Informationssicherheit

Inhalt

• Bin ich betroffen? Welche Hacker und Hackerinnen interessieren sich schon für mich?
• Mitarbeiter und Mitarbeiterinnen sensibilisieren
• Phishing-E-Mails
• Quishing: QR-Codes nicht bedenkenlos nutzen
• Computervirus im Detail
• Fake-Angebote erkennen
• Die eigene Website sichern
• Sichere Passwörter
• Wie speichere ich meine Passwörter?
• Zwei-Faktor-Authentisierung (2FA)
• Updates richtig durchführen
• Daten sichern
• Dateien sicher mit anderen austauschen
• Die eigenen Rechner schützen
• Systeme überprüfen (Selbstcheck)
• IT-Sicherheitsvorfall - und jetzt?
• Förderung für mehr IT-Sicherheit
• Staat­li­che Ein­rich­tun­gen & In­itia­ti­ven
• Unterstützung durch Dienstleistern zur IT-Sicherheit
• Hilfreiche Leitfäden, Merkblätter und Broschüren

Bin ich betroffen? Welcher Hacker oder welche Hackerin interessiert sich schon für mich?

Möglicherweise sagen Sie sich: Bei mir gibt es nichts zu holen! Ich bin für Hackerinnen und Hacker völlig uninteressant! Mich wird schon kein Hacker oder keine Hackerin angreifen.

Das stimmt insofern, als dass Hackerinnen und Hacker sich gut überlegen, wen sie wie angreifen: Bei großen Unternehmen ist ein digitaler Einbruch nicht so einfach. Dort muss man als Angreiferin und Angreifer gezielt und mit viel Aufwand arbeiten. Dafür erscheint der „kriminelle Lohn“ vielversprechend.

Bei kleinen Unternehmen gehen Hackerinnen und Hacker nach dem Prinzip „die Masse macht‘s“ vor und nutzen vollautomatische Werkzeuge, mit denen sie unter hunderttausenden Angriffen jene Ziele identifizieren, die nicht gut gesichert sind.

Mitarbeiterinnen und Mitarbeiter sensibilisieren

Wie steht es um die IT-Sicherheit in Ihrem Unternehmen? Machen Sie sich mit einer Bestandsaufnahme ein realistisches Bild und legen so die Grundlage für Verbesserungen. Welche Ansätze gibt es? Wie priorisieren Sie Wichtigkeit und Aufwand? Welche Rolle spielen dabei Mitarbeiterinnen und Mitarbeiter.

Mehr Infos

Zurück zur Übersicht

Quishing: QR-Codes nicht bedenkenlos nutzen

Quishing ist eine Form des Online-Betrugs, bei der Kriminelle QR-Codes nutzen, um Nutzerinnen und Nutzer auf gefälschte Webseiten zu locken und sensible Daten wie Passwörter oder Bankinformationen auszuspähen. Da Antivirensoftware QR-Codes nur als Bild erkennt und die darin enthaltenen Links erst nach dem Scannen sichtbar werden, können solche Codes nicht automatisch überprüft werden. Dies macht Quishing zu einer besonders hinterlistigen Methode. Nutzer sollten deshalb stets wachsam sein, bevor sie einen QR-Code scannen.

Schutz vor Quishing: Tipps und Maßnahmen

• QR-Codes vor dem Scannen prüfen: Scannen Sie nur QR-Codes aus vertrauenswürdigen Quellen. Vermeiden Sie Codes aus unbekannten oder unsicheren E-Mails, Flyern oder Webseiten.
• Den Link vor dem Öffnen überprüfen: Verwenden Sie QR-Code-Scanner, die den Link vorab anzeigen. Prüfen Sie sorgfältig, ob die URL sicher und vertrauenswürdig ist.
• Zugangsdaten nie direkt eingeben: Geben Sie Passwörter oder sensible Daten nie auf Webseiten ein, die Sie über einen QR-Code aufgerufen haben, ohne die Adresse gründlich geprüft zu haben.
• Eigene QR-Codes schützen: Wenn Sie selbst QR-Codes einsetzen, prüfen Sie regelmäßig, ob Ihre Codes überklebt oder durch andere ersetzt wurden. Markieren Sie Ihre QR-Codes nach Möglichkeit mit einem eigenen Logo.

