Wir alle kennen die Formulierungen in unseren Richtlinien zur akzeptablen Nutzung oder in den Einführungsunterlagen: “Melden Sie alles Ungewöhnliche”, wenn Sie online arbeiten. Aber was genau ist “ungewöhnlich”? Was dem einen ungewöhnlich erscheint, kann für den anderen normal sein, und Sicherheitsexperten wie wir neigen von Natur aus dazu, alles durch eine Risikobrille zu betrachten.
In meinem letzten Blog habe ich über die Bedeutung der Personalisierung und des Kontextes bei Sicherheitsnachrichten gesprochen. Wenn es um Phishing-Angriffe geht, können wir den gleichen Ansatz verwenden, um den Mitarbeitern zu helfen, zu erkennen, was wirklich verdächtig ist. Hier sind einige Möglichkeiten, Sicherheitsanweisungen anzupassen:
Speziell für Ihr Unternehmen und seine Instrumente.
Speziell für die Rolle eines Mitarbeiters.
Spezifisch für das häusliche Leben, obwohl dieser Rat eher allgemein gehalten ist.
Wie sieht “seltsam” bei der Arbeit aus?
Für Sicherheitsexperten ist Phishing ein weit gefasster Begriff. Für Mitarbeiter ist es jedoch viel effektiver, ihn anhand von Beispielen aus der Praxis zu erläutern - vor allem im Rahmen der Vorschriften Ihres Unternehmens. Werfen wir einen Blick auf einige der wichtigsten “seltsamen” Anzeichen:
Unerwartete Software-Installationsanfragen: Haben Sie eine Aufforderung zur Installation neuer Software erhalten? In den meisten Fällen werden die Mitarbeiter nicht aufgefordert, Software selbst zu installieren. Wenn es keine vorherige Mitteilung von der IT-Abteilung gab, sollten Sie die Installation nicht durchführen. Keine Mitteilung, keine Installation!
Aufforderungen zur Multi-Faktor-Authentifizierung (MFA): MFA-Aufforderungen sollten nur dann erscheinen, wenn Sie eine Aktion initiieren, z. B. die Anmeldung von einem neuen Gerät oder nach einer längeren Pause. Bestätigen Sie die Aufforderung nicht, wenn Sie keine dieser Aktionen durchgeführt haben. Angreifer könnten versuchen, Sie dazu zu verleiten, die Aufforderung zu akzeptieren, um die MFA zu umgehen. Klicken Sie immer auf “Ablehnen” und alarmieren Sie das Sicherheitsteam - es könnte Teil eines größeren Angriffs sein.
Neue Tools für die Online-Zusammenarbeit: Wenn Sie eingeladen werden, ein neues Tool zu verwenden, stellen Sie sicher, dass es von der IT-Abteilung genehmigt wurde. Auch wenn die Einladung scheinbar aus dem Unternehmen kommt, sollten Sie nicht auf Links klicken oder Anmeldedaten eingeben, wenn die IT-Abteilung nicht über das Tool informiert hat.
Verdächtige externe Dienste: Tools, die eine schnelle Datenanalyse versprechen, wie KI-Dienste, sind verlockend für Mitarbeiter, die ihre Produktivität steigern wollen. Bevor Sie jedoch ein externes Tool verwenden, sollten Sie es mit der IT-Abteilung abklären. Testen Sie diese Dienste niemals auf eigene Faust mit Unternehmensdaten.
Maßgeschneiderte Beratung für spezifische Rollen
Verschiedene Abteilungen sind möglicherweise mit einzigartigen Bedrohungen konfrontiert, daher ist eine rollenspezifische Anleitung wichtig. Zum Beispiel, wenn Sie in der Rechtsabteilung arbeiten:
Verfahren zur Unterzeichnung von Dokumenten: “Wir signieren Dokumente nur über DocuSign*.” Wenn Sie eine Aufforderung zum Signieren über einen anderen Dienst erhalten, melden Sie dies dem Sicherheitsteam.
Sicherheit für Ihr Zuhause
Wenn es um persönliche Cybersicherheit geht, halte ich es gerne einfach. Hier ist ein Tipp, den ich vor allem älteren Generationen gebe:
Behandeln Sie die digitale Kommunikation wie ein Klopfen an der Tür: Egal, ob es sich um eine E-Mail, eine SMS oder einen Telefonanruf handelt, fragen Sie sich: Kenne ich diese Person? Kann sie beweisen, wer sie ist? Hatte ich das erwartet? Wenn nicht, ist es in Ordnung, die Anfrage abzulehnen oder zu ignorieren.
Aufbau positiver Sicherheitsgewohnheiten
Um eine dauerhafte Verhaltensänderung herbeizuführen, sollten Sie sich daran erinnern, wie Menschen lernen: durch direkte Erfahrung oder die Fähigkeit, sich auf eine Situation zu beziehen. Den Mitarbeitern nachvollziehbare Beispiele zu geben, die sie auf ihr Arbeits- und Privatleben anwenden können, ist entscheidend für den Aufbau einer sicherheitsorientierten Mentalität.
Weitere Informationen darüber, wie man das Bewusstsein für Cybersicherheit von passiver Teilnahme auf aktives Verständnis umstellen kann, finden Sie in meinem früheren Blog, Mehr als nur Anwesenheit: Cybersecurity Awareness verstehen.
*Nur als Beispiel; es gibt auch andere Tools zum Signieren von Dokumenten.
Möchten Sie mehr erfahren? Lesen Sie meinen vorherigen Beitrag zum Thema Cybersicherheit., Mehr als nur Anwesenheit: Cybersecurity Awareness verstehen.
