Kein Pic(k)nic(k) – Cyberangriffe: Bedeutung und Schutz

Experten warnen vor einer steigenden Gefahr für die IT-Sicherheit durch Cyberangriffe. Dabei besteht auch ein hohes Risikopotenzial für die Baubranche, die sich aktuell in der Digitalisierungsphase befindet. 

Wirtschaftsspionage auch im Bau? 

Diese ganzen Vorgehensweisen können zur Cyberspionage auf Industrieebene, zur gezielten Sabotage von Unternehmen oder politischen Einrichtungen oder auch zur Generierung von Einfluss verwendet werden. Jetzt könnte jemand gegenargumentieren, dass das Wissen um verschiedene Arten der Cyberkriminalität doch die Abwehr vereinfacht. Stimmt auch. Allerdings gibt es selbst für die verschiedenen Kategorien keine Standardvorgehensweisen, was den gezielten und allumfassenden Schutz deutlich erschwert oder gar unmöglich macht. Im schlimmsten Fall werden etwa Spionageangriffe zu spät oder gar nicht bemerkt, weil sich die Opfer der Attacke gar nicht bewusst sind oder nicht registrieren, dass etwas nicht stimmen könnte.

Bitte kein Picnic

Und hierin besteht auch ein weiteres essenzielles Problem bei Cyberangriffen: PICNIC, wie es in der IT genannt wird – ausgeschrieben „Problem in Chair, not in Computer“. Das bedeutet, dass selbst Unternehmen, die entsprechend viel Budget in Cybersicherheit und die zugehörigen Softwarelösungen investieren, häufig versäumen, ihre Mitarbeiterinnen und Mitarbeiter in Sachen IT- und Cybersicherheit zu schulen. Daraus resultiert ein doch unbekümmerter Umgang mit der IT-Infrastruktur: Webseiten werden geöffnet, jeder Pop-Up wird ohne Zögern bestätigt, Links in E-Mails werden angeklickt, Anhänge von angeblichen Kolleginnen oder Kollegen geöffnet.

Hier wird keineswegs böswillige Absicht unterstellt. Diese Fehler beruhen einzig und allein auf Unwissenheit und der fehlenden Schulung zur kritischen Reflexion unbekannter Web-Inhalte. Weiß das Opfer nicht, wie eine reguläre E-Mail aus der Führungsebene von einer Phishing-Mail unterschieden werden kann, drückt es auf den Link oder lädt die Datei im Anhang herunter, was das Risiko einer Cyberseuche erhöht. PICNIC ist kein Einzelphänomen, es gibt auch die Begriffe PEBKAC (Problem exists between Keybord and Chair), IBM Error (Idiot behind Machine error) und so weiter. Die Begriffe klingen alle ganz witzig, meinen auch alle dasselbe, beschreiben aber ein großes und risikoreiches Problem in der Digitalisierungsphase vieler Unternehmen.  

Cyberangriffe und die Baubranche          

Damit zu den speziellen Risiken in der Baubranche: Die Baubranche ist anfällig für Cyberangriffe, weil sie sich in vielen Bereichen noch im Aufbau der Digitalisierung befindet. Nicht zuletzt kommt im Mittelstand immer wieder auch die Aufklärung bezüglich der Gefahren zu kurz, da mittelständische Unternehmen sich nicht unbedingt als Ziele solcher Cyberangriffe sehen. Außerdem setzt die Baubranche verstärkt auf mobile Zusammenarbeit. Hier sind es gerade die oft verwendeten privaten Endgeräte (BYOD = Bring your own device), die hohes Risiko mit sich bringen, da die private und ungeschützte Fehlnutzung Auswirkungen auf das ganze Unternehmen haben kann. Besteht in entsprechenden Unternehmen zudem eine hohe Personalfluktuation, ist ein einheitlicher Stand zur Sicherheit nur schwer durchführbar oder zu prüfen. Daher stellen sich Bauunternehmen als interessante und lukrative Ziele heraus.  

Die Gefahr für Bauunternehmen besteht zum einen in der Spionage in Form von Industrie- und Wirtschaftsspionage, in deren Verlauf zum Beispiel bestimmte interne Informationen beispielsweise zu Projekten veröffentlicht oder an andere Unternehmen verkauft werden können. Andererseits können auch Pläne oder wichtige Interna abgerufen und im schlimmsten Fall für zerstörerische und gefährdende Zwecke wie Sabotageakte verwendet werden. Dabei ist auch die oben genannte Erpressung mit Verschlüsselung durch Ransomware denkbar. 

