Unternehmen schützen ihre Daten und IT-Systeme durch eine Vielzahl an technischen Maßnahmen. Da sich die IT-Sicherheit laufend verbessert und IT-Sicherheitslücken nur bei vertieften technischen Kenntnissen ausgenutzt werden können, haben Betrüger ihr Augenmerk auf menschliche Fehler gerichtet. Um die technischen Sicherheitsvorkehrungen zu überwinden, nutzen Angreifer Social Engineering. Darunter versteht man die Manipulation der Nutzer von IT-Systemen durch psychologische Tricks.
Aktuell nutzen Internetbetrüger die Corona-Pandemie aus, um Spam-Mails zu verschicken. Sie geben sich dabei oft als WHO, Bundesgesundheitsministerium oder als Vertreter anderer staatlicher Institutionen aus.
In den E-Mails, die angeblich vom Bundesgesundheitsministerium für Gesundheit stammen, werden Empfänger dazu aufgefordert, einen Antrag für Familien- und Krankenurlaub, in der Form eines Word-Dokuments anzuschauen. Das Dokument enthält jedoch einen Trojaner, der zur Verschlüsselung des Rechners führt. Anschließend fordern die Betrüger für die Freigabe des Rechners Geld.
Andere E-Mails mit Corona-Bezug, die seit Anfang April im Umlauf sind, verbreiten Schadsoftware mit der Folge, dass die Angreifer Zugriff auf das Unternehmensnetzwerk haben. Sie können dann Daten ausspähen bzw. verschlüsseln.
Im schlimmsten Fall haben die Angreifer Zugang zu den geheimsten Daten. Je nach Art und Handeln der Angreifer können immense Schäden entstehen. Das betroffene Unternehmen muss mit einem Reputationsverlust rechnen und einem Bußgeld (bis zu 20 Millionen Euro oder vier Prozent des Vorjahresumsatzes gemäß Art. 83 V DSGVO) oder auch Schadensersatzansprüchen.
Social Engineering stellt derzeit für viele Unternehmen eine besonders große Gefahr dar, da aktuell viele Mitarbeiter im Home-Office arbeiten. Das isolierte Arbeiten macht es Betrügern einfacher Mitarbeiter zu manipulieren, da es vermehrt zum digitalen oder telefonischen Austausch kommt. Noch riskanter ist die Arbeit mit privaten Geräten, denn diese haben meistens nicht denselben Sicherheitsstandard wie die Geräte im Büro. Zudem lassen sich private Telefonnummern und Mailadressen durch Social Media meistens leichter recherchieren.
Aufgrund dieser Gefahren sollten Unternehmen die Risiken durch Social Engineering möglichst minimieren. Folgende Maßnahmen sind dabei hilfreich:
- Sicherheitsregeln einführen
Die Risiken sollten herausgearbeitet werden, mittels Richtlinien bekannt gegeben und kontrolliert werden (insbesondere sollten Regeln für das Home-Office aufgestellt werden, z.B. Verbot der Nutzung privater Geräte, aber auch Verbot der privaten Nutzung dienstlicher Geräte). - Sensibilisierung der Mitarbeiter
Die Mitarbeiter sollten bezüglich der Risiken von Social Engineering sensibilisiert werden, z.B. durch Schulungen, Merkblätter oder ähnlichem.
Ihr Datenschutzbeauftragter ist Ihnen gerne dabei behilflich, entsprechende Maßnahmen zu entwickeln. Auf myGINDAT stellen wir Ihnen sämtliche Sicherheitsrichtlinien, wie Richtlinien für das Home-Office, zur Verfügung. Diese können auch auf Ihre individuellen Bedürfnisse angepasst werden. Bitte sprechen Sie uns an.