Phishing-Risiko minimieren

Phishing-Risiko minimieren
Anzeige

Beitrag teilen

Es vergeht kaum ein Monat, an dem nicht vor neuen Phishing-Attacken gewarnt wird. Phishing gehört weiterhin zu den größten Cybergefahren. Mit acht zentralen Maßnahmen können Unternehmen die Angriffsgefahr entscheidend minimieren.

Die Phishing-Methoden der Angreifer werden unter Nutzung neuester Technologien immer raffinierter. Dass immer mehr Arbeitnehmer von unterwegs oder aus dem Home-Office arbeiten und zum Teil zwischen Firmen- und Privatgeräten wechseln, spielt den Angreifern zusätzlich in die Hände. Darüber hinaus profitieren Hacker vor allem von drei Entwicklungen:

Anzeige
  • Die Mitarbeiter verbringen immer mehr Zeit ihres Privatlebens online, sodass es Angreifern leichtfällt, sie auszuspähen und mit ihnen über soziale Netzwerke in Kontakt zu treten.
  • Die zunehmende Nutzung von SaaS-Tools bringt neue Identitäten mit sich, die oft nur unzureichend gesichert und überwacht werden.
  • Die permanent steigende Zahl neuer digitaler Tools führt vielfach dazu, dass die Mitarbeiter ungewöhnliche Anfragen oder Änderungen im Arbeitsablauf nicht hinterfragen.

Doch wie sollen nun Unternehmen und Behörden dieser wachsenden Phishing-Gefahr begegnen? Eine zentrale Maßnahme zur Reduzierung der Risiken ist die Anwendung eines Zero-Trust-Modells. Bei diesem Sicherheitskonzept wird jede Anfrage für den Zugriff auf eine Unternehmensressource – seien es Daten, Anwendungen oder die Infrastruktur – geprüft, bevor der Zugang gewährt wird. Außerdem wird der Zugriff für verifizierte Benutzer und Geräte streng begrenzt.

Prinzipiell zielen Zero-Trust-Initiativen darauf, die Zugangssysteme Phishing-resistenter zu gestalten, die Endbenutzer beim Erkennen von Phishing-Versuchen zu unterstützen und den potenziellen Schaden einer Attacke zu minimieren.


Acht Sicherheitsmaßnahmen als Best Practices

1. Nutzung von Phishing-resistenten Multifaktor-Authentifizierungs-Verfahren (MFA) wie FIDO, QR-Codes oder physischen Token.

2. Implementierung von grundlegenden Zero-Trust-Richtlinien wie einer Step-up-Authentifizierung beim Starten vertraulicher Anwendungen, einer zwingenden Verwendung von MFA bei Profiländerungen oder einer Einrichtung automatischer Warnungen bei einem riskanten Benutzerverhalten.

3. Segmentierung des Netzwerks, um bei erfolgreichem Phishing die Bewegungsfreiheit des Angreifers innerhalb des Netzwerks einzuschränken und den Zugriff auf vertrauliche Ressourcen zu blockieren.

4. Sicherung der Endgeräte, die für Phishing und Malware anfällig sind, da der traditionelle Netzwerkperimeter im Cloud-Zeitalter als Verteidigungslinie ausgedient hat. Eine zentrale Herausforderung ist dabei die Pflege eines vollständigen, aktuellen Inventars von Nutzern und Geräten.

5. Überprüfung der BYOD-Richtlinien und der Vorgaben für die Mitarbeiter zur Nutzung von Endgeräten beim Zugriff auf Unternehmensanwendungen über das Internet. Für die Sicherung von Home-Office-Netzwerken können zum Beispiel Mindeststandards festgelegt werden, etwa hinsichtlich der Änderung der Standard-Router-Anmeldedaten oder der Verwendung sicherer WLAN-Passwörter.

6. Regelmäßige Durchführung von „Phishing-Übungen“ mit Live-Test-Szenarien und Red-Team-Trainings, um das sicherheitsbewusste Verhalten der Mitarbeiter zu stärken und um über neue Phishing-Angriffstechniken zu informieren.

