Häufige Mythen zur Sensibilisierung für Cybersicherheit

Mit Beginn des Monats der Cybersicherheitsaufklärung sollten wir uns auf eine Welle verbreiteter Sicherheitsmythen und Fehlannahmen einstellen, die oft in guter Absicht verbreitet werden, aber negative Folgen haben. Diese Themen können selbst unter erfahrenen Fachleuten kontrovers sein. Daher betrachten wir sie aus einer datenbasierten Perspektive und richten uns an ein möglichst breites Spektrum von Unternehmen.

Diese breite Betrachtungsweise ist häufig der Grund für Meinungsverschiedenheiten. Jedes Unternehmen muss für sich erörtern, welche Risiken und Verluste akzeptabel sind, welche Bedrohungsmodelle und potenziellen Angreifer relevant sind und welche Besonderheiten die eigene Umgebung aufweist. Der gemeinsame Nenner sind jedoch Daten, Fachwissen und Objektivität – nicht überliefertes Gruppenwissen, unreflektiertes Nachahmen sowie Bestätigungs- und Überlebendenfehler.

Wir befassen uns mit den „großen Drei“: dem Anklicken von Links in E-Mails, der Nutzung öffentlicher WLAN-Netze und dem sogenannten „Juice Jacking“, also den Gefahren kostenloser USB-Ladestationen für Smartphones.

#1 Links in E-Mails anklicken

Fazit: Vermitteln Sie klare Erkennungsmerkmale für Phishing und Betrugsversuche. Unrealistische Ratschläge wie „Klicken Sie nicht auf Links“ sind hingegen wenig hilfreich bis schädlich.

Die Sensibilisierung für eine „sichere Nutzung“ ist äußerst wirkungsvoll: Sie hilft Beschäftigten, Technologie besser zu nutzen und häufige Probleme zu vermeiden. Doch die jahrelangen Versuche, Menschen zu grundlegenden Verhaltensänderungen wie „Klicke nicht auf Links“ zu bewegen, scheinen nicht zu fruchten. Verizons Untersuchungsbericht zu Datenschutzverletzungen 2023 zufolge spielt bei 74 % aller Datenschutzverletzungen der Faktor Mensch eine Rolle (nicht nur bei E-Mails). Die Studie zu Erkenntnissen über Informationsrisiken 2022 des Cyentia Institute zählt Phishing in 18 von 20 Branchen zu den drei häufigsten Techniken für den Erstzugriff (in den Branchen Information und sonstige Dienstleistungen belegt es Platz 4).

Fehler passieren, und selbst ein wohlmeinender und geschulter Mitarbeiter wird früher oder später auf einen schädlichen Link klicken. Dies ist einer der Gründe, warum Sicherheitsprogramme auch nach Jahren, in denen versucht wurde, Nutzer zu einem anderen Umgang mit E-Mails zu bewegen, weiterhin in die Sicherheit von E-Mails und Geräten investieren. Noch bedenklicher ist die wertvolle Zeit, die diesem Thema in Schulungen zum Sicherheitsbewusstsein gewidmet wird. Aufgrund der mangelnden Praxisnähe geht dabei die Aufmerksamkeit der Teilnehmenden verloren, sodass diese Schulungen mehr schaden als nutzen.

Unternehmen müssen widerstandsfähig genug sein, um den Klick eines Mitarbeiters auf einen Link verkraften zu können. Mitarbeitende können helfen, insbesondere indem sie konkrete Beobachtungen melden („Wer etwas sieht, sollte etwas sagen“), doch für die Eindämmung dieses Risikos sind die Sicherheitsteams verantwortlich.

#2 Nutzung öffentlicher WLAN-Netzwerke

Fazit: Öffentliches WLAN kann auch im geschäftlichen Umfeld sicher genutzt werden.

