DigiSiKMU

Natürliches ist es praktisch unterwegs auf öffentliches WLAN zugreifen zu können. Schließlich schont man dadurch das eigene Datenvolumen und kann auf schnellere Geschwindigkeiten hoffen. Gefährlich wird es aber, wenn man sich nicht mit dem gewollten Hot Spot, sondern einem betrügerischen Doppelgänger verbindet.

Verschiedene Netzwerke können die gleichen Namen tragen und einige Angreifer hoffen darauf, dass nichtsahnende Personen das falsche Netzwerk wählen. Liegen dann Sicherheitslücken auf dem eigenen Gerät vor – beispielsweise durch veraltete Software – können Angreifer diese ausnutzen. Anstatt die legitime Onlinebanking-Website zu besuchen, könnte man auf eine gefälschte Seite weitergeleitet werden, um dort Ihre Zugangsdaten abzugreifen.

Der KI-Agent OpenClaw machte schnell nach seiner Veröffentlichung weltweit Schlagzeilen. Leider nicht nur durch die effiziente Automatisierung lästiger Aufgaben, sondern weil er unter anderem sensible Daten der Nutzenden im Internet veröffentlichte – darunter in einem Forum, in dem allein KI-Agenten (!) miteinander kommunizieren und Menschen nur mitlesen konnten.

Gibt man einer Anwendung uneingeschränkten Zugriff auf Daten, muss man sich darüber bewusst sein, was im schlimmsten Falle preisgegeben werden könnte; beispielsweise wo sich Ihre Kinder regelmäßig aufhalten. Kalendereinträge oder Chatgruppen zu Handballtrainings oder Klavierstunden, Metadaten von Fotos oder Videos: Ohne eine klare Regulierung der Freigaben können Helfer zum Problem werden.

Während früher langverschollene Verwandte ihre rechtmäßigen Erben über einen Geldeingang informieren wollten, sind es heute die Führungskräfte, vor denen man sich in Acht nehmen sollte. Was auf den ersten Blick wie eine legitime E-Mail eines bekannten Absenders scheint, ist oft nur eine Fassade für Cyberkriminelle, um an Zugangsdaten zu gelangen oder Malware zu verbreiten.

Die Kombination aus professionell fingierter Nachricht mit einem stressigen Arbeitstag machts möglich. Da gibt die vermeintliche Führungskraft mit entsprechend dringlicher Wortwahl den Auftrag eine Überweisung zu tätigen, während man vor Betriebsschluss eh noch einen Berg an Aufgaben erledigen sollte – und schon ist Geld auf einem ausländischen Konto verschwunden.

Sollte ein Mitarbeitender privat Opfer eines Datendiebstahls werden, kann es auch Auswirkungen auf den Arbeitgeber haben. Werden gleiche Passwörter für private und berufliche Konten verwendet, verschafft sich ein Cyberkrimineller auch schnell Zugang zu Unternehmensdaten.

Die zugehörige E-Mailadresse findet man schnell – spätestens, wenn man den allgemeinen Aufbau verstanden hat. Denn von der öffentlich einsehbaren Adresse der Vertriebsleiterin, tina.mustermann@hurra-vertrieb.com, ist schnell auf die Adresse anderer Angestellten wie heinz.torbogen@hurra-vertrieb.com zu schließen. Erlangt ein Cyberkrimineller auf diese Weise etwa Zugang zum E-Mailaccount, können Phishingmails direkt von einer legitimen E-Mailadresse aus verbreitet werden.

Es klingt wie ein Scherz, ist aber die Wahrheit. Unter den beliebtestes Passwörtern der Deutschen finden sich immer noch simple Konstrukte wie „password“, „qwerty“ oder „123456“. Diese sind so simpel, dass sie in weniger als einer Sekunde zu knacken sind.

Was Passwörter angeht, sind viele Menschen privat und beruflich noch zu unbedarft. Dabei tut es nichts zur Sache, ob es sich um Computer, Onlinebanking-App oder Qualitätsmanagementsystem handelt. Mit diesen Voraussetzungen helfen die besten technischen Sicherheitsvorkehrungen nichts.

