E-Mail ist vielen verschiedenen Risiken gleichzeitig ausgesetzt. Die wichtigste geschäftliche Kommunikationsanwendung in Unternehmen ist zugleich der Hauptangriffsvektor für Cyberkriminelle. Trotz umfangreicher Investitionen in Sicherheit und Schutzmaßnahmen kann es Angreifern gelingen, sich über gezielte, ausgeklügelte Methoden, die weit über Social-Engineering- und Identitätsmissbrauchsangriffe hinausgehen, Zugang zu Ihrem Unternehmen zu verschaffen. Doch es gibt Möglichkeiten sich zu schützen, verriet uns Michael Heuer, VP Central Europe bei Mimecast.
Mimecast bezeichnet sich selbst als marktführender Anbieter für E-Mail-Sicherheit und Experte für Cyber-Resilience. Das setzt die Messlatte ziemlich hoch. Aber was bedeutet Cyber-Resilience und was unterscheidet Mimecast von anderen Anbietern?
Michael Heuer: Cyber-Resilience ist unser zentraler Ansatz für das Thema digitale Kommunikation. Es geht um mehr als IT-Sicherheit im klassischen Sinne. Statt der reinen Abwehr von Angriffen oder Härtung von Systemen möchten wir zu jedem Zeitpunkt den bestmöglichen Schutz und die umfassende Funktion des eigenen Unternehmens sichern. Dabei geht es zunächst um die richtigen Vorkehrungen, bevor es zu einem Vorfall kommt. Organisationen müssen schauen, wo ihre Angriffspunkte liegen und an welchen Stellen sie verwundbar sind.
Nicht allein zur Abwehr, sondern auch, um eine Wiederherstellung im Falle einer Attacke zu ermöglichen. Während eines Angriffs sind natürlich immer noch Verteidigungsmaßnahmen nötig, gleichzeitig spielt aber das Thema Business Continuity eine Rolle. Grundsätzlich darf weder die Operationsfähigkeit noch die Kommunikation von Angestellten eingeschränkt werden – selbst wenn Teile der IT infolge einer Cyberattacke zeitweise nicht verfügbar sein sollten. Nach einer Attacke darf es nicht zu Unterbrechungen kommen. Das Einspielen von Backups oder der Zugriff auf archivierte Daten muss nahtlos funktionieren. Genauso sollten Unternehmen in der Lage sein, den Ursprung einer Attacke zu beseitigen.
Das ist eine gute Grundlage. Aber wie setzten Sie das jetzt in die Praxis um?
Auf dieser Basis haben wir einen cloudbasierten Sicherheits-, Archivierungs- und Continuity-Service entwickelt. Im Zentrum steht dabei das Thema E-Mail-Risikomanagement und der Schutz von E-Mails, aber auch die richtige Archivierung von sensiblen Informationen wie Kundendaten. Der Grund ist ganz einfach der, dass hier die meisten Cyberangriffe ansetzen und E-Mails das wichtigste Kommunikationsmedium in Organisationen sind. Neben ihrer Aufgabe, den Zugriff auf Geldmittel zu kontrollieren, verwahren beispielsweise Finanzunternehmen sensible Kundendaten und unterliegen strengen Bestimmungen, welche die Archivierung von Kundenkommunikation festlegen. Finanzunternehmen müssen schnell auf Anfragen im Bezug auf Rechtsstreitigkeiten und andere Informationsanfragen reagieren können.
Die Lage ist schwerwiegend – besonders in Deutschland. In fast der Hälfte (48 Prozent) aller deutschen Organisationen hat das C-Level sensible Daten als Reaktion auf einen Phishing-Angriff versendet. “
Michael Heuer, VP Central Europe bei Mimecast
Gerade bei im Handel ist das Thema Digitalisierung schon lange tagtäglich Brot. Da die digitale Integration immer mehr Unternehmensbereiche durchdringt, fällt es schwer, die richtigen Prioritäten beim Thema IT-Sicherheit zu setzen.