Zurück zur Übersicht

Fake-Angebote erkennen

Gefälschte Internet-Verkaufsplattformen, kurz Fake-Shops, sind auch ohne brisanten Anlass ein großes Ärgernis. So beklagte ein Münchner Einzelhändler, dass ein Fake Shop seine exklusiven Waren extrem günstig anbot, dafür aber gar nicht lieferte. Es dauerte einige Zeit, bis zumindest dieser Onlineshop abgestellt werden konnte.

In Zeiten rarer Antivirus-Schutzausrüstung erscheinen Fake-Shops umso verlockender. Entweder um für Bestellungen Geld einzunehmen - ohne zu liefern. Oder Surfer und Surferinnen auf gefährliche Websites zu locken.

Allerdings sind gefälschte Angebote auch auf den großen Verkaufsplattformen zu finden. Dort sind selbst durchgehend sehr gute Bewertungen kein verläßliches Merkmal für die Seriosität des Angebotes.

Wie erkennt man Fake-Shops?

• Impressum: Ein unvollständiges Impressum ist ein deutliches Indiz für genaueres Hinsehen. Verdächtig sind z. B. fehlende Angaben zu Geschäftsführer oder Geschäftsführerin, Straße und Ort. In der weiteren Onlinerecherche sollten die Angaben im Impressum weitere Indizien für die Seriosität des Angebotes liefern - oder eben nicht.
  Suche im Handelregister
  mehr zu den Impressumspflichten auf Websites
• Preis: Vorsicht ist geboten bei unwirklich tiefen Preisen oder der Verfügbarkeit von sehr raren Produkten. Zwar wäre es schön, etwas eigentlich sehr wertvolles sehr billig zu bekommen. In der Praxis ist aber meist ein wichtiger Haken dabei.
• Ist die Internet-Adresse des Onlineshops plausibel? Eine Adresse .../schuhe/ passt nicht zum Verkauf von elektronikartikeln
• Bezahlmethoden: Wenn nur auf Vorkasse geliefert wird, könnte es sein dass keine Ware kommt. Im Zweifel gilt: "Erst die Ware, dann das Geld"
• Weitere Infos finden Sie unter www.bsi-fuer-buerger.de

Die eigene Website sichern

Websites werden ständig nach Schwachstellen gescannt. Schauen Sie nach, aus welchen Ländern Ihre Website „kontaktiert“ wird. Vollautomatisiert werden Ihre, und alle anderen im Internet verfügbaren Websites durchleuchtet und Versuche unternommen, sich dort einzuloggen.

Woran erkenne ich, ob meine Website angegriffen wird?

Wenn Sie eine Website betreiben, setzen Sie möglicherweise Tracking-Software wie Piwik oder Google Analytics ein. Dort sehen Sie die Statistik der Seitenabrufe: Welche Seite wird wie oft abgerufen? Aus welchen Ländern kommen die Nutzer und Nutzerinnen? Neben den Seiten mit Ihren Inhalten gibt es üblicherweise auch Seiten, die der Pflege Ihrer Website dienen, z. B. die Seite, die Sie nutzen, um sich einzuloggen und Ihre Seiten zu aktualisieren. Es wäre nicht überraschend, wenn solche Seiten aufgerufen werden, ein nicht erfolgreicher Login ausprobiert wurde und sich dieses Muster oft wiederholt.

Wenn das über die Analytic-Tools nicht zu sehen ist, können Sie auch die Logfiles Ihrer Webseite prüfen, in denen viel mehr protokolliert wird. Fragen Sie im Zweifelsfall bei Ihrem Webdienstleister (Webserver-Hoster, Web-Agentur, o. ä.) nach.

Sich um die Sicherheit der eigenen Website zu kümmern, sollte übrigens nicht nur zum eigenen Schutz erfolgen, sondern auch aus der rechtlichen Pflicht (z. B. im Zusammenhang mit der Datenschutzgrundverordnung §32 ). Das Grundprinzip ist, die Website immer auf dem Stand der Technik zu halten. Was genau der Stand der Technik bedeutet, können Sie › hier nachlesen. In der Praxis stellt sich die Frage: Was muss ich selbst machen? Was regelt mein Dienstleister (z. B. Hosting-Dienste Ihrer Website)? Unabhängig davon sind am Ende immer Sie verantwortlich als Betreiber oder Betreiberin der Website.

