Angriffsvektor Führungskraft

C-Level-Führungskräfte und andere hochrangige Manager sind interessante Ziele für (Cyber)Kriminelle, weil Sie selbst über wertvolle Daten oder Informationen verfügen oder weil sie Zugang zu diesen haben. Deshalb sollten Unternehmen alles daran setzen, ihre FührungskräfteFührungskräfte und Manager auf die Einhaltung (hoffentlich) strenger Datenschutzregeln einzuschwören. Dazu gehört auch die Nutzung standesgemäßer Security-Technologien, wann immer das möglich ist - auch auf Dienst- und Geschäftsreisen und insbesondere dann, wenn das Reiseziel als "risikobehaftet" gilt. Alles zu Führung auf CIO.de

Laut Steve Durbin vom Information Security Forum ist jeder durch Hackerangriffe gefährdet, der über potenziell werthaltige Informationen verfügt: "Natürlich beinhaltet das die üblichen C-Level-Verdächtigen, aber darauf beschränkt es sich schon lange nicht mehr. Vorstands-Assistenten, Admins und jede andere Person, über die kriminelle HackerHacker sich Zugang zu Systemen und Daten verschaffen können, steht im Visier." Alles zu Hacker auf CIO.de

Wir zeigen Ihnen, mit welchen Maßnahmen Unternehmen ihre Vorstände und Manager (sowie deren Entourage) davor schützen können, für kriminelle Hacker zum Einfallstor zu werden.

Problembewusstsein, anyone?

Executives sind in der Regel ziemlich busy. Deswegen möchten sie auch am liebsten keine Zeit darauf "verschwenden", sich mit möglichen Hackerangriffen zu befassen. Schlechte Nachricht: Daran führt kein Weg vorbei. Das bestätigt auf Nachfrage auch Bill Thirsk, CIO beim Marist College: Führungskräfte müssen verinnerlichen, dass sie für kriminelle Hacker attraktive Ziele darstellen. Cyberkriminelle investieren eine Menge Zeit in das Ausspionieren ihrer Opfer, bevor sie sie tatsächlich angreifen. Dabei nutzen sie alle Vorteile aus, die ihnen zur Verfügung stehen und nutzen dann gerne auch mehrere Plattformen für ihre Attacken."

Thirsk ist deswegen überzeugt davon, dass Unternehmen den digitalen Fußabdruck ihrer Führungskräfte kennen und auf Lücken analysieren sollten. Diese müssten anschließend schnellstmöglich geschlossen werden. Das könne etwa geschehen, indem Social-Media-Accounts erfasst, registriert und überwacht werden. Es gibt da nur ein Problem, wie Paul Boulanger, Security-Berater bei SoCal Privacy Consultants weiß: "Es gibt zahlreiche Statistiken die belegen, dass Executives stark dazu neigen, die Policies zu missachten, die ihre Mitarbeiter unbedingt einhalten sollen. Das liegt teilweise auch daran, dass Vorstände und Manager diejenigen sind, die am ehesten bereit sind, Security zu Gunsten der Bequemlichkeit zu opfern."

Boulangers Schlussfolgerung: Unternehmen sollten technologische Kontrollinstanzen schaffen, statt zu erwarten, dass ihre Führungskräfte sich im Sinne der IT-Sicherheit verhalten: "Ein Mailserver sollte beispielsweise nur dann zugänglich sein, wenn das Gerät, das auf ihn zugreift, Verschlüsselung nutzt. Wenn ein User die Schranken umgehen will, folgt der Lockout."

Bill Thirsk sieht dieses Vorgehen kritisch: "Führungskräfte, zu deren Aufgaben es gehört, sich mit Menschen auf der ganzen Welt auszutauschen, ist so etwas schwer zu vermitteln." Der einzige Weg zu mehr Security sei es, den Führungskräften und Managern zu vermitteln, wie man sich möglichst sicher durch die Onlinewelt bewegt: "Sie müssen in der Lage sein, Spam-Mails, Phishing-Links und andere Kompromittierungsversuche zu erkennen und zu umgehen."

Führungskräfte in Gefahr

Phishing-Attacken und Ransomware sind die gängigsten Mittel, mit denen kriminelle Hacker Führungskräfte um kritische Daten erleichtern. Laut Thirsk kommt diesem Fakt jedoch nicht genug Aufmerksamkeit zu: "Themen wie diese werden in der Regel nicht ernsthaft auf Vorstandsebene diskutiert."

Auf der anderen Seite ist es für die meisten Manager und Vorstände selbstverständlich, jederzeit mit allen relevanten Geschäftsdaten versorgt zu werden. Das könnte dazu führen, dass sie bei einer vermeintlich wichtigen Nachricht diesen einen falschen Klick machen. Kritisch wird es insbesondere, wenn Business und Privatleben zusammenkommen, weiß Thirsk: "Daten mit grundverschiedenen Security-Anforderungen auf einem Device führen früher oder später ins Desaster."

Nach Meinung des CIO sind in erster Linie die IT-Abteilung und deren Manager gefordert, wenn es darum geht der Vorstandsebene einzubläuen, welche gewaltigen Auswirkungen ein erfolgreicher Hackerangriff haben kann: "Das ist nur zu erreichen, wenn beim Senior Management die Überzeugung herrscht, dass das Thema Cybersecurity auf persönlicher und prozessualer Ebene ernsthaft und detailliert diskutiert werden muss. Unabdingbar ist außerdem, dass auch der Wille vorhanden ist, etwas zu verändern."

In Zusammenhang mit PhishingPhishing werden kriminelle Hacker ganz besonders kreativ und versuchen auf verschiedenen Wegen ganz gezielt Führungskräfte, Manager und Vorstände anzugreifen. Wayne Lee, Chief Cybersecurity Architect bei West Monore Partners plaudert aus dem Nähkästchen: "Sogenannte Whaling-Attacken werden immer raffinierter. Diese Art der Phishing-Attacke hat eine hohe Erfolgsquote und nimmt besonders hochrangige Zielpersonen wie Prominente oder öffentliche Figuren ins Visier. Dabei sollen hochwertige Login-Daten abgegriffen oder unberechtigte Überweisungen von Firmenkonten angestoßen werden." Alles zu Phishing auf CIO.de

Sie dürfen allerdings davon ausgehen, dass solche Hackerangriffe nicht nur auf Fortune-500-Ebene vonstattengehen. Sie sollten sich in diesem Zusammenhang im Klaren darüber sein, dass kriminelle Hacker sämtliche, öffentlich einsehbare Informationen über Ihr Unternehmen für ihre Zwecke nutzen werden. Auch die Unternehmens- und Mitarbeiterpräsenzen auf Linkedin, Instagram, Facebook und anderen sozialen Kanälen spielen hierbei eine bedeutende Rolle.