Risikofaktor Mensch: Die Kunst des Social Engineering

Hat der Vorstand darüber Kenntnis, ob ein Fileserver mit sensiblen Powerpoint- und Excel-Dateien als geheim klassifiziert ist oder nicht? Selbst probate Schutzmaßnahmen bleiben wirkungslos, wenn Angreifer in sensiblen Zonen wie Business-Hotels oder Flughäfen illegalen Zutritt ins Computernetzwerk erhalten oder mobile Endgeräte keinen hinreichenden Schutz bieten.

Attacken aus der Mitte des Unternehmens allein mit einer groß angelegten Blockade der Kommunikationskanäle zu begegnen, greift zu kurz. Es gilt das Schutzniveau pragmatisch festzulegen und kontinuierlich zu verbessern, anstatt alle erdenklichen Horrorszenarien künstlich hochzurechnen oder den Hebel an der falschen Stelle anzusetzen.

Bei der Klassifizierung schützenswerter Bestände sind die jeweiligen Produktverantwortlichen und Fachabteilungen einzubeziehen. Technisch gesehen sollten alle sensiblen Geschäftsprozesse an erprobte Standardmaßnahmen in der IT angepasst sein, wie die eindeutig geregelte Passwortvergabe, die Verschlüsselung sensibler Daten oder transparente Berechtigungskonzepte. Jeder Mitarbeiter sollte nur Zugriff auf die für seine Aufgabe relevanten Daten und Informationen erhalten.