Wie schützen sich Mitarbeitende am besten vor Cyberkriminalität? Das Amt für Informatik und Organisation des Kantons Bern führt regelmässig Sensibilisierungs-Kampagnen durch und gibt Verhaltenstipps.
Zugegeben, es ist verlockend, auf den Link in der soeben eingetroffenen E-Mail zu klicken. Denn nur so erfährt man, wer eine Sprachnachricht hinterlassen und was die Person für ein Anliegen hat. Die Neugier ist gross, ebenso der Antrieb, Anfragen nicht lange unbeantwortet zu lassen. Doch irgendwie sieht die E-Mail verdächtig aus. In der Absender-Adresse kommt zwar ein «be» vor, aber sie ist einem unbekannt. Zudem wären zum Abhören der Nachricht ein Klick auf einen Link und ein Einloggen nötig – das ist unüblich. Ausserdem wird Druck aufgesetzt: «Voicemails werden 48 Stunden nach Erhalt automatisch gelöscht», steht explizit geschrieben. Andererseits sind wir uns in der Arbeitswelt Zeitlimiten gewöhnt, und die E-Mail sieht nicht komplett nach Cyberangriff aus. Also doch auf den Link klicken – oder besser nicht?
Datendiebstahl und Schadsoftware
Die beschriebene E-Mail und vielleicht auch die damit verbundenen Zweifel dürften bekannt sein. Es handelt sich nämlich um eine Nachricht der Phishing-Kampagne, die das Amt für Informatik und Organisation des Kantons Bern (KAIO) Ende März dieses Jahres zusammen mit einem spezialisierten Sicherheitsunternehmen in der Kantonsverwaltung durchgeführt hat. «Phishing» ist zusammengesetzt aus den Wörtern «Password» und «Fishing», bedeutet also Passwort-Fischen. Mit dieser Art Cyberangriff, der vor allem mit gefälschten E-Mails erfolgt, wollen Kriminelle entweder Daten stehlen oder schädliche Software einschleusen.
Hoher Schwierigkeitsgrad
Das KAIO hat eine solche Kampagne nicht zum ersten Mal durchgeführt. Es setzt sich laufend mit den unterschiedlichen Phishing-Varianten auseinander und sensibilisiert die Mitarbeitenden der Verwaltung regelmässig für betrügerische E-Mails und andere Formen von Cyberangriffen. «Mit den Phishing-Kampagnen erhalten die Mitarbeitenden Übungsmöglichkeiten in unterschiedlichen Szenarien und Schwierigkeitsgraden», sagt Andrea Kleger, Risikomanagerin beim KAIO. Dadurch sollen sie suspekte E-Mails mit Vorsicht behandeln und Phishing-Versuche besser erkennen können. Dieses Mal war es nicht ganz einfach, die E-Mail als gefälscht zu identifizieren. Der Schwierigkeitsgrad lag bei 4 auf einer Skala von 1 bis 5. 36 Prozent der angeschriebenen Mitarbeitenden klickten auf den Link, danach gaben 15 Prozent ihre Kontodaten ein. «Die Resultate sind vergleichbar mit jenen von anderen Unternehmen, die eine identische Kampagne durchgeführt haben», sagt Kleger.
Ein unbedachter Klick reicht schon
Die Gefahr von Phishing hat allgemein zugenommen. Das zeigen aktuelle Zahlen des neuen Bundesamts für Cybersicherheit (BACS), dem ehemaligen Nationalen Zentrum für Cybersicherheit. Im zweiten Halbjahr 2023 sind beim BACS doppelt so viele Meldungen zu Phishing eingegangen (5536) als in der Vorjahresperiode (2179). «Die Kantonsverwaltung ist täglich Phishing-Versuchen unterschiedlicher Qualität und Ausprägungen ausgesetzt», sagt Kleger. Das KAIO stehe in engem Kontakt mit dem BACS und passe zusammen mit den Leistungserbringern je nach Bedarf die Schutzmassnahmen an.
Gemäss der KAIO-Risikomanagerin ist Phishing eine der grössten Cyber-Gefahren für die Kantonsverwaltung. Phishing-E-Mails seien einfach zu erstellen und zu versenden, jedoch oftmals schwierig auszufiltern. «Die E-Mails können an Tausende von Personen gleichzeitig verschickt werden, aber schon nur ein unbedachter Klick kann zum Einfallstor werden», gibt Kleger zu bedenken. Die Gefahr steigt, da sich die Angreifer oft als vertrauenswürdige Kolleginnen und Kollegen oder eine bekannte Person ausgeben. Umso wichtiger ist es, dass die Mitarbeitenden wachsam bleiben und die folgenden Verhaltensregeln beachten.
Verhaltensregeln bei E-Mails
- Misstrauen Sie E-Mails, die Sie unaufgefordert erhalten. Besonders vertrauenswürdige Unternehmen (zum Beispiel die Swisscom) werden gerne als gefälschte Absender-Adressen missbraucht.
- Seien Sie vorsichtig, wenn Sie E-Mails erhalten, die eine Aktion von Ihnen verlangen und mit Konsequenzen (Geldverlust, Strafanzeige, Konto- oder Kartensperrung, verpasste Chance) drohen.
- Klicken Sie in verdächtigen E-Mails nie auf Links. Rufen Sie stattdessen die Website des Absenders über die Ihnen bekannte Internetadresse auf.
- Öffnen Sie in verdächtigen E-Mails keine Anhänge, sondern fragen Sie bei Unsicherheit beim Absender nach, ob dieser tatsächlich eine E-Mail an Sie geschickt hat. Wichtig dabei ist, dass Sie auf die Ihnen persönlich bekannte Kontaktadresse anfragen und nicht auf jene aus der E-Mail-Signatur, da diese gefälscht sein könnte.
- Geben Sie keine persönlichen Daten oder Passwörter an. Ein seriöses Unternehmen wird Sie niemals danach fragen.
- Falls Sie trotzdem Daten preisgegeben oder einen verdächtigen Anhang öffnen, melden Sie dies umgehend beim KAIO, damit rasch entsprechende Massnahmen ergriffen werden können.
- Die Absolvierung des E-Learnings «BE-Secure» auf der Lernplattform empfiehlt sich ebenfalls.
Text: Philippe Blatter
Veröffentlicht am 28.5.2024
Cyberangriffe auf kantonale Webseiten
Neben Phishing ist die Kantonsverwaltung auch sogenannten DDoS-Angriffen (Distributed Denial of Service) ausgesetzt. Seit dem dritten Quartal 2023 sind die Webseiten des Kantons regelmässig das Ziel solcher Angriffe. Dabei überfluten die unbekannten Angreifenden die Webinfrastrukturen mit mehreren Millionen Anfragen pro Sekunde, um diese zu überlasten. Zur Abwehr setzen die Leistungserbringer der Kantonsverwaltung Systeme ein, welche die missbräuchlichen Anfragen herausfiltern und nur die echten Anfragen weiterleiten. Bis diese Massnahmen greifen, kann es jeweils einige Minuten dauern. Während dieser Zeit sind die kantonalen Webseiten nicht erreichbar. In solchen Fällen empfiehlt das Amt für Informatik und Organisation des Kantons Bern den Personen, welche die Webseiten nutzen wollen, es 15 oder 30 Minuten später erneut zu versuchen. Bei DDoS-Angriffen wird nur der Zugang zu den kantonalen Webseiten blockiert. Die Angreifenden erhalten also keinen Zugriff auf die Daten, die auf den kantonalen Systemen bearbeitet werden.