Die grösste Schwierigkeit Budget für eine Security-Awareness-Lösung zu erhalten liegt darin, die Unternehmensführung davon zu überzeugen, dass es sich bei solchen Trainings nicht nur um einen Kostenfaktor handelt. Um erfolgreich ein überzeugendes Argument für Security-Awareness-Trainings vorzubringen, müssen Sie aufzeigen, dass solche Schulungen dem Unternehmen kein Geld kosten, sondern genau das Gegenteil bewirken. Die Einführung eines Schulungsprogramms wird dem Unternehmen Geld sparen – und gleichzeitig seinen Ruf bei Kunden und Partnern schützen.

Menschliches Risiko ist einer der Hauptfaktoren für Cybervorfälle. In den folgenden Abschnitten sehen wir uns an, wie Sie mit Statistiken und Risikodaten Ihrer eigenen Organisation ein starkes Argument für Sicherheitsbewusstseinsschulungen als Form des Risikomanagements für menschliche Faktoren formulieren können.

Mitarbeitende werden seit langem als das "schwächste Glied" in der Cybersicherheitskette eines Unternehmens angesehen und auch heute ist menschliches Versagen nach wie vor die Hauptursache für Datenschutzverletzungen. Doch was macht Mitarbeitende zu einer solchen Insider-Bedrohung für Ihr Unternehmen? In diesem Artikel führen wir Sie durch die verschiedenen Arten von Insider-Bedrohungen in Ihrem Unternehmen und die Hauptgründe, warum Unternehmen Nutzer-verursachte Datenverletzung erleiden. Ausserdem geben wir Ihnen Tipps, wie Sie die oben genannten Risiken verringern können!

Was sind die verschiedenen Arten von Insider-Bedrohungen in Ihrem Unternehmen?

Laut dem Data Breach Investigation Report (DBIR) von Verizon sind über 85 % der Datenschutzverletzungen auf "das menschliche Element" zurückzuführen. Gemäss demselbigen Bericht können solche Datenschutzverletzungen auf folgende Ursachen und Faktoren zurückgeführt werden:

• Fahrlässige Nutzer machen 61 % aus
  Dies sind die Nutzer, die E-Mails an falsche Empfänger senden, falsche Anhänge an E-Mails anfügen oder auf einen bösartigen Link in einer Phishing-Mail klicken.
• Fahrlässige Nutzer, die ihre Zugangsdaten im Dark Web preisgeben, machen 25 % aus
  Obwohl diese Nutzer weniger häufig sind, sind sie gefährlicher, da sie Zugangsdaten wie Benutzernamen und Kennwörter preisgeben, die im Dark Web auftauchen. Angreifer nutzen diese verfügbaren Anmeldedaten für gezielte Angriffe, die raffinierter sind als Massen-Phishing-Angriffe.
• Böswillige Benutzer machen 14 % aus
  Die meisten Mitarbeiter haben keine böswilligen Absichten gegenüber ihrem Unternehmen. Leider gibt es jedoch einige, die sensible Unternehmensdaten stehlen, um sie zu verkaufen oder für andere Zwecke zu nutzen.

Warum sind Mitarbeitende eine solche Insider-Bedrohung?

Menschen machen Fehler

Jeder Mitarbeiter macht von Zeit zu Zeit Fehler, sei es, dass er eine E-Mail falsch weiterleitet oder die falsche Datei anhängt. Tatsächlich geben 43 % der Mitarbeiter an, dass sie bei der Arbeit schon einmal einen Fehler gemacht haben, der die Cybersicherheit gefährdet hat. Das Problem ist, dass selbst kleine Fehler dazu führen können, dass sensible Daten in die Hände von Cyberkriminellen oder ins Dark Web gelangen, wo sie für gezielte Angriffe verwendet werden können.

Menschen sind ein lukratives Ziel

Im Internet sind viele Informationen über Ihr Unternehmen einschliesslich Ihrer Lieferanten, Auftragnehmer und Kunden verfügbar. Dies erleichtert es Angreifern, sich als interne und externe Kontakte auszugeben. Es reicht aus, dass eine Person erfolgreich getäuscht wird, um Ihr Unternehmen zu gefährden.. Dies erleichtert es Angreifern, sich als interne und externe Kontakte auszugeben. Es reicht aus, dass eine Person erfolgreich getäuscht wird, um Ihr Unternehmen zu gefährden.

