So schaffen Sie größtmögliche Cybersicherheit für Ihr Planungsbüro

Viele Cyberangriffe erfolgen ungezielt, z.B. über massenhaft verschickte E-Mails. Sie können jedes Unternehmen treffen – auch das kleinste Planungsbüro. Für die Cybersicherheit sind daher wachsame, informierte Mitarbeitende unverzichtbar. Ihre Reaktion auf eine betrügerische E-Mail kann tagelange Betriebsausfälle verhindern.

Die Einschätzungen des Bundesamts für Sicherheit in der Informationstechnik (BSI), diverse Befragungsergebnisse und unser Eindruck aus der Praxis stimmen überein: Cyberangriffe werden immer häufiger. Täglich werden Hunderttausende neue Schadprogramm-Varianten bekannt.

Schlagzeilen machten in den letzten Jahren vor allem Ransomware-Angriffe. Bei diesen Angriffen verschlüsseln Cyberkriminelle die Computer eines Unternehmens und machen sie so unbenutzbar, was zu massiven Ausfällen führt. Für die Entschlüsselung fordern sie ein Lösegeld. Bei Großunternehmen erreichen diese Forderungen oft mehre Millionen Euro.

Warum KMU besonders gefährdet sind

Aber die Angriffe auf Großunternehmen bilden nur die Spitze des Eisbergs. Viele Cyberattacken erfolgen automatisiert nach dem Gießkannen-Prinzip. In Deutschland sind ihre Opfer überwiegend kleine und mittlere Betriebe (KMU). Zum einen, weil KMU über 99 % aller deutschen Betriebe stellen. Zum anderen macht die typische Struktur von KMU sie besonders verletzlich für Cyberangriffe.

Denn oft besitzen z.B. Planungsbüros keine eigene IT-Abteilung, die stringent für Cybersicherheit sorgt. Die Coronavirus-Pandemie hat die Lage zusätzlich verschärft: Durch schnell aufgesetzte Strukturen und unzureichend abgesicherte Zugänge vom Homeoffice zum Unternehmensnetzwerk sind viele KMU noch leichter angreifbar geworden.

KMU sind für Cyberkriminelle attraktiv

„Aber warum sollte uns jemand angreifen, bei uns gibt es doch nichts zu holen?“ Das ist eine häufige Frage kleinerer Unternehmen. Aus Sicht der Cyberkriminellen gibt es jedoch auch beim kleinsten Planungsbüro so einiges zu holen:

• Daten: Kontaktdaten, Zahlungsdaten, Kundendaten, Verträge, Baupläne und Logins können Cyberkriminelle im Darknet verkaufen oder selbst nutzen, z. B. für Identitätsdiebstahl.
• Lösegelder: Wie die meisten Unternehmen sind auch Planungsbüros auf ihre IT angewiesen. Für Cyberkriminelle eine gute Voraussetzung, um per Ransomware Lösegeld zu erpressen.
• Zugänge zu anderen Unternehmen: Oft versuchen Cyberkriminelle, große Unternehmen durch ihre leichter angreifbaren Subunternehmer zu attackieren. So wurde z. B. die Einzelhandelskette Target über Zugangsdaten angegriffen, die Cyberkriminelle von einem Subunternehmer für Klimaanlagen gestohlen hatten.

Im Darknet können Cyberkriminelle fertige Schadsoftware-Kits kaufen, die automatisch Tausende von Angriffsversuchen durchführen. Das bedeutet wenig Aufwand und sich summierende Gewinne, wenn mehrere Angriffe erfolgreich sind.

Jede Sicherheitslücke wird ausgenutzt!

Cyberattacken sind sehr vielfältig und breit gefächert. Denn hinter dem Oberbegriff „Cyberkriminelle“ verbergen sich viele unterschiedliche Motivationen, Vorgehensweisen und technische Fähigkeiten. Was alle Angriffe gemeinsam haben: Sie sind auf Sicherheitslücken angewiesen, um erfolgreich zu sein.

Das können offene Zugänge zu Servern sein, die per Internet erreichbar sind. Oder leicht zu erratende Passwörter wie „123Passwort“. Oder wohlmeinende Mitarbeitende, die den Anhang einer zweifelhaften E-Mail öffnen. Aktuell erfolgen die meisten Angriffe per E-Mail.

Angriff per E-Mail: Worst-case-Szenario

In einem Planungsbüro geht eine E-Mail ein, vermeintlich eine unerwartete Rechnung einer freien Architektin. Verwundert öffnet ein Mitarbeiter den Anhang, um die Rechnung zu überprüfen. Das vermeintlich harmlose Dokument löst allerdings die Installation von Ransomware aus, die sich im Hintergrund ausbreitet.

Schließlich ist kein Computer im gesamten Unternehmensnetzwerk mehr nutzbar. Auch die Rechner der Kolleginnen und Kollegen im Homeoffice nicht. Die Bildschirme sind schwarz, nur eine Lösegeldforderung ist sichtbar.

