SECURITY-STORYS · SAISON
Vergessen Sie Kettensägen und Geistervillen. Der wahre Horror in
deutschen Unternehmen hat kein Gesicht, macht keinen Lärm und kommt
nicht um Mitternacht. Er kommt an einem ganz normalen Dienstagvormittag,
per E-Mail, und beginnt mit einem Klick, den niemand mehr rückgängig
machen kann.
Zu Halloween erzählt man sich Gruselgeschichten. Hier sind drei –
alle wahr in dem Sinne, dass sie sich so oder so ähnlich jede Woche
irgendwo abspielen. Und alle enden mit einem Satz, der Geschäftsführern
nachts den Schlaf raubt.
Gruselgeschichte 1:
„Wir haben doch Backups”
Es ist Montagmorgen. Die Bildschirme zeigen statt der gewohnten
Oberfläche eine Nachricht in gebrochenem Englisch. Alle Dateien
verschlüsselt. Aber kein Grund zur Panik – es gibt ja Backups. Die IT
klickt sich zum Backup-Server durch.
Und findet: auch verschlüsselt.
Denn die Angreifer waren nicht dumm. Sie saßen schon seit Wochen
unbemerkt im Netz, haben sich in Ruhe umgesehen und als Erstes das
getan, was jeder professionelle Erpresser tut – die Backups gesucht und
mitgenommen. Ein Opfer mit funktionierenden Backups zahlt schließlich
kein Lösegeld.
Der gruselige Satz lautet hier nicht „wir haben keine Backups”. Er
lautet: „Wir hatten Backups – aber niemand hat je geprüft, ob
sie im Ernstfall auch erreichbar und wiederherstellbar sind.”
Ein Backup, das im selben Netz mit denselben Rechten erreichbar ist wie
alles andere, ist kein Notausgang. Es ist nur eine weitere Tür, die der
Angreifer abschließt. Was gegen dieses Szenario hilft – unveränderbare
Backups und getestete Wiederherstellung – ist unspektakulär und rettet
trotzdem Existenzen.
Gruselgeschichte 2:
„Das war doch der Chef”
Die Buchhalterin bekommt eine E-Mail vom Geschäftsführer. Dringend,
vertraulich, eine Überweisung, die heute noch raus muss – eine wichtige
Akquise, niemand darf davon wissen. Der Ton stimmt, die Signatur stimmt,
sogar die kleine Eigenart, wie er immer „Beste Grüße” abkürzt, stimmt.
Sie überweist.
Der Chef hat diese Mail nie geschrieben.
Willkommen beim CEO-Fraud, dem Grusel ohne jede Schadsoftware. Kein
Virus, kein Hack im technischen Sinne – nur ein Angreifer, der die Firma
studiert hat, weiß, wer wann in Urlaub ist, wie im Haus kommuniziert
wird, und der auf einen einzigen Moment von Vertrauen und Zeitdruck
setzt. Die Technik ist hier nicht das Opfer. Der Mensch ist es.
Der gruselige Satz: „Aber es sah doch genau so aus wie
immer.” Genau das ist der Punkt. Diese Angriffe sehen nicht
mehr aus wie die Phishing-Mails von 2010 mit dem nigerianischen Prinzen.
Sie sehen aus wie der Alltag. Und genau deshalb hilft dagegen keine
Software allein, sondern eine Belegschaft, die den Reflex hat, im
Zweifel kurz zum Hörer zu greifen – und eine Kultur, in der diese
Rückfrage niemandem peinlich ist.
Gruselgeschichte
3: „Der arbeitet doch längst nicht mehr hier”
Ein halbes Jahr nach der Kündigung fällt bei einer Routineprüfung
auf: Das Konto des ehemaligen Vertriebsleiters ist noch aktiv. Voll
funktionsfähig. Mit Zugriff auf Kundendaten, Angebote, das gesamte
Postfach. Sechs Monate lang. Ob jemand es genutzt hat? Das weiß niemand
– denn die Protokollierung war auch nicht eingeschaltet.
Der gruselige Satz: „Das wollten wir eigentlich längst
deaktivieren.” Der Klassiker. Nicht Bosheit, nicht Inkompetenz
– nur das Fehlen eines Prozesses, der beim Austritt zuverlässig alle
Türen schließt. Ein vergessenes aktives Konto eines Ehemaligen ist eine
offene Hintertür, die niemand bewacht. Und im Zweifel merkt man es erst,
wenn es zu spät ist.
Was diese Geschichten
gemeinsam haben
Keine der drei Geschichten handelt von genialen Hackern, die durch
Firewalls schneiden wie durch Butter. Sie handeln von Lücken, die längst
bekannt sind und die trotzdem offen bleiben – weil „läuft ja” ein
verführerischer Zustand ist und weil Sicherheit die undankbare
Eigenschaft hat, erst dann sichtbar zu werden, wenn sie fehlt.
Das ist die eigentliche Gruselpointe: Der Horror ist selten
spektakulär. Er ist banal, vermeidbar und wiederholt sich, weil die
unaufgeregten Grundlagen – geschützte Backups, wachsame Menschen,
saubere Prozesse – eben nicht gruselig genug klingen, um Priorität zu
bekommen. Bis zu dem Dienstagvormittag, an dem sie es plötzlich
sind.
Halloween ist vorbei, sobald man das Licht anmacht. Ein
IT-Sicherheitsvorfall nicht. Wenn Sie wissen wollen, welche dieser drei
Türen bei Ihnen offensteht, bevor jemand anderes es herausfindet – wir
schauen mit Ihnen nach. In einem kostenlosen
Erstgespräch, ganz ohne Verkleidung.
Wenn es bei Ihnen schon brennt und Sie akute Hilfe brauchen:
unsere Notfallnummer ist +49 5362 975 28 66.