Die häufigste Technik, mit der Angreifer Mitarbeiter ins Visier nehmen, ist Phishing. Diese Angriffe haben sich weiterentwickelt und konzentrieren sich jetzt mehr auf "Spear-Phishing-Angriffe", bei denen gezielte Täuschung durch vorherige Recherche angewendet wird.

Menschen brechen Regeln

In jedem Unternehmen können Mitarbeitende die Vorschriften umgehen - sei es absichtlich oder versehentlich. Typischerweise gehen solche Regelverstösse über die Nichteinhaltung von Kennwortrichtlinien hinaus. Beispielsweise können Unternehmensdaten gestohlen und im Dark Web verkauft werden. Meistens handelt es sich jedoch um weniger böswillige Verstösse, bei denen Mitarbeitende versuchen Kosten zu senken oder Zeit zu sparen. So werden bspw. Passwörter mit Kollegen geteilt, damit kein zweites Konto für einen Systemzugang erstellt werden muss.

Wie man Mitarbeitende als Pfeiler in der Cybersicherheit integriert

Um das Cybersicherheitsproblem anzugehen, versuchen Unternehmen ihre Mitarbeitenden in jährlichen oder quartalsweisen Security-Awareness-Schulungen zu sensibilisieren. Da die ganze Belegschaft trainiert wird, werden solche Workshops jedoch schnell generisch und wenig interaktiv. Ausserdem verfliegt die Wirkung schnell, da die Schulungen in zu weit auseinanderliegenden Intervallen stattfinden.

Es sind regelmässige, kurze und auf die einzelnen Mitarbeitenden angepassten Trainingseinheiten notwendig, um die Mitarbeitenden auf dem Laufenden zu halten. Weiter soll mit regelmässigen Phishing-Simulationen das Gelernte in der Praxis getestet werden.

Aufbau einer sicherheitsbewussten Belegschaft durch Human Risk Management (HRM)

Human Risk Management (HRM) ist der moderne Ansatz für den Aufbau einer sicherheitsbewussten Belegschaft, ohne die Produktivität des Teams zu beeinträchtigen. Mit unserem vollständig verwalteten HRM-Service sind Sie in der Lage, das Cyber-Risiko für Mitarbeitende zu verstehen und durch regelmässige Schulungen, Phishing-Simulationen, Überwachung des Dark Web und vereinfachte Richtlinienprozesse zu verringern. Zum Start bieten wir Ihnen die Möglichkeit, Ihr menschliches Cyber-Risiko mit einem kostenlosen Human Risk Report (HRR) zu berechnen. In wenigen Schritten berechnen wir den Human Risk Score Ihres Unternehmens und stellen Ihnen einen klaren Aktionsplan zur Stärkung der identifizierten Risikobereiche zur Verfügung. Füllen Sie dieses Formular aus, um ein kostenloses Assessment anzufordern.

Eine Risikobewertung der Cybersicherheit ist ein wichtiges Instrument zum Schutz Ihrer Vermögenswerte, zur Ermittlung potenzieller Schwachstellen und zur Gewährleistung der Zuverlässigkeit Ihrer Dienste.

Risikobewertungen gelten als Schutzmassnahme und dienen dazu, die Risiken potenzieller Bedrohungen wie auch den Schaden im Worst-Case-Szenario zu minimieren.
Wir geben Ihnen einen fachkundigen Einblick in die Methoden der Cybersicherheits-Risikobewertungen, so dass sie für jede Organisation von Nutzen sein können.

Wann sollte ich meine Cybersicherheitsrisiken bewerten?

Eine Risikobewertung ist am nützlichsten, wenn sie regelmässig aber nur so oft wie nötig durchgeführt wird. Wenn Sie sie zu oft durchführen, verursachen Sie hohe Kosten und Änderungen an Ihren Systemen und Prozessen. Wenn Sie sie zu wenig durchführen, bleibt das Risiko von Cyberbedrohungen bestehen.

Die Bewertung sollte jährlich und immer bei der Einführung von neuen IT-Systemen durchgeführt werden. Besondern bei neuen Systemen sollte die Implementierung überprüft werden. Ziehen Sie ausserdem in Erwägung, die E-Mail-Sicherheit in Ihre regelmässigen Bewertungen aufzunehmen, um die Sicherheit Ihrer Kommunikationskanäle und E-Mail-Systeme zu gewährleisten.

Was sind die Vorteile einer regelmässigen Risikobewertung?

