Jeder Fünfte Opfer von Cyber-Spionage

Anlass für den Ratschlag ist das Ergebnis eines Tests, den das Center of Excellence for Research, Innovation, Education and Industrial Labs Partnership (CEFRIEL) im Auftrag von 15 internationalen Unternehmen kürzlich durchführte.

Die Einrichtung prüfte die Anfälligkeit von Mitarbeitern für speziell auf Unternehmen gemünzte Betrugsversuche, so genannte «Spear-Phishing»-Attacken. Das Ergebnis: Jeder Fünfte ging den Testern ins Netz.
Rabattversprechen als Köder

In einem Fall haben die Experten von CEFRIEL den Angestellten eines Unternehmens per E-Mail Rabattangebote für Urlaubsreisen gesendet. Die Mitarbeiter wurden über einen Link zu einer externen Webseite geleitet, wo sie zur Registrierung lediglich die Zugangsdaten ihres Firmen-Accounts angeben mussten. Zwar beinhaltete die E-Mail das Firmen-Logo, allerdings hatten die Tester sie absichtlich mit Rechtschreibfehlern versehen und über einen russischen Server versendet.

Trotz dieser kleinen Hinweise hatte nach nur zwei Stunden mehr als ein Drittel der Empfänger auf den Link geklickt und die Webseite besucht. 58 Prozent hiervon gaben sogar ihre Daten ein - also 21 Prozent der gesamten Arbeitnehmer.




Besonders anfällig waren offensichtlich Mitarbeiter unter 30 Jahren. Nur jeder hundertste Mailempfänger schlug Alarm.

Gezielte Industriespionage unterstreicht Schulungs-Notwendigkeit

Dass es sich bei den Resultaten nicht um Zufälle handelt, unterstreichen aktuelle Fälle von intensiver Cyber-Industriespionage. So wurden Organisationen des Finanzdienstleistungs- und Trading-Sektors in den letzten Monaten immer wieder Opfer von gezielten Spear-Phishing-Attacken.

Diese neue Form der Cyber-Spionage zielt auf Benutzernamen und Passwörter zu E-Mail-Konten ab, um durch Zugriff auf E-Mail-Korrespondenzen streng vertrauliche Insider-Informationen für Börsengeschäfte zu ergaunern.

IT-Schulungen intensivieren

Das alarmierende Ergebnis der CEFRIEL-Analyse verdeutlicht, dass gelegentliche, oberflächliche IT- und Security-Schulungen nicht ausreichen, um die Nutzer nachhaltig für Internet-Bedrohungen zu sensibilisieren.

Das weiss auch Raphael Labaca Castro, Security Researcher bei ESET: «Digitale Sicherheit ist nicht mehr nur eine Frage der Technik. Kriminelle versuchen immer öfter, über das Verhalten der Nutzer an wertvolle Daten wie Onlinebanking-Informationen zu gelangen. Deshalb ist es wichtig, User nachhaltig für die Tricks der Angreifer zu sensibilisieren und schon frühzeitig den richtigen Umgang mit der Technik zu vermitteln.»

Ähnlich sieht das Stefan Schumacher vom Magdeburger Institut für Sicherheitsforschung. Er kritisiert den derzeitigen Informatikunterricht an Schulen und fordert mehr Tiefgang: «Es müsste Grundlegendes gelehrt werden, etwa wie ein Computer und Netzwerke funktionieren und es müssten dringend auch netzpolitische Themen wie Datenschutz und Privacy vermittelt werden.»