Irren ist menschlich. Bereits im vergangenen Monat haben wir uns im Rahmen eines Blogbeitrags mit populären Irrtümern im Bereich der Cybersicherheit beschäftigt. Da es hier leider deutlich mehr als fünf Denkfehler gibt, wollen wir Sie in diesem Beitrag bei fünf weiteren Themen wieder auf die richtige Fährte führen.
Zahlreiche IT-Verantwortlichen sind der Meinung, dass man nur genügend Geld ausgeben muss, um jedes erdenkliche Sicherheitsproblem zu lösen. Diese Theorie stimmt bis zu einem gewissen Grad. Es richtig, dass sich die Zahl der Cyberangriffe seit 2017 mehr als verdoppelt hat. Und es ist ebenfalls so, dass bei weitem nicht alle zusätzlichen Angriffe auch von Erfolg gekrönt waren. Das lässt sich in der Tat auch auf höhere Sicherheitsbudgets und mehr geschultes Personal zurückführen. Gerade der Faktor Mensch verhindert jedoch, dass mehr Investitionen in Cybersicherheit nicht im gleichen Umfang zu mehr Sicherheit führen. Viele Attacken sind nur erfolgreich, weil aktuelle oder ehemalige Mitarbeiter dies durch ihr Verhalten erst möglich machen. Gegen sie ist zumeist auch der beste Schutz machtlos.
Nicht selten tragen die Medien dazu bei, dass das Bild von Hackern verdreht ist. Schaut man Filme, so werden diese gerne als nerdige Jugendliche oder wütende ehemalige Mitarbeiter dargestellt. Gemein haben sie, dass ihre Fähigkeiten eher gering ausgeprägt sind und sie gerne mit Holzhammermethoden vorgehen. So werden sie auch gerne verharmlosend mit Begriffen wie Trollarmee, Putin-Bots, Spaßguerilla oder Chinesische Hacker-Sklaven abqualifiziert. Hier muss noch einmal unterstrichen werden, dass die Hackerszene sehr heterogen ist. Auch wenn sich manche Angreifer in erster Linie um schnöden Mammon kümmern, so heißt es nicht, dass man es nicht mit Vollprofis zu tun haben kann. Cyberkriminelle müssen immer wieder neue Schwachstellen auftun, was einer gewissen Fachkenntnis bedarf. Darüber hinaus müssen sie immer auf dem neuesten Stand sein, unkonventionell denken und bei Bedarf schnell reagieren. Laien schaffen das zumeist nicht.
Nehmen wir an, ein Cyberangriff war erfolgreich oder wurde durch Sicherheitsmaßnahmen abgewendet. Nun haben sich die Routinen als erfolgreich bewährt oder das angegriffene Unternehmen hat die Möglichkeit, die Sicherheitslücke zu schließen. Kann man davon ausgehen, dass das Risiko für erneute Angriffe gesunken ist? Nein. Cyberkriminelle agieren nicht wie herumreisende Einbrecherbanden, die ein bereits ausgeräumtes Haus nicht mehr betreten. Im Gegenteil gehen sie eher davon aus, dass dort, wo es schon einmal etwas zu holen gab, auch noch mehr sein kann. Wo sich einmal eine Lücke aufgetan hat, da gibt es auch eine zweite. Deshalb sollte man wachsam bleiben.
Häufig wird die Meinung vertreten, dass vor allem die private Nutzung von beruflicher IT-Infrastruktur – vornehmlich das Internet – die Gefahr von Cyberangriffen erhöht. Die Realität ist jedoch, dass die meisten privat aufgerufenen Seiten im Internet keine ernsthafte Bedrohung darstellen. Mitarbeiter lesen Nachrichten, surfen auf ihrem Facebook Account oder bewegen sich auf Instagram usw. Bei privaten E-Mails sieht das Risiko anders aus, jedoch lässt sich dieses durch das blockieren der bekanntesten Freemailer relativ einfach lösen. Die Fälle, in denen durch privates Surfen quasi nebenher Schadsoftware „eingefangen“ wurde, sind verschwindend gering.
Vor allem unter Apple-Nutzern gibt es bis heute die Überzeugung, dass ihre Hardware und Betriebssysteme wenig bis gar keinen zusätzlichen Schutz benötigen. Hier wird unter anderem gerne das strenge Sandboxing des App Stores als Argument ins Feld geführt. Ähnliche Legenden ranken sich auch um Open Source Software, weil die riesigen Communities angeblich dafür sorgen, dass Sicherheitslücken zeitnah erkannt und geschlossen werden. Es stimmt zwar, dass es Systeme gibt, die weniger anfällig für Angriffe sind als andere. Daraus lässt sich jedoch nicht folgern, dass diese Systeme grundsätzlich keinen zusätzlichen Schutz benötigen. Denn, und das ist eine ultimative Wahrheit, kein System ist unangreifbar und kein System ist inhärent sicher.