Heutzutage sind Cyber-Risiken eine der Hauptrisiken, wie Unternehmen geschädigt werden können. Die Risikobewertung ist deshalb eine Möglichkeit, um Schwachstellen zu erkennen und Massnahmen zu ergreifen. Ausserdem können Sie sich auf allfällige Kosten und Datenschutz-Fragen im Falle eines Vorfalls vorbereiten.
Eine Risikobewertung kann auch dazu beitragen, das Verständnis über die eigenen Systeme und die Kommunikation innerhalb Ihres Unternehmens zu verbessern. Je besser die Risiken und Lösungen kommuniziert werden, desto besser für alle.

• Schützen Sie Ihre Daten:
  Die Bewertung kann dazu beitragen, diverse für Missbrauch anfällige Bereiche in Ihrem Unternehmen zu identifizieren. Ziel ist es, den Diebstahl oder Verlust von sensiblen persönlichen Daten, Systeminformationen oder Passwörtern zu verhindern, die Ihrem Unternehmen schaden könnten.
• Sicherstellung der Systemfunktionalität für Mitarbeitende:
  Ein Cyberangriff kann Sie daran hindern, aktiv am Geschäft teilzunehmen. Wenn bspw. Ihre IT-Plattform beschädigt wird oder nicht mehr erreichbar ist, können Mitarbeitende nicht mehr auf dem System arbeiten und es besteht ein hohes Risiko von Gewinn- und Produktivitätseinbussen. Eine Risikobewertung kann Sie auf solche Fälle vorbereiten.
• Vorgaben des Regulators einhalten:
  Es muss sichergestellt werden, dass Sie und Dienste die Sie nutzen Ihren gesetzlichen Verpflichtungen nachkommen.
• Langfristige Kostenwirksamkeit:
  Es ist kaum messbar, wieviel Geld Sie durch das Schliessen von in der Risikobewertung erkannten Sicherheitslücken einsparen. Es wird jedoch davon ausgegangen, dass langfristig damit Geld gespart wird.

Welche Formen der Risikobewertung gibt es?

Es gibt im Wesentlichen zwei Möglichkeiten für die Durchführung von Risikobewertungsprüfungen: Intern und Extern. Je nach Budget ist die eine oder andere Methode sinnvoller. Oft ist es jedoch ratsam eine interne und externe Risikobewertung durchzuführen.

• Intern:
  Jedes Unternehmen sollte entweder intern oder über den IT-Dienstleister auf geschulte Mitarbeiter zugreifen können, die in der Lage sind, ihre eigene Risikobewertung durchzuführen. Dies ist die kostengünstigere Variante, da diese Mitarbeitenden entweder intern sind oder ihre Infrastruktur bestens kennen. Ein Vorteil: Ein internes Team kennt die Zusammenhänge der einzelnen Systeme und kann so besser über die einzelnen Risiken beurteilen. Jedoch besteht das Risiko der Betriebsblindheit oder im Falle eines IT-Dienstleisters der Gesichtsverlust.
• Extern:
  Ganz gleich ob Sie einfach nur eine zweite Meinung einholen möchten oder intern nicht auf die notwendigen Ressourcen zugreifen können: Eine externe und unabhängige ist die beste Möglichkeit, eine Risikobewertung der Cybersicherheit durchzuführen. Denn anders als intern, ist ein externer Dienstleister auf solche aufgaben spezialisiert und kann auf Erfahrung zurückgreifen. Ausserdem kann er Systeme in einem anderen Blickwinkel betrachten.

Welche potenziellen Risiken können die Bewertungen aufzeigen?

Risiken werden in folgende drei Kategorien aufgeteilt:

• Schwachstellen:
  Als Schwachstelle gilt eine Lücke in Ihren Systemen, die dazu genutzt werden könnte, auf Ihre Daten zuzugreifen, Vermögenswerte zu stehlen oder andere Angriffe durchzuführen. Die Schwachstellen werden nach Wahrscheinlichkeit der Ausnutzung sowie Höhe des potenziellen Schadens eingestuft. Zum Schluss werden mögliche Massnahmen zur Reduktion des Risikos aufgezeigt. Es ist wichtig, dass Risikobewertungen auch aktuell bekannte Schwachstellen berücksichtigen.
• Bedrohungen:
  Damit sind alle potenziellen Bedrohungen gemeint, die für Ihr Unternehmen spezifisch sind. Dazu können unter anderem Malware, Cyberangriffe, Phishing, Insider oder Ransomware gehören.
• Assets:
  Bei der Bewertung wird die Notwendigkeit über Schutz jedes einzelnen Assets bewertet. Unter Assets wird alles verstanden, was für Ihr Unternehmen von Wert ist, einschliesslich Mitarbeitende, Produkte, Ressourcen, Systeme oder sogar Ethik. Assets können einen Buchwert besitzen oder sonstige Vorteile für Ihr Unternehmen darstellen. Daher ist es von entscheidender Bedeutung diese zu identifizieren, die Wichtigkeit zu bewerten und sie dann entsprechend zu schützen.

