INDUCE Cybersecurity-Tipps

Diese Tipps erschienen erstmals 2023 in WKO Newslettern als eine Awareness Kampagne, die durch Mitglieder des Konsortiums von INDCUE initiert wurden. Nun werden die dort veröffnetlichten und gesammelten Tipps hier aufgelistet.
Diese Tipps erheben keinen Anspruch auf Vollständigkeit. Es soll nur ein als ein niederschwelliger Zugang zu dem Thema dienen.

Cybersecurity-Tipp 1

Gefälschte E-Mails – Phishing

Wenn Sie eine E-Mail erhalten, in der Sie vor einer Kontosperrung gewarnt werden oder in der behauptet wird, dass Sie einen Preis gewonnen haben, oder aufgefordert werden, dringend Ihre Identität zu bestätigen

klicken Sie auf KEINEN Link aus dieser E-Mail und laden Sie KEINE Datei herunter!

Das ist ein PHISHING-Betrug.

Die Betrüger wollen Sie dazu bringen, persönliche Daten preiszugeben oder unwissentlich bösartige Programme (MALWARE) herunterzuladen.

Löschen Sie diese E-Mail.

Haben Sie Zeit und Lust für passende Cyber-Übungen?

Sich vor Betrug schützen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im grünen Teil „Sich vor Betrug schützen“

https://phishingquiz.withgoogle.com/

Weitere hilfreiche Infos wie auch aktuelle Phishing-Fallen finden Sie hier:

Cybersecurity-Tipp 2

Vorsicht bei drahtlosem Internet

Meistens steigen wir ins Internet ohne Kabel ein, also drahtlos. Dafür gibt es folgende Funktionen:

WLAN – lokales Netzwerk für Laptops, Mobiltelefone usw.,
Bluetooth – Datenübertragung zwischen Geräten über kurze Distanz (einige Meter),
NFC = Nahfeldkommunikation – Datenübertragung zwischen Geräten über eine sehr kurze Distanz (10-20 Zentimeter), z. B. beim kontaktlosen Bezahlen.

Mit WLAN-Netzwerken haben wir zuhause oder in Unternehmen zu tun. Bei richtigen Einstellungen bieten sie eine gewisse Sicherheit. Vorsicht aber bei öffentlichen gratis HOTSPOTS, d. h. den offenen Internet-Zugriffspunkten im Zug, am Flughafen oder im Hotel! Diese sind nicht geschützt. Zudem gibt es auch Fake-WLANs, d. h., ein Netzwerk heißt z. B. ÖBB oder wie Ihr Lieblingsrestaurant, aber dahinter lauern Cyberkriminelle. Falls möglich, fragen Sie nach dem richtigen Namen des Netzwerks.

Wenn Sie also im öffentlichen WLAN (Drahtlos-Netzwerk) unterwegs sind,

nehmen Sie keine Zahlungen vor und verwenden Sie keine Anmeldedaten,
laden Sie nichts herunter, d. h., verschieben Sie alle Downloads auf später, wenn Sie wieder in einem gesicherten WLAN-Netz sind,
verzichten Sie auch auf Online-Shopping,
lassen Sie sich nicht auf Bildschirm und Tastatur schauen.

Schalten Sie WLAN nur dann ein, wenn Sie es brauchen. Keine automatische WLAN-Suche.

Auch lesenswert:

Übung:

Smartphone (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im roten Teil „Smartphone“

Cybersecurity-Tipp 3

Link angeklickt, Anhang geöffnet

Wenn Sie voreilig einen Link angeklickt oder einen Anhang geöffnet haben, dann

entweder landen Sie auf einer gefälschten Webseite
oder laden Sie direkt auf Ihren Computer ein Schadprogramm herunter.

So kann man sich in solch einem Fall retten:

Ziehen Sie den Stecker raus und rufen Sie eine/n IT-Experten/-in Ihres Vertrauens an. Haben Sie keine/n? Dann: Cyber-Security-Hotline – WKO.at – 24h-Call Center, Notfallhilfe und Erstinformation
Geben Sie auf der Website, die sich nach dem Anklicken geöffnet hat, keinen Benutzernamen und keine Passwörter an
Lassen Sie Ihren PC mit einem aktualisiertem Virenschutzprogramm durchsuchen
Sicherheitshalber können Sie Ihre Zugangsdaten und Passwörter auf einem anderen Gerät ändern

Weitere hilfreiche Infos:

Was tun, wenn Kriminelle Ihre Daten gestohlen haben? – Watchlist Internet (watchlist-internet.at)

Cybersecurity-Tipp 4

Sich nicht manipulieren lassen – Social Engineering

Es ist nur menschlich, nervös zu werden, wenn ein Anruf von (vermeintlichen) Polizeibeamten oder eine alarmierende E-Mail von Ihrer Bank kommt. Besonders, wenn Sie gerade in Eile oder im Stress und überfordert sind. Dann passiert es schnell, dass Sie einen verhängnisvollen Klick ausführen oder Ihre Zugangsdaten angeben. Der Schaden kann verheerende Folgen für Sie persönlich und für Ihr Unternehmen haben. Auch, wenn Sie an einem bestgesicherten Computer arbeiten, ist es wahrscheinlich, dass Sie den psychologischen Tricks der Betrüger erliegen.

