Der falsche Präsident läßt grüßen

Fake President ist kein neuer, aber ein spektakulärer und aufwändiger Betrugsfall. Dabei schalten sich Kriminelle in die Firma ein und schauen, wer mit wem kommuniziert. „Dutzt man sich in diesem Betrieb? Spricht jemand englisch? Wer ist der Chef? Wann ist typischerweise er im Haus? Wie schaut sein Terminplan aus? Das sind die Informationen, die man über einen gehackten E-Mail-Server rasch erfahren kann“ so Ing. Alfred Gunsch, „und dann schaut man sich an, von wem die Rechnungen freigegeben werden und wer die Überweisungen mach bzw Rückfragen dazu stellt“.

Wie im Fall der österreichischen FAAC geben sich die Betrüger dann als Mitglied der Chefetage aus und der Buchhalter wird dann – auch mit Lob für seine Zuverlässigkeit und Appellen an seine Diskretion – teils auch telefonisch unter Druck gesetzt, um erhebliche Summen zu überweisen: zum Beispiel für die „streng geheime“ angebliche Übernahme einer Firma. Bezogen auf die Fake-President-Masche gab es bei den deutschen Vertrauensschaden – Versicherern in den vergangenen zwei Jahren rund 50 Schadensmeldungen mit einem Gesamtvolumen von weit über 150 Millionen Euro.

Der Sprecher eines anderen Unternehmens aus Deutschand erzählte dem Sender N24: „Unser Finanzleiter in den USA erhielt Ende Januar mehrere Anrufe, in denen sich der Anrufer als Geschäftsführer der Muttergesellschaft ausgab. Der Anrufer hat eine dringende Überweisung in Höhe von 200.000 US-Dollar angefordert.“ Auch hier wurde dann wegen der angeblichen Dringlichkeit das 4-Augen-Prinzip umgangen. Die Forderung per Telefon sei sogar noch per E-Mail bestätigt worden. Alles sei plausibel und authentisch gewesen. Deshalb wurde die Überweisung ohne weitere Kontaktaufnahme mit der deutschen Muttergesellschaft ausgeführt. Der Anruf kam aber nicht vom deutschen Chef, sondern von einem Kriminellen, der auch die E-Mail manipuliert hatte. Als der Betrug aufflog, war das Geld schon weg.

Fake-President
und was man dagegen tun kann

Meine drei Tipps, mit denen Sie sich schützen können:

1. Informieren Sie Mitarbeiterinnen und Mitarbeiter
   Unternehmen sollten ihre Mitarbeiterinnen und Mitarbeiter laufend über Cyber Sicherheit und das Vorgehen der Kriminellen informieren. Nur so können Sie mögliche Fälle frühzeitig erkennen und melden.
2. Reden Sie miteinander!
   Wenn vermeintliche Vorgesetzte am anderen Ende der Leitung sitzen, stellt man ihre Identität ungern in Frage. Dabei kann der Schaden schon allein damit vermieden werden, dass Mitarbeiterinnen und Mitarbeiter sich rückversichern: Einfach die offiziellen Kontaktdaten der oder des jeweiligen Vorgesetzten über das interne Firmennetzwerk raussuchen, anrufen und freundlich nachfragen, ob die Transaktion tatsächlich in Auftrag gegeben wurde. Das darf dann im Geschäftsalltag auch kein „Problem“ sein und soll geübt werden.
3. Vorsicht bei unüblichen Anfragen
   Bei dringenden Anfragen, die nicht den üblichen Abläufen folgen und bei Überweisungen hoher Summen an unbekannte Konten sollten Sie besonders vorsichtig sein. Im Zweifelsfall nicht überhastet reagieren: Lassen sich Bedenken nicht gleich ausräumen, kontrollieren Sie besser doppelt nach und holen Sie eine zweite Meinung ein.

„Wenn Sie einen Anfangsverdacht durch nicht richtig oder langsam funktionierende Systeme haben: Holen Sie sich rasch einen Profi. Denn am anderen Ende der Leitung sitzt sicher einer“ so Gunsch, Landessprecher Tirol der österreichweiten IT-Security-Experts-Group.

