Soziale Netzwerke gefährden die Sicherheit der Unternehmen

Damit ist diese Methode des Angriffs auf Firmen-IT die zweithäufigste nach Viren und Trojanern. Die IT-Abteilungen investieren inzwischen massiv in Sicherheitsvorkehrungen und interne Aufklärungskampagnen. Erste Erfolge sind zu erkennen: Die Zahl der Sicherheitsverstöße aufgrund zweckentfremdeter E-Mail-Adressen ist seit 2005 rückläufig. Vor zwei Jahren lag die Zahl bei 33,7 Prozent, 2006 beklagten sich 27,2 Prozent der Unternehmen über den Missbrauch der elektronischen Postadresse. Zu diesen Ergebnissen kommt die Studie "IT-Security 2007" der Information Week  .

Eine wahre Fundgrube für Firmen-E-Mail-Adressen sind die in Mode gekommenen Business-Netzwerke. Immer mehr Geschäftsleute nutzen diese Plattformen zur Pflege und zum Aufbau von Geschäftskontakten. Dabei geben sie ihre Kontaktdaten samt E-Mail-Adresse häufig uneingeschränkt einer breiten Öffentlichkeit preis. Hacker können sich mit Hilfe dieser öffentlich zugänglichen Angaben eine fremde Identität verschaffen und so weitere relevante Informationen für das Eindringen in ein Firmennetz zusammentragen.

Der Missbrauch der E-Mail-Adressen von Mitarbeitern kann zudem so weit gehen, dass Hacker unter Nutzung des bekannten und seriösen Namens E-Mails versenden können, die beispielsweise schädliche Dateianhänge, Viren oder Trojaner enthalten. Möglich ist das mit so genannten Ghost-Mailern, einer Software, die die Kopfzeile einer E-Mail vollständig manipulieren kann. Die Folge sind erhebliche Imageschäden für die Unternehmen, deren Firmenadresse missbraucht wird. Zwar kam es in diesem Jahr nur bei 6,9 Prozent der befragten Unternehmen zu dieser Form von Identitätsdiebstahl. Der Trend zeigt allerdings nach oben. 2006 lag die Zahl bei 4,9 Prozent und 2005 sogar nur bei 1,1 Prozent.

Als Schutz vor derartigen Sicherheitsverstößen eignen sich in der Regel nur präventive Maßnahmen, da der wahre Absender bösartiger Nachrichten zumeist nicht oder nur sehr unzureichend identifiziert werden kann. Ein komplettes Verbot, sich über Social-Networking-Portale beruflich auszutauschen, wäre allerdings zu drastisch. Mit konkreten Handlungsanweisungen in den IT-Sicherheitsrichtlinien lässt sich jedoch der Zugang zu Firmendaten deutlich erschweren, so dass ein Großteil der Hacker das Interesse verliert.

Einfachstes Mittel ist, Firmeninformationen beispielsweise auf den Business-Netzwerkseiten und anderen Portalen nicht für jedermann sichtbar zu machen. Hierzu gehören unter anderem E-Mail-Adressen, genaue Positionsbeschreibungen der Mitarbeiter oder Angaben zu Betriebssystemen, Datenbanken, Netzwerkgeräten und Applikationen. Noch wichtiger sind die Einführung und Umsetzung eines für alle Mitarbeiter verbindlichen IT-Sicherheitskonzepts.

Jeder fünfte Betrieb versäumt es derzeit noch, die eigenen Mitarbeiter mit den IT-Sicherheitsbestimmungen ausreichend vertraut zu machen. Zudem eignen sich regelmäßige Schulungen aller Mitarbeiter, um ein Bewusstsein für die Vorgehensweisen von Hackern zu schaffen. Dazu gehört auch die Weiterbildung der IT-Administratoren, damit sie möglichst denselben Wissensstand haben wie potenzielle IT-Störenfriede.

Die Studie bestätigt eine Untersuchung von Sophos   vom Oktober. Nach dieser sehen mehr als 40 Prozent der befragten Unternehmen die eigenen Mitarbeiter im Unternehmen als größtes Sicherheitsrisiko für das Firmen-Netzwerk.

Laut Sophos liegt das an dem allgemein eher leichtfertigen Umgang mit dem Internet. Durch die Nutzung von Peer-to-Peer-Anwendungen sowie Instant-Messaging-Programmen oder der falschen Konfiguration des PCs wird die Sicherheit des Netzwerks durch Mitarbeiter gefährdet.

Auf dem zweiten Platz der Liste der risikoreichsten Anwender sind die mobilen Mitarbeiter. Knapp ein drittel der Unternehmen glaubt, dass Netzwerke am meisten durch Remote-Mitarbeiter gefährdet sind, da deren Geräte schwer auf Sicherheitsrichtlinien kontrolliert werden können.

Steria Mummert Consulting   hatte für die Studie 'IT-Security 2007' von Mai bis Juli 2007 533 IT-Manager und IT-Sicherheitsverantwortliche aus Deutschland befragt.