Gleichzeitig rüsten Cyberkriminelle aber auf und suchen sich den einfachsten Weg, um an Beute zu kommen. Daher ist es keine Überraschung, dass die E-Mail fast immer Ausgangspunkt für alle gängigen Malware-Angriffe ist. Hier haben wir eine Lösung parat. In der Tat ist unsicherer E-Mailverkehr ein unterschätztes Risiko, zumindest laut eines aktuellen Sicherheitslagebilds über die Gefahr des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Erst kürzlich warnte es in einem vor CEO-Fraud und unsicheren E-Mails. Das Bundesamt schätzt, dass 86 Prozent des Gesamtmailverkehrs potentiell unerwünscht und schädlich sind. Aber wie groß ist die Gefahr wirklich? Sind ungewollte Mails wirklich eine Bedrohung oder einfach nur lästig?
Organisationen sind in Gefahr – ganz klar. Nahezu alle gängigen Attacken wie Ransomware, Phishing und Infektionen mit Kryptominern werden über E-Mails gestartet. Neben dem Einschmuggeln von Schadsoftware gibt es zudem Attacken mit gefälschten Identitäten, bei denen nachgebaute Fake-E-Mails eine große Rolle spielen. In der Finanzbranche sorgten in diesem Jahr sogenannte CEO-Frauds in mehrere Sparkassen in Deutschland für Schlagzeilen. Die Kriminellen täuschten die Mitarbeiter der Bank und veranlassten Buchungen für zweistellige Millionenbeträge.
Dieses Geld wurde nach der Überweisung umgehend durch die Kriminellen vom Zielkonto geräumt. Vorwand war dabei eine spontane Möglichkeit für einen angeblichen streng geheimen Deal im Ausland, doch die zeitkritische Option gab es nie. Die Lage ist schwerwiegend – besonders in Deutschland. Das zeigt sich im aktuellen State of Email Security Report, einer internationalen Untersuchung unter IT-Entscheidern. In fast der Hälfte (48 Prozent) aller deutschen Organisationen hat das C-Level sensible Daten als Reaktion auf einen Phishing-Angriff versendet.
Damit liegt Deutschland weit über dem internationalen Durchschnitt von 20 Prozent. Zudem kommen 49 Prozent der Befragten zu dem Schluss, dass ihre Management- und Finanzteams nicht über ausreichende Kenntnisse verfügen, um einen Imitationsversuch zu identifizieren und zu stoppen.
Wenn man drüber nachdenkt, dann ist man sicherlich empfänglich für gefälschte E-Mails und prüft die Absenderadresse nicht immer genau. Aber kann Technologie da wirklich Abhilfe schaffen? Wäre es nicht sinnvoller, Mitarbeiter zu schulen und zu sensibilisieren?
Der Mensch und sein bewusstes Handeln sind unverzichtbar, müssen aber Hand in Hand mit technischer Innovation gehen. Genau deshalb sprechen wir von Cyber-Resilience – es geht um mehr als nur eine einzelne Technologie. Zum einen haben wir den Anspruch, unseren Kunden eine Kombination aus den führenden Sicherheitslösungen in einem Service zu bieten. Dadurch filtern wir nicht nur Gefahren heraus, sondern machen die Kommunikation in Unternehmen auch effizienter. Gleichzeitig verfügen wir über eine eigene Security-Trainings-Plattform, um Mitarbeiter zu unterstützen. Alles kommt genau skalierbar und bei höchsten Performance-Ansprüchen.
Das macht Sinn. Wie ist die Situation von Mimecast in Deutschland? Findet man Sie beispielsweise auf der it-sa?
Deutschland ist unser wichtigster Wachstumsmarkt und wir haben im letzten Jahr angefangen, die Strukturen entsprechen aufzubauen. Mimecast selbst gibt es seit 2003 und nachdem wir uns im englischsprachigem Raum erfolgreich etabliert haben, sind wir dabei, hierzulande durchzustarten. Natürlich haben wir eine entsprechende Präsenz auf der it-sa 2018 (Standnummer 10.0-506). Dort können sich die Besucher von unserem Ansatz überzeugen – wir sind unkonventionell und nicht wie jeder andere Security Vendor, aber haben genau deshalb überzeugende Lösungen für Unternehmen in Gepäck. Wir haben in diesem Jahr wichtige Partner wie Bechtle, Cancom gewonnen. Da wir kein Direktgeschäft in der Region betreiben, ist das für uns ein bedeutender Schritt. Daher freut es uns, dass wir gleich mehrere Partner am it-sa-Stand an Bord haben.n