Versuchen Sie sich also diese Automatismen einzuprägen, die Sie dann auch im Stress abrufen können:

bei jedem E-Mail-Anhang und jedem Link (auch in SMS!) misstrauisch sein – nicht klicken – und im Zweifel – beim Absender telefonisch oder persönlich nachfragen,
Absender/innen der E-Mail-Adresse genau überprüfen,
eine unpersönliche Anrede als Hinweis auf Betrug deuten,
die Dringlichkeit der vermeintlich notwendigen Updates, Verifizierungen usw. ignorieren,
keine vertraulichen Daten oder Zugangsdaten per E-Mail oder am Telefon angeben,
persönliche Informationen in sozialen Medien meiden (separate E-Mail-Konten für soziale Netzwerke verwenden),
bei einer E-Mail, in der steht, dass Sie etwas gewonnen hätten, einfach die Finger davonlassen (Fake-Gewinnspiele).

Hier können Sie Ihre Reaktionen in echt überprüfen: Onlinebetrug-Simulator (aknoe.at)

Weitere Infos: Social Engineering – der Mitarbeiter als Angriffsziel – WKO.at

Cybersecurity-Tipp 5

Digitale Geräte schützen

Wenn Sie Ihr Haus verlassen, sperren Sie die Tür zu. So sollten Sie auch Ihr digitales Gerät sperren, wenn Sie es verlassen (z. B. durch gleichzeitiges Drücken von Windows-Taste und L-Taste). Damit schützen Sie Ihren Computer vor Unbefugten.

Voraussetzung für eine Bildschirmsperre ist ein passwortgeschütztes Benutzerkonto. Es empfiehlt sich auch ein separates Benutzerkonto für Geschäftszwecke.

Wenn Sie einen Blickschutzfilter verwenden, sind Ihre Geräte vor fremden Blicken im öffentlichen Raum geschützt. Solche Blickschutzfilter sind einfach zu befestigen und zu entfernen.

Ein No-Go ist das Anstecken von USB-Laufwerken/Sticks, die Ihnen nicht gehören. Es ist, als ob Sie eine Person in Ihr Haus einladen, die sich dann aber unerlaubterweise auch in absolut privaten Bereichen umschaut. Und sie öffnet sogar Fenster, um später ohne Ihr Wissen mit bösen Absichten wiederzukommen.

Weiterführende Infos:

Cybersecurity-Tipp 6

Warum möchte mich jemand angreifen?

Cyberangriffe betreffen längst nicht nur große Konzerne oder die öffentliche Verwaltung. Auch Klein- und Kleinst-Unternehmen werden von Cyberkriminellen ins Visier genommen. Die Motivation der Angreifer/innen kann vielfältig sein, z. B.:

Geld:
- Durch Erpressung oder Täuschung werden Sie dazu gebracht, einen Geldbetrag an Betrüger/innen zu überweisen oder
- Ihre Daten werden ausgespäht und es kommt zu unberechtigten Abbuchungen von Ihrem Konto.

Neugierde, Spaß:

Möchtegern-Hacker/innen, sogenannte Script-Kiddies (Script – eine Datei mit Befehlsfolge) brechen in Ihr System ein, weil sie darin eine befriedigende Herausforderung sehen. Dies kann Ihnen auch einen hohen, nicht umkehrbaren Schaden verursachen.

Zerstörungswut:

Vandalen können z. B. Ihre ehemaligen Mitarbeiter/innen oder Konkurrenten/innen sein, die Ihnen schaden wollen.

Spionage:

Angreifer/innen verschaffen sich Zugriff auf Ihre Kundendaten, Pläne, Buchhaltungssysteme usw., um sich Vorteile zu sichern.

Quelle:

Pohlmann, Norbert (2022): Cyber-Sicherheit. Das Lehrbuch für Konzepte, Prinzipien, Mechanismen, Architekturen und Eigenschaften von Cyber-Sicherheitssystemen in der Digitalisierung.

Übung:

Sich vor Betrug schützen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im grünen Teil „Sich vor Betrug schützen“ -„Diverse Betrugsfälle“

Cybersecurity-Tipp 7

Persönliche Daten preisgegeben: Identitätsdiebstahl-Alarm!