Das können Sie tun, um die Sicherheit Ihrer Website zu garantieren:

• Achten Sie darauf, regelmäßig Updates auszuführen, oder ausführen zu lassen.
• Legen Sie regelmäßig Backups der Website inklusive der Datenbanken an.
• Stellen Sie sicher, dass die Übertragung zu Ihrer Website verschlüsselt ist. Dies erkennen Sie am Kürzel „https“ (Hypertext Transfer Protocol Secure) vor der Adresse Ihrer Website (https://). Oft ist dies im Service des Hosting-Dienstleisters enthalten und sollte keine oder geringe zusätzliche Kosten für Sie bedeuten. Auf Seiten wie z. B. SSL-Check können Sie Ihre Website dazu testen.
• Schützen Sie den Zugang zum Pflegebereich Ihrer Website durch sichere Passwörter, 2-Faktor-Authentifizierung und eine klare Regelung, wer welchen Zugriff erhält.

Sichere Passwörter

Passwörter sind die Schlüssel zu Ihren persönlichen Daten. Die Folgen unerlaubter Zugriffe reichen von Diebstahl der privaten wie geschäftlichen Geheimnisse, über Missbrauch von Kunden- und Kundinnendaten wie z. B. Zahlungsinformationen bis hin zur Beschädigung von Systemen. Sie wollen wissen, ob Ihre Daten bereits einmal in fremde Hände geraten sind? Mit dem Identity Leak Checker des Hasso-Plattner-Instituts oder unter haveibeenpwned können Sie anhand Ihrer E-Mail-Adresse prüfen, ob Ihre persönlichen Identitätsdaten bereits im Internet veröffentlicht wurden. Per Datenabgleich wird kontrolliert, ob Ihre E-Mail-Adresse in Verbindung mit anderen persönlichen Daten (z. B. Telefonnummer, Geburtsdatum oder Adresse) im Internet offengelegt wurde und missbraucht werden könnte. Wenn Ihre E-Mail-Adresse dort gefunden wird, sollten Sie die Passwörter bei den betreffenden Websites ändern.

Wie sieht ein sicheres Passwort aus?

Ein sicheres Passwort ist gar nicht schwer zu erstellen. In manchen Fällen wird bei der Erstellung eines Passwortes im Internet sogar ein sicherer Vorschlag gemacht.

Nach diesen Regeln erstellen Sie ein sicheres Passwort

• Verwenden Sie eine Mischung aus Klein- und Großbuchstaben, Zahlen und Sonderzeichen.
• Verwenden Sie mehr als 8 Zeichen. Keine Passwörter mit persönlichem Bezug (Namen, Geburtsdaten, etc.).
• Keine Wiederholungs- oder Tastaturmuster („12345“, „qwertzui“).
• Nutzen Sie bei mehreren Passwörtern keine Schemata („101010A“, „101010B“).
• Für jede Website, jedes Programm ein eigenes Passwort wählen.
• Speichern Sie die Passwörter nicht unverschlüsselt auf Ihrem PC.

Hilfreiche Links für bessere Passwörter

Sichere Passwörter - 10 Goldene Regeln für die Erstellung und den Schutz sicherer Passwörter bei kleinen und mittleren Unternehmen im Handwerk | Mittelstand Digital (www.mittelstand-digital.de)

Komplexe, dennoch leicht zu merkende Passwörter sind der beste Schutz für Onlinekonten und Zugänge. Die DsiN-Passwortkarte hilft.

Passwort Generator

Nicht den Überblick verlieren: Wie speichere ich meine Passwörter?

Für jede Website ein eigenes Passwort? Das ist sehr zu empfehlen!

Allerdings zugegeben: Das wird schnell unübersichtlich und so viele Eselsbrücken kann man gar nicht bauen. Der Ausweg: ein Passwortmanager!

