Gemeinsam mit der IHK Osnabrück – Emsland – Grafschaft Bentheim und unterstützt von Experten der Zentralen Ansprechstelle Cybercrime beim LKA Niedersachsen (ZAC) fand am 24.03.2023 unsere Cyberabwehrübung statt.
Lies weiter
Über den Tellerrand schauen / weil es (mir) wichtig ist – mata im Dienste der Wissenschaft
Das eigene Unternehmen kann man auf viele Arten voranbringen: spannende neue Projekte, Fortbildungen, Vertrieb, neue Mitarbeiter…
Bei mata gehen wir noch einen weiteren Weg: Wir setzen auf Forschung und Wissenschaft. Nicht, weil es das große Geld bringt, sondern weil es uns nach vorne bringt und wir gleichzeitig den Nachwuchs fördern können.
Seit 5 Jahren unterrichte ich jetzt mit viel Freude den Nachwuchs der Sicherheitsbranche an der Hochschule für Öffentliche Verwaltung in Bremen. Jedes Jahr freue ich mich darauf, die jungen Leute kennenzulernen und ihnen meine Herangehensweisen zum Thema Krisenmanagement erläutern zu dürfen. Gemeinsam diskutieren wir aktuelle Themen, die Studierenden bieten mir neue und frische Blickwinkel auf die verschiedensten Bereiche. Das Highlight für sie ist dann immer der Besuch der BABZ in Ahrweiler, zu einer mehrtägigen Krisenstabssimulation, welche ich mit begleiten darf.
Dank dieser Aufgabe konnte ich in den letzten Jahren auch diverse wissenschaftliche Arbeiten begleiten.
In den letzten zwei Jahren beherrschte Corona die Welt und besonders im Sicherheitsbereich wurden die Aufgaben nicht weniger. Diese Herausforderung nahm ein Student zum Anlass und startete gleich zu Beginn der Corona-Pandemie seine Bachelorarbeit zum Thema: „Auswirkungen von Pandemien im Gesundheitssektor“. Eine spannende und sehr gelungene Arbeit, welche die Herausforderungen einer Krise in einem doppelt belasteten Sektor untersuchte.
Im gleichen Jahr begleitete ich die Ausarbeitung einer jungen Frau über die Cybersicherheitsstrategien der Länder und des Bundes. Der Fokus für die erarbeitete Empfehlung lag auf der Hansestadt Hamburg.
Natürlich standen letztes Jahr auch viele Bachelorarbeiten im Zeichen von Corona, wie beispielsweise eine Ausarbeitung zum Thema „Lessons Learned Corona“ für ein Unternehmen im Bankensektor. Diese Aufgabe verknüpften wir mit der interessanten Fragestellung nach einer Bewertbarkeit für Krisenmanagement. Ein Thema, welches wir bei mata seit vielen Jahren anbieten, kontinuierlich verbessern und an die neuesten Herausforderungen anpassen.
Besonders spannend war letztes Jahr die Bachelorarbeit unseres Praktikanten Philipp Ebbing. Als ausgebildeter Pilot zog er einen Vergleich zwischen der Fliegerei und dem Krisenmanagement und evaluierte, was wir beim Krisenmanagement von Piloten lernen können (Evaluation des Krisenmanagements im Krisenstab und im Cockpit eines Verkehrsflugzeuges – Erarbeitung von Handlungsempfehlungen zur wechselwirkenden Verbesserung des Krisenmanagements). Fazit: Besonders im Bereich Personalauswahl und im Umgang mit Stress können wir im Krisenmanagement noch einiges lernen. Ich freue mich schon darauf, diese Erkenntnisse in unsere Übungen und Simulationen einfließen zu lassen!
Gerade lese ich drei hochspannende Bachelorarbeiten: Ein Student analysierte die 2012 erschienene Prognose der Bundesregierung bezüglich der Risikobewertung zur Pandemie durch das Virus „Modi-SARS“. Ein anderer Student beschäftigte sich mit den Auswirkungen des Klimawandels auf die Stromversorgung und ein dritter Student schrieb über Cyber Crime als digitale Herausforderung für Staat und Gesellschaft.
Das Begleiten von Bachelorarbeiten kostet viel Zeit und Nerven. Der Profit ist gering, der Mehrwert ist aber enorm: Wir können unseren Nachwuchs fördern und nebenbei selbst wachsen. Die von mir begleiteten Bachelorarbeiten bearbeiten immer hochaktuelle und spannende Themen. Einige Ergebnisse kann ich in meine tägliche Arbeit einfließen lassen und davon profitieren unsere Kunden. Auch ich selbst wachse daran, lerne viel und das mit Spaß. Für mich ist dies gut investierte Zeit.
Neben der Betreuung von Bachelorarbeiten wurde ich auch für zahlreiche Interviews für Bachelor-, Master- und Promotionsarbeiten angefragt, beispielsweise zu Themen wie „Krisenmanagement im Wandel“, „Whistleblowing“ und einer Metastudie für die Anwendung künstlicher Intelligenz.