Wenn Sie im Stress nicht genug wachsam waren und Ihre persönlichen Daten oder Zugangsberechtigungen preisgegeben haben, dann können die Betrüger/innen in Ihrem Namen vieles unternehmen, z. B.:

Bestellungen aufgeben,
Geld von Ihrem Bankkonto abbuchen,
ein neues Konto für Geldwäsche eröffnen,
Ihre E-Mail-Adresse für betrügerische E-Mails nutzen,
Ihre Social-Media-Profile übernehmen,
diverse Verträge abschließen.

Was können Sie tun?

Ihre Zugangsdaten umgehend auf einem anderen Gerät ändern,
die Notlage sofort Ihrem/Ihrer IT-Administrator/in melden
oder die Cyber-Security-Hotline – WKO.at anrufen (24h-Call Center, Notfallhilfe und Erstinformation).

Weitere Infos:

Identitätsdiebstahl: Das sind die gängigsten Betrugsmaschen – Watchlist Internet (watchlist-internet.at) (u. A.: betrügerische Marktforschungsinstitute, Stellenanzeigen, Kleinanzeigen)
Onlinesicherheit – Identitätsdiebstahl (Frühwarnsignale, Gegenmaßnahmen)

Cybersecurity-Tipp 8

Betrügerische E-Mails schnell erkennen

Cyberattacken erfolgen oft automatisiert. Es werden Massen-E-Mails mit verseuchten Anhängen oder Links verschickt. Immer fällt jemand darauf herein, sei es aus Unachtsamkeit, aus Unwissenheit oder aus anderen Gründen.

Es gibt einige Tricks, wie Sie betrügerische E-Mails erkennen können:

Fahren Sie mit der Maus über die Absender/in-Adresse oder den zugeschickten Link, ohne diesen anzuklicken. So entdecken Sie möglicherweise Folgendes:

Sonderzeichen oder Rechtschreibfehler (z. B. ein „f“ statt „ff“, fehlende Buchstaben wie „AMZON“),
- der/die Absender/in stimmt mit der vorgetäuschten Institution/Person nicht überein (privater Name, institutionsfremde Domäne wie „gmail.com“)

Überprüfen Sie das Dateiformat des Anhangs:

eine Datei mit Endung „.exe“ enthält möglicherweise ein ausführbares Schadprogramm,
- auch andere Dateiformate sind fragwürdig: z. B. „.img“ oder „.jar“,
- es gibt keine Garantie, dass pdf- oder docx-Dateien sicher sind,
- manchmal ist der Dateiname länger als es auf den ersten Blick erscheint, z. B. „pdf.exe“

Im Text der E-Mail finden Sie Rechtschreib- oder Grammatikfehler, z. B. „fur“ statt „für“, manchmal erkennen Sie eine schlechte Übersetzung

Sie werden oft unpersönlich angesprochen mit z. B. Kunde, Herr/Frau, Hallo, Guten Tag

E-Mails mit verdächtigen Links oder Anhängen sind als gefährlich einzustufen!

Übungen:

Technische Bedrohungen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im blauen Teil „Technische Bedrohungen“ -„Schadsoftware“
BAKgame – IT-Sicherheit in der Wirtschaft – Phishing-Quiz

Cybersecurity-Tipp 9

Passwörter – Schlüssel zur digitalen Sicherheit

Wenn Sie Ihren Computer mit dem Passwort „1234“, „abcdf“, „Administrator“ oder „Ichliebedich“ schützen, dann schützen Sie ihn damit nicht wirklich. Solche Passwörter können innerhalb weniger Sekunden geknackt werden.

Wollen Sie keine leichte Beute für Betrüger/innen mehr sein, dann brauchen Sie ein langes und starkes Passwort, z. B. Anfangsbuchstaben einer Passphrase wie z. B.:

„In 6 Wochen werde ich mich um 50% besser in der Cybersicherheit auskennen und keinen € wegen Cyberangriffen verlieren: )“ – „I6Wwimu50%bidCauk€wCv: )“

Übung:

Einführung: Passwörter (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im gelben Teil „Datenschutz“ – „Passwörter“

Cybersecurity-Tipp 10

Datenverlust – passiert auch ohne Cyberkriminelle

Vor Missgeschick oder Pech sind wir auch im digitalen Leben nicht gefeit. Wenn Ihre Daten plötzlich weg sind, ist das ärgerlich und kann in Ihrem Unternehmen massive Probleme zur Folge haben. Wie kann es zu einem Datenverlust kommen? Hier die häufigsten Ursachen:

physische Beschädigung
- Wasserschaden – Kaffee oder Wasser über Laptop-Tastatur verschüttet oder undichte Laptoptasche bei Regen
- Gerät heruntergefallen
- Gewitter und Blitzeinschlag ins Stromnetz
- Hitze- oder Kälteeinwirkungen
- Stromausfall im falschen Moment

Bedien- und Fahrlässigkeitsfehler
- Daten versehentlich gelöscht
- Dateninhalte versehentlich überschrieben
- USB-Stick verloren
- fehlerhafte Neuinstallation oder Festplatten-Formatierung

Programm-(=Software)Fehler wie z. B. bei fehlgeschlagenen Aktualisierungen

Sichern Sie deshalb Ihre Daten regelmäßig auf einem externen Speichermedium (z. B. USB-Festplatte).

