Menu Close

INDUCE Cybersecurity-Tipps

Petra Kölndorfer 0 Comments

Diese Tipps erschienen erstmals 2023 in WKO Newslettern als eine Awareness Kampagne, die durch Mitglieder des Konsortiums von INDCUE initiert wurden. Nun werden die dort veröffnetlichten und gesammelten Tipps hier aufgelistet.
Diese Tipps erheben keinen Anspruch auf Vollständigkeit. Es soll nur ein als ein niederschwelliger Zugang zu dem Thema dienen.

Cybersecurity-Tipp 1

Gefälschte E-Mails – Phishing

Wenn Sie eine E-Mail erhalten, in der Sie vor einer Kontosperrung gewarnt werden oder in der behauptet wird, dass Sie einen Preis gewonnen haben, oder aufgefordert werden, dringend Ihre Identität zu bestätigen

  • klicken Sie auf KEINEN Link aus dieser E-Mail und laden Sie KEINE Datei herunter!

Das ist ein PHISHING-Betrug.

Die Betrüger wollen Sie dazu bringen, persönliche Daten preiszugeben oder unwissentlich bösartige Programme (MALWARE) herunterzuladen.

Löschen Sie diese E-Mail.

Haben Sie Zeit und Lust für passende Cyber-Übungen?

Sich vor Betrug schützen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im grünen Teil „Sich vor Betrug schützen“

https://phishingquiz.withgoogle.com/

Weitere hilfreiche Infos wie auch aktuelle Phishing-Fallen finden Sie hier:

Cybersecurity-Tipp 2

Vorsicht bei drahtlosem Internet

Meistens steigen wir ins Internet ohne Kabel ein, also drahtlos. Dafür gibt es folgende Funktionen:

  • WLAN – lokales Netzwerk für Laptops, Mobiltelefone usw.,
  • Bluetooth – Datenübertragung zwischen Geräten über kurze Distanz (einige Meter),
  • NFC = Nahfeldkommunikation – Datenübertragung zwischen Geräten über eine sehr kurze Distanz (10-20 Zentimeter), z. B. beim kontaktlosen Bezahlen.

Mit WLAN-Netzwerken haben wir zuhause oder in Unternehmen zu tun. Bei richtigen Einstellungen bieten sie eine gewisse Sicherheit. Vorsicht aber bei öffentlichen gratis HOTSPOTS, d. h. den offenen Internet-Zugriffspunkten im Zug, am Flughafen oder im Hotel! Diese sind nicht geschützt. Zudem gibt es auch Fake-WLANs, d. h., ein Netzwerk heißt z. B. ÖBB oder wie Ihr Lieblingsrestaurant, aber dahinter lauern Cyberkriminelle. Falls möglich, fragen Sie nach dem richtigen Namen des Netzwerks.

Wenn Sie also im öffentlichen WLAN (Drahtlos-Netzwerk) unterwegs sind,

  • nehmen Sie keine Zahlungen vor und verwenden Sie keine Anmeldedaten,
  • laden Sie nichts herunter, d. h., verschieben Sie alle Downloads auf später, wenn Sie wieder in einem gesicherten WLAN-Netz sind,
  • verzichten Sie auch auf Online-Shopping,
  • lassen Sie sich nicht auf Bildschirm und Tastatur schauen.

Schalten Sie WLAN nur dann ein, wenn Sie es brauchen. Keine automatische WLAN-Suche.

Auch lesenswert:

Übung:

Smartphone (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im roten Teil „Smartphone“

Cybersecurity-Tipp 3

Link angeklickt, Anhang geöffnet

Wenn Sie voreilig einen Link angeklickt oder einen Anhang geöffnet haben, dann

  • entweder landen Sie auf einer gefälschten Webseite
  • oder laden Sie direkt auf Ihren Computer ein Schadprogramm herunter.

So kann man sich in solch einem Fall retten:

  • Ziehen Sie den Stecker raus und rufen Sie eine/n IT-Experten/-in Ihres Vertrauens an. Haben Sie keine/n? Dann: Cyber-Security-Hotline – WKO.at  – 24h-Call Center, Notfallhilfe und Erstinformation
  • Geben Sie auf der Website, die sich nach dem Anklicken geöffnet hat, keinen Benutzernamen und keine Passwörter an
  • Lassen Sie Ihren PC mit einem aktualisiertem Virenschutzprogramm durchsuchen
  • Sicherheitshalber können Sie Ihre Zugangsdaten und Passwörter auf einem anderen Gerät ändern

Weitere hilfreiche Infos:

Was tun, wenn Kriminelle Ihre Daten gestohlen haben? – Watchlist Internet (watchlist-internet.at)

Cybersecurity-Tipp 4

Sich nicht manipulieren lassen – Social Engineering

Es ist nur menschlich, nervös zu werden, wenn ein Anruf von (vermeintlichen) Polizeibeamten oder eine alarmierende E-Mail von Ihrer Bank kommt. Besonders, wenn Sie gerade in Eile oder im Stress und überfordert sind. Dann passiert es schnell, dass Sie einen verhängnisvollen Klick ausführen oder Ihre Zugangsdaten angeben. Der Schaden kann verheerende Folgen für Sie persönlich und für Ihr Unternehmen haben. Auch, wenn Sie an einem bestgesicherten Computer arbeiten, ist es wahrscheinlich, dass Sie den psychologischen Tricks der Betrüger erliegen.

Versuchen Sie sich also diese Automatismen einzuprägen, die Sie dann auch im Stress abrufen können:

  • bei jedem E-Mail-Anhang und jedem Link (auch in SMS!) misstrauisch sein – nicht klicken – und im Zweifel – beim Absender telefonisch oder persönlich nachfragen,
  • Absender/innen der E-Mail-Adresse genau überprüfen,
  • eine unpersönliche Anrede als Hinweis auf Betrug deuten,
  • die Dringlichkeit der vermeintlich notwendigen Updates, Verifizierungen usw. ignorieren,
  • keine vertraulichen Daten oder Zugangsdaten per E-Mail oder am Telefon angeben,
  • persönliche Informationen in sozialen Medien meiden (separate E-Mail-Konten für soziale Netzwerke verwenden),
  • bei einer E-Mail, in der steht, dass Sie etwas gewonnen hätten, einfach die Finger davonlassen (Fake-Gewinnspiele).