Wer jetzt denkt „Dann nutze ich einfach eine Kombination aus den Namen meiner Kinder und ihren Geburtstagen“ tritt ins nächste digitale Fettnäpfchen. Kombinationen dieser Art werden sehr häufig genutzt, da sie durch ihren hohen privaten Bezug relativ einfach zu merken sind. Leider wissen Cyberkriminelle das mit großem Erfolg auszunutzen.

7 Uhr morgens. Sie fahren den PC hoch. Alles scheint wie normal, bis Sie die Exceltabelle mit Quartalszahlen öffnen wollen und stattdessen nichts mehr geht. Eine kleine unscheinbare Textdatei – wahlweise auch Dutzende für sich genommen kleine und unscheinbare Textdateien – informiert sie darüber, dass alle Ihre Daten nach einem Ransomware-Angriff verschlüsselt wurden und Sie jetzt bitte 1 Millionen Euro als Bitcoin überweisen sollen. Wie gehen Sie vor?

A.    Sie legen sich in Fötalstellung auf den Boden und weinen.

B.    Sie fragen sich, ob eine Verwechslung vorliegt, weil Ihr Betrieb doch „zu klein“ für einen lohnenden Cyberangriff ist.

C.    Sie bezahlen, um Ihre Daten wieder zu bekommen.

D.    Sie befolgen den Notfallplan, den Sie in weiser Voraussicht angelegt und bis zum Umfallen mit Ihrer Belegschaft durchexerziert haben.

Antwort A sorgt vielleicht vorübergehend für emotionale Erleichterung, verschwendet aber wertvolle Zeit. Antwort B spiegelt einen oft gehörten Mythos wider, dem leider viel zu viele KMU vertrauen. Antwort C erscheint vielen Opfern als unumgänglich. Leider ermutigt es Cyberkriminelle  dazu, mit ihrer Masche weiterzumachen.

Richtig ist Antwort D. Für den Ernstfall sollte immer ein Notfallplan vorliegen, der sowohl Handlungsschritte als auch Verantwortliche festlegt. Ganz wichtig: Auch der beste Notfallplan hilft nichts, wenn man ihn nicht übt.

bis Ende 26 | Escape Room – Exklusives Angebot (Gamifiziertes Training wahlweise am Campus oder im Unternehmen)

Bis zum Ende des Jahres haben Sie die Möglichkeit, Trainings in unserem Escape Room exklusiv für Ihre Mitarbeitenden zu buchen – an unserem Campus oder mobil in Ihrem Unternehmen.

Auszug der Schulungsinhalte (wechselnde Inhalte möglich)

• Passworthygiene
• Password Cracking
• Gefahren von Ransomware, Dumpster Diving und Social Engineering

30.09. 26 | KI-Cybersecurity-Gefahren (Onlineschulung)

Auszug der Schulungsinhalte

• Gefahren, die durch den Einsatz von KI im Unternehmen entstehen
• Gefahren, die durch den Einsatz von KI zu Angriffszwecken entstehen (z.B. Deepfakes oder Automatisierungen)

Weiteres tbd

27.10.26 | Active Directory-Grundkurs – für IT-Personal (Workshop am Campus)

Einstieg zur Workshop-Reihe für IT-Personal

Auszug der Schulungsinhalte

• Härtung des Active Directory
• bekannte Fallstricke und Fehlkonfigurationen

Weiteres tbd

19.11.26 | 3. Netzwerkveranstaltung

Wir steigen tiefer in das Thema IT-Sicherheitsnotfälle und Incident Response ein. 

Nov/Dez 26 | Sicherer Umgang mit mobilen Geräten (Onlineschulung)

Auszug der Schulungsinhalte

• Verschlüsselung von Geräten
• Sicherer Umgang im WLAN
• Arbeiten in öffentlichen Netzwerken

Weiteres tbd

Nov/Dez 26 | Informationssicherheit und Compliance – für Führungskräfte (Workshop online oder am Campus)

Auszug der Schulungsinhalte

• Informationssicherheit, Governance und Compliance wirksam steuern
• Mindestanforderungen
• realisitische Risikobewertung
• souveränder Umgang mit externen Dienstleistern und regulatorische Erwartungen

Weiteres tbd