Cyber-Risiken in der Ferienzeit

Die Ferienzeit bringt nicht nur friedliche und festliche Stimmung, sondern vermehrte Cyberrisiken mit sich. An den Tagen rund um Weihnachten und Neujahr steigt die Anzahl der Cyber-Angriffe erfahrungsgemäß: Einerseits sind Sicherheitsteams oft nicht vollständig besetzt – ein bekannter Umstand, den sich Angreifende gern zunutze machen. Andererseits führen saisonaler Stress und volle Terminkalender dazu, dass die Aufmerksamkeit sinkt und die Anfälligkeit für Cybergefahren steigt.

Typische Cyber-Bedrohungen während der Urlaubszeit

Malware-Mails und Phishing/Smishing

Betrügerische E-Mails oder SMS werden gerne als Liefer- oder Rechnungsbenachrichtigungen getarnt, um persönliche Daten abzugreifen oder Malware zu platzieren. Die Empfänger werden aufgefordert, auf Links zu klicken oder Dateianhänge zu öffnen, um weitere Informationen zu erhalten oder eine angebliche Lieferung zu verfolgen. Dabei werden sie oft auf gefälschte Websites geführt oder dazu verleitet, schädliche Dateien herunterzuladen. Das Hauptziel dieser Phishing-Nachrichten ist es, persönliche Daten wie Passwörter, Kreditkarteninformationen oder Login-Daten zu stehlen. In einigen Fällen versuchen die Kriminellen auch, schädliche Software wie Ransomware oder Spyware auf den Geräten der Opfer zu installieren

Phishing-Nachrichten können via E-Mail, SMS oder Messenger kommen, aber auch via Telefon oder Voicemail. Auch aufgrund der verbreiteten Nutzung von KI werden Phishing-Versuche immer schwieriger zu erkennen. Neben technischen Lösungen, ist ein gesundes Maß Misstrauen gefragt. Verifizieren Sie die Echtheit der Benachrichtigungen, indem Sie sich direkt beim angeblichen Absender der Nachricht erkundigen.

Fake-Websites und Fake-Shops

Fake-Shops und Phishing-Websites imitieren oft das Design, das Logo und sogar die URL von bekannten Marken oder Unternehmen. Sie verwenden ähnliche Schreibweisen oder leicht abgewandelte Domain-Namen, um den Anschein von Authentizität zu erwecken. Dadurch werden potenzielle Opfer in Sicherheit gewiegt und dazu verleitet, persönliche Daten preiszugeben oder Transaktionen durchzuführen. Prüfen Sie Bewertungen, kontrollieren Sie die URL auf Rechtschreibfehler und verwenden Sie nur sichere Zahlungsmethoden, um sich vor Betrug zu schützen.

Fake-Anzeigen via Websites, E-Mail oder Social Media

Gefälschte Werbung lockt mit vermeintlichen Sonderangeboten oder Rabatten, um Nutzer*innen zur Preisgabe ihrer Informationen zu verleiten. Dabei werden gerne unrealistische Sonderangebote, massive Rabatte oder exklusive Deals versprochen, um die Aufmerksamkeit potenzieller Opfer zu erregen. Diese gefälschten Anzeigen können nicht nur auf Websites, sondern auch in E-Mails und auf Social-Media-Plattformen wie Facebook, Instagram oder Twitter erscheinen. Sie können als gesponserte Beiträge oder Anzeigen getarnt sein. Klicken Sie nicht auf Angebote, die zu gut sind, um wahr zu sein, überprüfen Sie immer die URL und gegen Sie diese gegebenenfalls händisch in den Browser ein!

Fake-Charity-Kampagnen

Betrüger nutzen die Großzügigkeit der Menschen aus, indem sie gefälschte Spendenaufrufe für vermeintliche wohltätige Zwecke starten. Um ihre Glaubwürdigkeit zu erhöhen, verwenden diese betrügerischen Kampagnen oft rührende Geschichten, gefälschte Bilder oder Videos, die auf emotionale Reaktionen abzielen. Häufig wird eine vermeintliche Notlage suggeriert, um Menschen zu schnellen Spenden zu bewegen.