Das Wichtigste auf einen Blick:

• Malware: Schadsoftware in Form von Viren oder Trojanern zur Beschädigung des jeweiligen Systems

• Ransomware: Möglichkeit, Unternehmen mit der Sperrung oder Löschung diverser Unternehmensressourcen zu erpressen.

• Phishing: Hier werden gefälschte Webseiten, E-Mail-Adressen etc. dazu verwendet, sensible Informationen einzufordern.

• Passwort-Cracking: Beim Cracking werden durch Nutzung von Computerdaten die Passwörter eines Computers wiederhergestellt und genutzt.

• Trojaner: Spielt auf das Trojanische Pferd an. Beschreibt ein Programm, das durch einen falschen Dateinamen getarnt ist, im Hintergrund allerdings Schadsoftware installiert.  

• Distributed Denial of Service (Verweigerung des Dienstes): Gezielter Angriff auf bestimmte Webseiten, um diese zu überlasten und den weiteren Zugriff zu verhindern.

• Pop-up: Grafisches Element, um zusätzliche Inhalte wie Werbung anzuzeigen. In der Cyberkriminalität werden diese oft genutzt, um Links zu Fake-Seiten oder Schadsoftware zu tarnen.

• Hyperlink: Mit Querverweisen vergleichbar. Element im Text, welches per Mausklick Informationen zu dem entsprechenden Begriff zeigt oder zu einer informationsträchtigen Webseite weiterleitet.  

• BYOD (Bring your own device): Mitarbeiter nutzen private Geräte zur Verknüpfung mit dem Unternehmen.

• PICNIC (Problem in Chair, not in Computer): Umgangssprachlicher Begriff, der die Problematik bei Cyberangriffen nicht beim IT-System, sondern bei den Menschen definiert, die es nutzen. (Alternativbegriffe: PEBKAC: Problem exists between Keybord and Chair, IBM Error: Idiot behind Machine error)

Es ist also wichtig, am Ball zu bleiben. Was vor fünf Jahren noch als omnipotente Sicherheitslösung galt, ist heute unter Umständen schon massiv veraltet und gehört aktualisiert und ersetzt. Jedes Unternehmen muss auf dem neuesten Stand sein und die Cyberrisiken ernst nehmen. Neben dem technologischen Schutz ist und bleibt es jedoch das immer aktuell gehaltene Bewusstsein aller Mitarbeiterinnen und Mitarbeiter. Nur wenn alle um Bauunternehmen die Gefahren inklusive aller Methoden und Einfallstore kennen und in den Vorsichtsmaßnahmen geschult sind, können Cyberangriffen wirksam abgewehrt werden.

Tipp: Machen Sie den Schnellcheck und prüfen Sie, ob Sie die IT-Sicherheit im Blick haben.

ZUM SELBSTCHECK IT-SICHERHEIT

Oder gehen Sie in Sachen IT-Schutz auf Nummer sicher. Vereinbaren Sie eine individuelle Sicherheitsschulung. Die BRZ-Sicherheitsexperten zeigen potenzielle Security-Lücken und schulen Sie und Ihre Mitarbeiter. Hier erfahren Sie alle Einzelheiten:
„IT-Sicherheit im Bauunternehmen – Individualschulung zum optimalen Schutz Ihres Firmennetzwerkes“

Ansatzpunkte für die zielgerichtete Weiterentwicklung Ihrer Digitalisierung im Baubetrieb finden Sie auf www.brz.eu/de.

Weitere Informationen:

BSI warnt vor Kaspersky-Antiviren-Software – BRZ empfiehlt Microsoft Defender (www.brz.eu) 

IT-Systeme und IT-Sicherheit für Bauunternehmen (www.brz.eu)

BMI – Cyberspionage – Mehr Angriffe auf Politik, Behörden & Wirtschaft durch Cyber-Spionage (www.bund.de)

BMI – Cyberkriminalität (www.bund.de)

Sie möchten alle Neuigkeiten immer aus erster Hand erhalten?
Dann abonnieren Sie jetzt den kostenlosen BRZ-Newsletter.