Nach wie vor hält sich die Annahme, dass öffentliches WLAN weniger vertrauenswürdig oder gefährlicher sei als private oder geschäftliche Netzwerke. Es gibt jedoch keine Berichte über eine massenhafte Ausnutzung öffentlicher WLAN-Netzwerke – auch nicht in den Jahren 2020 bis 2022, als die Arbeit im Homeoffice stark zunahm. Die US-amerikanische Federal Trade Commission (FTC) warnte 2011 vor der Nutzung öffentlicher WLAN-Netzwerke, aktualisierte jedoch 2023 ihre Empfehlungen, um technischen Entwicklungen Rechnung zu tragen, durch die deren Nutzung sicher geworden ist.

Im Vergleich dazu kommt es durchaus zum Diebstahl von Laptops und anderen Geräten, etwa als Gelegenheitsdelikt im öffentlichen Raum. Dies ist ein wahrscheinlicheres Risiko, das sich durch Investitionen in Speicherverschlüsselung, Mobile Device Management (MDM) und Sperrrichtlinien mindern lässt. Eine beispielhafte Teilmenge bildet die archivierte Liste gemeldeter Verstöße im Zusammenhang mit ungesicherten geschützten Gesundheitsdaten, von denen mindestens 500 Personen betroffen sind des Office for Civil Rights (OCR) im US-Gesundheitsministerium. Sie weist seit 2009 mehr als 4.600 Fälle von Diebstahl oder Verlust eines Laptops oder eines anderen tragbaren elektronischen Geräts aus, von denen über 345 Millionen Personen betroffen waren.

Unterdessen setzt sich der Sicherheitstrend beim lokalen Netzwerkverkehr fort:

• Googles Transparenzbericht „HTTPS-Verschlüsselung im Web“ zeigt, dass mehr als 90 % des Datenverkehrs bei Google verschlüsselt sind und dass verschlüsselter Datenverkehr von Betriebssystemen wie Windows und Mac weitverbreitet unterstützt wird.
• Die Statistiken von Let's Encrypt zum Prozentsatz der von Firefox über HTTPS geladenen Webseiten aus der Firefox-Telemetrie von Mozilla zeigen, dass etwa 80 % des Datenverkehrs von Nutzern weltweit verschlüsselt sind und etwa 90 % des Datenverkehrs von Nutzern in den USA und Japan verschlüsselt sind.
• Googles Transparenzbericht „E-Mail-Verschlüsselung bei der Übertragung“ zeigt, dass mehr als 90 % der an Google (Gmail) gesendeten und von dort empfangenen E-Mails verschlüsselt sind.
• Die Verbreitung von DNS-Sicherheitsfunktionen stellt nach wie vor eine Herausforderung dar, die durch die umfassende Unterstützung starker Verschlüsselung für den Datenverkehr von Apps sowie die allgegenwärtige Nutzung von VPNs und vergleichbaren Lösungen für geschäftlich verwalteten Datenverkehr teilweise abgemildert wird. Die Verbreitung von DNSSEC ist gering (~5 % der .com-Domains sind laut DNSSEC Scoreboard von Verisign gesichert), hat jedoch seit 2020 deutlich zugenommen und wächst seitdem kontinuierlich. Ebenso wird DNS over HTTPS (DoH) von Betriebssystemen und Browsern unterstützt.

Sofern auf dem Gerät keine über das Netzwerk erreichbaren Dienste ausgeführt werden – was bei Endgeräten eine äußerst seltene Ausnahme sein sollte –, birgt öffentliches WLAN im Vergleich zu anderen WLAN-Netzwerken kaum oder gar keine besonderen Risiken. Für diejenigen, die einen Zero-Trust-Ansatz verfolgen, ist öffentliches WLAN ein hervorragendes Beispiel dafür, dass man dem Netzwerk niemals vertrauen sollte – und das gilt für öffentliche wie private Netzwerke gleichermaßen.

#3 „Juice Jacking“ oder die Gefahren kostenloser USB-Ladestationen für Smartphones

Fazit: Dieser Angriff wurde bei verschiedenen Smartphone-Modellen nachgewiesen, doch es gibt keine bestätigten Hinweise darauf, dass er tatsächlich eingesetzt wird. Zudem können sich Nutzer mit geringem Aufwand schützen, sodass es in der Regel unbedenklich ist, im Notfall eine kostenlose USB-Ladestation zu nutzen.

