Corona: In der Krise ist klare Kommunikation unersetzlich

In der Übergangsphase vom Büro- zum Heimbetrieb fehlen Mitarbeitern oft Informationen. Viele Fragen sind ungeklärt: Wie komme ich an meine Buchhaltungssoftware? Wie halten wir jetzt unsere Meetings ab? Wer kann mir eine bestimmte Datei geben? Wo immer ein Bedarf an Informationen im Verbund mit Unsicherheit auftritt, schlägt die Stunde der Phishing-Angriffe.

Bekommt ein Mitarbeiter dieser Tage eine Mail, die ihn oder sie darüber informiert, dass ab sofort für die Koordination eine bestimmte Anwendung zu benutzen ist, dann schenkt derjenige dem sehr wahrscheinlich Glauben. Schließlich kommen ja neue Clouddienste in letzter Zeit öfters genutzt, insofern scheint die Aussage plausibel. Im Moment herrscht schließlich überall Verwirrung und Neu-Organisation steht an. Daher kann es auch niemand der-/demjenigen verdenken, wenn jemand Daten preisgibt, die Cyberkriminelle auf einer entsprechend präparierten Webseite abfragen.

Auch die direkte Verteilung von Schadsoftware per Mail-Anhang nutzen Angreifer zurzeit sehr intensiv. Denn welcher Mitarbeiter würde schon eine Mail einfach ignorieren, die vermeintlich vom Chef, Abteilungsleiter,Vorstand oder aus der IT-Abteilung kommt und die einen Anhang mit dem Namen „COVID-19-Neue_Home_Office_Richtlinien_Ab_April.doc“ enthält? Von der Installation von Ransomware bis hin zu versteckten Hintertüren ins Unternehmensnetz sind der Phantasie keine Grenzen gesetzt. Auch, wenn manche kriminelle Gruppierung erklärt hat, Angriffe auf bestimmte Ziele wie zum Beispiel Krankenhäuser während der Corona-Pandemie einzustellen. Eine Ransomware-Infektion ist aber gerade jetzt das Letzte, was Firmen gebrauchen können. Eine Infektion, die sonst schon ein kostspieliges Ärgernis wäre, ist hier schlimmstenfalls sogar existenzbedrohend. Gerade die Gefahr durch Backdoors ist im Moment besonders hoch, denn ein Angreifer kann sich so mitunter monatelang, also auch über die akute Krise hinaus, relativ ungestört im Netzwerk bewegen und Informationen sammeln – und dabei wenig bis gar kein Aufsehen erregen. Kriminelle können hier im Netzwerk die momentane Krise „aussitzen“ – um dann zuzuschlagen, wenn wieder so etwas wie Normalität einkehrt.

Um das Unternehmen handlungsfähig zu halten, beschleunigen Verantwortliche zurzeit viele Entscheidungen über neue Lösungen stark. Diese Entscheidungen kommen allerdings nicht immer sofort und bei jedem Mitarbeiter an. Arbeiten große Teile des Unternehmens im Homeoffice, so wird die Kommunikation zunehmend asynchron. Der „kurze Dienstweg“– mal eben schnell über den Flur rufen oder kurz ins Büro des Kollegen gehen, um eine Information abzuholen oder loszuwerden - ist keine Option mehr.
Die Kommunikation ist oftmals stark fragmentiert und davon bestimmt, wie schnell sich zwei Gesprächspartner gegenseitig erreichen können. Das Ergebnis ist dann eine Mischung aus verschiedenen Plattformen wie E-Mail, interner Chat, WhatsApp, Video-Conferencing via Zoom sowie Skype, Slack und Telefon. So gehen Informationen schnell verloren oder gelangen verzögert und auf verworrenen Wegen zu denen, die sie brauchen. Erste Priorität muss daher ein einheitlicher Kommunikationskanal sein, der für alle Mitarbeiter zugänglich ist.