Jedes Tiroler Unternehmen kann betroffen sein

So wie es gestern die Tiroler Kliniken erwischt hat, kann es jedem Tiroler Unternehmen gehen: Von einer Minute auf die andere kann man den Computer nicht mehr bedienen, nicht mehr auf gemeinsame Daten zugreifen und auch nicht mehr telefonieren. Denn in alles modernen Systemen steckt ein Computer. Und die sind fast alle mit dem Internet verbunden und anfällig.

Überlegen Sie sich zur rechten Zeit, wie sie mit Ausfällen umgehen. Das spart Ihnen Zeit, wenn es ´mal soweit ist. Denn „Cyber Sicherheits-Spezialisten predigen seit Jahren: Rüsten Sie sich. Es ist nicht die Frage, OB, sondern WANN sie gehacked werden“, so Ing. Alfred Gunsch, CDC und Landessprecher des Arbeitskreises IT Security in der Wirtschaftskammer Österreich.

DSGVO Lücken Analyse vom zertifizierten Spezialisten

„Seit zwei Jahren gilt nun die Datenschutz-Grundverordnung – und heute endet die Übergangsfrist. Alle Firmen, Vereine und Unternehmen müssen sich um den Schutz der Daten natürlicher Personen Gedanken machen und bis heute Umsetzungsmaßnahmen getroffen haben“ so Ing. Alfred Gunsch, CDC. Der in der EU-DSGVO vorgesehene Strafrahmen ist erheblich.

Viele Unternehmen sind deshalb aktuell in der Situation, Ihre Maßnahmen zum Datenschutz überprüfen, mit den neuen Anforderungen abzugleichen und falls erforderlich anpassen zu müssen. Ich unterstützt Sie hierbei mit langjähriger Erfahrung im Bereich Datenschutz. Speziell für Anforderungen aus der EU-DSGVO haben wir eine GAP-Analyse entwickelt, um Ihren IST-Status aufzunehmen und mit einem vernünftigen SOLL-Stand abzugleichen. Im Anschluss erstellen wir einen Maßnahmenplan, der Ihnen hilft, schnell und effizient den neuen Vorgaben gerecht zu werden.

Unsere DSGVO Vorgehensweise:
IST – SOLL – MAßNAHMEN

Im ersten Schritt unserer Unterstützungsleistung führen wir eine IST-Aufnahme durch. Hierbei werden Verantwortliche festgelegt und befragt, Dokumente gesichtet und alles auf die Einhaltung der EU-DSGVO geprüft und bewertet. Als Ergebnis erhalten Sie eine Zusammenfassung Ihrer gesamten Datenanwendungen und den Erfüllungsgrad der Anforderungen aus der EU-DSGVO – ein sogenanntes „Verfahrensverzeichnis„.

Aus den Ergebnissen der IST-Aufnahme leiten wir anschließend den erforderlichen SOLL-Zustand ab und erstellen hierfür einen individuellen Maßnahmenplan, der Ihnen die kurz- und mittelfristig umzusetzenden Maßnahmen zur Erfüllung der EU-DSGVO aufzeigt. Der Plan macht Lücken sichtbar und schlägt Maßnahmen samt Aufwand und Priosisierung vor, um das Datenschutzniveau sicherzustellen und auf Basis dessen das Strafrisiko kontrolliert managen zu können.

„Die DSGVO liefert keine 1:1 Handlungsanweisungen. Viele Tiroler KMU sind mit der hier gebotenen Freiheit der Auslegung der Schutzmaßnahmen überfordert. Hier helfe ich gerne, auch auf Basis meiner langjährigen Tätigkeit in der IT-Security-Experts-Group der Wirtschaftskammer und als Danteschutzmanager dutzender Firmen in ganz Österreich“, so Alfred Gunsch. „Gerne können sich Tiroler Unternehmer an mich wenden. Als zertifizierter Datenschutzbeauftragter helfe ich vor allem Firmen, die diese Rolle gar nicht dauerhaft in Ihrem Unternehmen brauchen“.

