«Es gibt eine thematische Verschiebung bei den Angriffen»

Cyber-Sicherheit im Home Office

Im Bild:
Max Klaus vom Nationalen Zentrum für Cybersicherheit NCSC

Seit Beginn der Corona-Pandemie boomt das Arbeiten von zu Hause aus. Obwohl an der Cyber-Front bislang keine beachtliche Zunahme an Angriffen zu beobachten ist, mahnt Max Klaus vom NCSC weiterhin zu umsichtigem Handeln.

Autor: Markus Back

Wie sieht das beim NCSC aus, kommt bei Ihnen überhaupt noch jemand zum Arbeiten ins Büro?

Die meisten von uns arbeiten gemäss Vorgaben des Bundesrates schon längere Zeit im Home Office und kommen nur zwischendurch ins Büro. Ich bin beispielsweise dort, wenn ich Online-Konferenzen habe und etwas präsentieren muss, da ich auf der sicheren Seite sein will. Ich wohne in einer ländlichen Region, wo die Internet-Verbindung nicht immer ganz so stabil ist.

Wie gut funktioniert bislang das Arbeiten im Home Office?

Das ist der Vorteil der Informatik. Sie erlaubt es, andernorts zu arbeiten - und dies funktioniert sehr gut. Ich persönlich habe mich im ersten Lockdown anders organisieren müssen. Inzwischen stellt es von den Arbeitsabläufen aber für mich kein grosses Problem mehr dar, wenn ich von zu Hause aus arbeite. Wir können auf alle notwendigen Arbeitsinstrumente aus der Ferne zugreifen.

Für mich persönlich war die grösste Herausforderung das Präsentieren an Online-Konferenzen. Ich halte sehr viele Vorträge und war es gewohnt, vor Publikum aufzutreten. Ich konnte die Reaktionen der Zuhörerinnen und Zuhörer lesen und meine Ausführungen entsprechend anpassen. Das fällt bei Online-Konferenzen komplett weg und war entsprechend gewöhnungsbedürftig.

Gefordert, aber nicht überfordert

Was hat denn bei den Arbeitsabläufen nicht richtig geklappt?

Normalerweise muss ich sehr oft Dokumente ausdrucken. Ich habe zu Hause nur einen kleinen Drucker, der nicht sehr effizient ist. Deshalb habe ich nun Vieles digitalisiert, wodurch ich die benötigen Papiermengen stark reduzieren konnte. So gesehen war für mich Corona der Start zum papierlosen Büro.

Mit dem ersten Lockdown Anfang 2020 wurden viele Mitarbeitende von einem Tag auf den anderen ins Home Office geschickt, von wo aus diese zumindest anfangs ohne eine sichere IT-Infrastruktur arbeiten mussten. Hat sich das auf irgendeine Art und Weise in Ihren Statistiken niedergeschlagen?

Nein, eigentlich nicht. Beim NCSC gingen kaum Meldungen ein, die ein Aufkommen von Cyber-Angriffen durch das Arbeiten im Home Office aufgezeigt hätten. Was wir aber feststellen konnten, war, dass vor allem kleinere Unternehmen mit der Situation gefordert waren. Viele von ihnen mussten zunächst Lizenzen für sichere VPN-Zugänge oder mobile Geräte für ihre Mitarbeitenden beschaffen. Aber in der aktuellen Situation, habe ich den Eindruck, sind diese Probleme gelöst.

Wenn der Kontakt von Angesicht zu Angesicht fehlt, dürften Unternehmen anfälliger für CEO-Fraud oder Social Engineering sein. Was können Sie hierzu sagen?

Das ist sicher ein Thema, aber auch hier hat das NCSC nicht viel mehr Meldungen erhalten als sonst. Wichtig ist aber und bleibt, die Mitarbeitenden für diese Themen zu sensibilisieren. Erfolgt dies konsequent, ist es zumindest aus sicherheitstechnischer Sicht kein Problem, wenn dieser Kontakt von Angesicht zu Angesicht fehlt.

Im Bild:
Max Klaus vom Nationalen Zentrum für Cybersicherheit NCSC

Autor: Markus Back

Wie sieht das beim NCSC aus, kommt bei Ihnen überhaupt noch jemand zum Arbeiten ins Büro?

Wie gut funktioniert bislang das Arbeiten im Home Office?

Gefordert, aber nicht überfordert

Was hat denn bei den Arbeitsabläufen nicht richtig geklappt?

Wenn der Kontakt von Angesicht zu Angesicht fehlt, dürften Unternehmen anfälliger für CEO-Fraud oder Social Engineering sein. Was können Sie hierzu sagen?

Für welche Punkte müssten die Mitarbeitenden bezüglich CEO-Fraud sensibilisiert werden?

