25. Oktober 2023 Cybersicherheit für KMU: Watchlist Internet bietet Handbuch und Phishing-Simulator

Die Informationsplattform Watchlist Internet hat ein Cybersecurity Awareness Playbook und einen Phishing-Simulator entwickelt. Diese Tools sollen vor allem KMU dabei helfen, sich vor Cyberangriffen zu schützen, erklärt die Cybersecurity-Expertin Julia Krickl.

Wie können Mitarbeiterinnen und Mitarbeiter in Unternehmen für Cybersicherheit sensibilisiert werden? Dieser Frage ist Watchlist Internet nachgegangen und hat das Cybersecurity Awareness Playbook und einen Phishing-Simulator konzipiert – mit dem Ziel, Unternehmen durch bewusstseinsbildende Maßnahmen vor Cyberangriffen zu schützen. Julia Krickl vom Österreichischen Institut für angewandte Telekommunikation (ÖIAT), an dem Watchlist Internet angesiedelt ist, spricht im Interview über die Hintergründe und Funktionsweisen der beiden Tools.

Phishing-Training für KMU: ein kostenloses Angebot von Watchlist Internet

Watchlist Internet hat ein kostenloses Cybersecurity Awareness Playbook sowie einen interaktiven Phishing-Simulator entwickelt. Wie kam es zu ihrer Entstehung?
Julia Krickl: Die primäre Zielgruppe von Watchlist Internet sind Privatpersonen sowie Konsumentinnen und Konsumenten. Wir haben gesehen, dass die private Cybersicherheit und jene in Unternehmen immer stärker ineinandergreifen – speziell, wenn dieselben Geräte beruflich und privat genutzt werden. Es gibt eine Reihe von professionellen Software-Lösungen und Tools, die allerdings für viele Unternehmen einen gewissen Kostenfaktor darstellen. Gerade in Österreich gibt es zahlreiche Klein- und Mittelunternehmen (KMU), die zu wenig Ressourcen dafür haben. Diese Lücke haben wir erkannt und ein spezifisches Angebot für KMU sowie Kleinstunternehmen, inklusive Handwerksbetriebe und Ein-Personen-Unternehmen entwickelt. Vor diesem Hintergrund sind das Cybersecurity Awareness Playbook (im Rahmen eines ACR-Projekts) sowie der Phishing-Simulator (in Kooperation mit der Universität Wien) entstanden.

Was für Inhalte hat das Cybersecurity Awareness Playbook? Wie ist es aufgebaut und welche Zielgruppe wird angesprochen?
Krickl: Das Playbook soll ein grundlegendes Verständnis von Sicherheitskultur in Unternehmen schaffen. Die Zielgruppe sind KMU, zudem sollen Chief Information Security Officers (CISO) in kleinen Unternehmen bei der Umsetzung von Awareness-Kampagnen unterstützt werden. Das Playbook ist ein kostenfreies Handbuch, in dem man jederzeit nachschlagen kann. Auf dessen Basis können individualisierte Maßnahmen, die für den eigenen Unternehmenskontext relevant sind, zusammengestellt werden.

Die Maßnahmen sind in „Must-haves“, „Good-to-haves“ und „Nice-to-haves“ gegliedert. Warum?
Krickl: Jedes Unternehmen hat unterschiedliche Zeit- und Personalressourcen für das Thema Cybersicherheit. Wir haben daher die Maßnahmen in verschiedene Sicherheitsstufen eingeteilt. Wir zeigen die absoluten Basics, die in jedem Unternehmen vorhanden sein sollten. Darauf kann anschließend aufgebaut werden. Es ist manchmal schwierig, analoge Metaphern ins Digitale zu übertragen, aber niemand würde einfach die Haustür offen oder Wertgegenstände im Garten liegen lassen. Ganz ähnlich ist es, wenn man sich am PC nicht ausloggt oder kein sicheres Passwort verwendet. Mit einem Grundsatzverständnis von Cybersicherheit kann viel bewirkt werden. Die meisten Angriffe werden nachrichtenbasiert über Phishing-SMS oder -E-Mails durchgeführt. Hier kommt unser Phishing-Simulator ins Spiel.

Wie funktioniert der Phishing-Simulator und wer kann ihn nutzen?
Krickl: Interessierte Unternehmen können sich bei uns melden und erhalten einen Link. Über diesen können sie sich einloggen und individualisierte Kampagnen erstellen. Als Watchlist Internet erhalten wir täglich Meldungen über Phishing-Nachrichten, die wir dann in den Simulator eingeben. Mit dem Tool können Unternehmen Phishing-Versuche simulieren. Wichtig dabei: Der Simulator ist anonym und kein Kontroll-, sondern ein Schulungswerkzeug. Er klärt auf und arbeitet mit positiver Motivation und spielerischem Lernen. Die Rückmeldungen zu diesem kostenfreien Tool, das Organisationen und KMU in ganz Österreich nutzen können, sind bislang sehr positiv.

Die Fälle von Cyberkriminalität steigen weltweit, auch in Österreich. Von welchen Bedrohungen und Betrugsfällen berichten Unternehmen?
Krickl: Es gibt eine enge Verknüpfung zwischen dem privaten Sicherheitsverhalten und der Cybersicherheit in Unternehmen und Organisationen. Der Watchlist Internet werden vor allem Phishing-Nachrichten aller Art gemeldet. Beispiele dafür können etwa SMS von Paketdiensten, Nachrichten vom Finanzamt, Mahnschreiben oder Abofallen sein, um an sensible Daten von Unternehmen zu gelangen. Wir bieten daher auch einen „Phishing-Alarm“ an, mit dem festgestellt werden kann, ob eine Nachricht fake ist oder nicht. Generell gilt: Je mehr finanzielle Ressourcen in einem Unternehmen vorhanden sind, desto ertragreicher können Phishing-Attacken sein. Größere Unternehmen berichten uns außerdem von Ransomware-Angriffen.

Durch den ständigen Fortschritt in der IT verändert sich auch die Cyberkriminalität. Welche zukünftigen Herausforderungen für Unternehmen sehen Sie?
Krickl: Es ist wichtig, dass auch kleine Unternehmen nicht abgehängt werden und eine gute Basisbildung für Cybersicherheit vorhanden ist. Wir sehen bereits die Effekte von Generative AI (generative künstliche Intelligenz): Damit werden Phishing und Spam viel effektiver und „echter“ – auch sprachlich. Angriffe können automatisiert und mit höherer Reichweite durchgeführt werden. In nächster Zeit werden uns CEO-Frauds und Spear-Phishing verstärkt begegnen. Mittlerweile gibt es Tools, mit denen man anhand weniger, etwa aus Interviews gewonnener Sprachaufnahmen die Stimmen von Vorgesetzten klonen und so Transaktionen freigeben kann. Das wird ein Thema bleiben. Umso wichtiger ist es, eine Cybersicherheitskultur im Unternehmen zu etablieren.