Um Unternehmen über die Prävention von Ransomware-Angriffen zu informieren und ihnen dafür die Grundlagen an die Hand zu geben, veröffentlichte das Bundesamt für Sicherheit in der Informationstechnik (BSI) den „Maßnahmenkatalog Ransomware“. Das BSI verpasst hier jedoch womöglich eine große Chance, indem es sich in seinen Empfehlungen nur auf die Eindämmung von Ransomware konzentriert.
Der kürzlich veröffentlichte BSI-Leitfaden ist eine großartige Initiative – jedoch ist seine Zielgruppe für so etwas oft nur schwer zu begeistern. Es gilt daher, diese Gelegenheit, die Leser mit einem Ransomware-Leitfaden zu erreichen, bestmöglich zu nutzen. Man muss sicherstellen, alles Wichtige einzubeziehen und eine umfassende Perspektive zu bieten. Security Awareness ist ein entscheidender Faktor bei der Eindämmung von Ransomware, weshalb das BSI gut daran getan hätte, einige Punkte zu diesem Thema in die Empfehlungen mitaufzunehmen.
Die Rolle von Social Engineering bei Ransomware-Attacken
Ransomware gelangt fast immer über den Faktor Mensch in ein Unternehmen. Beispielsweise erhalten Nutzer eine Phishing-E-Mail mit einem Link, der sie auf eine Website führt, die ihren Rechner mit Ransomware infiziert, oder sie bekommen eine Datei mit einem bösartigen Anhang geschickt. Bei dieser Art schädlicher Software handelt es sich um eine sehr verheerende Form von Malware. Sie kann ganze Unternehmen lahmlegen, sowohl durch Ausfallzeiten als auch durch den Verlust von Reputation.
Der Ransomware-Maßnahmenkatalog enthält zwar viele nützliche Informationen darüber, wie man sich von einem Ransomware-Angriff erholen kann, aber er thematisiert nicht die Vorbeugung eines solchen Angriffs. Natürlich kann Vorbeugung niemals zu 100 Prozent garantiert werden – ein Handbuch für die Reaktion auf Ransomware ist also grundsätzlich wertvoll. Doch bereits die richtige Prävention kann Unternehmen dabei helfen, eine Menge Ressourcen zu sparen.
Security Awareness Trainings als vorbeugende Maßnahme
Schulungen zum Sicherheitsbewusstsein schaffen eine Belegschaft, die sich über die Gefahren im Cyberraum bewusst ist. Sie ermöglichen es den Mitarbeitern, ein aktiver Teil eines Sicherheitsprogramms zu werden. Die Teilnehmer werden in die Lage versetzt, Cyber-Bedrohungen zu erkennen und auf sie zu reagieren. Die Trainings vermitteln ihnen sowohl das Wissen als auch die Fähigkeiten, die in der heutigen digitalen Welt erforderlich sind.
Aus wirtschaftlicher Sicht ist es wesentlich besser Ransomware vorzubeugen, als sich von einem Angriff zu erholen. Schulungen sind für jeden zugänglich, da sie online angeboten werden. Auf jedem Gerät, zu jeder Zeit und überall. Die Trainings sind kostengünstig, führen nachweislich zu Ergebnissen und können auf die individuellen Fähigkeiten eines jeden Teilnehmers abgestimmt werden. Es wäre enorm wertvoll, wenn die Regierung ihre derzeitigen Bildungskampagnen um Security Awareness Trainings erweitern würde – eine solche Entwicklung würde deutschlandweit die digitale Hygiene und Sicherheit deutlich verbessern. Auch ein Sensibilisierungstool wie der Ransomware-Maßnahmenkatalog sollte sich darauf konzentrieren, auf Maßnahmen wie Schulungen aufmerksam zu machen, die auf allen Ebenen eines Unternehmens umsetzbare Erkenntnisse liefern.
Das Bewusstsein der Menschen zu schärfen, führt jedoch nicht automatisch dazu, dass sie auch nach den neuen Erkenntnissen handeln. Der Schwerpunkt von Schulungen sollte daher nicht nur auf der Vermittlung von Wissen liegen. Es bedarf langfristiger Bemühungen, um Organisationen und Verbraucher zur Teilnahme zu bewegen, und es muss viel Aufwand betrieben werden, um die Bereitschaft und Motivation zu schaffen. Das Endziel ist es, die Menschen zu einem sichereren Verhalten zu bewegen, damit sie bessere Sicherheitsentscheidungen treffen. Durch das Verständnis für den Zweck der Übung sollen die Teilnehmer motiviert werden, das Gelernte anzuwenden.
Fazit
Ransomware wird häufig als etwas Beängstigendes wahrgenommen und oft missverstanden. Viele denken, man könne derartige Angriffe schlichtweg nicht verhindern. Dieser Irrglaube ist wahrscheinlich einer der Hauptgründe, warum sich der Maßnahmenkatalog des BSI auch auf die Prävention konzentrieren sollte. Denn jeder weiß, dass die Prävention eines Vorfalls besser ist, als sich mit seinen Folgen auseinandersetzen zu müssen.
Von Jelle Wieringa, Security Awareness Advocate bei KnowBe4
Symbolbild: Pixabay/TheDigitalArtist
