Cyber-Spezialist aus Schleswig-Holstein spricht über Sicherheit im Netz. Die kann überlebenswichtig sein für Betriebe – auch für mittelständische Unternehmen und Handwerksbetriebe, die das Thema vielerorts unterschätzen.
Ein Hacker-Angriff auf mein Unternehmen? Das trifft ja nur die großen Konzerne und Behörden, denkt sich so mancher Mittelständler, Handwerker oder Dienstleister. Pustekuchen! „Von den kleinen Firmen liest man nur nichts“, sagt Nikolaus Stapels.
Die beiden Agenturen der Württembergischen Versicherung AG in Calw Axel Ludes und Thomas Beetz sowie Ulf Herrmann und Sascha Trcka hatten den Cyber-Spezialisten aus Klein Rönnau (Schleswig-Holstein) eigens aus dem hohen Norden in den Schwarzwald geholt. „Cyber-Sicherheit ist auch für uns ein relativ neues Thema. Dazu haben wir Schulungen absolviert“, sagt Beetz im Gespräch mit unserer Redaktion. Nun gelte es, die Firmenkunden zu sensibilisieren. Die hatten großes Interesse, wie der Besuch von Stapels’ Vortrag zeigte.
Aufklärungsquote tendiert gegen Null
Der Security-Berater machte deutlich, dass Hacker sich ihre Opfer nicht gezielt aussuchen. Vielmehr funktioniert das ganze nach dem Zufallsprinzip, indem man sich beispielsweise für eine Handvoll Dollar E-Mail-Adressen im Darknet besorgt. Es kann also jeden erwischen.
Und Hacker sind keine durchgeknallten Nerds, die Tag und Nacht mit Baseballcap und Pizzaschachtel vor ihrem Laptop sitzen. Vielmehr handelt es sich um ein richtig fettes Business. Stapels nennt Schätzungen, wonach der Umsatz allein in Europa rund 80 Milliarden Euro betragen soll. Genau weiß das letztlich niemand. Die Dunkelziffer liegt bei 90 Prozent, die Aufklärungsquote tendiert gegen Null.
Die meisten professionellen Hacker sitzen vermutlich in Russland. Dort sind solche Unternehmen legal, sie zahlen laut Stapels sogar Steuern, heuern ganz offiziell Mitarbeiter an. Da werden „kreative Problemlöser gesucht, die bereit sind, moralische Grenzen zu überschreiten“. Auch den Datenklauern fehlen Fachkräfte. Sie kommen Bewerbern, die nicht über ausgeprägtes Fachwissen verfügen, entgegen. Ransomeware-as-a-service nennt sich diese Dienstleistung. Wer sie nutzt, muss die entsprechende Schadsoftware nicht mehr selbst herstellen.
Besonders dreist geht die Ransome-Software Clop vor. Sie brüstet sich damit, mit den Behörden zusammenzuarbeiten. Denn wer das Lösegeld nicht bezahlt, wird bei den entsprechenden staatlichen Stellen angeschwärzt.
Ein Hacker-Angriff ist eine Gefahr für die Existenz des Unternehmens. Das kann die Folge sein, wenn tagelang die IT ausfällt. Damit nicht genug: Werden Kundendaten gestohlen, muss das an die Landesdatenschutzbehörde gemeldet werden – und wird bestraft. Nach einem Urteil des Europäischen Gerichtshofs haben Kunden zudem Anspruch auf Schadensersatz.
Was also tun? Noch sind vielen kleinen und mittelständischen Unternehmen die Gefahren nicht bewusst. Zwar seien die Zeiten vorbei, als Passwörter mit einem Post-It am Bildschirm klebten. Stapels kann aber immer noch hanebüchene Beispiele nennen. So von einem bayerischen Mittelständler mit eigener IT-Abteilung, der sein Firewall falsch konfiguriert hat. Die letzte externe Datensicherung lag in dem Unternehmen drei Jahre zurück.
Es ist ein ganzer Katalog von Maßnahmen notwendig. Nur wer alle verfügbaren Mittel für die Datensicherheit nutzt, kann eine Versicherung abschließen. Die deckt unter anderem Betriebsunterbrechung, Haftpflicht, Mitarbeiter, IT-Forensik, Kreditkartenüberwachung oder Rechtsberatung ab. Eine hundertprozentige Absicherung ist das für Stapels allerdings auch nicht.
Mitarbeiter müssen Bewusstsein entwickeln
Ganz wichtig ist, die Mitarbeiter zu schulen und ein Bewusstsein für Cyber-Sicherheit zu entwickeln. Denn oft sitzt das Problem vor dem Computer. Standardpasswörter müssen geändert werden. Wer der landläufigen Empfehlung folgt und ein achtstelliges Passwort mit Groß- und Kleinbuchstaben, Sonderzeichen sowie Zahlen verwendet, ist nicht sicher. Stapels: „Solche Passwörter sind in acht Stunden geknackt“.
Weitere Maßnahmen: Die Deaktivierung von Makros. Sie sind das Haupteinfallstor für Ransomware, die sich in Anhängen von E-Mails verbergen. Dazu gehören darüber hinaus die Verwendung von Virenschutzprogrammen, regelmäßige Updates und Datensicherungen, Richtlinien für sichere Passwörter, Einrichten einer Firewall sowie die Sicherung der Mailaccounts.