Der Betrieb steht still. An den aktuellen Planungen kann nicht weitergearbeitet werden, Abgabetermine können nicht eingehalten werden. Kunden und Partnerunternehmen können kaum informiert werden, da auch die E-Mail-Programme und Kontaktdaten verschlüsselt wurden.

Insgesamt kommt es zu einem mehrtägigen Betriebsausfall. Fachleute müssen die Computer von der Schadsoftware bereinigen. Zusätzlich müssen sie das System vor erneuten Angriffen absichern. Viele Daten können aus alten Backups wiederhergestellt werden. Aber die Arbeiten der letzten Tage sind verloren. Der Vorfall muss der Datenaufsichtsbehörde gemeldet werden, Verzögerungen müssen nachgearbeitet und Kunden beschwichtigt werden. Wie hätte sich all dies verhindern lassen?

Angriff per E-Mail: Best-case-Szenario

In einem Planungsbüro geht eine E-Mail ein, vermeintlich eine unerwartete Rechnung einer freien Architektin. Verwundert ruft ein Mitarbeiter des Planungsbüros kurz bei ihr an und fragt nach – er nutzt bewusst nicht die Absenderadresse der zweifelhaften E-Mail. Die Architektin erklärt erstaunt, sie habe keine Rechnung geschickt. Der Mitarbeiter macht Screenshots von der betrügerischen E-Mail und warnt damit alle anderen im Planungsbüro. Danach geht der Arbeitsalltag seinen gewohnten Gang.

Das Best-case-Szenario ist ein Gemeinschaftsprojekt

Angesichts der vielfältigen Cyberangriffe ist es wichtig, möglichst viele Sicherheitslücken zu schließen. Häufig arbeiten Planungsbüros mit externen IT-Dienstleistern zusammen und erwarten, dass diese umfassend für Cybersicherheit sorgen. Aber auch der beste IT-Dienstleister kann einen Fall wie den oben beschriebenen Angriff nicht verhindern. Das können nur entsprechend geschulte Mitarbeitende.

Bei anderen potenziellen Sicherheitslücken, z. B. leicht zu erratenden Passwörtern, ist Zusammenarbeit gefragt – dass der IT-Dienstleister sichere Passwörter einrichtet und dass die Mitarbeitenden sie wie vorgesehen nutzen.

Zusätzlich ist es essentiell, den Fall der Fälle vorzubereiten: einen erfolgreichen Cyberangriff. Wer genau weiß, was dann zu tun ist, kann die Schäden deutlich verringern und weitere Angriffe verhindern.

Was bedeutet das konkret?

Die solide Cybersicherheit Ihres Planungsbüros steht auf vier Säulen:

• Technische Absicherung durch Ihren IT-Dienstleister,
• Schulung Ihrer Mitarbeitenden,
• Notfallplan und spezialisierte Notfallhilfe für Cyberangriffe und
• Backups, die nach einem Cyberangriff möglichst flüssiges Weiterarbeiten ermöglichen.

Umfangreiche, kostenlose Informationen zum Thema Cybersicherheit bietet das Bundesamt für Sicherheit in der Informationstechnik ( www.bsi.bund.de ). Auch Cybersicherheitsunternehmen wie Perseus Technologies veröffentlichen viele kostenlose Informationen, z. B. Leitfäden, Webinare und Blogartikel.

IT-Dienstleister: Die technische Seite

IT-Dienstleister sind oft übersehene Helden der Cybersicherheit. Selten wird anerkannt, wie viele grundlegende, meist technische Sicherheitsmaßnahmen sie im Hintergrund einrichten. Dazu gehören z. B. Virenscanner und Firewalls. Fragen Sie Ihren IT-Dienstleister, welche Maßnahmen bei Ihnen bereits eingerichtet sind und welche zusätzlich machbar wären.

Unverzichtbare Maßnahmen:

• umgehende Updates von Programmen, Betriebssystemen und Servern
• verschlüsseltes WLAN
• sichere, einzigartige Passwörter
• abgesicherte Fernzugänge für Homeoffice und Reisende
• abgesicherte Server
• Antivirusprogramm und Firewall

Mögliche Zusatzmaßnahmen:

• Netzwerksegmentierung
• Verschlüsselung sensibler Daten
• eingeschränkte Berechtigungen und Zugriffsrechte
• Einrichtung von Backups
• physische Firewall
• Isolation von Programmen („Sandboxes“)

Die menschliche Firewall

Geschulte, umsichtige Mitarbeitende sind für die Cybersicherheit Ihres Planungsbüros unersetzlich. Besonders wichtig sind ihr kritischer Umgang mit E-Mails, Aufmerksamkeit für ungewöhnliche Vorfälle und das Verständnis für Sicherheitsmaßnahmen, beispielsweise komplexe, einzigartige Passwörter. Durch Schulungen können Sie viele Cyberangriffe vereiteln, die auf menschliche Fehler abzielen.