Grundsätzlich sollte man vorsichtig sein, wenn der vermeintliche Chef über E-Mail oder SMS Aufträge zu grösseren Zahlungen erteilt. In solchen Fällen ist es unabdingbar, wenn man bei seinem Chef nachfragt. Das gleiche gilt, wenn der angebliche CEO Fragen zu internen Abläufen stellt. Hier sollte man ebenfalls sehr skeptisch sein und sich persönlich bei der Geschäftsleitung rückversichern.

Social Engineering ist fast immer der erste Vorbereitungsschritt für Cyber-Angriffe

Und was wäre hinsichtlich Social Engineering zu sagen?

Social Engineering ist fast immer der erste Vorbereitungsschritt für Cyber-Angriffe. Hierbei wird versucht, das potenzielle Opfer zu beeinflussen und es beispielsweise zur Bekanntgabe von Passwörtern oder das Herunterladen von Remote-Access-Software zu überreden. Dort gilt wie beim CEO Fraud, sehr vorsichtig zu sein und im Zweifelsfall mit seiner Firma Rücksprache zu nehmen.

Zur Person Max Klaus

Max Klaus ist stellvertretender Leiter Operative Cybersicherheit und stellvertretender Leiter Operative Cybersicherheit des Nationalen Zentrums für Cybersicherheit NCSC beim Eidgenössischen Finanzdepartment. Der gelernte Kaufmännische Angestellte qualifizierte sich für diese Position mit diversen Aus- und Weiterbildungen, darunter einem Bachelor-Abschluss in Informatik-Sicherheit. Der 55-Jährige ist leidenschaftlicher Motorradfahrer und verbringt seine Freizeit sonst bevorzugt mit seiner Familie und seinen beiden Hunden.

Sind mit dem vermehrten Arbeiten von zu Hause aus neue Formen von Cyber-Angriffen entstanden?

Das nicht, was wir aber seit Ausbruch der Pandemie feststellen, ist eine thematische Verschiebung der Angriffe, bei denen sich Angreifer das Thema «Corona» zunutze machen. Das NCSC beobachtet oft, dass aktuelle Ereignisse wie die Pandemie, Fussball-Weltmeisterschaften oder Naturkatastrophen von Angreifern genutzt werden, weil sie sich erhoffen, ihren Nachrichten mehr Glaubwürdigkeit zu verleihen und den Kreis potenzieller Opfer zu erweitern.

Wie wird Corona denn genutzt, um Leute digital über den Tisch zu ziehen?

Seit Beginn der Pandemie tauchen vermehrt betrügerische Webshops auf, in denen angeblich Impfstoffe oder Schutzmasken bestellt werden können. Hier wird vorab bezahlt, doch zu einer Auslieferung der Ware kommt es nie.

Das andere, was ich erwähnen kann, sind schadhafte Webseiten. Vor einem Jahr kursierte beispielsweise eine E-Mail, in der man sich die Infektionsraten in seinem Wohnort ansehen konnte. Das Excel-File, das zum Download angeboten wurde, infizierte aber den Computer.

Danke, dass Sie «Technik und Wissen» lesen!
Abonnieren Sie uns! Newsletter / Printmagazin
Und folgen Sie uns: Linkedin

«Sichere Verbindung ist das Wichtigste»

Sie hatten bereits anfangs die fehlenden VPN-Verbindungen angesprochen. Was braucht es darüber hinaus, damit die Arbeit im Home Office nicht im Cyber-Fiasko endet?

Die sichere Verbindung ist das Wichtigste. Was aber ebenso bedeutend ist, ist der Umgang mit klassifizierten Dokumenten. Das geht vielmehr in den organisatorischen Bereich eines Unternehmens und bedarf klar definierter Prozesse. Dokumente müssen klassifiziert und deren Handhabung klar geregelt werden. Welche Dokumente dürfen beispielsweise per E-Mail verschickt werden und welche nicht.

Ausserdem muss klar definiert sein, wie mit geschäftlichen Informationen auf privaten Computern umzugehen ist. Wie können beispielsweise geschäftliche Dokumente sicher entfernt werden, falls das private Gerät einmal entsorgt oder verkauft werden soll? Dazu braucht es klare Vorgaben.

Das könnte Sie auch interessieren

Der Virus lauert überall

Ein Interview mit Pascal Lamia und Daniel Rudin vom ISB

Gibt es darüber hinaus Tipps, die Sie Mitarbeitenden im Home Office geben können?

Bei Telefongesprächen sollte man darauf achten, dass es nicht unfreiwillige Zuhörer gibt, etwa wenn man auf dem Balkon oder auf der Terrasse telefoniert.

Was müsste aus Ihrer Sicht noch abschliessend zum Thema gesagt werden?

Unabhängig vom Arbeitsort, ob im Büro oder von zu Hause aus, ist der richtige Schutz der IT-Infrastruktur durch Passwörter, Updates, Virenschutz, Datensicherung und so weiter von Bedeutung. Auch die Sensibilisierung der Mitarbeitenden ist sehr wichtig. Ihr kommt bei der Arbeit im Home Office noch mehr Bedeutung zu.