7. Förderung einer engeren Zusammenarbeit zwischen den Fachabteilungen und der IT, um die Identity Governance und das Lifecycle-Management von Zugriffsberechtigungen zu verbessern, etwa im Hinblick auf die sofortige Deprovisionierung nicht mehr genutzter Accounts.

8. Kontinuierliche Überprüfung von Zugangsberechtigungen und Durchführung von Penetrationstests sowie Optimierung ineffizienter Workflows und Prozesse.

Fazit

„Angesichts generell steigender Sicherheitsgefahren – nicht zuletzt durch Phishing-Attacken – setzen immer mehr Unternehmen auf eine Zero-Trust-Strategie. Viele erforderliche Bausteine und Technologien für eine effiziente Umsetzung bietet eine Identity-Security-Lösung“, erklärt Michael Kleist, Area Vice President DACH bei CyberArk. „Identity Security fokussiert sich auf die Sicherung individueller Identitäten während des gesamten Zugriffszyklus auf wichtige Ressourcen. Dies bedeutet, dass die Identität exakt authentifiziert wird, die Identität mit den richtigen Berechtigungen autorisiert wird und der Zugang für diese Identität zu privilegierten Ressourcen auf strukturierte Weise gewährt wird. Und natürlich werden auch die Compliance-Anforderungen damit erfüllt.“

Mehr bei CyberArk.com

 


Über CyberArk

CyberArk ist das weltweit führende Unternehmen im Bereich Identity Security. Mit dem Privileged Access Management als Kernkomponente bietet CyberArk eine umfassende Sicherheit für jede – menschliche oder nicht-menschliche – Identität über Business-Applikationen, verteilte Arbeitsumgebungen, Hybrid-Cloud-Workloads und DevOps-Lifecycles hinweg. Weltweit führende Unternehmen setzen auf CyberArk bei der Sicherung ihrer kritischsten Daten, Infrastrukturen und Anwendungen. Rund ein Drittel der DAX-30- und 20 der Euro-Stoxx-50-Unternehmen nutzen die Lösungen von CyberArk.


 

Passende Artikel zum Thema

Betrugsmasche: GPT-4 als Köder für Phishing

In der Hoffnung, von dem massiven Interesse an GPT-4 – dem neuen multimodalen Modell von ChatGPT – zu profitieren, haben ➡ Weiterlesen

Studie: Firmendaten im Darknet – 60 Prozent betroffen

Wie eine aktuelle Studie von 26.000 Unternehmen und 80 Branchen zeigt, stehen im Darknet durch Datenlecks viele deutsche Firmendaten zum ➡ Weiterlesen

Password-Management zum Schutz von Enterprise-Nutzern

Neue und erweiterte Funktionen für Workforce Password Management: Die Cloud-basierte Enterprise-Lösung für das Passwort-Management erlaubt es Mitarbeitern, ihre Passwörter und ➡ Weiterlesen

Angriffe auf die Lieferkette

Schon immer suchten Angreifer das schwächste Glied in der Kette, um eine Abwehr zu durchbrechen. Das hat sich auch in ➡ Weiterlesen

Phishing-Attacken erreichen Allzeithoch

Mehr als 30 Prozent der Unternehmen und Privatanwender waren in jedem Quartal von 2022 mobilen Phishing-Angriffen ausgesetzt. Stark regulierte Branchen ➡ Weiterlesen

Entwicklung 2022: Cyberkriminalität, Kriege, Ransomware

In seinem Bericht "2023 State of Malware" stellt Security-Experte Malwarebytes die Entwicklungen des Jahres 2022 zusammen: Geopolitische Cyberkriminalität, Ransomware und ➡ Weiterlesen

Top Malware im Q1-2023: Qbot, Formbook, Emotet

Der Global Threat Index für das Frühjahr 2023 von Check Point zeigt, dass die Malwares Qbot, Formbook und Emotet am ➡ Weiterlesen

Plus 8 Prozent: Mehr Geld für IT-Sicherheit in Unternehmen

Kleine und mittelständische sowie Großunternehmen in Deutschland haben beschlossen, in den kommenden drei Jahren einen größeren Teil ihres IT-Budgets in ➡ Weiterlesen