Coronavirus | IT Sicherheit im Home Office

IT Sicherheit | Ein Comeback zu Pandemiezeiten: Home Office und das Coronavirus

Das Coronavirus zieht seine Kreise und bringt Menschen weltweit an ihre Grenzen. Die Wirtschaft bangt um ihren Absatz, Beschäftigte um ihre Jobs.

Immerhin:

Wer seine Mitarbeiter ins Home Office schickt, kann trotz Lockdown und Zwangsquarantäne zahlreiche PC-Arbeiten stemmen.

Diese Notlösung mag temporäre Probleme beheben, birgt jedoch ein hohes Risiko für die IT Sicherheit im Home Office des betroffenen Unternehmens.

Nun warnen einige Experten mit Nachdruck vor fatalen Folgen, die viele Betriebe härter als die derzeitigen Einschränkungen treffen könnten.

Das Home Office als altes Konzept gewinnt an Fahrt

Das Modell Home Office ist keineswegs neu. Agenturen nutzen auf der ganzen Welt das Home Office, um Mitarbeiter zu entlasten.

Das Ausfüllen von Tabellen, Einfügen von Datensätzen und Anfertigen von Schreiben setzt schließlich nicht die Präsenz am Arbeitsplatz voraus.

Mobiles Arbeiten ist mit einem PC beziehungsweise Notebook, einem Schreibprogramm und den relevanten Informationen ohne Weiteres möglich.

Das Home Office bietet sogar Vorteile.

Beispielsweise herrscht in Großraumbüros reges Treiben – ein hoher Geräuschpegel ist hier vorprogrammiert. Wenn der Mitarbeiter den Schreibtisch im Wohnzimmer oder die Hängematte im Garten zum Arbeitsplatz macht, erübrigt sich diese Einschränkung.

Neu an dem Phänomen Heimarbeit ist jedoch die Zahl der Menschen, die ihre eigenen vier Wände zum Büro umfunktionieren. Denn die ist in den letzten Tagen durch die Coronavirus Pandemie regelrecht explodiert.

Ebenfalls neu sind die Sicherheitsrisiken, die mit diesem „Way of Work“ einhergehen. Denn bisweilen setzten wenige Unternehmen auf die Beschäftigung aus der Ferne.

Diese waren sich der Risiken, die ein externer Mitarbeiterstab birgt, bewusst und sicherten die Home Offices ausreichend ab, sodass vergleichsweise selten IT-Angriffe auf Heimarbeit-Nutzer erfolgten beziehungsweise Schaden anrichten konnten.

Doch das Gros der aktuellen Home-Office-Nutzer sowie –Anbieter macht sich selten bis nie Gedanken um die IT Sicherheitslücken, die heimisches und mobiles Arbeiten mit sich bringen.

Doch die sind alarmierend.

Ein Umstand, den IT Sicherheitsexperten ebenso wie Hacker unlängst erkannt haben. Letztere starten nun gezielte Angriffe auf IT-Infrastrukturen, die in Covid-19-Zeiten Abertausende Menschen sowie Unternehmen hart treffen könnten.

Unterschätzte Sicherheitsrisiken: Netzwerkzugriffe

Viele Gefahren der Heimarbeit resultieren nicht aus dem Fernbleiben der Mitarbeiter von ihrem gewohnten Arbeitsplatz. Einbrüche und Diebstähle etwa drohen kaum.

Auch die Verwaltung vertraulicher Dokumente auf dem privaten PC bereiten Experten aus Bereichen der IT Sicherheit wenig Sorgen.

Die meisten Firmen haben Dateien, die vertraulich sind und zum Beispiel Namen, Adressen, Zugangsdaten und Passwörter enthalten, verschlüsselt sowie schreibgeschützt auf ihren Servern beziehungsweise Computern hinterlegt.

Des Weiteren verhindern Schreib- und Kopierschutzfunktionen einen ungewollten Datenexport – sofern diese eingerichtet sind.

Weit mehr Besorgnis machen Beobachtern die Verbindungen, die das Unternehmen für den außerbetrieblichen Arbeitseinsatz schafft. Denn sind diese nicht abgesichert, ist es für Profis eine Leichtigkeit, unbemerkt ins Firmennetzwerk einzudringen und sich dort einzunisten.

Kriminelle können die Daten stehlen, manipulieren oder verschlüsseln. Der unbemerkte Eindringling kann den Gehackten beziehungsweise das gehackte Unternehmen massiv unter Druck setzen.

Sollten die ausgenutzten Schwachstellen publik werden, droht dem Geschädigten ein massiver Vertrauensverlust bei Kunden, Partnern und nicht zuletzt den eigenen Mitarbeitern.

Genügend Gründe für die Security-Experten, dieser Tage ausdrücklich vor dem Konzept Home Office zu warnen.

IT Sicherheit im Home Office wird ausgehebelt

Viele Stimmen warnen derzeit vor dem Umstieg auf Fernarbeit. Nur unter bestimmten Voraussetzungen scheint ein externes Arbeiten sinnvoll.