Hier können Sie Ihre Reaktionen in echt überprüfen: Onlinebetrug-Simulator (aknoe.at)

Weitere Infos: Social Engineering – der Mitarbeiter als Angriffsziel – WKO.at

Cybersecurity-Tipp 5

Digitale Geräte schützen

Wenn Sie Ihr Haus verlassen, sperren Sie die Tür zu. So sollten Sie auch Ihr digitales Gerät sperren, wenn Sie es verlassen (z. B. durch gleichzeitiges Drücken von Windows-Taste und L-Taste). Damit schützen Sie Ihren Computer vor Unbefugten.

Voraussetzung für eine Bildschirmsperre ist ein passwortgeschütztes Benutzerkonto. Es empfiehlt sich auch ein separates Benutzerkonto für Geschäftszwecke.

Wenn Sie einen Blickschutzfilter verwenden, sind Ihre Geräte vor fremden Blicken im öffentlichen Raum geschützt. Solche Blickschutzfilter sind einfach zu befestigen und zu entfernen.

Ein No-Go ist das Anstecken von USB-Laufwerken/Sticks, die Ihnen nicht gehören. Es ist, als ob Sie eine Person in Ihr Haus einladen, die sich dann aber unerlaubterweise auch in absolut privaten Bereichen umschaut. Und sie öffnet sogar Fenster, um später ohne Ihr Wissen mit bösen Absichten wiederzukommen.

Weiterführende Infos:

Cybersecurity-Tipp 6

Warum möchte mich jemand angreifen?

Cyberangriffe betreffen längst nicht nur große Konzerne oder die öffentliche Verwaltung. Auch Klein- und Kleinst-Unternehmen werden von Cyberkriminellen ins Visier genommen. Die Motivation der Angreifer/innen kann vielfältig sein, z. B.:

  • Geld:
    • Durch Erpressung oder Täuschung werden Sie dazu gebracht, einen Geldbetrag an Betrüger/innen zu überweisen oder
    • Ihre Daten werden ausgespäht und es kommt zu unberechtigten Abbuchungen von Ihrem Konto.
  • Neugierde, Spaß:

Möchtegern-Hacker/innen, sogenannte Script-Kiddies (Script – eine Datei mit Befehlsfolge) brechen in Ihr System ein, weil sie darin eine befriedigende Herausforderung sehen. Dies kann Ihnen auch einen hohen, nicht umkehrbaren Schaden verursachen.

  • Zerstörungswut:

Vandalen können z. B. Ihre ehemaligen Mitarbeiter/innen oder Konkurrenten/innen sein, die Ihnen schaden wollen.

  • Spionage:

Angreifer/innen verschaffen sich Zugriff auf Ihre Kundendaten, Pläne, Buchhaltungssysteme usw., um sich Vorteile zu sichern.

Quelle:

Pohlmann, Norbert (2022): Cyber-Sicherheit. Das Lehrbuch für Konzepte, Prinzipien, Mechanismen, Architekturen und Eigenschaften von Cyber-Sicherheitssystemen in der Digitalisierung.

Übung:

Sich vor Betrug schützen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im grünen Teil „Sich vor Betrug schützen“ -„Diverse Betrugsfälle“

Cybersecurity-Tipp 7

Persönliche Daten preisgegeben: Identitätsdiebstahl-Alarm!

Wenn Sie im Stress nicht genug wachsam waren und Ihre persönlichen Daten oder Zugangsberechtigungen preisgegeben haben, dann können die Betrüger/innen in Ihrem Namen vieles unternehmen, z. B.:

  • Bestellungen aufgeben,
  • Geld von Ihrem Bankkonto abbuchen,
  • ein neues Konto für Geldwäsche eröffnen,
  • Ihre E-Mail-Adresse für betrügerische E-Mails nutzen,
  • Ihre Social-Media-Profile übernehmen,
  • diverse Verträge abschließen.

Was können Sie tun?

  • Ihre Zugangsdaten umgehend auf einem anderen Gerät ändern,
  • die Notlage sofort Ihrem/Ihrer IT-Administrator/in melden
  • oder die Cyber-Security-Hotline – WKO.at anrufen (24h-Call Center, Notfallhilfe und Erstinformation).

Weitere Infos:

Cybersecurity-Tipp 8

Betrügerische E-Mails schnell erkennen

Cyberattacken erfolgen oft automatisiert. Es werden Massen-E-Mails mit verseuchten Anhängen oder Links verschickt. Immer fällt jemand darauf herein, sei es aus Unachtsamkeit, aus Unwissenheit oder aus anderen Gründen.

Es gibt einige Tricks, wie Sie betrügerische E-Mails erkennen können:

  • Fahren Sie mit der Maus über die Absender/in-Adresse oder den zugeschickten Link, ohne diesen anzuklicken. So entdecken Sie möglicherweise Folgendes:
  • Sonderzeichen oder Rechtschreibfehler (z. B. ein „f“ statt „ff“, fehlende Buchstaben wie „AMZON“),
    • der/die Absender/in stimmt mit der vorgetäuschten Institution/Person nicht überein (privater Name, institutionsfremde Domäne wie „gmail.com“)
  • Überprüfen Sie das Dateiformat des Anhangs:
  • eine Datei mit Endung „.exe“ enthält möglicherweise ein ausführbares Schadprogramm,
    • auch andere Dateiformate sind fragwürdig: z. B. „.img“ oder „.jar“,
    • es gibt keine Garantie, dass pdf- oder docx-Dateien sicher sind,
    • manchmal ist der Dateiname länger als es auf den ersten Blick erscheint, z. B. „pdf.exe“
  • Im Text der E-Mail finden Sie Rechtschreib- oder Grammatikfehler, z. B. „fur“ statt „für“, manchmal erkennen Sie eine schlechte Übersetzung
  • Sie werden oft unpersönlich angesprochen mit z. B. Kunde, Herr/Frau, Hallo, Guten Tag

E-Mails mit verdächtigen Links oder Anhängen sind als gefährlich einzustufen!