Das sind digitale Passwortsafes, die auch sehr gute Passwörter erzeugen und abspeichern. Man kann zwischen einem eigenständigen Passwort-Manager-Programm und einem Browser-integrierten Passwort-Manager unterscheiden. Die sicherste Variante ist der eigenständige Passwort-Manager. Hier werden alle Passwörter gespeichert. Sobald ein Online-Dienst genutzt wird und Zugangsdaten erforderlich werden, meldet sich dieses Programm automatisch. Über ein zentrales Masterpasswort wird dann die Eintragung der passenden Informationen erledigt.

Anbieter von Passwortmanagern finden Sie zum Beispiel hier:

• https://www.chip.de
• https://www.heise.de

Weitere Informationen zum Thema Passwortmanager finden Sie unter BSI - Passwortmanager.

Darüber hinaus ist es empfehlenswert, wo immer möglich, eine Zwei-Faktor-Authentisierung einzurichten.

Zurück zur Übersicht

Zwei-Faktor-Authentisierung (2FA)

Vom Onlinebanking kennen Sie vermutlich die Zwei-Faktor-Authentisierung: Für einen Login müssen Sie etwas wissen und etwas haben.

„Wissen“ ist zumeist ein Nutzername und ein Passwort. „Haben“ ist ein Gerät (oft das Handy), an das ein zusätzlicher Code geschickt wird. Dieser Code gilt nur für kurze Zeit und muss zusätzlich zum „Wissen“ eingegeben werden. Genau das Gleiche können Sie für andere Logins einstellen: z. B. für den Login zur Pflege Ihrer Website oder Ihrer Social-Media Präsenz. Das ist zwar etwas aufwändiger, aber sich nur auf Nutzername und Passwort zu verlassen, ist leider viel riskanter.

Weitere Informationen hierzu finden Sie unter bsi.bund.de.

Zurück zur Übersicht

Updates richtig durchführen

Leider ist keine Software perfekt. Daher stellen die Software-Hersteller immer wieder neue Software zur Verfügung. Entweder als Gesamtpaket ("Update") oder als Teilpaket ("Patches").
Als Anwenderin oder Anwender kann es sein, dass solche Aktualisierungsaufforderungen recht häufig auftreten. Unmittelbar beobachten können Sie das z. B. auf Ihrem Smartphone, wo manche App immer wieder eine neue Version bekommt.
Verdächtig ist hier eher, wenn einige Wochen keine Updates zu erkennen sind.

Prüfen Sie bitte Ihre Smartphones, Tablets, Rechner, Router etc., ob diese auf dem aktuellen Stand sind.
Das gilt übrigens auch für Betriebssysteme: Über 3 Millionen Rechner in Deutschland werden noch mit veralteten und unsicheren Windows-Versionen (insbes. Windows 7) betrieben, was tickende Zeitbomben sind.

Worauf muss ich bei Updates achten?

Im einfachsten Fall erfolgt die Aktualisierung der Software im Hintergrund automatisch ohne Ihr zutun. Das ist bequem und klappt in den meisten Fällen auch problemlos. Wenn das mit einem Backup verbunden ist, kann notfalls auch der alte Zustand wieder hergestellt werden.
Allerdings: Wenn Sie sicherer sein wollen, müssen Sie das genauer im Auge behalten. Updates können andere Fehler enthalten, Features ändern, Prozesse umstellen...
D. h. Sie sollten für sich besonders wichtige Software identifizieren und diese auch besonders wichtig behandeln. Also z. B. in einer Testumgebung Änderungen prüfen und erst dann allgemein einsetzen, wenn der Test ok ist.

Zurück zur Übersicht

Daten sichern - So gehen Sie vor

Die sichere Speicherung von Daten ist zum einen für Ihre eigenen Betriebsabläufe wichtig und zum anderen auch rechtlich notwendig.
Hier finden Sie grundsätzliche Tipps zur Datensicherung.

Zurück zur Übersicht

Dateien sicher mit anderen austauschen

Ob Rechnungsversand, Meldungen an den Steuerberater oder Steuerberaterin, oder die Kommunikation mit den Behörden - wir kommen heute häufig nicht mehr am Austausch von digitalen Daten vorbei. Viele Informationen sind sensitiv und dürfen nicht in falsche Hände geraten. Sie müssen sich also Gedanken darüber machen, auf welchem Weg, in welchem Format und mit welchem Schutz Sie Ihre Informationen mit anderen teilen.