Sicherheitsforschern zufolge sei es zum Beispiel von elementarer Bedeutung, die Mitarbeiter auf die Gefahren von Fernzugriffen hinzuweisen.

Dies sei Aufgabe der Geschäftsführung.

Ebenso wichtig sei die Bereitstellung aller Mittel, die der IT Sicherheit im Home Office zugute käme. Ein Seminar über Cyberabwehr beispielsweise kann durchaus einige Tausend Euro kosten.

Doch viele Personen nehmen diese Ausgaben in Kauf , denn die möglichen Folgeschäden, wie Lösegeldsummen in Millionenhöhen für verschlüsselte Daten übertreffen mitsamt des drohenden Reputationsverlustes diese Ausgaben bei Weitem.

IT-Experten sind sich einig, dass Fernzugriffe durch Mitarbeiter eine der gravierendsten Lücken in der allgemeinen IT Sicherheit im Home Office darstellen, die Unternehmen dieser Tage zu schließen haben.

Die gute Nachricht:

So zahlreich die Schwachstellen auch sind, mit einer gezielten Vorsorgestrategie lassen sich die Risiken, Opfer von Industriespionage und Trojanerbefall zu werden, auf ein Minimum reduzieren.

Sicherheitspaket unter der Lupe

Die Vorsichtsmaßnahmen, zu denen Fachkräfte aus dem Bereich Cyberkriminalität raten, zielen insbesondere auf die Sicherung der Verbindung zwischen dem Home Office und dem regulären Arbeitsplatz ab. Denn die neu geschaffene Leitung durch das omnipräsente Internet öffnet Hackern Tür und Tor, sich in das Firmennetzwerk einzuschleusen.

Kein Wunder also, dass Großkonzerne à la Siemens & Co. an vielen Arbeitsplätzen die Verbindung zum World Wide Web gekappt und ein firmeninternes Informations- und Kommunikationsnetzwerk (Intranet) errichtet haben.

Derweil sehen Beobachter fünf grundlegende Maßnahmen als unausweichlich, um IT Sicherheit im Home Office zu ermöglichen.

1.Nutzen Sie einen VPN-Dienst!

Mitarbeiter sollen einen VPN-Dienst nutzen. VPN steht für Virtuelles Privates Netzwerk und gewährleistet eine stabile Verschlüsselung einer Verbindung, die entweder zwischen zwei Punkten (webbasierendes VPN) oder innerhalb eines geschlossenen Netzwerkes (konventionelles VPN) besteht.

2.Installieren Sie eine Sicherheitssoftware!

Für die IT Sicherheit im Home Office sollte eine Installation einer Sicherheitssoftware erfolgen, die neben der Abwehr von Viren das Verwalten des Geräts bei Verlust/Diebstahl ermöglicht.

Installieren Sie die Software auf allen mobilen Arbeitsgeräten, also sowohl auf dem Handy als auch auf dem Laptop des Mitarbeiters. Wichtig sind Funktionen zum Löschen sensibler Dateien via Fernzugriff (Remote Access) und das Einschränken von Funktionen. Beispielsweise ist es von großem Vorteil, die Installation zusätzlicher Apps unterbinden zu können.

3.Aktualisieren Sie regelmäßig Updates!

Updates sind regelmäßig zu aktualisieren. Das Aktivieren der Einstellung „Automatische Updates zulassen“ ist in jedem Betriebssystem, Browser und Script-Programm hinterlegt, allerdings nur bedingt zu empfehlen. Denn häufig erweisen sich frisch veröffentlichte Updates als inkompatibel beziehungsweise instabil.

Wird die Option jedoch rigoros deaktiviert, vergisst der Betroffene schnell, die Programme aufzufrischen. Folglich sollte der Betroffene entweder Intervalle zur manuellen Aktualisierung (etwa am 1. und am 15. jedes Monats) anstreben oder ein zusätzliches Back-up-Programm installieren, das im Falle eines kontraproduktiven Updates den vorherigen Zustand des PCs wiederherstellt.

4.Richten Sie Zugriffsbeschränkugen ein!

Für die Accounts aller Personen, die auf das Firmennetzwerk zugreifen, sind Zugriffsbeschränkungen einzurichten. Diese Beschränkungen sollten vertrauliche Dokumente ebenso wie Änderungsoptionen in Einstellungen betreffen.

Ob Kopier- und/oder Schreibschutzfunktionen eingerichtet werden, ist pauschal schwierig zu entscheiden. Es lohnt sich deshalb, für Dokumente aus bestimmten Abteilungen oder mit bestimmten Inhalten, eine allgemeingültige Regelung zu finden.

5.Fachpersonal sollte die Mitarbeiter schulen.

Die Schulung behandelt am besten neben dem grundlegenden Umgang mit sicherheitsrelevanten Aspekten zusätzlich das Thema IT Sicherheit im Home Office als eigenständigen Punkt.

