Threema-Studie zu Kommunikation und Cyberkriminalität Messenger-Dienste im Verdacht eine Angriffsfläche für Cyberkriminelle zu bieten

Anbieter zum Thema

Threema GmbH

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Eine Vielzahl von Unternehmen beschäftigt sich mit dem Thema Cyberkriminalität und will sich schützen. Dabei stehen Kommunikationstools meist nicht im Fokus der Sicherheitsstrategien, doch gerade Smartphones gelten als attraktives Einfallstor.

In der Geschäftswelt spielt die Kommunikation eine zentrale Rolle: Früher wurden Briefe verschickt, heute dominieren E-Mails. Und auch Smartphones werden zunehmend für die interne und externe Kommunikation eingesetzt. Hierbei werden zum Teil sensible Daten verschickt, wie zum Beispiel Verträge. Diese Daten gilt es zu schützen.

Doch beobachtet man die Entwicklungen der letzten Jahre, wird deutlich, dass die Gefahrenlage zunimmt: Immer wieder kam es zu Cyberangriffen und aus diesem Grund investieren Unternehmen verstärkt in Schutzmaßnahmen. Laut der Studie „Kommunikationstools: IT-Verantwortliche gefangen im Netz der Widersprüche [PDF registrierungspflichtig]“ von Threema fokussieren sich die Unternehmen bei ihrer Sicherheitsstrategie auf die Bereiche Cloud-Sicherheit, Datenschutz und Netzwerksicherheit. Die Bereiche mobile Sicherheit und Sicherheit Kommunikationskanäle rücken laut den Studienergebnissen in den Hintergrund.

Die Gefahren bei den Kommunikationstools unterscheiden sich stark:

• Messenger-Apps: Trotz der Nutzung von Messenger-Apps mit einer Ende-zu-Ende-Verschlüsselung können Messenger-Dienstleister Metadaten erfassen und sammeln. Zu diesen Daten gehören Informationen wie unter anderem Standort, IP-Adressen, Telefonnummern und sogar die Dauer der Kommunikation. Diese gesammelten Daten werden meist für Werbe- und Marketingzwecken gesammelt.

• Kollaborationstools: Diese Lösungen gewährleisten den Mitarbeitern, in Echtzeit zusammen zu arbeiten. Die Gefahr besteht darin, dass sie ein beliebtes Einfallstor für Hacker sind. Denn innerhalb dieser Tools können Malware als Anhänge in Chats und Gruppen leicht verbreitet werden.

• E-Mail: Auch die weitverbreitete E-Mail birgt ihre Tücken. Oft sind sie unverschlüsselt und das Anbringen einer Verschlüsselung ist umständlich.

Fehlende Ausweichmöglichkeiten bei den Kommunikationstools

Im Falle einer Cyberattacke müssen Unternehmen damit rechnen, dass die IT-Systemen ausfallen – betroffen können auch die üblichen Kommunikationskanäle (E-Mail oder Kollaborationstools) sein. Daher ist es unabdinglich für solche Ausnahmesituationen eine alternative Kommunikationsmöglichkeit zu schaffen. Die Studie ergab, dass zwar der Großteil der Unternehmen (78 %) über einen Backup-Kommunikationskanal verfügen, doch noch immer sind 20 Prozent der befragten Unternehmen nicht auf den Ernstfall vorbereitet.

Bildergalerie

Bildergalerie mit 6 Bildern

Datenschutz und Kommunikation

Die Europäische DSGVO (Datenschutz-Grundverordnung) sieht vor, dass sensible personenbezogene Daten geschützt behandelt werden müssen. Ein Großteil der befragten Unternehmen (83 % intern/ 51 % extern) tauschen sensible Daten aus – doch lediglich drei Viertel der Unternehmen regeln den Austausch sensibler Daten durch konkrete Vorschriften. Das Probleme bestehe darin, dass die Nutzung von privaten Messenger-Diensten hingegen nicht ausreichend reguliert werde, so das Ergebnis der Studie. Denn in 67 Prozent der befragten Unternehmen sei die Kommunikation über private Messenger-Dienste, sprich das Smartphone erlaubt. Allerdings seien diese laut der Studie weder DSGVO-konform noch entsprechen sie den Sicherheitsstandards.