Übungen:

Cybersecurity-Tipp 9

Passwörter – Schlüssel zur digitalen Sicherheit

Wenn Sie Ihren Computer mit dem Passwort „1234“, „abcdf“, „Administrator“ oder „Ichliebedich“ schützen, dann schützen Sie ihn damit nicht wirklich. Solche Passwörter können innerhalb weniger Sekunden geknackt werden.

Wollen Sie keine leichte Beute für Betrüger/innen mehr sein, dann brauchen Sie ein langes und starkes Passwort, z. B. Anfangsbuchstaben einer Passphrase wie z. B.:

„In 6 Wochen werde ich mich um 50% besser in der Cybersicherheit auskennen und keinen € wegen Cyberangriffen verlieren: )“ – „I6Wwimu50%bidCauk€wCv: )“

Übung:

Einführung: Passwörter (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im gelben Teil „Datenschutz“ – „Passwörter“

Cybersecurity-Tipp 10

Datenverlust – passiert auch ohne Cyberkriminelle

Vor Missgeschick oder Pech sind wir auch im digitalen Leben nicht gefeit. Wenn Ihre Daten plötzlich weg sind, ist das ärgerlich und kann in Ihrem Unternehmen massive Probleme zur Folge haben. Wie kann es zu einem Datenverlust kommen? Hier die häufigsten Ursachen:

  • physische Beschädigung
    • Wasserschaden – Kaffee oder Wasser über Laptop-Tastatur verschüttet oder undichte Laptoptasche bei Regen
    • Gerät heruntergefallen
    • Gewitter und Blitzeinschlag ins Stromnetz
    • Hitze- oder Kälteeinwirkungen
    • Stromausfall im falschen Moment
  • Bedien- und Fahrlässigkeitsfehler
    • Daten versehentlich gelöscht
    • Dateninhalte versehentlich überschrieben
    • USB-Stick verloren
    • fehlerhafte Neuinstallation oder Festplatten-Formatierung
  • Programm-(=Software)Fehler wie z. B. bei fehlgeschlagenen Aktualisierungen

Sichern Sie deshalb Ihre Daten regelmäßig auf einem externen Speichermedium (z. B. USB-Festplatte).

Weiterführende Infos:

Cybersecurity-Tipp 11

Der PC streikt? Keine Panik, mit Backups ist Ihr Business auf der sicheren Seite

Auch wenn Sie alle Schutzmaßnahmen richtig befolgen, kann immer etwas Schlimmes passieren (Kaffee verschüttet, Brand, Cyberangriff, Defekte).

Ohne ein Backup (=Sicherheitskopie) Ihrer Daten riskieren Sie jederzeit, dass Sie alles verlieren.

Erstellen Sie also noch heute ein Backup und tragen Sie die nächsten Backup-Termine in Ihren Kalender ein. Wie geht das?

  • Kopieren Sie alles zumindest auf eine externe Festplatte (im Handel erhältlich) oder
  • speichern Sie Ihre Daten in der Cloud (darauf werden wir noch eingehen).

Fertig, Ihre Datensammlung ist gesichert. Überprüfen Sie noch, ob die Daten sicher wiederherstellbar sind. Bitte daran denken: Lagern Sie Ihre Sicherheitskopie an einem räumlich getrennten Ort!

Es ist auch möglich, mehr als „nur“ Ihre Dateien (Kund/innendaten, Buchhaltungsunterlagen, E-Mails etc.) zu sichern. Möchten Sie im Notfall Ihr ganzes System wiederherstellen können, gibt es dafür die Image-Sicherung. Solch ein Speicher-Abbild der Festplatte beinhaltet alles: auch Ihr Betriebssystem, alle Einstellungen, Anwendungen und Daten. Ein/e IT-Dienstleister/in hilft Ihnen dabei.

Weitere Infos und Übungen:

Cybersecurity-Tipp 12

Wenn Ransomware Ihre Geschäftsdaten entführt

 „Deine Daten werden unwiederbringlich verschlüsselt, wenn du nicht zahlst“ – eine solche Erpressung heißt RANSOMWARE. Das ist ein Erpressungs- und Verschlüsselungs-Schadprogramm – heutzutage die größte Gefahr im Internet.

Cyberkriminelle haben auf Ihrem Computer unbemerkt ein Schadprogramm installiert. Sie konnten dadurch auf Ihre wichtigen Daten zugreifen und sie verschlüsseln, d. h., für Sie sind die Daten nicht mehr lesbar. Von Ihnen wird nun ein Lösegeld verlangt – oft mehrere Tausend Euro, die meistens in Bitcoin zu zahlen wären. So können die Betrüger/innen anonym bleiben.

Allerdings gibt es keine Garantie, dass Sie den Zugriff auf Ihre Daten tatsächlich zurückerhalten. Möglich ist auch, dass Ihre Daten inzwischen beschädigt wurden.

Im Falle eines Ransomware-Angriffs empfiehlt sich daher: nicht zahlen und nicht verhandeln! Wenden Sie sich an den/die IT-Dienstleister/in Ihres Vertrauens, um die Attacke fachkundig abzuwehren und den Schaden zu begrenzen.

Bei Unsicherheit hier anrufen: Cyber-Security-Hotline – WKO.at (24h-Call Center, Notfallhilfe und Erstinformation).

Weitere Infos und Übungen:

Cybersecurity-Tipp 13

Firewall – Ihre digitale Brandmauer

Ein unverzichtbares Element Ihrer digitalen Sicherheit ist die Firewall.

Das ist ein Programm, das überprüft, welche Daten auf den Computer hereingelassen werden und welche nicht. Daten aus nicht vertrauenswürdigen Quellen kommen bestenfalls nicht durch.

