Von zu Hause aus in vertrauter Umgebung zu arbeiten scheint ein sicherer Arbeitsplatz zu sein. Doch auch zu Hause am Schreibtisch lauern Gefahren: Beispielsweise eine harmlos wirkende Mail von einer internen Firmenadresse, welche die Bitte enthält, sich für einen neuen Verteiler zu registrieren. Tatsächlich sind es aber Cyberkriminelle, die diese Mail versendet haben.
Auf diese Weise wollen sich Cyberkriminelle Zugang zum Firmennetzwerk verschaffen. Derartige Angriffe sind auch unter dem Begriff Phishing bekannt. Die Bezeichnung setzt sich aus den beiden englischen Wörtern „password“ und „fishing“ zusammen, demnach ist der Begriff übersetzt gleichbedeutend mit der Wortschöpfung „Passwort-Angeln“. Beim Phishing versuchen Kriminelle ahnungslose Nutzer mit gefälschten Nachrichten, Mails oder SMS auf betrügerische Websites zu locken. Phishing-Attacken sind selbst für erfahrenen Anwender und Profis nicht immer direkt zu erkennen. Immer häufiger richten sich solche Angriffe auch gegen Mitarbeiter im Homeoffice.
Cyberattacken können die ganze Firma betreffen und lahmlegen
Im Gegensatz zum Homeoffice hat ein Admin im Unternehmen eine gewisse Kontrolle über die Arbeitsrechner der Angestellten, diese zusätzliche Kontrolle ist bei Mitarbeitern im Homeoffice nicht gegeben, weshalb sie beliebte Opfer von Cyberkriminellen sind. Besonders vulnerabel ist ein Unternehmen, wenn Angestellte im Homeoffice mit ihrem eigenen Computer oder Laptop arbeiten, den sie auch privat nutzen. Gelangt ein Trojaner auf den Rechner zu Hause, gelangt dieser über die VPN-Verbindung ins Firmennetz und legt im schlimmsten Fall das ganze Unternehmen lahm.
De IT-Branchenverband rät aufgrund dessen davon ab private Rechner im Homeoffice zu nutzen. Es ist sinnvoller nur Geräte zu nutzen, die vom Unternehmen bereitgestellt werden, auf denen dann beispielsweise Zugriffsrechte beschränkt werden können und die Installation von Software nur Administratoren gestattet ist. Auf diese Weise kann auch sichergestellt werden, dass notwendige Sicherheitsupdates tatsächlich regelmäßig ausgeführt werden.
Wenn der Rechner im Homeoffice infiziert ist, ist das nicht zwingend sofort ersichtlich. Das liegt unter anderem daran, dass es eines der Ziele der Angreifer ist, möglichst lange unentdeckt zu bleiben. Hinweise darauf können allerdings Umleitungen von Website-Aufrufen sein, das Erscheinen von Programmen, die man nicht installiert hat und ein plötzlicher Anstieg der Auslastung des Systems. Misstrauisch sollte man spätestens werden, wenn der Virenscanner Alarm schlägt.
Bei Cyberattacken steht der Mensch im Mittelpunkt der Angriffe
Phishing ist eine Form des Social Engineering und demnach ein Angriff auf die Schwachstelle Mensch. Technische Schutzmaßnahmen sind sinnvoll, können aber Cyberattacken trotz technischer Möglichkeiten nicht verhindern. Nichtsdestotrotz sollte man immer mit aktueller Software und aktivem Virenschutzprogramm arbeiten. Der in Windows 10 und 11 integrierte Defender ist in den meisten Fällen bereits ausreichend, denn Cyberkriminelle nutzen nach wie vor hauptsächlich E-Mails um ihre Angriffe gezielt auszuführen.
Dennoch gibt es Fälle in denen Beschäftigente unwissentlich präparierte USB-Speicher genutzt haben, welche automatisch Schadsoftware auf Rechnern installiert haben. Um solche Attacken zu erkennen und zu verhindern, ist der Aufwand um einiges höher.
Inzwischen sind selbst Mail-Angriffe, welche früher noch recht leicht zu erkennen waren, deutlich professioneller und komplexer geworden. Kriminelle betreiben eine ausführliche Recherche, bis hin zu den E-Mail-Signaturen der vermeintlichen Absender, um Mails so authentisch wie möglich wirken zu lassen.
Phishing per Telefon
Selbst telefonisch versuchen Kriminelle sich Zugang zu Rechnern zu verschaffen. Diese besondere Form des Phishings wird auch als Vishing bezeichnet. Der Begriff setzt sich aus den beiden Wörtern „voice“ (Stimme) und „fishing“ zusammen. Betrüger geben sich am Telefon beispielsweise als Mitarbeiter des Microsoft Supports aus und können Menschen immer wieder erfolgreich dazu bringen, Software zur Fernwartung zu installieren. Dadurch erlangen sie die vollständige Kontrolle über den Rechner und haben Zugriff auf alle Daten.
Experten raten dazu derartige Anrufe sofort zu beenden, da weder Microsoft noch andere seriöse Unternehmen ungefragt anrufen oder E-Mails versenden, in denen persönliche Daten abgefragt werden. Der gesunde Menschenverstand und eine gewisse Zurückhaltung ist der beste Schutz gegen Cyberattacken und Social Engineering. Man sollte niemals Anhänge in E-Mails von unbekannten Absendern aus reiner Neugierde öffnen. Stattdessen sollte man sich aktiv über gängige Vorgehensweisen von Kriminellen informieren.
Vergleichsweise einfach ist es auch für Cyberkriminelle Mitarbeiter im Homeoffice anzugreifen, da die Kommunikation fast ausschließlich digital stattfindet. Der persönliche Austausch fehlt, wodurch die Wahrscheinlichkeit um ein Vielfaches höher ist, dass sich Angestellte von einer gefälschten Mail täuschen lassen. Wer unsicher ist, sollte eher telefonisch nachfragen, statt verdächtige Anhänge zu öffnen oder fragwürdige Anweisungen zu befolgen.
Firmen müssen ihre Netzwerke sicherer machen
Laut des IT-Branchenverbandes Bitkom könnten allerdings auch die Unternehmen mehr für die Sicherheit ihrer Firmennetzwerke tun. Unternehmen müssen erkennen, dass der Schutz der IT als zentrale Infrastruktur selbstverständlich kostenintensiv ist. Demnach muss auch die Cybersicherheit und deren Gewährleistung Aufgabe der Führungsebene sein.
Grundsätzlich empfiehlt das Bundesamt für Sicherheit in der Informationstechnologie (BSI) bei der Planung und Umsetzung der IT-Sicherheit, 20 Prozent der IT-Ausgaben für Cyber- und Informationssicherheit zu verwenden. Während der Corona-Krise haben jedoch nur 16 Prozent der Unternehmen ihr Budget für Informationssicherheit als Reaktion auf die Pandemie erhöht.