Cybersicherheit für Druckdienstleister

Cyberangriffe? Wirtschaftsspionage? Bei uns doch nicht! Viele kleine und mittlere Druck- und Werbetechnik-Dienstleister nehmen das Thema IT-Sicherheit auf die leichte Schulter. Das kann Unternehmen gefährden. 

2016 war das Jahr der Cyber-Attacken – bei großen Anbietern wie Yahoo wurde mehr als eine halbe Milliarde Konten kompromittiert.

Von so genannter „Ransomware“, die ganze Computerfestplatten verschlüsselt und diese erst nach Zahlung eines „Lösegelds“ wieder freigibt, war nach einer Umfrage des Bundesamtes für Sicherheit in der Informationstechnik fast ein Drittel der Unternehmen betroffen.

In jedem fünften der betroffenen Unternehmen kam es dabei zu einem erheblichen Ausfall von Teilen der IT-Infrastruktur, 11 Prozent der Betroffenen erlitten einen Verlust wichtiger Daten, so die Einschätzung der Experten des Bundesamtes.

Trotzdem ist das Thema in der Druckindustrie kaum präsent – und das, obwohl gerade hier viele potenziell gefährdende Verhaltensweisen Bestandteil des Geschäftsalltags sind: Druckdienstleister erhalten sehr oft E-Mails mit Anhängen aus unbekannten Quellen, müssen fremde Datenträger öffnen und von Webdiensten wie Dropbox oder WeTransfer Dateien herunterladen, denn so liefern Kunden nun einmal ihre Daten an.

An ausreichenden Schutz vor gefährlichen Schadcodes denken viele Unternehmen dabei nicht. Das liegt zum einen daran, dass die Bedrohungslage falsch eingeschätzt wird. Dabei trifft „Bei uns gibt es sowieso nichts zu holen“ eigentlich nie wirklich zu.

Für Kunden- und Kontodaten, aber auch Rechner-Kapazitäten, die Bot-Netzwerken zusammengefasst werden, gibt es einen florierenden weltweiten Markt.

Zudem kann ein mehrtägiger Ausfall der IT-Infrastruktur, die Zerstörung oder Beschädigung von Kunden-Datenbank oder der Rechnungslegung auch für gesunde Unternehmen schnell existenzbedrohend werden.

Mitgegangen, mitgefangen

Relativ selten bei kleinen und mittleren Unternehmen (KMUs) sind gezielte Angriffe auf ein bestimmtes Firmennetzwerk, indem etwa Schwachstellen der eigenen Infrastruktur wie eine fehlende Firewall oder veralte Router-Software ausgenutzt wird.

Allerdings zeigte der Angriff, mit dem Hacker – wohl eher versehentlich – Ende 2016 zehntausende Telekom-Router lahmlegten, dass Firmen auch mittelbar zum Opfer werden können.

Gezielte Wirtschaftsspionage oder auch digitales Vandalentum, etwa durch einen vergrätzten Mitarbeiter, kommen bei KMUs ebenfalls eher selten vor. Trotzdem ist es sinnvoll, im Unternehmen ein Bewusstsein für mögliche „Social Engineering“-Angriffe zu schaffen: Dem angeblichen Support-Mitarbeiter eines Software-Riesen, der Polizei oder des Energieversorgers sollte wirklich niemand ein Passwort am Telefon verraten.

Für Druck- und Werbetechnik-Dienstleister sind vor allem infizierte Dateien als E-Mail-Anhang oder auf Datenträgern brandgefährlich. Die Schadsoftware tarnt sich als harmlose Versandbestätigung, oder auch als Makro in einer Office-Datei, beispielsweise einer Stückliste.

Einmal angeklickt, installiert sie ein Programm auf dem Rechner, das womöglich Wochen später erst aktiviert wird. Zumeist sind von solchen Malware-Attacken Rechner unter den Windows-Betriebssystemen betroffen.

Während das aktuelle Betriebssystem Windows 10 als verhältnismäßig sicher gilt, werden veraltete Varianten wie etwa Windows XP inzwischen nicht mehr mit Sicherheits-Updates versorgt: Selbst weit bekannte Lücken bleiben also ungestopft und können so leicht von Hackern ausgenutzt werden.

Immer noch wähnen sich Apple-Nutzer vor Schadsoftware gefeit. Die nach wie vor relativ geringe Verbreitung von Apple-Computern hat bislang zwar größere Angriffswellen verhindert, mit iWorm wurde jedoch bereits 2014 auch ein Botnet aus Apple-Rechnern entdeckt. Fast alle gängigen Sicherheitslösungen für den PC gibt es deshalb auch als Mac-Variante.

Einmal falsch geklickt, schon ist es passiert

Die große Zahl internetfähiger Geräte schafft in Firmen-Netzwerken neue Probleme. Denn Mitarbeiter und Gäste wollen eigene Laptops, Smartphones und Tablets im W-LAN nutzen.

Wie – oder ob überhaupt – diese gegen Schadcodes gesichert wurden, lässt sich kaum klären. Experte raten deshalb dazu, für solche Geräte ein zusätzliches W-LAN aufzusetzen, das vom eigentlichen Firmennetzwerk getrennt bleibt.

Eine oft unterschätzte Gefahr sind die so genannten „Drive-by“-Infektion, bei denen Malware auf an sich harmlosen Webseiten installiert wird, nicht selten über die Auslieferung von Online-Werbeanzeigen.

Wer die Webseite nur ansurft, bekommt den Schadcode bereits auf den Rechner geladen. Googles Chrome-Browser versucht deshalb beispielsweise, Nutzer vor Malware-verseuchten Seiten zu schützen.  

Wenn Mitarbeiter Software oder Schriften aus dubiosen Quellen installieren, wird es doppelt gefährlich. Office- oder Corel Draw-Version, kostenlos aus dem Internet gefischt, aber auch Schriften, Bilder oder Musik aus Tauschbörsen, werden nicht selten als Vehikel für Schadcodes missbraucht.

Zudem können dadurch Urheberrecht und Lizenzbestimmungen verletzt werden, was zu hohen Geldstrafen für das Unternehmen führen kann.

Doch auch legale Software birgt Risiken, wenn sie nicht auf dem neuesten Stand gehalten wird. Nur wer aktuelle Versionen und ihre Sicherheitsupdates zeitnah installiert, kann halbwegs sicher sein, dass bekannte Schwachstellen vom Hersteller bereinigt wurden.

Beispielsweise können alte Office- oder Adobe CS-Versionen auf einem Rechner mit Kontakt zum Internet oder zu Daten aus unsicheren Quellen, wie etwa DVDs oder USB-Sticks vom Kunden, ein Einfallstor für Schadcode sein.

IT-Sicherheit ist Aufgabe des Managements

Den die KMUs betreuenden Systemhäusern kommt ein besonderer Stellenwert beim Schutz der IT-Infrastruktur zu. In vielen kleinen und mittleren Digitaldruck- und Werbetechnik-Betrieben gibt es keinen formal qualifizierten IT-Verantwortlichen, fällige Anpassungen übernimmt ein computer-affiner Mitarbeiter nach bestem Wissen.

Das Bundesamt für Sicherheit in der Informationstechnologie bietet auf seiner Webseite umfangreiche Informationen zur Cyber-Sicherheit, gerade auch für kleine Unternehmen.