Auch wenn der Computer ohne Ihr Wissen verdächtige Daten versendet, werden Sie von der Firewall alarmiert. Das kann infolge eines noch nicht entdeckten Cyber-Angriffs vonstattengehen.

Diese Schutzwand ist oft schon im Betriebssystem eingebaut. Auch WLAN-Router (=Netzwerkgeräte) sind meistens mit Firewall-Funktionen ausgestattet.

Überprüfen Sie also, ob Ihre Firewall aktiviert und dementsprechend eingestellt ist (z. B.: Einstellungen – Suchen – Firewallstatus überprüfen). Falls nicht, steht die Tür offen und kein/e Türsteher/in regelt den Einlass.

Weitere Infos

Cybersecurity-Tipp 14

Ein Notfallplan minimiert Schäden

Im Fall eines Cyber-Angriffs müssen Sie schnell und gezielt handeln. So reduzieren Sie die Folgekosten für Datenrettung, Betriebsunterbrechung und Schadensersatzansprüche, Rechtsberatung oder PR-Beratung bei Imageschäden.

Sehr hilfreich ist daher ein klarer Plan, was im Ernstfall zu tun ist. Auf Ihrer Notfall-Karte kann z.B. stehen:

  1. weitere Arbeit am Computer einstellen,
  2. das Gerät vom Netzwerk trennen,
  3. Beobachtungen dokumentieren,
  4. Beweise sichern (Datum/Uhrzeit notieren, Bildschirm fotografieren, kurze Notizen: wer, was, wann, wo und warum hat gerade etwas am Computer getan),
  5. Cyber Security Hotline anrufen (Cyber-Security-Hotline – WKO.at).

Um sich für einen IT-Notfall optimal zu wappnen, können Sie eine/n IT-Dienstleister/in zu Rate ziehen. Sinnvoll ist vielleicht auch ein Penetrationstest, bei dem alle Schwachstellen Ihrer Geräte aufgespürt werden. Als Ergebnis des Tests bekommen Sie Ihr individuelles Notfallkonzept.

Weitere Infos:

Cybersecurity-Tipp 15

Wann ist ein Passwort nicht stark genug?

Besonders leicht zu knacken sind Passwörter, die Folgendes enthalten:

  • Wörter aus dem Wörterbuch,
  • Informationen aus dem Privat- oder Berufsleben (Haustier, Automarke, Heimatstadt, erste Liebe, Geburtsdaten usw.),
  • Buchstaben, die durch ähnliche Zahlen ersetzt wurden, z.B. 5 für S.

Vermeiden Sie auch:

  • Passwort-Recycling, d.h. das gleiche Passwort bei verschiedenen Online-Diensten,
  • Niederschreiben Ihrer Passwörter (digital oder auf Papier),
  • Teilen Ihrer Passwörter (z. B. für Streaming-Dienste),
  • Versenden der Passwörter per SMS oder E-Mail,
  • allzu einfache Fragestellungen zur Passwortwiederherstellung, z. B. “Wie lautet der Name deines Haustiers?“ – die Antwort findet ein/e Hacker/in schnell heraus und besorgt sich problemlos ein neues Passwort für Ihr Konto oder Profil.

Ein starkes Passwort darf nicht zu kurz (mindestens 8 Zeichen) und nicht direkt beobachtbar (0000, 1234, qwertz, w2e3r4t5– die Tasten liegen eng nebeneinander) sein.

Wenn Sie einen Passwortmanager oder die 2-Faktor-Authentifizierung verwenden, erhöht sich Ihre IT-Sicherheit deutlich. Auf diese Werkzeuge kommen wir noch in einem der nächsten Cybersecurity-Tipps zurück.

Die 200 häufigsten Passwörter 2022 | NordPass (scrollen Sie bitte nach unten, um absolute Favoriten zu sehen)

Übungen: Log-ins und Passwörter | Digitalführerschein (DiFü) (xn--dif-joa.de)

Cybersecurity-Tipp 16

Aktualisierungen – immer auf dem neuesten Stand

Wenn die automatischen Updates – also die Aktualisierungen von Programmen – nicht aktiviert sind, erkennt Ihr Computer nur alte Bedrohungen und bleibt offen für neue Viren oder andere Arten von Malware (=Schadprogramme).

Aktualisiert werden sollten sowohl Programme als auch Plugins, d.h. kleine Zusatzprogramme im Browser z.B. zum Abspielen von Musik, die oft Sicherheitslücken haben.

Machen Sie einen Computercheck, um veraltete Programme zu finden: DsiN-Computercheck – Starten (computercheck24.com).

Auch das Betriebssystem wie Windows soll sich automatisch aktualisieren. Überprüfen Sie Ihre Einstellungen für Updates.

Übungen:

Cybersecurity-Tipp 17

CEO-Betrug. Ist das wirklich der*die Vorgesetzte?

Wie funktioniert dieser Cyber-Angriff? Betrüger*innen überprüfen, z. B. mit einer E-Mail, ob der*die Chef*in im Büro anwesend ist. Kommt eine Abwesenheitsnotiz zurück, stehen die Chancen auf das Gelingen eines Cheftricks nicht schlecht.

Als Mitarbeiter*in werden Sie nun mit einer gefälschten E-Mail um Geldüberweisung gebeten. Die Absenderadresse ist nur scheinbar echt. Das Anliegen sei absolut vertraulich und dringend zu erledigen. Wenn der*die falsche Chef*in Sie anruft, kann es sogar sein, dass die Stimme simuliert ist! Dabei wird Ihnen das Gefühl vermittelt, Sie wegen besonderer fachlicher Kompetenzen und Ihrer absoluten Zuverlässigkeit für diese delikate Aktion auserwählt zu haben. Fühlen Sie sich geehrt und übernehmen den Auftrag?

Auf der sicheren Seite sind Sie nur, wenn Sie sich den Auftrag in einer persönlichen Rücksprache und zusätzlich noch schriftlich bestätigen lassen. Sonst könnte eine Geldüberweisung einen enormen Schaden verursachen.

