Datenmissbrauch: Wirksame Maßnahmen gegen Datenklau

Der wirtschaftliche Schaden durch Datenmissbrauch beträgt in Deutschland rund 102 Milliarden Euro pro Jahr. Fast 90 % der Unternehmen mit 10-99 Mitarbeitern wurden in den letzten 2 Jahren Opfer von Datendiebstahl, Industriespionage oder Sabotage.

Quelle: Studie „Wirtschaftsschutz in der digitalen Welt“, bitkom 11.2019

Hierbei handelt es sich um nichts anderes als den Diebstahl personenbezogener Daten mit anschließender krimineller Nutzung. Dies geschieht ohne das Wissen der Betroffenen. Wenn gestohlene Informationen (dazu zählen auch sensible Daten aus Unternehmen) für kriminelle Handlungen genutzt werden, spricht man von Datenmissbrauch. Um für höhere Datensicherheit zu sorgen, sind Firmen daher gemäß DSGVO dazu verpflichtet, entsprechende Sicherheitsmaßnahmen zu treffen, die einen Datenmissbrauch verhindern soll.

Geschäftliche Daten von kleinen und mittleren Unternehmen stehen immer öfter im Fadenkreuz von gezielten Cyberangriffen. Darauf weist das Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig hin. Allerdings wird die Gefahr durch Datenmissbrauch immer noch von vielen unterschätzt. Die Folge: Zu lockere Sicherheitsvorkehrungen machen Kleinbetriebe und Mittelständler zu lohnenden Angriffszielen für Datenmissbrauch durch Cyberkriminelle.

Daten können auf unterschiedlichste Art und Weise ausspioniert werden. Das Spektrum reicht von Hackerangriffen mit Spyware-Tools über einfaches Kopieren der Daten auf USB-Sticks bis zum Versenden der Dateien per E-Mail. Selbst althergebrachte Verfahren wie das Abfotografieren oder Kopieren von Dokumenten sollten Sie nicht unterschätzen. Die Angreifer müssen auch nicht unbedingt von außen kommen. Um ein Opfer von Datenklau zu werden, ist nicht zwingend ein klassischer Hackerangriff notwendig. Ganz im Gegenteil: Datendiebstahl durch die eigenen Mitarbeiter ist keine Seltenheit.

Das bedeutet natürlich nicht, dass Sie ein Opfer von Datenmissbrauch werden, weil der Datenklau durch Mitarbeiter als aktive Täter geschieht. Angestellte stellen durchaus ein Sicherheitsrisiko dar, weil Sie häufig auch Hackerangriffe von außen durch Unachtsamkeit, Unwissenheitoder Leichtsinn ermöglichen. Sie können bewusst oder unbewusst die Gefahr des Datenmissbrauchs erhöhen und zum Diebstahl Ihrer Daten beitragen. Daher sollten Sie sich bei den Themen Datensicherheit und Datenschutz nicht ausschließlich auf technische Schutzvorkehrungen vor Hackerattacken und Datenmissbrauch konzentrieren. Vielmehr müssen Sie ein umfassenderes Sicherheitskonzept unter Einbeziehung der Mitarbeiter entwickeln und umsetzen, um Datenklau in Ihrer Firma zu verhindern.

Beim Phishing versuchen Angreifer mit Hilfe von gefälschten E-Mails und Internetseiten an Ihre Zugangsdaten zu gelangen. Darin wird der Empfänger meist zur Eingabe der persönlichen Login-Daten aufgefordert. Phishing-Mails sind im Hinblick auf Design und Layout mittlerweile so professionell, dass Laien den geplanten Datenmissbrauch nur schwer als solchen erkennen.

Es besteht ein hoher Phishing-Verdacht, wenn folgende Kriterien zutreffen:

• Die Absenderadresse ist fehlerhaft (z. B. Telkom statt Telekom).
• Die Anrede ist unpersönlich (z. B. „Sehr geehrter Kunde“).
• Sie werden aufgefordert, Ihre Zugangsdaten zu aktualisieren oder einzugeben.
• Ihnen wird mit Kontosperrung oder anderen Einschränkungen gedroht, wenn Sie nicht unverzüglich reagieren.

Mithilfe sogenannter Ransomware – oder auch Erpressersoftware – bringen Angreifer einen Trojaner in Umlauf. Diese können durch das Öffnen von Anhängen in „versuchten“ E-Mails oder den Besuch von Webseiten auf Ihren PC gelangen. Der Trojaner verschlüsselt die Daten Ihres PCs oder verhindert den Zugriff auf bestimmte Programme. Ist dies der Fall, können Angreifer alle Vorgänge auf Ihrem Computer einsehen und die Informationen für einen Datenmissbrauch nutzen.