Eine Kontaktmöglichkeit gibt es über office@siplan.at Bei uns können Sie sich auch über geförderte Beratungen informieren und buchen.

Datenschutz auf gunsch.at

Datenschutz ist in aller Munde. Wir legen Wert auf informierte Leser und möchten deshalb, dass Sie wissen, dass wir verantwortungsbewusst mit Ihren Daten umgehen. Wenn Sie unsere Erklärung zum Datenschutz einsehen möchten, dann klicken Sie bitte hier.

Viele Experten vermuten, dass sich am 25.5. mit Inkrafttreten der DSGVO-Strafen etliche unterbeschäftigte Anwälte auf das Überprüfen von nichtkonformen Websites stürzen werden. Wenn Sie Ihre Website noch nicht rechtskonform ausgestaltet haben oder Unterstützung durch einen externen tiroler Datenschutzbeauftragten benötigen, begleite ich als zertifizierter Berater Sie gerne.

Warum IT Security auch 2018 relevant für Ihr Geschäft ist

Die Digitalisierung bietet viele Chancen und erleichtert uns unser Geschäft auf weiten Strecken. Technologischen Veränderungen wie die Kundenbetreung über soziale Netzwerke, Cloud Computing statt einem eigenen Rechenzentrum, Software as a Service und mobile Apps für Kunden und Mitarbeiter bringen auch viele neue Einfallstore, die geschützt werden müssen. Ein möglicher Schaden für Ihr Geschäft hängt von zwei Dingen ab:

• Eintrittswahrscheinlichkeit – Ist es möglich oder wahrscheinlich, dass Sie „gehacked“ werden?
• Schadenshöhe – Wer keine kritischen Werte besitzt, kann nicht betroffen sein.

Mobile Anwendungen und das verwenden privater Geräte (BYOD Bring-your-own-device Strategie) tragen zu einer Vergrößerung der Angriffsfläche bei.

Zum anderen hat sich Cybercrime in den letzten Jahren sehr professionalisiert – aber das ist eine andere Geschichte (die ich unter anderem am 18.1. bei der Raika Schwaz zusammenfasse).

Die fortschreitende Digitalisierung zwingt uns zu den höchsten Standards bei der IT-Sicherheit – denn mit der Zunahme an vernetzten Geräten und der Abhängigkeit wächst auch die Komplexität der IT-Sicherheit.

Was 2018 auf uns IT Security Fachleute zukommt

Cybercrime wird in 2018 anstrengend. Ein paar Gedanken, worauf wir besonders schauen müssen:

• automatische Angriffe: Skriptbasierte Schadsoftware finde auf vielen Zielsystemen einen passende Umgebung. So kann Schadcode direkt und ohne Umwege ausgeführt werden. Eine Erkennung für Scanner ist schwierig, weil auch Administratoren solche Werkzeuge verwenden müssen.
• automatische Abwehr: Für jede denkbare Attake gibt es ein Werkzeug. Eine Orchestrierung dieser umfassenden Toolsammlungen gibt es nur im jeweiligen Ökosystem bzw pro Hersteller.
• Security by Design: Schon im frühen Planungsstadium wird es wichtig, Sicherheitsaspekte mitzudenken. Je später, desto teurer – da hilft die http://www.sicherheitsplanung.at/
• Digitalisierung, BOT-netze, komplexere Angriffe, IOT, Industrie 4.0 und Assistenzsysteme erschweren unsere Arbeit.
• einfache Monetarisierung: Mittels Ransomware und Bitcoin wurde es einfacher, Geld zu erpressen und Zahlungen zu verschleiern. Niemand braucht mehr dafür Bargeld oder Western Union.
• Der Sicherheitsfaktor Mensch wird uns noch lange beschäftigen.
• Datenschutz wird existenzbedrohend: DSGVO und andere Gesetze zwingen zum Handeln. Sobald Unternehmen mit Ihren eigenen ToDo´s durch sind werden auch angedockte Systeme relevant – auch Lieferanten müssen dann ihre Gesetzeskonformität bestätigen.