Infos, Beispiele:

Übung:

Sich vor Betrug schützen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im blauen Teil „Technische Bedrohungen“ – „Unternehmensbetrug“

Cybersecurity-Tipp 18

DoS- oder DDoS-Attacke – unter Beschuss der Massen

Wenn die Website Ihres Unternehmens plötzlich gar nicht mehr oder auffallend langsam geht, haben Sie möglicherweise mit einer DoS-Attacke zu tun.

DoS steht für „Denial of Service“ – „Verweigerung des Dienstes“.

Hacker:innen wollen Ihnen schaden, indem sie sehr viele Anfragen über Ihre Website schicken. Das überlastet das System und Ihre Website stürzt ab. Sie sind für Ihre Kund:innen nicht mehr erreichbar.

Wenn Sie nicht nur von einem, sondern von hunderten oder gar tausenden Endgeräten angegriffen werden, ist das ein DDoS-Angriff, „Distributed Denial of Service“ – „verteilter Dienstverweigerung-Angriff“, noch verheerender!

Falls Sie also feststellen, dass die Nicht-Verfügbarkeit der Webseite Ihres Unternehmens tatsächlich folgenschwer wäre, lassen Sie sich von einem/r IT-Experten/in beraten.

Die Erstinformation bekommen Sie bei der Cyber-Security-Hotline – WKO.at.

Weitere Infos:

Übung:

Technische Bedrohungen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im blauen Teil „Technische Bedrohungen“ -„Backups“

Cybersecurity-Tipp 19

Vertrauliche Botschaften verschlüsseln – Schritt für Schritt

Dateien, die via E-Mail, SMS oder über WhatsApp etc. verschickt werden, können auch von anderen als den direkten Empfänger/innen gelesen werden. Möchten Sie streng vertrauliche Dokumente versenden, so können Sie diese zusätzlich verschlüsseln. Dafür würden sich zum Beispiel diese Möglichkeiten bieten:

  • In einem Microsoft-Windows-Dokument (zum Beispiel „Word“) wählen Sie: Datei – Informationen – Dokument schützen – mit Kennwort verschlüsseln (mind. 8 Zeichen, Groß-/Kleinbuchstaben, Sonderzeichen). Das Kennwort geben Sie dem/der Empfänger/in persönlich, und, falls nicht möglich, per SMS.
  • 7-Zip
    • ein kostenloses Kompressionsprogramm (hier erhältlich: 7-Zip | heise Download),
    • praktisch bei großen Dokumenten,
    • Dokument kann so dicht in eine Datei verpackt (=komprimiert) werden, dass es weniger Speicherplatz erfordert,
    • Dokument kann mit einem Kennwort verschlüsselt werden: Dateispeicherort öffnen (im Explorer, z.B. unter „Downloads“) – rechte Maustaste – 7-Zip wählen – zu einem Archiv hinzufügen – unter Verschlüsselung Passwort eingeben – das komprimierte und verschlüsselte Dokument verschicken – Passwort persönlich oder per SMS

Übung:

Home-Office (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig. Die Übungen passend für das heutige Thema finden Sie im grünen Teil „Home-Office“ – Verschlüsselung

Cybersecurity-Tipp 20

Wie erkennen Sie, dass ein/e Hacker/in an Ihrem Computer im Hintergrund aktiv ist?

Plötzlich wollen die Computer-Programme (=Applikationen) nicht starten oder sind sehr langsam. Das ist nicht nur eine Nervenprobe für Sie, sondern kann auch ein möglicher Cyber-Angriff sein. So machen Sie im Verdachtsfall selbst den ersten Sicherheits-Check:

  • den Windows Defender öffnen (z. B. in das Suchfeld unten auf der Taskleiste – oft als Lupe angezeigt – „Windows Defender“ eintippen),
  • Viren- und Bedrohungsschutz wählen,
  • Scanoption wählen,
  • Vollständige Überprüfung wählen – Jetzt überprüfen,
  • infizierte Objekte werden in die Quarantäne verschoben,
  • diese Dateien UNBEDINGT löschen,
  • den/die IT-Dienstleister/in Ihres Vertrauens das Gerät sicherheitshalber überprüfen lassen.

Auf alle Fälle können Sie ihn/sie auch bitten, einen Rettungs-Bootstick erstellen zu lassen. Auf so einem USB-Stick wird Ihr Windows-Betriebssystem ohne Daten gespeichert. Bei einer Beschädigung können Sie Windows mit dem Stick wiederherstellen und starten.

Cybersecurity-Tipp 21

Digitale Rückendeckung stärken. Warum braucht man Logging und Monitoring?

Bei einem Cybervorfall bleibt uns meist nichts anderes übrig, als uns an einen/e IT-Experten/in zu wenden. Wir hoffen dann sehr, dass sie/er den Computer – also die Daten, das System, die Programme – erfolgreich „rettet“.

Damit dies tatsächlich gelingt, müssen die IT-Experten/innen wissen, was genau – Schritt für Schritt – passiert ist. Das heißt, sie brauchen eine Aufzeichnung (=Logging-Protokoll) aller vorhergehenden Ereignisse, z.B.,

  • wer, wann und wo sich ein- und ausgeloggt hat,
  • welches Programm gestartet wurde (E-Mail-Programm wie Outlook, Buchhaltungsprogramm, Übersetzungssoftware wie Trados Studio, Grafikprogramm usw.),
  • wer und wann auf Daten im Firmennetzwerk zurückgegriffen hat,
  • wer etwas hochgeladen oder heruntergeladen hat.

Für solch eine Protokollierung aller Ereignisse im Computer gibt es verschiedene Standards und Normen, z.B. ISO27000-Reihe oder CIS Top18*. Das AIT Austria Institut of Technology hat all diese Normen im Zuge des Forschungsprojektes CyberMonoLog in einem einzigen Dokument zusammengeführt. Wenn die dort genannten Anweisungen umgesetzt werden, kann ein Cyberangriff dank eines optimal sichergestellten Monitorings (=Überwachung) möglichst früh entdeckt und schnell abgewehrt werden.