Weiterführende Infos:

Cybersecurity-Tipp 11

Der PC streikt? Keine Panik, mit Backups ist Ihr Business auf der sicheren Seite

Auch wenn Sie alle Schutzmaßnahmen richtig befolgen, kann immer etwas Schlimmes passieren (Kaffee verschüttet, Brand, Cyberangriff, Defekte).

Ohne ein Backup (=Sicherheitskopie) Ihrer Daten riskieren Sie jederzeit, dass Sie alles verlieren.

Erstellen Sie also noch heute ein Backup und tragen Sie die nächsten Backup-Termine in Ihren Kalender ein. Wie geht das?

Kopieren Sie alles zumindest auf eine externe Festplatte (im Handel erhältlich) oder
speichern Sie Ihre Daten in der Cloud (darauf werden wir noch eingehen).

Fertig, Ihre Datensammlung ist gesichert. Überprüfen Sie noch, ob die Daten sicher wiederherstellbar sind. Bitte daran denken: Lagern Sie Ihre Sicherheitskopie an einem räumlich getrennten Ort!

Es ist auch möglich, mehr als „nur“ Ihre Dateien (Kund/innendaten, Buchhaltungsunterlagen, E-Mails etc.) zu sichern. Möchten Sie im Notfall Ihr ganzes System wiederherstellen können, gibt es dafür die Image-Sicherung. Solch ein Speicher-Abbild der Festplatte beinhaltet alles: auch Ihr Betriebssystem, alle Einstellungen, Anwendungen und Daten. Ein/e IT-Dienstleister/in hilft Ihnen dabei.

Weitere Infos und Übungen:

Anleitung zur Datensicherung – WKO.at Video
Backups | Digitalführerschein (DiFü) (xn--dif-joa.de) Infos und Quiz
Online-Quiz Lerneinheit 3 “Datensicherung & Notfallplanung” | Bottom-Up (dsin-berufsschulen.de)
DsiN-Computercheck – Sicherheitstipps (computercheck24.com) – wählen Sie Ihr System (zB Windows) und gehen Sie zum Teil „Sichern Sie regelmäßig Ihre Daten“

Cybersecurity-Tipp 12

Wenn Ransomware Ihre Geschäftsdaten entführt

„Deine Daten werden unwiederbringlich verschlüsselt, wenn du nicht zahlst“ – eine solche Erpressung heißt RANSOMWARE. Das ist ein Erpressungs- und Verschlüsselungs-Schadprogramm – heutzutage die größte Gefahr im Internet.

Cyberkriminelle haben auf Ihrem Computer unbemerkt ein Schadprogramm installiert. Sie konnten dadurch auf Ihre wichtigen Daten zugreifen und sie verschlüsseln, d. h., für Sie sind die Daten nicht mehr lesbar. Von Ihnen wird nun ein Lösegeld verlangt – oft mehrere Tausend Euro, die meistens in Bitcoin zu zahlen wären. So können die Betrüger/innen anonym bleiben.

Allerdings gibt es keine Garantie, dass Sie den Zugriff auf Ihre Daten tatsächlich zurückerhalten. Möglich ist auch, dass Ihre Daten inzwischen beschädigt wurden.

Im Falle eines Ransomware-Angriffs empfiehlt sich daher: nicht zahlen und nicht verhandeln! Wenden Sie sich an den/die IT-Dienstleister/in Ihres Vertrauens, um die Attacke fachkundig abzuwehren und den Schaden zu begrenzen.

Bei Unsicherheit hier anrufen: Cyber-Security-Hotline – WKO.at (24h-Call Center, Notfallhilfe und Erstinformation).

Weitere Infos und Übungen:

www.nomoreransom.org/de/index.html
Technische Bedrohungen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im blauen Teil „Technische Bedrohungen“ – „Ransomware“

Cybersecurity-Tipp 13

Firewall – Ihre digitale Brandmauer

Ein unverzichtbares Element Ihrer digitalen Sicherheit ist die Firewall.

Das ist ein Programm, das überprüft, welche Daten auf den Computer hereingelassen werden und welche nicht. Daten aus nicht vertrauenswürdigen Quellen kommen bestenfalls nicht durch.