Auch wenn es Situationen gibt, in denen Sie USB-Ladestationen besser meiden sollten – etwa wenn Sie Ihr Smartphone unbeaufsichtigt lassen und es gestohlen werden könnte oder wenn Sie an einer Sicherheitskonferenz teilnehmen, auf der solche Angriffe eher „demonstriert“ werden –, gibt es keine bestätigten Daten, die die große Aufmerksamkeit rechtfertigen, die „Juice Jacking“ erhält.

• Die Federal Communications Commission (FCC) gibt an, dass ihr keine bestätigten Fälle bekannt sind, in denen ein solcher Angriff stattgefunden hat.
• Snopes unterzog Warnungen vor „Juice Jacking“ einem Faktencheck – sowohl Warnungen der Staatsanwaltschaft von Los Angeles County aus dem Jahr 2019 als auch Warnungen der FCC und des Federal Bureau of Investigation (FBI) aus dem Jahr 2023 – und fand keine Hinweise auf eine weitverbreitete Nutzung dieser Angriffsmethode. Darauf wurde von KrebsOnSecurity verwiesen, als die Website über die Warnungen der FCC und des FBI aus dem Jahr 2023 berichtete.

Für diejenigen, die sich wegen dieses Risikos Sorgen machen, lässt es sich sowohl für Arbeitgeber als auch für Arbeitnehmer kostengünstig minimieren:

1. Verwenden Sie Steckdosen-USB-Ladeadapter und kleine mobile Akkupacks, die insbesondere für Geschäftsreisende inzwischen zur Standardausstattung im Handgepäck gehören.
   
2. Wählen Sie „Nur laden“, wenn das Smartphone beim Anschließen über USB fragt, ob Sie „Daten teilen“, „diesem Computer vertrauen“ oder Ähnliches möchten.
   
3. Wenn das Risiko eines Benutzers als deutlich erhöht eingestuft wird, sollten Sie die Anschaffung spezieller Ladegeräte und Kabel in Betracht ziehen, die keine Datenübertragung zulassen.

Das größere Risiko bei kostenlosen USB-Ladestationen besteht darin, dass das Gerät unbeaufsichtigt bleibt und jemand es mitnimmt. Auch hier sind Investitionen des Unternehmens in die Geräteverwaltung und die Durchsetzung von Sicherheitsstandards in der Regel angemessene Maßnahmen zur Risikominderung.

Warum ist es schlecht, das Bewusstsein für diese Themen zu schärfen? Ist mehr Aufmerksamkeit nicht immer gut?

Das Thema Sicherheit erfährt bei Kolleginnen und Kollegen in der Regel wenig bis gar keine positive Aufmerksamkeit, und verpflichtende Unternehmensschulungen lösen keine Begeisterung aus. Diese kostbaren Momente und ersten Eindrücke gehören zu den wertvollsten Ressourcen, über die Sicherheitsteams verfügen.

Im besten Fall ist jede Zeit, die für Inhalte aufgewendet wird, die nicht entscheidend, nicht relevant, ungenau oder unrealistisch sind, verschwendet. Im schlimmsten Fall verlieren Sicherheitsteams ihr Publikum und finden beim nächsten Mal kein Gehör mehr – ganz gleich, wie wichtig ihre Botschaft ist.

Die übergeordnete Frage lautet, warum sich solche Mythen und Missverständnisse so hartnäckig halten. Ein Teil des Problems liegt in der menschlichen Natur, wie bereits zu Beginn des Artikels erwähnt.

Der andere Teil des Problems ist struktureller Natur: Solche Fehlannahmen werden in Compliance-Rahmenwerke und Geschäftsvereinbarungen aufgenommen. Derartige Vorgaben sind selten zukunftsfähig, insbesondere wenn sie sehr konkret formuliert sind, aber nicht mit der technologischen Entwicklung Schritt halten. Dadurch setzen Sicherheitsprogramme veraltete oder auf Mythen beruhende Anforderungen um, die von den Mitarbeitenden übernommen und zum nächsten Arbeitgeber weitergetragen werden. Dieses kontaminierte Wissen ist schlimmer als Schadsoftware.