Gastkommentar - IT-Sicherheit: Vorsicht vor dem Faktor Mensch

Eine funktionierende Lieferanten- und Kundenbeziehung ist für die Prozesse eines Unternehmens lebensnotwendig. Doch auch hier liegen Cyberkriminelle auf der Lauer, um Sand ins Getriebe zu streuen. Primäres Einfallstor sind heutzutage manipulierte Mails, die an Mitarbeiter entlang der Lieferkette gesandt werden. Gerade Lieferanten sind davon betroffen.

So wurde etwa beim Technologiedienstleister Wipro in die IT-Systeme eingebrochen, um Informationen über Kunden zu erhalten. Basis dieses Angriffs war eine Phishing-E-Mail. Kompromittierte Konten von Mitarbeitern wurden für einen Betrug gegen Kunden verwendet. Laut Angaben der Cybersecurity-Firma Symantec stiegen die Angriffe auf Lieferketten bereits 2018 um 78 Prozent an. Höchste Zeit, wirksame Abwehrmaßnahmen zu finden.

Gegen diese Art von Angriff helfen keine Firewalls oder Antivirenprogramme – sie richten sich an Menschen selbst. Dabei sind Phishing-Mails raffiniert aufgebaut. Sie kommen von vermeintlich sicheren Absendern, mit denen man häufig zusammenarbeitet, und sehen täuschend echt aus. In einer Lieferkette könnte ein Lieferant eine fingierte Mail erhalten, die ihn auffordert, einen Link anzuklicken. Die Wahrscheinlichkeit, dass er dieser Bitte nachkommt, ist hoch. Dies ist besonders deshalb Erfolgversprechend, da man aufgrund der steigenden Komplexität der Lieferketten kaum in der Lage ist, alle legitim Beteiligten in der täglichen E-Mail-Flut zweifelsfrei zu identifizieren.

Dem „2019 Data Breach Investigation Report“ des Kommunikationskonzerns Verizon zufolge ist Phishing der Hauptangriffsvektor und macht fast 40 Prozent aller Datenverstöße aus. Das bedeutet, dass E-Mail-Sicherheit über das einzelne Unternehmen hinausgeht und zu einer „E-Mail-Sicherheit in der Lieferkette“ führen muss. Insbesondere die Absicherung vor Domain-Missbrauch muss Teil jeder Sicherheitsstrategie sein.

Unternehmen in derselben Supply Chain sollten sich deswegen auf gemeinsame Sicherheitsstandards einigen. Dabei muss beachtet werden, dass sich Firmen auch in mehreren Lieferketten befinden können und dass diese Grundregeln im Umgang mit sicherer Kommunikation auf jeden Fall über das eigene Unternehmen hinweg implementiert werden.