Wie wird eine Risikobewertung durchgeführt?

Im Folgenden sind die acht Schritte aufgeführt, aus denen eine Risikobewertung im Bereich der Cybersicherheit besteht:

1. Die wertvollsten und kritischsten Assets ermitteln:
   In einem ersten Schritt müssen die wichtigsten Assets identifiziert werden. Dazu gehören Mitarbeitende, Büros, IT-Systeme, Daten und Datenbanken uvm... So kann für die restliche Bewertung Zeit und Geld gespart werden. Alles zu schützen ist aufgrund der hohen Kosten oft unmöglich.
2. Identifizierte Assets bewerten:
   Die im ersten Schritt identifizierten Assets werden auf ihre Wichtigkeit gewichtet und definiert, wie stark sich die Risikobewertung mit den einzelnen Assets befassen soll.
3. Identifizieren von Bedrohungen:
   Das bringt uns zur Identifizierung von Bedrohungen. Die Kenntnis Ihrer potenziellen Bedrohungen gibt Ihnen Aufschluss darüber, welche Änderungen Sie an Ihren Sicherheitssystemen und -Prozessen vornehmen. Zu den Bedrohungen können menschliches Versagen, Insider, Systemausfälle, kriminelle Bedrohungen - auch im Zusammenhang mit dem Dark Web-, Missbrauch von Informationen und Daten, Unterbrechung von Diensten oder sogar Schäden durch Naturkatastrophen gehören. Diese Bedrohungen werden dann nach dem Ausmass des potenziellen Schadens eingestuft, den sie verursachen können.
4. Ranking der Bedrohungen:
   Die im vorherigen Schritt identifizierten Bedrohungen werden weiter eingegrenzt und wiederum auf Wahrscheinlichkeit und potenziellen Schaden eingestuft. So können dann entscheiden, wohin das Schutzbudget fliessen soll.
5. Analyse:
   Als Nächstes müssen wir alle gesammelten Informationen auswerten und herausfinden, welche Massnahmen zur Minderung der Risiken ergriffen werden können. Dies könnten neue Authentifizierungsverfahren, Personalschulungen, Sicherheitssensoren in Gebäuden, physische Schlösser oder Softwarelösungen sein.
6. Wahrscheinlichkeit und Auswirkungen potenzieller Bedrohungen:
   Auch hier muss die Liste der Bedrohungen auf der Grundlage der Auswirkungen der Bedrohung verfeinert werden. Angenommen es kommt zu einer Datenpanne. Welche Verfahren hat Ihr Unternehmen für solche Fälle vorgesehen? Dies könnte bedeuten, dass Sie eine Versicherung abschliessen und Mittel zur Deckung der Kosten bereitstellen müssen oder Sie können ermitteln, wie viel Geld Sie für präventive Sicherheitsmassnahmen ausgeben sollten.
7. Risikopriorisierung auf der Grundlage von Kosten und Wert:
   Sie müssen den Wert eines Assets (sowohl in finanzieller Hinsicht als auch in Bezug auf den Ruf) ermitteln und dann die Kosten für seinen Schutz bestimmen. Wenn die Kosten geringer sind als der Wert, sollten Massnahmen ergriffen werden.
8. Bericht erstellen:
   Der letzte Schritt jeder Risikobewertung besteht darin, einen umfassenden Bericht über die gesammelten Informationen und Einstufungen zu erstellen. Im Bericht werden die Risiken, Schwachstellen und Wertbeurteilungen behandelt und auch die empfohlenen Optionen aufgeführt.

Abschliessende Gedanken zu Risikobewertungen

Die Durchführung einer Risikobewertung im Bereich der Cybersicherheit ist für den Schutz eines jeden Unternehmens von entscheidender Bedeutung. Wenn Sie die grössten Risiken, denen Ihr Unternehmen ausgesetzt ist, nicht erkennen und sich nicht dagegen schützen, kann grosser Schaden entstehen. Deshalb ist es wichtig, die Risiken regelmässig nach Wert und Kosten zu bewerten, anzugehen und zu mindern.