Daher sind Unternehmer/innen und Computernutzer/innen gut beraten, sich dieses detaillierte Regelwerk anzusehen, ihre/n IT-Experten/in darauf aufmerksam zu machen und die Umsetzung in die Wege zu leiten.

* https://www.cisecurity.org/controls/cis-controls-list

Anwendungs-Tipp für Ihre IT-Dienstleister/innen: CyberMonoLog

Cybersecurity-Tipp 22

Wurden meine Passwörter enttarnt oder meine Identitätsdaten ausspioniert?

Datenlecks sind keine abstrakte Gefahr. Ihre Daten oder die Ihrer Kunden kursieren möglicherweise bereits auf verschiedenen Hackerforen oder frei im Netz, ohne dass es Ihnen bewusst ist. Sie können aber die Sicherheit Ihrer E-Mail-Adresse oder Ihrer Passwörter sehr einfach überprüfen:

Sie können auch checken, ob Ihr Passwort geleakt wurde: Have I Been Pwned: Pwned Passwords . Das ist eine Datenbank mit Millionen von Passwörtern aus der realen Welt, die zuvor bei Datenschutzverletzungen offengelegt wurden.

Empfehlenswert ist ebenfalls der Checker des Hasso-Plattner-Instituts: Identity Leak Checker (hpi.de). Dieser Dienst überprüft Ihre E-Mail-Adresse und schickt Ihnen umgehend eine Antwort, ob Sie von einem Datendiebstahl betroffen sind.

Empfohlene Links:

Cybersecurity-Tipp 23

Gefälschte Links in SMS – Smishing

Smartphones nutzen wir oft unterwegs, wo unsere Konzentration oft niedriger ist als am Computer. Wenn dann eine SMS mit einem Link kommt, kann es schnell passieren, dass wir ihn automatisch anklicken.

Dieser Link führt möglicherweise zu einer gefälschten Webseite z. B. einer Bank, einer Behörde oder eines Lieferdienstes. Wenn Sie sich dort mit Ihren Daten anmelden, fallen Ihr Benutzername und Ihr Passwort in die Hände der Betrüger/innen. Diese Daten lassen sich für verschiedene illegale Aktivitäten nutzen, z. B. für unautorisierte Überweisungen.

Mit solch einem Link können Sie auch auf einer Webseite mit einem schädlichen Programm landen. Wenn diese Malware sich auf Ihrem Handy einnistet, passiert zum Beispiel Folgendes: Die Betrüger/innen stehlen Ihre Daten, kontrollieren Ihr Gerät oder können es verschlüsseln und Lösegeld fordern.

Im Falle von Smishing, gehen Sie am besten zur offiziellen Internetseite (von DHL, Amazon, Finanzamt, Bank usw.), melden Sie sich dort an und überprüfen Sie, ob tatsächlich eine Mitteilung an Sie vorhanden ist.

Die aktuellen Smishing-Warnungen:

Cybersecurity-Tipp 24

GEWINNQUIZ
Wählen Sie bitte die richtige Antwort:

  1. Ein anderes Wort für ein bösartiges Schadprogramm ist:
    a. Software
    b. Malware
    c. Adware
    Leider falsch: Software sind Programme, die auf einem digitalen Gerät installiert sind und verwendet werden können. Es gibt u. a. Systemsoftware (z. B. Windows, Android, Linux) und Anwendungssoftware (z. B. MS Word, Adobe Photoshop, Mozilla Firefox). Das sind keine Schadprogramme.
    Richtig! Malware = malicious (bösartig) + Software
    Leider falsch: Adware = Advertising + Software. Adware zeigt Benutzer/innen eines digitalen Geräts unerwünschte Werbung an.
  2. Wie heißt die Technologie, die beim kontaktlosen Bezahlen verwendet wird?
    a. NFC
    b. RFID
    c. 7-Zip
    Richtig! NFC = Near Field Communication, Nahfeldkommunikation – eine drahtlose Datenübertragung zwischen Geräten über eine sehr kurze Distanz (10-20 Zentimeter)
    Leider falsch: RFID = Radio Frequency Identification, Radiofrequenz-Identifikation – eine automatische berührungslose Identifizierung von Objekten mithilfe von Funkwellen. Eingesetzt z. B. bei Zugangskontrolle zu Gebäuden oder Fahrzeugidentifikation für Mauterhebung
    Leider falsch: 7-Zip ist ein kostenloses Kompressionsprogramm, mit dem man Dateien oder Ordner komprimieren (=dicht verpacken) und wieder entpacken kann.
  3. Wozu verwendet man Image-Sicherung?
    a. um Fotos in der Cloud zu speichern
    b. um ein gesamtes Computersystem zu sichern
    c. um Präsentationen als PDF zu speichern
    Leider falsch: Um Fotos in der Cloud (=Wolke) zu speichern, braucht man einen Cloud-Speicherdienst, z. B. Google Drive, Dropbox, Microsoft OneDrive, iCloud, Amazon Drive.
    Richtig! Image-Sicherung ist ein System-Backup (=Sicherheitskopie), eine exakte Kopie des gesamten Systems, einschließlich Einstellungen und Konfigurationen.
    Leider falsch: Das macht man direkt im Präsentationsprogramm. Man klickt auf „Datei“, dann auf „Speichern unter“ (oder „Exportieren“) und man wählt in der Liste der Dateiformate die Option „PDF“ aus.
  4. Was versteht man unter „Passwort-Recycling“?
    a. regelmäßige Passwortänderung
    b. Entsorgen der Notizen mit allen Passwörtern
    c. Verwendung des gleichen Passworts für mehrere verschiedene Konten oder Online-Dienste
    Leider falsch: Das gehört zur Passworthygiene, also zu bewährten Praktiken im Umgang mit Passwörtern. Durch eine regelmäßige Passwortänderung verringert man das Risiko einer unbefugten Nutzung. Andere Empfehlungen sind u. a.: ausreichende Passwortstärke und -länge, Nutzung eines Passwortmanagers und der Zwei-Faktor-Authentifizierung (2FA). Passwort-Recycling ist etwas anderes.
    Leider falsch: Man soll Passwörter gar nicht auf Papier notieren, denn das ist aus Sicherheitsgründen sehr problematisch. Eine fremde Person könnte auf die Passwörter zugreifen (mitnehmen oder fotografieren) oder man wirft den Zettel selbst versehentlich weg.
    Richtig! Es geht um Passwort-Wiederverwendung (auch Reusing Passwords), d. h., man verwendet ein und dasselbe Passwort für E-Mail, soziale Medien, Online-Banking usw. Bei einem Cyberangriff sind alle Dienste und Konten gleichzeitig und gleichermaßen gefährdet!
  5. Wir würden uns sehr freuen, wenn Sie uns ein kurzes Feedback zu unseren „Cybersecurity-Tipps“ geben:
    a. Wie oft lesen Sie die „Cybersecurity-Tipps“?
    i. Ich habe bisher alle Tipps gelesen
    ii. Ich lese die Tipps, aber nicht regelmäßig
    iii. Ich habe weniger als die Hälfte gelesen
    iv. Ich habe bisher keine Tipps gelesen, erst bin ich auf das Gewinnquiz aufmerksam geworden
    b. Gefallen Ihnen die „Cybersecurity-Tipps“? Welche Antwort trifft auf Sie am meisten zu?
    i. Ja, weil sie kurz sind.
    ii. Ja, weil sie in einer verständlichen Sprache geschrieben sind.
    iii. Ja, weil sie erklären, was man machen soll.
    iv. Nein, weil sie für mich zu einfach sind.
    v. Nein, weil ich keine Zeit dafür habe.
    vi. Nein, Cybersicherheit interessiert mich nicht.
    vii. Ich habe keine Meinung dazu.
    c. Haben Sie noch weitere Kommentare oder Überlegungen zu den „Cybersecurity-Tipps“?
    i. Ja, ich möchte Folgendes hinzufügen: ……………………………………………………………………………………
    ii. Nein