Achtung, diese Fake-Charity-Kampagnen verwenden Namen oder Logos von legitimen Wohltätigkeitsorganisationen, um sich als seriös auszugeben. Offizielle Websites oder Kontaktinformationen der Organisationen sollten genannt und nachvollziehbar sein, bevor eine Transaktion erfolgt.

CEO-Betrug

Beim CEO-Fraud geben sich die Betrüger als hochrangige Führungskräfte oder CEOs aus. Sie versenden gefälschte E-Mails an Mitarbeitende, die angeblich von der Geschäftsleitung stammen. In diesen werden Mitarbeiter aufgefordert, bestimmte Handlungen vorzunehmen, z.B. Rechnungen zu bezahlen, Geld zu überweisen oder vertrauliche Daten preiszugeben.

Manchmal können gefälschte E-Mails oder Nachrichten an ungewöhnlichen Grammatikfehlern, unerwarteten Anfragen nach sensiblen Informationen oder untypischem Verhalten des vermeintlichen Absenders erkannt werden. Darüber hinaus sollten Unternehmen Richtlinien zur Validierung von Transaktionen und zum Schutz sensibler Informationen implementieren.

Prävention und Abwehrmaßnahmen

Zu den meistverbreiteten Angriffsarten zählen Phishing, Ransomware und SQL-Injections. Die Folgen können zur Urlaubszeit oder außerhalb der regulären Arbeitszeiten weitreichender ausfallen, wenn Angriffe erst spät entdeckt werden und sich im Netzwerk ausbreiten können. Im Fall von Datendiebstahl drohen zudem ein Image- und Vertrauensverlust des Unternehmens.

Awareness-Kampagnen

Da viele Angriffe mit Social Engineering beginnen, sind Maßnahmen zur Sensibilisierung aller Mitarbeitenden besonders wichtig. Schärfen Sie das Sicherheitsbewusstsein und führen Sie praktische Beispiele für mögliche Angriffsszenarien an. Immer und auch im Privatbereich gilt:

• Vorsicht beim Anklicken von Links, Downloaden und Öffnen von Dateien!
• Prüfen Sie E-Mails und Nachrichten auf Phishing-Versuche!
• Verwenden Sie sichere Passwörter oder Authentifizierungsmethoden!
• Aktivieren Sie Multi-Faktor-Authentifizierung, wo immer dies möglich ist!

Fake Shop Detector

Nutzen Sie außerdem Tools wie den Fake Shop Detector als Browser-Add on oder überprüfen sie die URL der Website. Mittels entsprechend trainierter KI wird der Code auf Merkmale und deren Wechselwirkungen untersucht und beurteilt, um betrügerische Websites zu identifizieren und den Einkauf sicherer zu gestalten.

Updates und Backups

Das schnelle Einspielen von verfügbaren Updates und – bei Bedarf – Sicherheitspatches verhindern das Ausnutzen von bekannten Schwachstellen. Regelmäßige Backups, die offline verwahrt werden, und Testläufe helfen im Falle eines Angriffs Datenverluste zu minimieren. Achten Sie darauf, dass vor der Urlaubszeit alle Systeme am neuesten Stand sind!

Incident Response Plan

Ein vordefinierter IR-Plan für Unternehmen hilft, angemessen und schnell auf Sicherheitsvorfälle zu reagieren. Dies kann neben konkreten Handlungsanweisungen auch das Hinzuziehen von Expert*innen umfassen.

Rechtevergabe und Zero-Trust-Architektur

Zugriffsrechte sollten nach dem Least-Privilege-Prinzip vergeben und streng kontrolliert werden. Im Bedarfsfall sollten Zugriffsmöglichkeiten minimiert werden, um mögliche Schäden zu begrenzen. Deaktivieren Sie nicht benötigte Remote Control-Zugänge und kritische Accounts während der Urlaubszeit!

Das könnte Sie auch interessieren:
Cyberabwehr und Incident Response für die Feiertage stärken
4 Tipps, um die Cyber Security Awareness im Unternehmen zu stärken
7 typische Gefahren beim Online-Shopping