Emotet-Trojaner stellen eine noch gefährlichere Phishing-Variante dar. Hierbei werden in der Regel E-Mails von vermeintlich vertrauenswürdigen Personen (z. B. Freunde, Geschäftspartner) verschickt. Diese enthalten schädliche Anhänge. Das Öffnen dieser Anhänge allein ist noch nicht gefährlich und führt auch zu keinem Datenmissbrauch. Aktivieren Sie jedoch die Makros in den Dokumenten, wird Schadsoftware auf den Computer geladen.

Beim Social Engineering versucht der Angreifer über den direkten Kontakt zum Betroffenen an vertrauliche Informationen zu gelangen. Der Kontaktierte wird so manipuliert, dass dieser unbewusst persönliche Daten preisgibt. Mit diesen Informationen können Kriminelle ganz einfach Datenmissbrauch vornehmen. Hier gibt es verschiedene Vorgehensweisen:

• Der Angreifer gibt sich am Telefon als Systemadministrator aus, der die Zugangsdaten benötigt, um einen vermeintlichen Systemfehler zu beheben.
• Der Angreifer versucht über gefälschte Benutzerprofile in sozialen Netzwerken das Vertrauen des Angestellten zu gewinnen, um die gewünschten Informationen zu einem passenden Zeitpunkt abzufragen.

Denken Sie daran, regelmäßig und in angemessen kurzen Zeitabständen Datensicherungen durchzuführen. Ein solches Backup kann zwar Malware-Attacken nicht verhindern, wohl aber daraus resultierende Datenverluste vermeiden. Weitere Informationen dazu finden Sie auf der Themenseite Datenverlust.

Für Windows-Rechner sollten Sie folgende Sicherheitsregeln beachten, um das Risiko von Malware-Angriffen und damit auch von Datenmissbrauch möglichst gering zu halten:

• Regelmäßige Updates: Halten Sie das Betriebssystem über das automatische Windows-Update stets auf dem aktuellen Stand. Kontrollieren Sie, ob diese Funktion aktiviert ist und holen Sie es ggf. nach. Nutzen Sie bei allen Anwendungen die angebotenen Auto-Updates oder kontrollieren Sie regelmäßig, ob sicherheitsrelevante Updates vorliegen und führen Sie diese unverzüglich durch.
• Virenschutz: Verwenden Sie ein aktuelles Antivirenprogramm wie den Windows Defender, um sich vor Datenmissbrauch zu schützen.
• Nutzerrechte einschränken: Auf den Arbeitsplatz-Rechnern sollten keine Administrator-Konten eingerichtet sein. Vielmehr sollten die Anwender nur mit eingeschränkten Nutzerrechten arbeiten. Dies mindert die Risiken, die von eingeschleusten Schadprogrammen ausgehen.
• Benutzerkonten: Erhöhen Sie die standardmäßig vorgegebene Stufe in der Benutzerkontensteuerung (UAC) von Mittel auf Hoch. Dadurch minimieren Sie von vornherein das Risiko eines Datenmissbrauchs.
• Sichere Programmausführung: Zum besseren Schutz vor Schadprogrammen und damit vor Datenklau in Unternehmen können Sie über die Software Restriction Policies (SRP) von Windows das Ausführen von Dateien außerhalb des Windows-Ordners blockieren, sodass ausschließlich unbedenkliche Programme ausgeführt werden.
• Makros blockieren: In Windows-Office-Anwendungen sollten Sie nach Möglichkeit das Ausführen von Makros blockieren. Das ist über die Einstellungen der Programme (Optionen – Trust Center-Einstellungen) oder über Gruppenrichtlinien möglich. Diesen Übertragungsweg nutzt auch der gefürchtete Emotet-Trojaner, der anschließend zu einem Datenmissbrauch führen kann.

Unternehmensdaten sind zahlreichen Gefahren ausgesetzt. Die Methoden von Cyberkriminellen werden dabei immer ausgefeilter. Einen vollständigen Schutz gegen Datenklau und Datenmissbrauch wird es wahrscheinlich leider nie geben. Doch wenn Sie Firewalls und Anti-Virenprogramme einsetzen und zusätzlich die vorgestellten Maßnahmen umsetzen, ist dies definitiv schon ein wichtiger Schritt in die richtige Richtung.