Viele Unternehmen bieten Kurse, die mehrere Tage dauern an, doch solche Zeitspannen werden häufig als Last empfunden. Auf keinen Fall sollten die Kurse außerhalb der regulären Arbeitszeit stattfinden. Eine Notlösung aus gegebenen Anlass: Videokonferenzen oder online Schulungen

Augen auf beim Fernzugriff

Fernzugriffe nehmen in den Empfehlungen der Experten eine besondere Stellung ein. Derweil stehen dem Mitarbeiter zwei Arten von Fernzugriffen zur Wahl: Entweder verbindet er sich mit einem Remote-Access-Assistenten, wie er beispielsweise unter Windows 10 serienmäßig installiert ist, oder er nutzt einen VPN-Dienst.

Letztere Möglichkeit ist weit sicherer und demnach empfehlenswerter. Ein Remote Access ist schließlich als ein verlängertes Kabel zu verstehen, welches zwischen zwei Arbeitsstationen gespannt wird. Der Vorteil dieser Verbindung beruht auf der unkomplizierten Einrichtung von Zugriffsbeschränkungen.

So kann sich das Remote-Access-Verfahren zum Beispiel für den Zugriff auf Servern lohnen, die systemrelevante Einstellungen innehaben. Sinnvoll wäre demnach ein Mix: Der Mitarbeiter im Home Office kann sich per VPN mit einer Arbeitsgruppe in der Firma verbinden, die wiederum per Remote Access eine Verbindung zu Servern aufbaut.

Übrigens:

Die Wahl des VPN-Dienstes sollte gut gewählt sein. Derweil lassen sich rund zehn verschiedene Anbieter für VPN-Dienste finden und nutzen, die allesamt Vor- und Nachteile mit sich bringen.

Die Corona-Panik-Masche

Das Beispiel Siemens zeigt, dass auch ausgereifte Strategien, die die Verbindungen sichern/einschränken, kein Patentmittel im Kampf gegen Hackerangriffe sind, denn ungeachtet seiner modernen Cyberabwehr wurde der Traditionskonzern im Jahre 2010 Opfer der berüchtigten Stuxnet-Attacke.

Das Problem:

Nicht nur unsichere Verbindungen bergen Schwachstellen! Mitarbeiter gelten als die zweite große Sicherheitslücke, die ein Unternehmen zu schließen hat.

Eine E-Mail genügt, um das Netzwerk einer Firma zu infiltrieren. Mittlerweile sind sich viele Beschäftigte dieser Gefahr bewusst.

IT-Experten warnen, dass diese Achtsamkeit aufgrund der Brisanz des Coronavirus einerseits sinkt und andererseits instrumentalisiert wird.

„Neben einem Anstieg von Home-Office-Tätigkeiten haben wir zudem festgestellt, dass Cyberkriminelle versucht haben, sich die Aufregung um das Virus zunutze zu machen, indem sie schädliche Dateien in Dokumenten mit vorgegebenem Bezug zu Corona versteckt haben.

Angesichts dieses opportunistischen Ansatzes von Cyberkriminellen in Verbindung mit einer zunehmenden Änderung der Arbeitsgewohnheiten, raten wir Unternehmen jetzt besonders wachsam zu sein und zusätzliche Sicherheitsmaßnahmen zu implementieren.“, so ein BRISTOL-Mitarbeiter.

Vorgehen der Hacker

Konkret versenden Hacker E-Mails mit angeblichen Hinweisen des Unternehmens zum Umgang mit dem Virus. Pflichtbewusst öffnen die Angeschriebenen ihre elektronische Post.

Diese enthält jedoch keine oder nur allgemeine Hinweise bezüglich Covid-19, sondern Dateien, die der Leser herunterladen soll oder mit dem Öffnen der E-Mail herunterlädt.

Hierbei handelt es sich häufig um Dateien mit den Endungen .exe, also Programmcodes, die nach dem Öffnen ein Programm (unbemerkt) . die Anwendung schlummert nach der Aktivierung auf dem Rechner.

Der Programmierer kann kann – ebenfalls per Fernzugriff – die Software aktivieren. Auf diese Weise ist es möglich, den PC des Betroffenen auszuspähen und das verknüpfte Firmennetzwerk zu infiltrieren. Hinweise von der vermeintlichen Unternehmensführung über den Umgang mit dem Coronavirus sollten folglich mit Vorsicht genossen werden.

Um seine Mitarbeiter auf dem Laufenden zu halten, sollte der Arbeitgeber deshalb eine Informationsrichtlinie mit den Arbeitnehmern absprechen oder ein alternatives Medium wählen.

Eine SMS an das Betriebshandy beispielsweise kann ebenso viele Informationen wie eine E-Mail enthalten. Alternativ lässt sich eine Sandbox auf dem PC einrichten.

In diesen geschützten Bereich wäre der E-Mail-Client zu hinterlegen, sodass im Falle einer Infektion durch (digitale) Viren keine Ausweitung auf das verknüpfte Firmennetzwerk droht.

Whitepaper: 10 Maßnahmen für IT Sicherheit im Home Office