Auch wenn der Computer ohne Ihr Wissen verdächtige Daten versendet, werden Sie von der Firewall alarmiert. Das kann infolge eines noch nicht entdeckten Cyber-Angriffs vonstattengehen.

Diese Schutzwand ist oft schon im Betriebssystem eingebaut. Auch WLAN-Router (=Netzwerkgeräte) sind meistens mit Firewall-Funktionen ausgestattet.

Überprüfen Sie also, ob Ihre Firewall aktiviert und dementsprechend eingestellt ist (z. B.: Einstellungen – Suchen – Firewallstatus überprüfen). Falls nicht, steht die Tür offen und kein/e Türsteher/in regelt den Einlass.

Weitere Infos

DsiN-Computercheck – Sicherheitstipps (computercheck24.com) – wählen Sie Ihr System (z.B. Windows), gehen Sie zum Teil „Schützen Sie Ihren Computer mit einer Firewall“
Schritt-für-Schritt-Anleitung: Anleitung zum DsiN-Computercheck – Windows-Firewall aktivieren (computercheck24.com)

Cybersecurity-Tipp 14

Ein Notfallplan minimiert Schäden

Im Fall eines Cyber-Angriffs müssen Sie schnell und gezielt handeln. So reduzieren Sie die Folgekosten für Datenrettung, Betriebsunterbrechung und Schadensersatzansprüche, Rechtsberatung oder PR-Beratung bei Imageschäden.

Sehr hilfreich ist daher ein klarer Plan, was im Ernstfall zu tun ist. Auf Ihrer Notfall-Karte kann z.B. stehen:

weitere Arbeit am Computer einstellen,
das Gerät vom Netzwerk trennen,
Beobachtungen dokumentieren,
Beweise sichern (Datum/Uhrzeit notieren, Bildschirm fotografieren, kurze Notizen: wer, was, wann, wo und warum hat gerade etwas am Computer getan),
Cyber Security Hotline anrufen (Cyber-Security-Hotline – WKO.at).

Um sich für einen IT-Notfall optimal zu wappnen, können Sie eine/n IT-Dienstleister/in zu Rate ziehen. Sinnvoll ist vielleicht auch ein Penetrationstest, bei dem alle Schwachstellen Ihrer Geräte aufgespürt werden. Als Ergebnis des Tests bekommen Sie Ihr individuelles Notfallkonzept.

Weitere Infos:

Cybersecurity-Tipp 15

Wann ist ein Passwort nicht stark genug?

Besonders leicht zu knacken sind Passwörter, die Folgendes enthalten:

Wörter aus dem Wörterbuch,
Informationen aus dem Privat- oder Berufsleben (Haustier, Automarke, Heimatstadt, erste Liebe, Geburtsdaten usw.),
Buchstaben, die durch ähnliche Zahlen ersetzt wurden, z.B. 5 für S.

Vermeiden Sie auch:

Passwort-Recycling, d.h. das gleiche Passwort bei verschiedenen Online-Diensten,
Niederschreiben Ihrer Passwörter (digital oder auf Papier),
Teilen Ihrer Passwörter (z. B. für Streaming-Dienste),
Versenden der Passwörter per SMS oder E-Mail,
allzu einfache Fragestellungen zur Passwortwiederherstellung, z. B. “Wie lautet der Name deines Haustiers?“ – die Antwort findet ein/e Hacker/in schnell heraus und besorgt sich problemlos ein neues Passwort für Ihr Konto oder Profil.

Ein starkes Passwort darf nicht zu kurz (mindestens 8 Zeichen) und nicht direkt beobachtbar (0000, 1234, qwertz, w2e3r4t5– die Tasten liegen eng nebeneinander) sein.

Wenn Sie einen Passwortmanager oder die 2-Faktor-Authentifizierung verwenden, erhöht sich Ihre IT-Sicherheit deutlich. Auf diese Werkzeuge kommen wir noch in einem der nächsten Cybersecurity-Tipps zurück.

Die 200 häufigsten Passwörter 2022 | NordPass (scrollen Sie bitte nach unten, um absolute Favoriten zu sehen)

Übungen: Log-ins und Passwörter | Digitalführerschein (DiFü) (xn--dif-joa.de)

Cybersecurity-Tipp 16

Aktualisierungen – immer auf dem neuesten Stand

Wenn die automatischen Updates – also die Aktualisierungen von Programmen – nicht aktiviert sind, erkennt Ihr Computer nur alte Bedrohungen und bleibt offen für neue Viren oder andere Arten von Malware (=Schadprogramme).

Aktualisiert werden sollten sowohl Programme als auch Plugins, d.h. kleine Zusatzprogramme im Browser z.B. zum Abspielen von Musik, die oft Sicherheitslücken haben.