Vor zwei Jahren starten wir als Impulsgeber und assoziierter Partner mit dem Forschungsprojekt AScore, einem Pandemiecockpit für Kommunen. Daraus haben sich inzwischen viele spannende Themen entwickelt. Unsere Sicherheitsmanagerin Lisa Schulze arbeitet nun seit über einem Jahr parallel beim Verband für Sicherheitstechnik e.V. an einem Forschungsprojekt zum Thema „Künstliche Intelligenz in Leitstellen und Lagezentren“ mit (SPELL).
Hand in Hand mit der Wissenschaft erweitern wir täglich unseren Horizont und sind bei hochaktuellen Themen auf dem neusten Stand.
Die aktuelle Lage macht eines besonders deutlich: Um zuverlässig arbeiten und einen stabilen Betrieb gewährleisten zu können, müssen Unternehmen auf Krisen und Notfälle aller Art vorbereitet sein.
Durch die Corona-Pandemie wurden viele Prozesse digitalisiert, was sich vor allem auch auf die Zusammenarbeit von Teams ausgewirkt hat. Die Herausforderungen, die die digitale Zusam-menarbeit mit sich bringt, hat auch Krisenstäbe, Notfallteams und Cyber Emergency Response Teams (CERT) nicht verschont.
Eins vorweg… Maßnahmen zur Verringerung der Unsicherheit sind stets vorteilhaft. Somit sollen die nachfolgenden Gedanken unter keinen Umständen als „finger-pointing“ verstanden werden. Der Fokus liegt auf einer objektiven Betrachtung der im Zuge der Pandemie auftauchenden Hinweise und Hilfestellungen. Ob als Checkliste, Fließtext oder Webinar: Hinweise bleiben Hinweise und wem es hilft, dem hilft es und das ist sodann in jedem Fall positiv.
Besonders das Thema Home-Office ist in den Fokus gerückt, da Corona die Mitarbeiter vieler Unternehmen unvorbereitet und gezwungenermaßen dorthin gedrängt hat.
Durch mobiles Arbeiten und Telearbeit entstehen weitere Szenarien, die es zusätzlich zur klassischen Büroarbeit zu betrachten gilt, um risikobasiert geeignete Maßnahmen zu etablieren.
Grund dafür sind die neuen Herausforderungen, die im Home-Office auf die Mitarbeiter zukommen: Dazu zählt unter anderem veraltete Technik/Systeme, fehlendes Verständnis und Awareness, ein eventuell schlecht zu erreichender Help-Desk oder der fehlende Kollege vor Ort, den man schnell mal fragen kann.
Angriffe auf Unternehmen steigen im Kontext Corona merklich an. Im Fokus steht die Ausnutzung der Unsicherheit sowie des Informationsbedarfs der Mitarbeiter. Jürgen Stock, der Generalsekretär von Interpol sagte dazu sehr treffend:
“Cybercriminals are developing and boosting their attacks at an alarming pace, exploiting the fear and uncertainty caused by the unstable social and economic situation created by COVID-19.”
Unternehmen ab einer mittleren Größe oder mit einschlägigen zertifizierten Management-Systemen sollten diese zusätzlichen Szenarien weniger überraschen.
Entsprechend sollten diese Unternehmen beim Verdauen der „Maßnahmen für mehr IT-Sec im Home-Office“ nicht vom Hocker fallen.
Umso mehr überrascht uns beim Überfliegen der zahlreichen Angebote dieser Hilfestellungen, dass der Großteil davon ein ziemlich alter Schuh ist.
Sehr wohl muss man bei der Analyse der Medien stets das adressierte Publikum berücksichtigen. Somit ist aus Sicht einer Tageszeitung und in Verbindung mit Absatz 1 (Eins vorweg) völlig legitim, sichere Passwörter, das Installieren von Patches und das Mitdenken zu empfehlen.
Mit oder ohne Pandemie, im Büro oder anderswo, diese Maßnahmen sind immer richtig und wichtig.
Zusammenfassend kann festgestellt werden, dass sich wenige Autoren bei der Preisgabe Ihrer „Checklisten für IT-Security in Zeiten von Corona“ tatsächlich auf die durch die Pandemie erforderlich werden Maßnahmen beschränkt haben. Vielmehr entsteht das Gefühl, dass mit der Gießkanne gearbeitet wird. Dazu werden „alte“ (und dabei auch wertvolle) Hinweise gegeben, die jedoch nicht ausschließlich „in Zeiten von Corona“ sondern stets passend sind. Problematisch könnte sein, dass in der Masse die notwendigen oder zeitkritischen Maßnahmen untergehen oder verzögert Beachtung finden.
Nun ist es natürlich immer recht einfach und bequem aus der zweiten Reihe zu schießen und hinterher schlauer als die anderen zu sein. Darum geht es uns hierbei jedoch nicht.
Wir wünschen uns eine differenzierte Berichterstattung und Unterscheidung bei der Maßnahmenempfehlung, damit ein angemessener Schutz stattfinden kann.
Schlussendlich muss jede Organisation für sich abwägen, welche Maßnahmen wie sinnvoll sind.