Cybersecurity-Tipp 25

Passwort-Manager: Entlastung durch ein Master-Passwort

Um Passwörter sicher und bequem zu speichern und zu verwalten, gibt es spezielle Programme. Sie heißen Passwort-Manager und können auf Ihrem Computer, Smartphone oder Tablet installiert werden.

In einen Passwort-Manager steigen Sie mit einem sogenannten „Master-Passwort“ ein. Alle weiteren Passwörter werden dort in einer verschlüsselten Datenbank aufbewahrt. Sind Sie im Passwort-Manager angemeldet, brauchen Sie sich nicht mehr an die anderen Passwörter zu erinnern.

Daher ist es sehr wichtig, das Master-Passwort nicht zu vergessen! In solch einem Fall werden Sie keinen Zugriff mehr auf alle Online-Dienste haben, deren Passwörter im Passwort-Manager hinterlegt wurden. Es empfiehlt sich daher, das Master-Passwort ausnahmsweise auch auf Papier zu notieren und es an einem sicheren Ort abzulegen. Natürlich sollte man diese Notiz nicht als „Mein Master-Passwort“ beschriften.

Ein Passwort-Manager bietet auch weitere Vorteile. Falls man z. B. für eine Registrierung ein neues Passwort braucht, entfällt die Suche nach einer einzigartigen Kombination aus Buchstaben, Zahlen und Sonderzeichen. Ihr Passwort-Manager generiert selbst starke Passwörter.

Sehr bequem ist die Funktion des automatischen Ausfüllens von Anmeldedaten. Dadurch loggen Sie sich bei Ihren Online-Diensten ohne händische Anmeldung ein. Dies geschieht einfach im Hintergrund.

Auf dem Markt gibt es sowohl kostenpflichtige als auch kostenlose Passwort-Manager. Bekannt sind z.B. KeePass oder Bitwarden.

Übung: Log-ins und Passwörter – Digitalführerschein (DiFü) (difue.de) – Punkt 3

Cybersecurity-Tipp 26

Doppelt geschützt mit Zwei-Faktor-Authentifizierung

Es gibt immer mehr Online-Dienste, die zur Erhöhung der Sicherheit die Zwei-Faktor-Authentifizierung (2FA) anbieten. Diese Methode kennen Sie möglicherweise bereits vom Online-Banking. Da ist es erforderlich, nicht nur die Anmeldedaten einzutippen, sondern die Anmeldung zusätzlich am Handy zu bestätigen. Falls Ihr Passwort von Betrüger/innen abgefangen wurde, ist Ihr Online-Konto weiterhin vor einem unbefugten Zugriff geschützt.

Als zweiter Faktor kann ein temporärer SMS-Code, eine spezielle Authentifizierungs-App oder ein physischer Sicherheitsschlüssel dienen.

Überprüfen Sie also, ob Ihr E-Mail-Anbieter, Ihre sozialen Medien oder andere Dienste wie z.B. YouTube diese Funktion haben. Das sehen Sie unter den Sicherheitseinstellungen des Dienstes und dort können Sie die 2FA auch aktivieren, meistens mithilfe einer einfachen Anleitung. Solch eine zusätzliche Sicherheitsebene ist ein wichtiger Schritt zum Schutz Ihrer digitalen Identität.

Weitere Informationen

Cybersecurity-Tipp 27

Was sind Plugins und warum sind sie oft nicht cyber-sicher?


Plugins sind kleine Zusatzprogramme, mit denen man Musik oder Videos abspielen (zB VLC media player), die Werbung blockieren (zB AdBlock Plus), Rechtschreibung und Grammatik prüfen (zB Grammarly) oder Anmeldedaten aufbewahren (zB LastPass) kann. Sie bieten also zusätzliche Funktionen oder Erweiterungen zum bestehenden Programm.


Aus Sicherheitssicht sind sie jedoch oft problematisch. Viele Plugins werden nämlich nicht regelmäßig aktualisiert oder von Entwickler/innen gar nicht mehr unterstützt. Veraltete Versionen haben also oft Sicherheitslücken, die von Cyberkriminellen ausgenutzt werden können.