Machen Sie einen Computercheck, um veraltete Programme zu finden: DsiN-Computercheck – Starten (computercheck24.com).

Auch das Betriebssystem wie Windows soll sich automatisch aktualisieren. Überprüfen Sie Ihre Einstellungen für Updates.

Übungen:

Technische Bedrohungen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im blauen Teil „Technische Bedrohungen“ –„Updates“
DsiN-Computercheck – Aktuelle Downloads (computercheck24.com)
Automatische Updates für iOS, Windows und Android einrichten | Digitalführerschein (DiFü) (xn--dif-joa.de)

Cybersecurity-Tipp 17

CEO-Betrug. Ist das wirklich der*die Vorgesetzte?

Wie funktioniert dieser Cyber-Angriff? Betrüger*innen überprüfen, z. B. mit einer E-Mail, ob der*die Chef*in im Büro anwesend ist. Kommt eine Abwesenheitsnotiz zurück, stehen die Chancen auf das Gelingen eines Cheftricks nicht schlecht.

Als Mitarbeiter*in werden Sie nun mit einer gefälschten E-Mail um Geldüberweisung gebeten. Die Absenderadresse ist nur scheinbar echt. Das Anliegen sei absolut vertraulich und dringend zu erledigen. Wenn der*die falsche Chef*in Sie anruft, kann es sogar sein, dass die Stimme simuliert ist! Dabei wird Ihnen das Gefühl vermittelt, Sie wegen besonderer fachlicher Kompetenzen und Ihrer absoluten Zuverlässigkeit für diese delikate Aktion auserwählt zu haben. Fühlen Sie sich geehrt und übernehmen den Auftrag?

Auf der sicheren Seite sind Sie nur, wenn Sie sich den Auftrag in einer persönlichen Rücksprache und zusätzlich noch schriftlich bestätigen lassen. Sonst könnte eine Geldüberweisung einen enormen Schaden verursachen.

Infos, Beispiele:

Übung:

Sich vor Betrug schützen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im blauen Teil „Technische Bedrohungen“ – „Unternehmensbetrug“

Cybersecurity-Tipp 18

DoS- oder DDoS-Attacke – unter Beschuss der Massen

Wenn die Website Ihres Unternehmens plötzlich gar nicht mehr oder auffallend langsam geht, haben Sie möglicherweise mit einer DoS-Attacke zu tun.

DoS steht für „Denial of Service“ – „Verweigerung des Dienstes“.

Hacker:innen wollen Ihnen schaden, indem sie sehr viele Anfragen über Ihre Website schicken. Das überlastet das System und Ihre Website stürzt ab. Sie sind für Ihre Kund:innen nicht mehr erreichbar.

Wenn Sie nicht nur von einem, sondern von hunderten oder gar tausenden Endgeräten angegriffen werden, ist das ein DDoS-Angriff, „Distributed Denial of Service“ – „verteilter Dienstverweigerung-Angriff“, noch verheerender!

Falls Sie also feststellen, dass die Nicht-Verfügbarkeit der Webseite Ihres Unternehmens tatsächlich folgenschwer wäre, lassen Sie sich von einem/r IT-Experten/in beraten.

Die Erstinformation bekommen Sie bei der Cyber-Security-Hotline – WKO.at.

Weitere Infos:

DDoS-Angriffe – Allgemeine Informationen (onlinesicherheit.gv.at)
Umfangreiche Information des BMI: Distributed Denial of Service (DDoS) (dsn.gv.at)
DDoS-Attacken: Tipps zum Erkennen und Abwehren – datensicherheit.de

Übung:

Technische Bedrohungen (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig – Übungen für heute finden Sie im blauen Teil „Technische Bedrohungen“ -„Backups“

Cybersecurity-Tipp 19

Vertrauliche Botschaften verschlüsseln – Schritt für Schritt

Dateien, die via E-Mail, SMS oder über WhatsApp etc. verschickt werden, können auch von anderen als den direkten Empfänger/innen gelesen werden. Möchten Sie streng vertrauliche Dokumente versenden, so können Sie diese zusätzlich verschlüsseln. Dafür würden sich zum Beispiel diese Möglichkeiten bieten:

In einem Microsoft-Windows-Dokument (zum Beispiel „Word“) wählen Sie: Datei – Informationen – Dokument schützen – mit Kennwort verschlüsseln (mind. 8 Zeichen, Groß-/Kleinbuchstaben, Sonderzeichen). Das Kennwort geben Sie dem/der Empfänger/in persönlich, und, falls nicht möglich, per SMS.