Wenn beim Verarbeiten der zahlreichen bereitgestellten Tipps zu viele als „das müssen wir schnell machen“ angesehen werden, dann ist das im Endeffekt gut. Es fördert zu Tage, dass es bisher anscheinend keine gebührende Würdigung der Informationssicherheit gab.
In diesem Fall sollte zeitnahe über sichere Passwörter, das Installieren von Patches und das Mitdenken gesprochen werden.
Anschließend empfiehlt sich eine grundlegende Diskussion, um dem Thema Sicherheit einen geregelten und geachteten Prozess zu verleihen. Ansonsten läuft man Gefahr zu viel oder gar ausschließlich mit dem Umsetzen von vereinzelten Maßnahmen zu verbringen, anstatt sich dem großen Ganzen zu widmen und die vorhandenen Ressourcen effizient einzusetzen. Shon Harris und Fernando Maymí schlussfolgern:
„The main reason organizations do not develop and roll out an enterprise security architecture is that they do not fully understand what one is and the task seems overwhelming. Fighting fires is more understandable and straightforward, so many companies stay with this familiar approach.”
Das COVID-19 Virus wird durch seine weltweiten Auswirkungen in die Geschichtsbücher als eine der weitreichendsten Krisen der jüngeren Geschichte eingehen. Die gesundheitlichen Auswirkungen sind immens und auch die Wirtschaft leidet unter der Ausnahmesituation. Immer mehr werden auch die Auswirkungen auf die Informationssicherheit sichtbar, die zu Beginn der Pandemie nicht beachtet wurden, aber eine sehr wichtige Rolle spielen, da sie immer brisanter werden. Durch die Tatsache, dass viele Unternehmen ihre Mitarbeiterinnen und Mitarbeiter in das Home-Office geschickt haben, ergeben sich zwar weniger gesundheitliche Risiken, dafür aber umso mehr für die Informations- und Datensicherheit.
Nicht alle Mitarbeiterinnen und Mitarbeiter nutzen zuhause einen Firmenrechner, um ihren Aufgaben nachzugehen. Durch die Nutzung von privaten PCs ergeben sich von Natur aus schon mehr Risiken, da der Nutzungszweck deutlich vielseitiger ist, als sonst und beispielsweise durch das vermehrte Surfen im Internet Schadprogramme leichteres Spiel haben.
Auch kann der WLAN-Zugang zuhause eine geringere Sicherheitsstufe aufweisen als im Büro und vor allem beim Arbeiten im Freien und bei öffentlichen WLAN-Zugängen haben Angreifer ein deutlich leichteres Spiel, auf sensible Daten zuzugreifen. Nicht zu verachten ist hierbei außerdem der physische Diebstahl von Geräten oder der Zugriff durch kurzes Außerachtlassen und Nicht-Einstellen der Bildschirmsperre.
Des Weiteren sind vermehrt falsche und betrügerische Emails im Umlauf, die entweder durch vermeintliche Lagesituationen in Anhängen informieren möchten oder um Spenden an verschiedene Organisationen werben. Diese Emails sehen auf den ersten Blick vertrauenswürdig aus, häufig sind sie selbst von einer Emailadresse abgeschickt, die der Originalen (wie von Organisationen wie der WHO etc.) ähnelt oder gleicht. Allerdings sind die Zahlinformationen, die oft auf Krypto-Währung hinauslaufen, gefälscht, sodass das Geld nicht bei der vermeintlichen Organisation, sondern bei Betrügern ankommt.
Beim Arbeiten im Home-Office ist es wichtig, die nötigen Sicherheitsvorkehrungen, die im Büro eingehalten werden, ebenfalls zu beachten und darüber hinaus noch einige Dinge für die eigene Informationssicherheit zu unternehmen.
Genauso wie beim Corona-Virus eine Mischung aus ganz normalem präventivem Schutz wie Händewaschen, Niesetikette etc. zu beachten und weitergehender Umsicht, wie das Meiden von Menschenansammlungen gilt, sind auch im Home-Office die normalen Richtlinien, an die man sich sowieso halten sollte. Also sichere Passwörter wählen oder unbekannte Emails nicht zu öffnen, gepaart mit weiteren Vorsichtsmaßnahmen, essentiell wichtig für eine Bewältigung der gegenwärtigen Situation.
Kleine Unachtsamkeiten und vor allem Unwissenheit können schnell zu großen Schäden führen, weswegen es sehr wichtig ist, dass Sie die Maßnahmen zur Informationssicherheit anwenden und sich, und im Falle eines Unternehmens, auch Ihre Mitarbeiterinnen und Mitarbeiter darüber informieren. Wenn diese Maßnahmen konsequent angewendet werden, haben Betrüger, die das Virus ausnutzen, zumindest ein deutlich schwereres Spiel an wichtige Daten zu kommen.
Wie es momentan so häufig heißt: Nur gemeinsam kommen wir durch diese außergewöhnliche Situation und das trifft auch in der Informationssicherheit zu. Achten Sie also auf sich und Ihre Daten und bleiben Sie gesund!