Plugins interagieren mit einem Browser (=Computer-Programm zum Aufrufen von Internetseiten) oder mit einem anderen Programm. Wenn ein Plugin unsicher ist, kann das die gesamte Plattform beeinträchtigen. Ein/e Betrüger/in schleust sich über das Plugin auf andere Bereiche des Systems ein.


Daher empfiehlt es sich, nur vertrauenswürdige Plugins aus verifizierten Quellen zu verwenden und sie durch Aktualisierungen immer auf dem neuesten Stand zu halten. Die nicht mehr benötigten Plugins soll man systematisch deinstallieren.


Beispiel eines nützlichen und vertrauenswürdigen Plugins:
• Ihr Schutz vor Fake-Shops – Fake-Shop Detector (fakeshop.at)

Cybersecurity-Tipp 28

Unternehmensdaten in der digitalen Wolke


Einige Cloud-Dienste sind in einem EPU oder KMU nicht mehr wegzudenken. Im Cloud-Speicher werden die Geschäftsdaten online aufbewahrt und synchronisiert, sodass man darauf auch von anderen Geräten zugreifen kann. Für Videokonferenzen kommt ebenfalls eine Cloud-Lösung zum Einsatz. Cloud-basierte E-Mail-Dienste ermöglichen eine schnelle schriftliche Kommunikation und eine Terminverwaltung von unterwegs. Bei der Planung und Organisation von Aufgaben sind cloud-basierte Projektmanagement-Tools nützlich. Auch Buchhaltung und Kundenbeziehungs-Management (CRM – Customer Relationship Management) können in der digitalen Wolke abgewickelt werden.

Daher ist es ratsam, das Angebot verschiedener Cloud-Anbieter/innen zu vergleichen und die richtige Cloud für eigene Geschäftsdaten zu wählen. Dabei sind folgende Punkte zu beachten:

  • Datenschutz: Zertifizierungen, Einhaltung der DSGVO
  • Standort der Cloud-Server: Wo befindet sind das Rechenzentrum? In Österreich, in einem anderen europäischen Land, in Amerika oder in Asien?
  • Datenverschlüsselung: Verfügt die Cloud über eigenes Verschlüsselungssystem, sodass die Daten nur verschlüsselt in die Cloud hochgeladen werden?
  • Vertragsbedingungen, z. B. wie die Verfügbarkeit der Cloud oder der Kundensupport gewährleistet werden? Was passiert mit Daten im Falle einer Naturkatastrophe?
  • Backup- (=Sicherheitskopie) und Wiederherstellungsmöglichkeiten bei einem Datenverlust oder einem Ransomware-Angriff (Verschlüsselung und Erpressung)
  • Benutzerfreundlichkeit und Funktionalität der Plattform

Infos: Cloud Anwendungen für kleine Unternehmen – WKO.at
Übungen: Datenschutz (ovosplay.com)

Cybersecurity-Tipp 29

Apps sicherheitsbewusst installieren


Zahlreiche nützliche Apps können den Alltag erleichtern. Bevor Sie aber eine herunterladen, überprüfen Sie kurz, ob es sich nicht um eine Download-Falle handelt.
Prüfen Sie das Unternehmen, das die App entwickelt hat. Woher kommt es? Wie reagiert der Kundensupport der Entwickler/innen auf Bewertungen und Kommentare anderer Nutzer/innen?
Finden Sie die gewünschte App in einem offiziellen App Store (Verkaufsplattform mit einem Katalog), wie z. B. Apple App Store oder Google Play Store? Ihre Authentizität können Sie auch überprüfen, indem Sie sich auf der offiziellen Website des Unternehmens informieren.
Lesen Sie vor der Installation einer App, welche Berechtigungen erforderlich sind. Wenn sie ungewöhnlich viele verlangt, die mit der Funktion der App in keinem Zusammenhang stehen, ist ein Misstrauen angebracht.
Installieren Sie die Aktualisierungen der Apps. Die Entwickler/innen beheben auf diese Weise die aufgetretenen Sicherheitslücken oder Probleme.


Aktuelle Warnmeldung: Warnung von Experten: Über 60.000 schädliche Android-Apps entdeckt – CHIP
Die wichtigsten Einstellungen für ein sicheres Smartphone – Watchlist Internet (watchlist-internet.at)

Cybersecurity-Tipp 30

Aktuelle Sicherheitswarnungen


Cyberkriminelle greifen nicht nur mit bereits bekannten Methoden an, sie denken sich dauernd neue, immer raffiniertere Tricks aus. Daher ist es ratsam, sich über die neuesten Entwicklungen und Warnungen zu informieren. So bleibt der Überraschungseffekt bei einer neuen Betrugsmasche aus.
Es gibt aber auch bösartige Sicherheitswarnungen, deren Ziel ist, Sie in Panik zu versetzen und zu schädlichen Aktionen zu bewegen. Scareware („scare“=erschrecken + „Software“=Programm) erscheint oft als Pop-up-Fenster und enthält eine aufdringlich bunte Meldung über eine vermeintliche Funktionsstörung Ihres Systems. Um den Schaden abzuwenden, werden Sie aufgefordert, sofort – oft sehen Sie auch einen Countdown-Zähler – etwas herunterzuladen. Es kann sich sowohl um ein kostenloses oder ein kostenpflichtiges „Sicherheitsprogramm“ handeln.
Es ist also wichtig, Scareware zu erkennen und sie zu ignorieren. Nutzen Sie nur vertrauenswürdige Quellen, die aktuelle Sicherheitswarnungen bieten. Z. B. bekommen Sie mit einem kostenlosen Newsletter von Watchlist Internet jeden Freitag eine E-Mail mit den neuesten Betrugsfällen. Es gibt zusätzlich eine entsprechende Smartphone-App, mit der Sie über neue Warnmeldungen sofort benachrichtigt werden.
Auch die Wirtschaftskammer Österreich bietet eine Übersicht aktueller Betrugswarnungen.