Trotz des Wissens über die Gefahr privater Messengerdienste und der damit verbundenen Verletzung der DSGVO-Richtlinien, kommen Unternehmen ihrer Pflicht nicht ausreichend nach – sie verwenden die Dienste nichtsdestotrotz. Dabei gefährden sie nicht nur sensible Daten, sondern auch sich selbst, denn IT-Verantwortliche und das Management sind sich ihrer persönlichen Haftung bewusst.

NIS2 ab Oktober 2024 verpflichtend

Die NIS2-Richtlinie (Network and Information Security Directive), die die Unternehmen dazu zwingt, weitere Sicherheitsmaßnahmen vorzunehmen, wird ab dem 17. Oktober 2024 für Unternehmen verpflichtend sein. Betroffen sind allein in Deutschland schätzungsweise 30.000 Unternehmen. Alle Organisationen, die bedeutende Dienstleistungen für die europäische Wirtschaft und Gesellschaft erbringen, unterliegen der NIS2-Richtlinie. Die Studie fand heraus, dass 27 Prozent, also mehr als ein Viertel der betroffenen Unternehmen nicht auf die neuen Richtlinien vorbereitet sind.

Studie betont Widersprüchlichkeit der Studienergebnisse

Laut des Titels der Studie „Kommunikationstools: IT-Verantwortliche gefangen im Netz der Widersprüche“ wurden signifikante Diskrepanzen im Rahmen der Studie aufgedeckt – doch um welche Widersprüche handelt es sich?

Die Studie zählt vier zentrale Widersprüche beziehungsweise Defizite auf:

• Trotz der hohen Priorität von Cybersicherheit und Datenschutz werde der mobilen Sicherheit und der Sicherheit der Kommunikationsmittel überraschend wenig Dringlichkeit beigemessen.

• Die privaten Messenger-Dienste werden als Kommunikationsmittel genutzt, trotz der Tatsache, dass sich die Unternehmen darüber bewusst sind, dass die Dienste nicht datenschutzkonform sind und auch ein persönliches Risiko damit verbunden ist.

• Das Haftungsrisiko bei einer Nutzung dieser Dienste ist dem Management und den IT-Verantwortlichen bewusst, aber sie gehen fahrlässig mit dem Thema um.

• Trotz all der genannten Risiken werden die Dienste von einer Großzahl von Unternehmen ohne notwendige Regelung verwendet.

Verbesserungspotenzial und Ausblick

Doch durch die richtigen Maßnahmen können Unternehmen Maßnahmen ergreifen, um adäquat vor Cyberangriffen zu schützen. Einerseits bestehe die Möglichkeit, die Cyberresilienz zu stärken: hierbei spielt die alternative Kommunikationsmöglichkeit im Falle eines Cyberangriffs eine Rolle und der verstärkte Fokus auf die Abwehr von Cyberangriffen. Auch die Schulung der Belegschaft kann einen entscheidenden Baustein für die Cyberresilienz darstellen. Denn nur wenn die Belegschaft sich darüber im Klaren ist, welche Risikofaktoren existieren, kann eine Vermeidung von unvorsichtigen Handlungen gewährleistet werden. Zu guter Letzt müssen alle Maßnahmen auf allen Ebenen konsequent umgesetzt werden. Das heißt im Klartext: Sicherheit der Kanäle für die Unternehmenskommunikation, der Datenschutz und die Netzwerksicherheit müssen im Einklang stehen und auf allen Ebenen ausnahmslos umgesetzt werden.

(ID:50080703)