Cyber-Attacken: KMU-Mitarbeiter fühlen sich zu sicher

Die Einstellung der eigenen Mitarbeiter gegenüber Cyberattacken macht kleine und mittlere Unternehmen in der Schweiz verwundbar. Sie sind sich zwar der allgemeinen Risiken von Cyberkriminalität und des grossen Schadenpotenzials bewusst. Allerdings schätzen sie ihr eigenes Unternehmen und sich selbst nicht als wichtig genug ein, um ein lohnendes Ziel darzustellen. Das ist ein Fehler, der teuer werden kann.

KMU und Cyberattacken: Wer sich sicher fühlt, ist gefährdet.                       Bild Pixabay

Die Annahme ist verbreitet: Cyberattacken passieren vor allem in grossen und namhaften Firmen und im Ausland. Kleine und unbekannte KMU in der Schweiz müssen sich nicht so sehr davor fürchten. Diese Haltung führt dazu, dass die eigenen Mitarbeiter nicht genügend wachsam sind, was die Cyber-Sicherheit betrifft. Zu diesen Resultaten kommt eine Studie der ZHAW School of Management and Law in Zusammenarbeit mit Allianz Suisse. Die Forschenden haben dafür vertiefte Interviews mit Mitarbeitern in ausgewählten KMU geführt, um ihre Haltungen und Entscheidungen zu verstehen, die hinsichtlich der Cyberrisiken getroffen werden.

Gemäss der Studie assoziieren KMU-Mitarbeitende Cyberattacken primär mit geopolitischen Konfrontationen, Terrorismus oder dem organisierten Verbrechen. Die Schweiz hingegen sehen sie als Sphäre, die im Vergleich deutlich sicherer sei. Das sei jedoch ein Trugschluss. Auch hierzulande seien rund ein Drittel der KMU schon Angriffen ausgesetzt gewesen, sagt Studienleiter Carlo Pugnetti von der ZHAW.

Bei einer konkreten Attacke auf das eigene Unternehmen fühlen sich die befragten KMU-Mitarbeiter relativ hilflos. Sie gehen in einem solchen Fall davon aus, dass Spezialistinnen und Spezialisten helfen würden. Diese Annahme kann eine gewisse Passivität fördern und Mitarbeitende dazu verleiten, die eigene Rolle bei der Minimierung von Cyber-Risiken zu unterschätzen.

Um die Risiken und Auswirkung einer Cyberattacke zu reduzieren, geben die Autoren der Untersuchung eine Reihe von Empfehlungen: Diese umfassen unter anderem Informationsmassnahmen innerhalb der KMU, die Mitarbeitende für die objektive Bedrohung sensibilisieren und ihnen aufzeigen, wie sie zu deren Abwehr beitragen können. Bei der Entwicklung entsprechender Lösungsstrategien sollten die Firmen ihre Mitarbeitenden aktiv einbeziehen und deren engagierte Arbeitshaltung nutzen.

Wie viele Passwörter braucht der Mensch?

Zuviele! Das ist die Antwort auf die Frage im Titel. Zwar können wir hoffen, dass Passwörter schon bald durch eine bessere und sicherere Technologie abgelöst werden. Bis es soweit ist müssen wir uns aber weiter mit ihnen herumschlagen.  Das tun wir denn auch - mehr oder weniger gut.

Sie müssen Ihre Passwwörter nicht ständig wechseln, damit sie sicher bleiben.
                                                                                                        Bild Pixabay

Eine Umfrage des IT-Portals PCMag bei 2‘500 Anwendern in den USA hat zutage gebracht, dass 35 Prozent der User immer mit den gleichen Passwörtern operieren. Gewechselt wird nur, wenn es einen direkten Anlass dafür gibt, zum Beispiel Hinweise auf eine Gefährdung. Dann gibt es aber auch Anwender am anderen Ende des Spektrums - rund 20 Prozent der Befragten geben an, ihre Passwörter mindestens jede Woche zu wechseln.

Gemäss Experten liegen jene User, die ihre Passwörter nur ändern, wenn eine Gefährdung vorliegt, gar nicht so falsch. Das Amerikanische Institut für Normen und Technologie (NIST) ist nämlich davon abgerückt, Passwortwechsel alle 90 Tage zu empfehlen. Das sei ein Fehler gewesen, sagt Bill Burr, der damalige Autor der Empfehlungen - genauso wie das mühsame Kreieren von Passwörtern aus Buchstaben, Sonderzeichen und Zahlen. Lange Phrasen seien besser geeignet:

“Der heute 72-Jährige arbeitete beim National Institute of Standards and Technology, einer US-Behörde, die unter anderem für Technologiestandards zuständig ist. 2003 verfasste er dort das achtseitige Dokument "NIST Special Publication 800-63. Appendix A". Es enthält Empfehlungen, zu welcher Art Passwörter Behörden, Unternehmen und Webseitenbetreiber ihre Nutzer und Mitarbeiter zwingen sollen. Der Text wurde zum Kanon, weltweit richteten sich viele Organisationen danach. Und die Nutzer ärgerten sich. Heute ist Burr in Rente. Dem Wall Street Journal sagte er nun zu seinen Empfehlungen: "Vieles von dem, was ich getan habe, bereue ich." In diesem Sommer überarbeitete das NIST seine Empfehlungen komplett (alles zu den neuen Regeln hier).“

Passwörter und -Phrasen sind bei weitem nicht die einzige IT-Sicherheitsvorkehrung. Deshalb hat die PCMag-Umfrage auch nach anderen Risiken gefragt. Das Ergebnis: Mehr als die Hälfte der User glaubt, im Umgang mit IT kompetent genug zu sein, Cyber-Attacken abwehren zu können. Immerhin 53 Prozent haben ein Antiviren-Programm installiert. 51 Prozent der User sagen, dass sie für diese Sicherheit kein Geld ausgeben. Sie verlassen sich also auf eingebaute Barrieren, wie Microsoft Defender oder kostenlose AV-Software.

Die Passwortempfehlungen, die wir heute befolgen sollten, könnten übrigens in ein paar Jahren komplett ungültig werden - falls nämlich Qantencomputer verfügbar werden sollten. Sie sollen so leistungsfähig werden, dass sie quasi jeden bisher sicheren Code knacken können. Dafür müssten sie allerdings zuerst einmal funktionieren.