42 Prozent der CISOs in Unternehmen leiden an Cybersicherheitsmüdigkeit und resignieren bei der proaktiven Verteidigung gegen Angreifer, so der CISO Benchmark Report 2020 von Cisco. Laut eine Studie greifen Hacker jeden PC mit Internetzugang alle 39 Sekunden an; das sind im Durchschnitt 2.244 Attacken pro Tag. Unsichere Benutzernamen und Passwörter erhöhen dabei die Erfolgschancen der Hacker. Denn sie verwenden häufig Brute-Force-Methoden, um nach dem Zufallsprinzip eine große Anzahl von Computern anzugreifen.
Die Studien-Autoren richteten auf vier Computern mit Internetzugang schwache Sicherheitsvorkehrungen ein und zeichneten auf, wie die Rechner angegriffen wurden. Demnach nutzten die meisten Angriffe relativ einfache Methoden. Am häufigsten wurde „root“ als Benutzername ausprobiert – 12 Mal so oft wie der zweitplatzierte „admin“. Es folgten „test“, „guest“, „info“, „adm“, „mysql“, „user“ und „administrator“. Demnach gehen wohl viele Hacker davon aus, dass voreingestellte Standard-Passwörter nie geändert werden.
Beim Passwort wiederholen die meisten Angriffsversuche einfach den Benutzernamen. Das war in 43 Prozent der Fälle zu beobachten. Am zweithäufigsten wurde als Passwort der Benutzername gefolgt von „123“ ausprobiert. Weitere oft versuchte Eingaben waren „123456“, „password“, „1234“, „12345“, „passwd“, „123“, „test“ und „1“. Diese Ergebnisse unterstreichen einmal mehr die Bedeutung von komplexen Passwörtern.
Die wichtigsten Schutzmaßnahmen
Um die häufigsten Angriffe abzuwehren, müssen die Administratoren in Unternehmen konsequent alle Systeme auf solche voreingestellten und häufig genutzten Kombinationen aus Kennwort und Passwort untersuchen. Anschließend sind längere, komplexe Zugangskennungen aus Groß- und Kleinbuchstaben sowie Sonderzeichen und Zahlen zu wählen, die nicht für Brute-Force-Angriffe anfällig sind. Falls Nutzer selbst ihr Passwort ändern, kann entsprechende Software die Wahl einfacher Passwörter verhindern.
Die Security Awareness erhöhen
So sollten Unternehmen die technischen Vorgaben mit geeigneten Security Awareness Trainings ergänzen. Dabei gibt es aus Ciscos internationaler Erfahrung fünf wichtige Trends, die eine langfristige Verhaltensänderung bewirken:
- Hochqualitativer Inhalt: Sicherheitstraining darf nicht auf einem „Standardansatz“ basieren. Inhalte, die in Format und Länge variieren sowie der firmenspezifischen Umgebung entsprechen, fördern bessere Teilnahme- und Nutzungsraten.
- Intuitiver Phishing-Simulator: Szenarien auf Basis echter Cyber- und Phishing-Bedrohungen sollten in das Training integriert sein, um das Nutzerverhalten realitätsnah einschätzen zu können.
- Mehrsprachige Inhalte und Plattform: Für globale Security-Awareness-Programme ist eine entsprechende Sprachunterstützung (mündlich und schriftlich) nötig.
- Kommunikations- und Unterstützungsmaterial: Große Bibliotheken mit vorgefertigten Inhalten und Vorlagen für interne Kampagnenwerbung und Inhaltsverstärkung umfassen auch Videos, Plakate und Newsletter.
- Beratung: Unternhemen können sich von speziellen Anbietern beraten lassen.
Zahlreiche Vorteile
Unternehmen können eine Partnerschaft mit einem Experten für Security Awareness eingehen, der umfassende Fachkenntnisse bietet, um eine optimale Strategie zu entwickeln. Er analysiert den Bedarf des Unternehmens und entwickelt in enger Zusammenarbeit die strategischen Ziele. Der Partner unterstützt die Planung des Sensibilisierungsprogramms einschließlich Phishing-Simulation, Awareness-Training, Kommunikation und Intensivierung. Zudem optimiert er die Programmleistung durch das Festlegen und Messen von strategischen Metriken und KPIs.
So lassen sich qualitativ hochwertige Inhalte für Trainings entwickeln, die Spaß machen und langfristige Verhaltensweisen bewirken. Ein bewährter pädagogischer Ansatz und eine Methodik für die Erwachsenenbildung gewährleisten ein hohes Engagement der Nutzer. Diese lernen grundlegende Maßnahmen für die Cybersicherheit auf eine Weise kennen, die gleichzeitig ihre Affinität zum Unternehmen erhöht. Damit kann sich das Security-Team wieder auf die Abwehr externer Bedrohungen konzentrieren statt auf Schadensbegrenzung durch Unwissen der Mitarbeitenden. Schließlich erkennt keine Sicherheitstechnologie alle eingehenden Bedrohungen vollständig. So spielt die Erhöhung der Security Awareness eine entscheidende Rolle für den allgemeinen Sicherheits- und Risikostatus einer Organisation.
(Quelle: SecurityInsider.de)