7-Zip
- ein kostenloses Kompressionsprogramm (hier erhältlich: 7-Zip | heise Download),
- praktisch bei großen Dokumenten,
- Dokument kann so dicht in eine Datei verpackt (=komprimiert) werden, dass es weniger Speicherplatz erfordert,
- Dokument kann mit einem Kennwort verschlüsselt werden: Dateispeicherort öffnen (im Explorer, z.B. unter „Downloads“) – rechte Maustaste – 7-Zip wählen – zu einem Archiv hinzufügen – unter Verschlüsselung Passwort eingeben – das komprimierte und verschlüsselte Dokument verschicken – Passwort persönlich oder per SMS

Übung:

Home-Office (ovosplay.com) – Wenn Sie die Übungen am Computer machen, wählen Sie bitte „Zur Webversion“ – bei erster Anwendung ist eine unkomplizierte Registrierung notwendig. Die Übungen passend für das heutige Thema finden Sie im grünen Teil „Home-Office“ – Verschlüsselung

Cybersecurity-Tipp 20

Wie erkennen Sie, dass ein/e Hacker/in an Ihrem Computer im Hintergrund aktiv ist?

Plötzlich wollen die Computer-Programme (=Applikationen) nicht starten oder sind sehr langsam. Das ist nicht nur eine Nervenprobe für Sie, sondern kann auch ein möglicher Cyber-Angriff sein. So machen Sie im Verdachtsfall selbst den ersten Sicherheits-Check:

den Windows Defender öffnen (z. B. in das Suchfeld unten auf der Taskleiste – oft als Lupe angezeigt – „Windows Defender“ eintippen),
Viren- und Bedrohungsschutz wählen,
Scanoption wählen,
Vollständige Überprüfung wählen – Jetzt überprüfen,
infizierte Objekte werden in die Quarantäne verschoben,
diese Dateien UNBEDINGT löschen,
den/die IT-Dienstleister/in Ihres Vertrauens das Gerät sicherheitshalber überprüfen lassen.

Auf alle Fälle können Sie ihn/sie auch bitten, einen Rettungs-Bootstick erstellen zu lassen. Auf so einem USB-Stick wird Ihr Windows-Betriebssystem ohne Daten gespeichert. Bei einer Beschädigung können Sie Windows mit dem Stick wiederherstellen und starten.

Cybersecurity-Tipp 21

Digitale Rückendeckung stärken. Warum braucht man Logging und Monitoring?

Bei einem Cybervorfall bleibt uns meist nichts anderes übrig, als uns an einen/e IT-Experten/in zu wenden. Wir hoffen dann sehr, dass sie/er den Computer – also die Daten, das System, die Programme – erfolgreich „rettet“.

Damit dies tatsächlich gelingt, müssen die IT-Experten/innen wissen, was genau – Schritt für Schritt – passiert ist. Das heißt, sie brauchen eine Aufzeichnung (=Logging-Protokoll) aller vorhergehenden Ereignisse, z.B.,

wer, wann und wo sich ein- und ausgeloggt hat,
welches Programm gestartet wurde (E-Mail-Programm wie Outlook, Buchhaltungsprogramm, Übersetzungssoftware wie Trados Studio, Grafikprogramm usw.),
wer und wann auf Daten im Firmennetzwerk zurückgegriffen hat,
wer etwas hochgeladen oder heruntergeladen hat.

Für solch eine Protokollierung aller Ereignisse im Computer gibt es verschiedene Standards und Normen, z.B. ISO27000-Reihe oder CIS Top18^*. Das AIT Austria Institut of Technology hat all diese Normen im Zuge des Forschungsprojektes CyberMonoLog in einem einzigen Dokument zusammengeführt. Wenn die dort genannten Anweisungen umgesetzt werden, kann ein Cyberangriff dank eines optimal sichergestellten Monitorings (=Überwachung) möglichst früh entdeckt und schnell abgewehrt werden.

Daher sind Unternehmer/innen und Computernutzer/innen gut beraten, sich dieses detaillierte Regelwerk anzusehen, ihre/n IT-Experten/in darauf aufmerksam zu machen und die Umsetzung in die Wege zu leiten.

^* https://www.cisecurity.org/controls/cis-controls-list

Anwendungs-Tipp für Ihre IT-Dienstleister/innen: CyberMonoLog

Cybersecurity-Tipp 22

Wurden meine Passwörter enttarnt oder meine Identitätsdaten ausspioniert?

Datenlecks sind keine abstrakte Gefahr. Ihre Daten oder die Ihrer Kunden kursieren möglicherweise bereits auf verschiedenen Hackerforen oder frei im Netz, ohne dass es Ihnen bewusst ist. Sie können aber die Sicherheit Ihrer E-Mail-Adresse oder Ihrer Passwörter sehr einfach überprüfen:

Gehen Sie auf die Seite: Have I Been Pwned: Check if your email has been compromised in a data breach,
überprüfen Sie dort Ihre E-Mail-Adressen,
mögliche Resultate sind: Good News – no pwnage found! oder Oh no – pwnade! Dort sehen Sie, wann und wie der Datenabfluss stattgefunden hat.

