff. Etwa 80 Prozent der Attacken erfolgen auf die gerade genannte Weise. Etwa zehn Prozent erfolgen von innen.
Der eigentliche Angriff geschieht zumeist über eine hochprofessionell gestaltete E-Mail, die darauf abzielt, eine Datei mit einem Makro zu öffnen. "Und dann nimmt das Unheil seinen Lauf", so Laatz.
Schulungen sind Pflicht
Für den Anwender geschehe erst einmal nichts Außergewöhnliches: Das Makro lädt im Hintergrund unbemerkt einen Schadecode herunter, der den Control Server kontaktiert und einen weiteren Code nachlädt. Dann werden das Netz ausgespäht und Informationen gesammelt. Bis der Abfluss der Informationen entdeckt werde, können durchaus viele Monate vergehen.
Die Schwachstelle sei dabei nicht nur die Person, die Kontaktinfos preisgibt oder neugierig ist, sondern auch derjenige, der es unterlässt, seine Mitarbeiter adäquat und permanent auf ein solches Verhalten zu sensibilisieren, unterstreicht Laatz.
Auslagern von Dienstleistungen aus IT-Sicherheitssicht
Wichtig sei es auch, an die externen Mitarbeiter zu denken, vor allem bei IT-Dienstleistern. Hier stelle sich die Frage, können VKU-Unternehmen überhaupt IT-Dienstleistungen auslagern und kann ein solches Unternehmen dann überhaupt noch seine Informationssicherheit gewährleisten?", fragt Laatz.
Hier gebe es zwei Möglichkeiten, entweder der Dienstleister ist in den entsprechenden Bereichen zertifiziert oder man führt den Dienstleister gemeinsam zu einem angemessenen Sicherheitsniveau. Voraussetzung hierfür sei aber eine vertrauensvolle Partnerschaft, so der Sicherheitsexperte.
Gemeinsam Sicherheitslevel des Dienstleisters anheben
Bei letzterem Fall sei es wichtig, dass man dem Dienstleister ausreichend Zeit zur Verfügung stelle und in Meilensteinen den Weg zum nächsten Level definiere, rät Laatz. Das Unternehmen müsse dann das erreichte Level anhand von Lieferantenaudits prüfen.
Awareness lerne man nicht von jetzt auf gleich. "Es ist nicht selbstverständlich, im Sinne der Informationssicherheit zu denken", warnt Laatz. Eine Reflexion des eigenen Handelns auf die Informationssicherheit sei für viele schwierig, da die Materie sehr komplex ist.
Lieber einmal mehr nachfragen
"Sensibilisierung darf auch gerne mal nerven, ist aber umso wichtiger, um Mitarbeiter auf dem Laufenden zu halten", so Laatz. Das habe durchaus Erfolg: Im Laufe der Zeit würden die Mitarbeiter lieber einmal mehr nachfragen, als eine kompromittierende Aktion durchzuführen. (sg)