Austausch von verschlüsselten Dateien:
Über Verschlüsselungen kann der E-Mail-Verkehr oder die dabei versendeten Daten geschützt werden. Wenn Sie eine Datei mit einem sicheren Passwort verschlüsseln, kann sie nur mit diesem und dem passenden Verschlüsselungsprogramm wieder "entziffert" werden. Gut verschlüsselt werden können zum Beispiel pdf- oder zip-Dateien.
Die Verschlüsselung des E-Mail-Verkehrs setzt Verfahren ein, die nicht so leicht zugänglich sind und es wird mitunter vorausgesetzt, dass sich die Kommunikationspartner und Kommunikationspartnerinnen genauer absprechen (z. B. Austausch von kryptographischen Schlüsseln).

Informationen über sichere Wege weitergeben:
Sie nutzen eine Datenaustauschplattform. Die von Ihnen abgelegten Dateien können Sie für ausgewählte Nutzer und Nutzerinnen freischalten (dies erfolgt meist über das Hinzufügen von Berechtigten). Ein zusätzlicher Passwortschutz einzelner Dateien ist darüber hinaus häufig möglich. Für den Austausch mit Behörden benötigt man meist ein spezielles Zertifikat (z.B. Elster).

Zurück zur Übersicht

Die eigenen Rechner schützen: Viren & Co. auf meinem Rechner?

Das Bayerische Landesamt für Datenschutzaufsicht hat eine Liste der acht wichtigsten Punkte zum Schutz des eigenen Rechnernetzes bzgl. Ransomware zusammengestellt:

Checkliste, erarbeitet vom Bayerischen Landesamt für Datenschutzaufsicht BayLDA, unterstützt bei Schutzmaßnahmen.

Neben dem Backup des Rechners sollte geprüft werden, wie man seine IT noch besser schützen kann. Tests der verschiedenen Anbieter zu Antiviren-Software dazu finden Sie z. B. unter folgenden Links:

• heise.de
• computerbild.de
• chip.de

Was ist das eigentlich "Schadsoftware"?

Schon 1971 gab es mit " Creeper" den ersten Computerwurm. 2000 befiel der "I love you-Virus" Millionen von Rechner. 2017 war dann der "Wannacry Virus" einer der ersten Verschlüsselungs-Schadprogramme.
Aktuell ist besonders "Emotet" eine echte Gefahr: Denn Emotet verbreitet sich selbstständig an Kontakte von Nutzern und Nutzerinnen infizierter Systeme mithilfe sehr authentisch wirkender E-Mails. Mehr dazu beim Bundesamt für Sicherheit in der Informationstechnik.

Schadsoftware, auf englisch "Malware", ist also schon lange ein Thema und leider nach wie vor ein Ärgernis.
Um schädliche Software auf Computern etwas greifbarer zu beschreiben, zieht man Vergleiche aus dem Tierreich oder der Geschichte: So kommt es zu Namensgebungen wie Viren, Würmern oder Trojanern.
Dabei handelt es sich immer Software-Programme, die versuchen sich zu verbreiten und zu reproduzieren. Je nachdem, wie diese Software das macht, kann man sie in unterschiedliche Kategorien einordnen:

• Viren benötigen ein "Wirtsprogramm", so wie die biologischen Viren. Das sind Dateien oder andere Software, in die sich der digitale Virus einnistet. Die Verbreitung erfolgt über das Kopieren der Wirtsdatei, z. B. über Mail oder Downloads auf Websites.
• Trojanische Pferde hingegen kommen sozusagen Huckepack mit "normaler" Software auf einen Rechner und wirken oft unbemerkt im Hintergrund.
• Digitale Würmer dagegen sind selbst aktiv und versuchen Schwachstellen zu finden und diese auszunutzen. Ein Wurm speichert sich dann selbst irgendwo unauffällig ab und klinkt sich ins System ein (z. B. beim Start von Windows).
• Darüber hinaus gibt es noch weitere "Schädlingskategorien", die Namen tragen wie Rootkit, Spyware, Ransomware...

Zurück zur Übersicht

Computervirus im Detail

Wie sieht so ein Virus aus?