Sie können auch checken, ob Ihr Passwort geleakt wurde: Have I Been Pwned: Pwned Passwords . Das ist eine Datenbank mit Millionen von Passwörtern aus der realen Welt, die zuvor bei Datenschutzverletzungen offengelegt wurden.

Empfehlenswert ist ebenfalls der Checker des Hasso-Plattner-Instituts: Identity Leak Checker (hpi.de). Dieser Dienst überprüft Ihre E-Mail-Adresse und schickt Ihnen umgehend eine Antwort, ob Sie von einem Datendiebstahl betroffen sind.

Empfohlene Links:

Cybersecurity-Tipp 23

Gefälschte Links in SMS – Smishing

Smartphones nutzen wir oft unterwegs, wo unsere Konzentration oft niedriger ist als am Computer. Wenn dann eine SMS mit einem Link kommt, kann es schnell passieren, dass wir ihn automatisch anklicken.

Dieser Link führt möglicherweise zu einer gefälschten Webseite z. B. einer Bank, einer Behörde oder eines Lieferdienstes. Wenn Sie sich dort mit Ihren Daten anmelden, fallen Ihr Benutzername und Ihr Passwort in die Hände der Betrüger/innen. Diese Daten lassen sich für verschiedene illegale Aktivitäten nutzen, z. B. für unautorisierte Überweisungen.

Mit solch einem Link können Sie auch auf einer Webseite mit einem schädlichen Programm landen. Wenn diese Malware sich auf Ihrem Handy einnistet, passiert zum Beispiel Folgendes: Die Betrüger/innen stehlen Ihre Daten, kontrollieren Ihr Gerät oder können es verschlüsseln und Lösegeld fordern.

Im Falle von Smishing, gehen Sie am besten zur offiziellen Internetseite (von DHL, Amazon, Finanzamt, Bank usw.), melden Sie sich dort an und überprüfen Sie, ob tatsächlich eine Mitteilung an Sie vorhanden ist.

Die aktuellen Smishing-Warnungen:

Cybersecurity-Tipp 24

Passwort-Manager: Entlastung durch ein Master-Passwort

Um Passwörter sicher und bequem zu speichern und zu verwalten, gibt es spezielle Programme. Sie heißen Passwort-Manager und können auf Ihrem Computer, Smartphone oder Tablet installiert werden.

In einen Passwort-Manager steigen Sie mit einem sogenannten „Master-Passwort“ ein. Alle weiteren Passwörter werden dort in einer verschlüsselten Datenbank aufbewahrt. Sind Sie im Passwort-Manager angemeldet, brauchen Sie sich nicht mehr an die anderen Passwörter zu erinnern.

Daher ist es sehr wichtig, das Master-Passwort nicht zu vergessen! In solch einem Fall werden Sie keinen Zugriff mehr auf alle Online-Dienste haben, deren Passwörter im Passwort-Manager hinterlegt wurden. Es empfiehlt sich daher, das Master-Passwort ausnahmsweise auch auf Papier zu notieren und es an einem sicheren Ort abzulegen. Natürlich sollte man diese Notiz nicht als „Mein Master-Passwort“ beschriften.

Ein Passwort-Manager bietet auch weitere Vorteile. Falls man z. B. für eine Registrierung ein neues Passwort braucht, entfällt die Suche nach einer einzigartigen Kombination aus Buchstaben, Zahlen und Sonderzeichen. Ihr Passwort-Manager generiert selbst starke Passwörter.

Sehr bequem ist die Funktion des automatischen Ausfüllens von Anmeldedaten. Dadurch loggen Sie sich bei Ihren Online-Diensten ohne händische Anmeldung ein. Dies geschieht einfach im Hintergrund.

Auf dem Markt gibt es sowohl kostenpflichtige als auch kostenlose Passwort-Manager. Bekannt sind z.B. KeePass oder Bitwarden.

Übung: Log-ins und Passwörter – Digitalführerschein (DiFü) (difue.de) – Punkt 3

Cybersecurity-Tipp 25

Doppelt geschützt mit Zwei-Faktor-Authentifizierung

Es gibt immer mehr Online-Dienste, die zur Erhöhung der Sicherheit die Zwei-Faktor-Authentifizierung (2FA) anbieten. Diese Methode kennen Sie möglicherweise bereits vom Online-Banking. Da ist es erforderlich, nicht nur die Anmeldedaten einzutippen, sondern die Anmeldung zusätzlich am Handy zu bestätigen. Falls Ihr Passwort von Betrüger/innen abgefangen wurde, ist Ihr Online-Konto weiterhin vor einem unbefugten Zugriff geschützt.