KommR Mag.a Angelika Sery-Froschauer, Obfrau der Bundessparte Information und Consulting © Sabine Starmayr
Angelika Sery-Froschauer, Obfrau der WKÖ-Bundessparte Information und Consulting, gibt im Interview Tipps für mehr Cybersicherheit.
Seit vergangenem Sommer hat die Bundessparte Information und Consulting (BSIC) in der Wirtschaftskammer Österreich (WKÖ) mit Angelika Sery-Froschauer eine neue Obfrau. Die Oberösterreicherin vertritt mit ihrem Team die Interessen der rund 130.000 wissensbasierten Dienstleistungsunternehmen der Bundessparte.
Gibt es Gefahren in der IT-Security, die gerade in der aktuellen Lage – Pandemie und Mitarbeiter im Homeoffice – besondere Brisanz haben?
Ja, zweifellos. Durch die Covid-19-Pandemie ist es zu einem gewaltigen Digitalisierungsschub gekommen. So ist der Anteil der Arbeitnehmer und Arbeitnehmerinnen im Homeoffice auf dem Höhepunkt der Krise von zehn Prozent auf 40 Prozent gestiegen. (Quelle: Leitfaden – Entwicklung von organisatorischen Spielregeln für mobiles Arbeiten und ihre nachhaltige Implementierung; Bundesministerium für Arbeit). Dies führt im Sicherheitsbereich zu ganz neuen Herausforderungen. Wir sehen hier in den letzten Monaten einen dramatischen Anstieg im Bereich Cybercrime, insbesondere im gesamten Unternehmensbereich. Ein-Personen-Unternehmen sind leider ebenso betroffen wie große Unternehmen, die oft Opfer von penibel geplanten, ganz gezielten Angriffen sind.
Speziell durch das Arbeiten im Homeoffice entstehen ganz neue Sicherheitslücken, derer sich die Unternehmen oder MitarbeiterInnen – im Gegensatz zu den Cyberkriminellen! – oft gar nicht bewusst sind. Ganz wichtig ist, dass der Zugriff auf das Unternehmensnetzwerk ausschließlich über eine sichere Verbindung (mittels Virtual Private Network, VPN) erfolgt. Ein großes Problem ist auch, dass Geräte mit Schadsoftware wie Trojanern, Viren oder Würmern infiziert werden. Dies kann beispielsweise durch das Surfen auf unsicheren Websites oder das Herunterladen von nicht überprüfter Software erfolgen. Typisch sind auch Spam-Mails, Phishing- oder Social-Engineering-Attacken. Wichtig ist, dass die technischen Sicherheitslösungen (z. B. Mehrfaktorauthentifizierung für die Nutzung von Diensten) eingerichtet werden und die MitarbeiterInnen die Sicherheitsvorkehrungen kennen und einhalten.
Wie identifiziert man die eigenen Schwächen in der IT-Sicherheit?
Es bedarf hier eines echten Risikomanagements. Ich muss meine Unternehmenswerte im IT-Bereich (IT-Systeme wie Server, PCs, Smartphones, Software und Lizenzen, Daten, personelle Ressourcen etc.) erheben und je nach Schutzbedarf klassifizieren. Dann schaue ich mir Schwachstellen und Bedrohungen an. Typische Bedrohungen wären etwa technische Probleme wie Hardware- oder Netzwerkausfälle, organisatorische Mängel wie fehlende Sicherheitsrichtlinien, ungeklärte Zuständigkeiten oder auch Bedrohungen durch kriminelle Handlungen (Datendiebstahl etc.) oder höhere Gewalt, aber auch fahrlässiges Benutzerverhalten (z. B. Bedienungsmängel, Nichtbeachtung von Sicherheitsmaßnahmen). Erst nach einer Risikoabwägung kann ich in die Planung und Umsetzung von Sicherheitsmaßnahmen – natürlich unter Abwägung von Kosten und Nutzen – gehen. Ein Resultat könnte beispielsweise sein, regelmäßige Mitarbeiterschulungen durchzuführen oder in technische Infrastruktur (z. B. Firewall, Verschlüsselung) zu investieren.
Welche Maßnahmen werden besonders oft vernachlässigt?
Eine der wichtigsten Maßnahmen ist, dass die Daten im Unternehmen ordentlich gesichert sind. Datenverlust kann sehr schnell gehen. Schon ein Hardwaredefekt oder das Öffnen eines Anhangs mit einem Verschlüsselungstrojaner in einem Mail kann dafür ausreichen. Die Wiederherstellung von Daten ist – wenn überhaupt möglich – oft sehr zeitintensiv und teuer. Wenn es sich um personenbezogene Daten Dritter handelt, drohen überdies rechtliche Konsequenzen.
Eine auf das Unternehmen angepasste Datensicherungsstrategie und eine funktionsfähige Rücksicherung sind daher absolut notwendig. Datensicherungslösungen müssen nicht viel kosten und können so weit automatisiert werden, dass diese nicht zur Last, sondern zum Auffangnetz bei Problemen werden.
Kann man als Unternehmen ohne eigene Cybersecurity-Spezialisten selbst für seine Sicherheit sorgen?
Cybersicherheit ist auf jeden Fall „Chefsache“. Das heißt, das Management muss sich überlegen, wie hoch das Risiko ist und welche Ressourcen (personell und finanziell) zur Verfügung gestellt werden müssen. Laut Datenschutzgrundverordnung ist jedes Unternehmen verpflichtet, technische und organisatorische Sicherheitsmaßnahmen zu setzen, um personenbezogene Daten zu schützen. Es liegt auf der Hand, dass diese Maßnahmen im eigenen Interesse für alle betriebsinternen Daten gelten sollten. Falls es nicht in der Kernkompetenz des Unternehmens liegt oder Unternehmen nicht die (personellen) Ressourcen haben, um IT-Sicherheit zu gewährleisten, raten wir dringend dazu, professionelle Experten in Anspruch zu nehmen.
Wo kann man sich Hilfe holen?
Auf unserer Website www.it-safe.at finden Sie Informationen rund um das Thema Cybersicherheit (Onlineratgeber, Sicherheitshandbücher, Erklärvideos usw.). IT-Security-Experten finden Sie im UBIT Firmen A–Z. Wenn Unternehmen Opfer eines Cybercrime-Angriffs wurden, erhalten sie rund um die Uhr bei der Cybersecurity-Hotline der Wirtschaftskammern unter 0800 888 133 rasche telefonische Erstinformation und Notfallhilfe. (red.)
https://wko.at/ic