Das EICAR (European Institute for Computer Anti-Virus Research e. V.) stellt ein ungefährliches Testvirus zur Verfügung.
Das ist eine ganz normale Textdatei, deren Inhalt aber Software-Code enthält.
So sieht das Testvirus aus:
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

Wenn man nun diese Textdatei als Programm ausführt, wird der darin enthaltene Code ausgeführt. Sie können auf o. g. Website auf den Link zum Download der Datei klicken: Das sollte von Ihrem Antivirenprogramm unterbunden werden!

Denn das Antivirenprogramm schaut in die Textdatei hinein und vergleicht die Zeichen darin mit einer eigenen Datenbank (der so genannten Signaturdatenbank).
Wenn das Antivirenprogramm etwas findet, gibt es Alarm und blockiert die Ausführung. Das bedeutet auch: Bitte sorgen Sie dafür, dass Sie ein Antivirenprogramm einsetzen und dessen Signaturdatenbank ständig aktuell ist.

Monatlich beobachtet das BSI um die 15 Millionen neue Varianten von Schadprogrammen. Das liegt auch daran, dass Angreifer einfach die Zeichenfolge in den Virendateien leicht variieren, um an den Antivirenprogrammen vorbeizukommen.

Wie fängt man sich diese Viren & Co ein?

Ziel eines Schadsoftware-Angriffes ist es, eine Datei auf Ihren Rechner zu bekommen und diese mit möglichst umfangreichen Berechtigungen auszuführen.

Der Weg auf den Rechner: Ein klassischer Weg ist es, Schadsoftware per Mail zugeschickt zu bekommen. Wenn Sie eine Mail mit sehr auf Sie zugeschnittenen persönlichen Informationen bekommen, ist die Wahrscheinlichkeit, dass sie auf eine Datei im Anhang klicken leider hoch.
Andere Wege sind auf dem Rücken von (ggf. dubiosen) Downloads aus dem Internet.
Also: Schauen Sie genau hin! Lassen Sie nur vertrauenswürdige Dateien auf Ihren Rechner!
Machen sie einen Phishing-Test: Erkennen Sie die gefährlichen Mails?

• Video: Phishing-E-Mails enttarnen! | BSI - YouTube

Zurück zur Übersicht

Selbstcheck: Testen Sie mit wenigen Klicks Ihre IT auf Sicherheitsprobleme

Mit diversen Onlineangeboten kann man seine IT-Sicherheit untersuchen.

Zurück zur Übersicht

IT-Sicherheitsvorfall - Und jetzt?

Es ist passiert - Schadsoftware hat alle Abwehrhürden genommen und wurde ausgeführt!

Nun liegt es ganz an der Schadsoftware: Das reicht von "ich warte, bis weitere Kommandos kommen" über "verschlüssele alles und schreibe Erpresserbrief" bis zu "zerstöre alles Greifbare". Besonderes das letztgenannte Szenario ist im Zusammenhang mit dem Ukraine-Krieg häufiger zu beobachten.

Speziell "Ransomware-Angriffen", also die Verschlüsselung der Dateien mit nachfolgender Geldforderung, sind immer wieder erfolgreich. Hierzu hat das BSI diverse Handreichungen für die erste Hilfe und Einschätzung herausgegeben. Hier hilft es auch sehr, wenn man sich schon vorab mit Notfallszenarien und Übungen dazu befasst hat.

Video zu den Erfahrungen bei einem bayerischen Mittelständler im Gesundheitswesen: https://youtu.be/cFw-Zfniw00

Bei einem ungewöhnlichen IT-Sicherheitsvorfall können Sie sich an die Polizei (Zentrale Ansprechstelle Cybercrime für die Wirtschaft – ZAC) oder den Verfassungsschutz (Cyber Allianz Zentrum Bayern) wenden.

Förderprogramme IT-Sicherheit

Der Bund und der Freistaat Bayern haben Förderprogramme, die bei der Verbesserung der eigenen IT-Sicherheit unterstützen.

Unterstützung durch Dienstleistern zur IT-Sicherheit

Hier finden Sie Hinweise, wie externe Unterstützung bei der IT-Sicherheit möglich ist.

Zurück zur Übersicht