Zum Thema Sensibilisieren & Schulen: während dies absolut wichtig erscheint kommt der Durchschnittsanwender mit der Dauerschulung per Situationsmail oder Frontalunterricht immer weniger klar. Gleichzeitig steigt Anspruch & Komplexität der - immer noch oftmals Mail-basierten - Angriffe immer mehr: spannend wir es dann, wenn die Fieslinge die Eigenschaften von Emotet mit weitergehenden AI/ML/Textgenerator-Funktionen verknüpfen und mit einem 0-Day-Exploit kombinieren. Die Mail wird praktisch nicht mehr unterscheidbar. Und da liegt ein Kernproblem: Mail ist ein uraltes und völlig nicht mehr zeitgemäßes Medium geworden (und ein gutes Beispiel, dass "Digitalisierung" als Buzzword nicht zwangsläufig bedeutet dass etwas auf aktuellem technischen Stand ist). Gleichzeitig ist das Medium nicht totzubekommen. In unserer Kanzlei stehen uns neben den DATEV-eigenen Bordmitteln auch modernere Systeme wie SecureHub und Brainloop, auch mit 2-Faktor-Authentifizierung zur Verfügung, die sehr sehr einfach einzurichten, zu verwalten und bereitzustellen sind und auch für "Otto-Normal-Mandat" und seinen Mitarbeiterinnen und Mitarbeitern gut und einfach zu bedienen ist. Dennoch ist die Akzeptanz nicht bei 100% und der Ruf nach Verwendung von einfachsten Passwörtern bei gleichzeitigem Verzicht von 2-Faktor allgegenwärtig. Beim geringsten Problem oder auch nur zeitweiser Störung wird sofort wieder unaufgefordert und unverschlüsselt verschickt. Mehr noch: viele möchten in keinem Fall Mobiltelefon-/SMS-basierte 2-Faktor-Authentifizierung nutzen (meistens eher aus Bequemlichkeitsgründen, nicht wg. Sicherheits- oder Datenschutzbedenken oder echter Unwissenheit), haben das selbige Smartphone aber jederzeit i.S. WhatsApp oder Facebook zur Hand. Sehr seltsam, diese Bequemlichkeiten. Alternativen zur klassischen Mail mit Anhang setzen sich also einfach nicht durch. Egal wie einfach und sicher Alternativen sind, die unverschlüsselte Mail mit gefährlichem Anhang ist der Normalfall und am bequemsten. Wenn dann noch das Thema Schulung als Frontalunterricht o.ä. dazu kommt, ist die Aufmerksamkeit in solchen Umgebungen für das Thema oftmals nicht besonders groß - bis dann halt irgendwann doch etwas passiert. 😕 Alternativen zur klassischen Infomail & Schulung der Mitarbeiter über endlose Powerpoints: Womit ich dagegen sehr gute Erfahrung gemacht habe (auch bei Mandanten), um das Thema zu sensibilisieren sind Lösungen wie Sophos Phish Threat. Das Produkt ist sehr kostengünstig und auch als reines Cloud-Produkt buchbar, mann muß also nicht zwingend Hardware-Appliances oder Softwareprodukte von Sophos im Einsatz haben, kann die Lösung auch verwenden, wenn man andere Firewalls und Virenschutzsysteme verwendet. Das geniale an Sophos Phish Threat ist die Simulation eines Angriffs auf die eigene Umgebung bei Skalierbarkeit von Kleinunternehmen (oder -kanzlei) bis hin zu größeren Umgebungen. Sogar ein Anpassen auf die individuellen Fähigkeiten der Mitarbeiter (IT-Novize oder eifriger CT-Leser ) ist möglich. Das Tool simuliert einen Angriff mit zeitversetztem Versand von scheinbaren Phisingmails, von schlecht gemacht mit kyrillischen Buchstaben, über DHL-Mails bis hin zu Statusmails echter eingesetzter Systeme (z.B. Scannermails, Sharepoint, o.ä.) und Integration von Namen von Vorgesetzten o.ä. - je nach angelegtem Mitarbeiterprofil. Man kann auch eigene Vorlagen bauen (z.B. DATEV-Mails mit Wordanhängen - metalposaunist ) und diese in die Simulation einfließen lassen. Wenn ein Mitarbeiter dann auf eine entsprechenden Link in der verdächtigen Mail doch anklickt wird umgehend eine Onlineschulung des Admins/des Chefs "angeordnet" - und zunächst primär der betroffene Mitarbeiter selbst hierüber infomiert (Abhängig von Einstellungen). Wird diese Schulung nicht gemacht, wird sehr regelmäßig erinnert. Und: in der Schulung sieht man weitere Beispielsituationen typischer Angriffe und kann im Multiple-Choice-Verfahren die - hoffentlich korrekte - Antwort auswählen. Das sensibilisiert mehr ohne den Einzelnen bloßzustellen. Es kann auch helfen, das Thema IT-Security als IT-strategisches Thema bzw. überhaupt das Sensibilisieren der Notwendigkeit einer IT-Strategie zu etablieren. Ein Allheilmittel ist es freilich aber auch nicht. Auch verhindert es nicht aktiv einen einzigen Angriff sondern antwortet primär auf den Faktor Mensch. Da viele Kanzleien sicherlich nicht die Zeit und/oder Manpower haben, eine solche Lösung auch nur im kleinen zu testen oder eine solche Aktion geplant und organisiert durchzuführen, ist es schade, dass es Vergleichbares nicht von DATEV mit entsprechender Unterstützung gibt. Systempartner / IT-Systemhäuser sind m.E. jedenfalls aufgerufen, solche Lösungen zu berücksichtigen und anzubieten. Sorry für die "Werbung", ich werde von Sophos leider nicht dafür bezahlt / wollte dies nur mal als Alternative zur rein "situativen Mailinfo" oder langweiligen Frontalunterricht einbringen. Natürlich kann man auch mal EICAR.com auf ein paar USB-Sticks verteilen und diese auf dem Parkplatz der Kanzlei verstreuen oder auch ein IT-Security-Audit bei einem Profi beauftragen.
... Mehr anzeigen