Kaffeepause mit Chris Eckert

In unserer neuen Serie «Kaffeepause» trinken wir mit unseren Dozierenden und Studiengangsleitenden einen Kaffee oder Tee und erkunden die besten Plätze rund um die Europaallee, wo wir als HWZ zuhause sind. In dieser Ausgabe haben wir das il CAFFÈ an der Lagerstrasse 22 besucht. Obwohl auf der Karte die «Cioccolata calda» angeboten wird, kam man unserem Spezialwunsch einer «Cioccolata fredda» entgegen. Wer ein Café für einen Geschäftstermin sucht, ist hier richtig: Es ist ruhig, man kann sich ungestört unterhalten und das Personal ist freundlich und zuvorkommend.

Exkurs Business Protection

Chris, ich lese immer wieder von Human Hacking und Social Engineering – was kann ich mir darunter vorstellen und betrifft das nicht sowieso nur Cyber Angriffe?
Human Hacking oder auch Social Engineering bedeutet gezielte Manipulation von Menschen. Nicht nur im digitalen Sinn, sondern psychologisch, taktische und technische Beeinflussung, um jemanden zu einem Verhalten zu bringen, was er unter normalen Umständen nicht tun würde. Dieses Verhalten kann bewusst oder unbewusst hervorgerufen werden. Oftmals passiert dies unbewusst durch Ablenkung. Bspw. wird ein Mitarbeiter von «Betrüger:innen» in ein Telefongespräch verwickelt und so beeinflusst, dass man Informationen preisgibt, die genutzt werden können, um Zugang zum Unternehmen zu erhalten und diesem zu schaden. Die Mitarbeitenden sind sich dieser Verwicklung gar nicht bewusst, da die Betrüger mit sehr gewieften manipulativen Mitteln vorgehen, die für Laien nur schwer durchschaubar sind. In der Schweiz ist das Thema Human-Hacking noch nicht so im Bewusstsein der Firmen oder Einzelpersonen angekommen. Es gibt jedoch Studien, die bestätigen, dass in mind. 85% aller Cyber-Angriffe, im Vorfeld Social Engineering betrieben wurde. Da die heutige IT-Infrastruktur oftmals technisch so gut ist, macht es dies für Hacker unmöglich, mit allein technischen Mitteln Angriffe zu starten. Also müssen sich die Hacker gezielt zuerst andere Informationen einer Firma beschaffen. Wie im oben beschrieben Beispiel kann dies telefonisch oder persönlich sein, oder auch über E-Mail Konversationen mit Mitarbeitenden. Die Betrüger:innen suchen sich Lücken, um in das System der Firma eindringen zu können.

In der Schweiz machen sich Firmen, Organisationen und Menschen noch nicht wirklich Sorgen bezüglich dieser Thematik. Gibt es andere Länder die weiter sind?
Ursprungsland im Erkennen und Sensibilisieren von Social Engineering ist wohl die USA. Das Wissen ist aus den USA nach UK übergeschwappt. Die deutsche Privatwirtschaft – mit Unterstützung des Staates – ist in diesem Fall bereits weiter als die Schweiz und hat erkannt, dass das Schulen und Sensibilisieren wichtig ist. Angriffe werden dort analysiert und aufgearbeitet. Auch findet die Auseinandersetzung mit der Frage «Wieso wurden wir angegriffen?» statt und hat einen zentralen Stellenwert. Wie war der Modus Operandi und wer waren die Täter? Wenn man dies herausfindet, kann man nachvollziehen, wie die Täterschaft vorgegangen ist und darauffolgend präventive Massnahmen ergreifen. Dies sind Handlungen im Bereich des Human Hacking, welche nicht ausschliesslich mit der IT-Technik zu tun haben. Diese Erkenntnis und Leute dafür zu sensibilisieren, das gibt es in der Schweiz noch nicht so oft. Dieses Thema gehört zum Hauptgebiet unserer Firma Swiss Business Protection.

Welche Firmen können von Human Hacking betroffen sein?
Alle! In der Schweiz handeln wir aktuell oft grobfahrlässig. Bei den meisten Firmen und auch staatlichen Organisationen gilt oft: «Wir waren noch nie davon betroffen, also ist es kein Problem». Management bei Kopfanschlagen ? nenne ich das! Vielleicht kann man es darauf zurückführen, dass es unserer Gesellschaft sehr gut geht und wir ein wenig bequem sind. Man kennt es vom Privaten, oft hat man das Gefühl: «Ich habe ja keine wichtigen Daten, wen soll das schon interessieren». Wenn man sich aber überlegt, wo wir uns täglich exponieren und wo wir die gleichen Zugänge verwenden und womöglich privates mit beruflichem vermischen, sehen wir, da besteht ein Risiko. Sprich, wenn ich auch für private Zwecke meine Firmen E-Mail Adresse benutze bspw. für Instagram, Online-Shopping etc. ist das Risiko für das Unternehmen, welches ich arbeite, viel grösser. Ein immer noch anhaltender Kapitalfehler unserer Zeit ist, das gleiche Passwort mehrere Male zu benutzen. Als User:in wirst du so zum Problem einer Firma, da du viel anfälliger bist für Hacking-Angriffe. Die Awareness in der Schweiz ist hierzu viel zu klein und Mitarbeitende müssten stärker sensibilisiert werden. Wie so oft im Leben reicht es nicht Dinge einmal zu hören. Awareness-Kampagnen müssen immer und immer wieder gemacht werden. Regel: Es sollte nie zweimal dasselbe Passwort benutzt werden und Passwortmanager sind ein gutes Mittel, um Passwörter zu schützen.

Was kann denn wirklich passieren, sprich was sind die Worst-Case-Szenarien, die Unternehmen passieren können:
Finanzieller Schaden ist nur ein Beispiel. Wird eine Firma gehackt und ist sie für einige Tage nicht handlungsfähig, kann dies einen grossen finanziellen Schaden verursachen. Es gibt immer mehr Beispiele von Unternehmen, die erpresst wurden, aber nicht zahlen wollten. Die Produktionskette waren vernetzt über die IT, alle Kundendaten etc., etc. Der unternehmerische Ruin kann die Folge sein. Der Reputationsschaden, der aus solchen Angriffen entstehen kann, ist immens. Spitäler bspw. gehören zur kritischen Infrastruktur und sind auch einem grossen Risiko ausgesetzt. Stell dir vor, die Erpresser dringen ins vernetzte System ein. Die Regelung der Beatmungsmaschinen funktionieren nicht mehr, das System wird gehackt und die Medikamentenlisten sind nicht mehr elektronisch abrufbar. Sie können aufgrund des Stromausfalles auch nicht gedruckt werden, jemand vertauscht Lachgas/Sauerstoff-Zugänge – Fahrlässig!  Die kritischen Infrastrukturen wie bspw. Stromlieferanten haben zwar höhere Hürden, welche sie erfüllen müssen, aber stell dir vor, wir haben zwei Tage keinen Strom mehr, dann haben wir ein riesen Chaos. Panikverfall kann sehr schnell gehen, wie man auch in der Pandemie gesehen hat. Wir sind uns gewohnt, alle Bedürfnisse sofort zu befriedigen. In der Pandemie wurden wir zum ersten Mal damit konfrontiert, was passiert, wenn nicht mehr alle Bedürfnisse unmittelbar befriedigt werden können.