Wenn es um die Auswahl einer Kommunikationsplattform geht, so bietet der Markt eine breite Palette an Lösungen, sowohl kostenpflichtig als auch kostenlos. Wichtig für eine allgemeine Kommunikationsplattform ist, dass auch vertrauliche Informationen gut geschützt sind. Eine Ende-zu-Ende-Verschlüsselung ist damit ein Muss – denn auch wenn der Betrieb von zu Hause weiterläuft, tauschen Mitarbeiter unweigerlich auch Informationen untereinander aus, die nicht für die Öffentlichkeit bestimmt sind. Das Corona-Virus setzt den Datenschutz nicht außer Kraft. Deshalb ist es auch eine schlechte Idee, vertrauliche Informationen über Plattformen wie WhatsApp auszutauschen. Zwar ist dieser zur Facebook-Gruppe gehörende Messenger sehr weit verbreitet und verfügt auch über eine Verschlüsselung – die Daten jedoch fließen über Server, die sich außerhalb der Kontrolle des Unternehmens befinden. Und da Facebook in letzter Zeit nicht unbedingt durch gute Datenschutzpraktiken brilliert hat, sollte jedem bekannt sein.

Wenn ein Mitarbeiter nicht weiß, welche Kommunikationsplattform unternehmensweit zum Einsatz kommt, ist es ein leichtes, Zugangsdaten eines Benutzers abzugreifen. Kommt so eine vermeintliche Mail an, die darüber informiert, dass ab sofort Plattform oder Programm XYZ eingesetzt wird, ist die Wahrscheinlichkeit hoch, dass ein Mitarbeiter seine Zugangsdaten preisgibt. Aber auch der umgekehrte Fall ist möglich: Dass ein Mitarbeiter aus Misstrauen eine Mail zunächst beiseitelegt, weil er zwar den vermeintlichen Absender kennt – aber die Anfrage, über eine bestimmte Plattform in Kontakt zu treten mit Argwohn betrachtet, weil diese im eigenen Team noch nie eingesetzt wurde. Genau das ist mir, dem Autor dieses Artikels kürzlich passiert. Zwar ließ sich die Situation hier kurzfristig auflösen, aber das muss nicht immer der Fall sein. In meinem speziellen Fall wurde ich von einem der Kollegen aus unserem Grafik-Team kontaktiert. Es handelte sich um eine Einladung auf die „Slack“-Plattform, beziehungsweise „Microsoft Teams“. Da jedoch in unserem Team niemand dieses Tool nutzte und auch keine entsprechende Benachrichtigung vorher erfolgt war, hakte ich die Nachricht ab als „Wahrscheinlich Phishing, aber echt gut gemacht – vielleicht schreibe ich bei Gelegenheit mal darüber“ ab. Einige Tage später schrieb ich besagtem Kollegen in anderer Sache eine Mail. In seiner Antwort erwähnte er noch etwas in der Art von „Wegen der anderen Sache letztens habe ich dann einfach mit Hauke gesprochen.“ Auf Nachfrage stellte sich dann heraus, dass die von mir zunächst ignorierte Mail tatsächlich von ihm stammte und tatsächlich legitim war.

Es ist also wichtig, an die Mitarbeiter klar zu kommunizieren, dass ein bestimmter Kanal zu nutzen ist. Dieses Learning haben wir auch bei G DATA selbst mitgenommen. Ähnlich wie es bei Banken und Onlinediensten schon lange Usus ist, jedes Schreiben und jede Mail mit dem Satz „Unsere Mitarbeiter werden Sie niemals nach Ihren Zugangsdaten fragen!“ abzuschließen, muss jedes Unternehmen klare und unmissverständliche Vorgaben machen, welche Kommunikationswege zu nutzen sind und diese Information den Mitarbeitern immer wieder ins Gedächtnis rufen. Grundsätzlich gilt: Je weniger unterschiedliche Kommunikationskanäle es gibt, desto besser.