Schulungen bedeuten einen zusätzlichen Aufwand – für die Geschäftsführung und für die Mitarbeitenden. Dieser Aufwand lässt sich durch fertige, externe Schulungen minimieren. Online-Trainings von Perseus sind beispielsweise in extrakurze Einheiten unterteilt, um sich möglichst gut in den Arbeitsalltag einzupassen. Zusätzlich gibt es praktische Übungen mit simulierten betrügerischen E-Mails und die Option, verdächtige E-Mails von Fachleuten überprüfen zu lassen.

Einige Anbieter (auch Perseus Technologies) bieten kostenlose Testzeiträume an. So finden Sie und Ihre Mitarbeitenden schnell heraus, wie gut Sie mit dem Schulungsmaterial zurechtkommen.

Notfallplan und Notfallhilfe

Auch umfassende Schutzmaßnahmen können keine 100%ige Sicherheit garantieren. Im Ernstfall kann die schnelle, richtige Reaktion auf einen Cyberangriff jedoch viele Schäden verhindern bzw. erheblich verringern. Es lohnt sich deshalb, diese Reaktion in Ruhe vorzubereiten.

Notfallplan: Was ist bei einem Cyberangriff zu tun? Das verrät ein Notfallplan (auf Papier!), der für alle Mitarbeitenden leicht zugänglich sein muss. Viele Anbieter – so auch Perseus Technologies – helfen Ihnen, einen individuellen Notfallplan zu erstellen. Aber auch ein rudimentärer Notfallplan ist besser als keiner. Die drei wichtigsten Schritte eines rudimentären Notfallplans sind:

• Dokumentieren. Mit dem Handy kurz den Computerbildschirm fotografieren.
• Abschalten. Alle Verbindungen zum Rechner trennen (Internet, Netzwerk) und den Netzstecker des Rechners ziehen.
• Fachleute anrufen. Eine spezialisierte Notfallhilfe z. B. von Perseus Technologies führt Sie durch alle weiteren Schritte.

Notfallhilfe: Je nach Schadprogramm sind ganz unterschiedliche Maßnahmen möglich und notwendig. Wir empfehlen, sich an eine spezialisierte Notfallhilfe zu wenden, die sich genau in der komplexen Vielfalt der Schadprogramme auskennt. Spezialisierte Dienstleister wie Perseus Technologies stehen Ihnen zudem als Krisenmanager zur Seite. Denn oft geht es nicht nur um die Schadensbegrenzung, -beseitigung und Betriebswiederherstellung, sondern auch um viele weitere Fragen. Zum Beispiel, ob Sie den Angriff der Aufsichtsbehörde melden müssen und ob Sie Kunden informieren müssen.

Datensicherungen verringern Ausfälle

Backups – Sicherheitskopien – ermöglichen nach Cyberangriffen eine schnelle Betriebswiederaufnahme. Zudem sind Sie durch Ransomware kaum erpressbar, wenn Sie eine intakte Kopie all Ihrer Daten haben.

Jedes nutzbare Backup ist besser als kein Backup! Falls Sie sich nicht sicher sind, ob es in Ihrem Planungsbüro Datensicherungen gibt, legen Sie direkt ein Backup an, z. B. auf einer externen Festplatte. Ist das Backup fertig, trennen Sie es sofort vom System – also z. B. die externe Festplatte sofort vom System abkoppeln. Das ist wichtig, weil viele Ransomware-Programme gezielt nach Backups im System suchen, um sie zu verschlüsseln und so unbrauchbar zu machen.

Sinnvolle Backup-Strategie entwickeln

Wir empfehlen, für alle Eventualitäten mehrere Backups zu erstellen. Bewährt hat sich hier die 3-2-1-Strategie. Sie beinhaltet (mindestens) drei Backups, also drei Sicherheitskopien Ihrer Daten. Dabei sollen (mindestens) zwei unterschiedliche Datenträger genutzt werden, beispielsweise eine externe Festplatte und ein Cloudspeicher. Mindestens ein Backup sollte getrennt vom System aufbewahrt werden. Möglichst auch an einem anderen Ort, damit es z. B. nach einem Brand oder Wasserschaden im Büro erhalten bleibt.

Backups sollten so häufig aktualisiert werden, dass das Planungsbüro nach einem Datenverlust möglichst flüssig weiterarbeiten könnte. Hier kann der IT-Dienstleister helfen und beispielsweise einrichten, dass ganze Backups oder einige Ordner automatisch aktualisiert werden. Achten Sie aber immer darauf, dass Sie ein möglichst aktuelles Backup haben, das nur kurz zur Aktualisierung mit dem System verbunden wird.

Dieser Artikel von Thorsten Linge erschien zuerst in TGA Fachplaner-Ausgabe 06/2022.Thorsten Linge ist Senior Client Manager bei der Perseus Technologies GmbH, Berlin. Vor dieser Tätigkeit war er über 20 Jahre bei einem internationalen Versicherer in verschiedenen Positionen tätig.