3 Tipps zur Erstellung einer wirksamen Richtlinie zur E-Mail-Informationssicherheit

Trotz der Beliebtheit von sozialen Medien und Instant Messaging bleibt die E-Mail ein wichtiges Kommunikationsmittel für Unternehmen. Leider macht ihre Beliebtheit sie auch zu einer idealen Plattform für Cyberkriminalität.

Jüngsten Berichten zufolge werden 94 % aller Schadprogramme per E-Mail verbreitet. Manchmal wird die Schadsoftware als ganz gewöhnlicher Anhang versendet, manchmal handelt es sich um einen irreführenden Link zu einer Webseite, die Schadsoftware enthält. Doch ganz gleich, für welche Strategie sich Hacker entscheiden: Wenn Sie die Unternehmens-E-Mails schützen, sichern Sie die Zukunft Ihres Unternehmens.

Für kleine und mittlere Unternehmen (KMU) sind Informationen das wichtigste Kapital, weshalb deren Schutz von entscheidender Bedeutung ist. Informationssicherheit (auch „Infosec“ genannt) umfasst eine Reihe von Maßnahmen, die darauf abzielen, Daten vor unbefugtem Zugriff oder unbefugten Änderungen zu schützen. Sie besteht aus drei grundlegenden Komponenten: Vertraulichkeit, Integrität und Verfügbarkeit.

Um eine E-Mail-spezifische Informationssicherheitsrichtlinie zu erstellen, die diese drei grundlegenden Komponenten abdeckt, müssen alle Mitarbeiter des Unternehmens geschult werden. Dadurch wird sichergestellt, dass Ihre E-Mail-Kommunikation sicher ist und dass sich Ihre Mitarbeiter der Risiken einer möglichen Sicherheitsverletzung durch menschliches Versagen sowie durch die unsachgemäße Nutzung des Internets und andere gefährliche Aktivitäten bewusst sind.

Nehmen Sie sich einen Moment Zeit, um mehr über die drei häufigsten E-Mail-Bedrohungen und unsere Empfehlungen zu erfahren, wie diese in einer Informationssicherheitsrichtlinie berücksichtigt werden sollten:

Phishing und Spear-Phishing

Phishing-E-Mails nutzen psychologische Manipulation, um Empfänger dazu zu verleiten, vertrauliche Informationen preiszugeben, die anschließend verkauft oder für kriminelle Zwecke missbraucht werden können. Phishing-E-Mails weisen in der Regel einen authentisch wirkenden Absender und einen Text auf, der die böswillige Absicht verschleiern soll. Ist die Nachricht überzeugend, klicken Nutzer auf Malware-Anhänge, Links zu betrügerischen Websites oder eine Kombination aus beidem.

Spear-Phishing ist eine gezieltere Form des Phishing, bei der hochgradig maßgeschneiderte Inhalte und Informationen eingesetzt werden, die auf bestimmte Personen zugeschnitten sind. In solchen Fällen führen Betrüger umfangreiche Recherchen über ihre Opfer durch, um die Glaubwürdigkeit ihrer E-Mails zu erhöhen.

Infosec-Tipp: Cyberkriminelle und Betrüger nutzen gleichermaßen verschiedene Social-Engineering-Taktiken, um ihre Opfer dazu zu drängen, Dateien herunterzuladen oder wichtige Informationen preiszugeben. Beispielsweise wenden Betrüger in gefälschten E-Mails Einschüchterungstaktiken an, bei denen sie damit drohen, Konten zu deaktivieren, wenn der Empfänger die „Anweisungen“ nicht befolgt. Da der Mitarbeiter unter Druck gesetzt wird, erliegt er den Verlockungen des Betrügers. Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Angriffe vermeiden können, indem Sie ihnen erklären, wie Phishing und Spear-Phishing funktionieren.

Sie können auch Simulationsübungen nutzen, um reale Szenarien zu veranschaulichen. Wenn Ihre Sicherheitssoftware über solche Anti-Phishing-Maßnahmen verfügt, sollten Sie in Erwägung ziehen, Ihren Mitarbeitern mindestens einmal im Monat gefälschte Phishing-E-Mails zu schicken, um sie auf Trab zu halten.

Spam

Spam-E-Mails stellen kleine und mittlere Unternehmen nach wie vor vor eine Reihe von Herausforderungen. Was sie so gefährlich macht, ist, dass die meisten Menschen sie eher als Ärgernis betrachten und nicht als das, was sie tatsächlich sind: eine mit Malware verseuchte Gefahr. Ähnlich wie Phishing-E-Mails können auch Spam-E-Mails so gestaltet sein, dass sie den Anschein erwecken, von seriösen Absendern wie Online-Shops zu stammen, was die Wahrscheinlichkeit erhöht, dass ahnungslose Nutzer verdächtige Dateien herunterladen.

Infosec-Tipp: Netzwerkadministratoren sollten sicherstellen, dass Anti-Spam-Filter – einschließlich der Richtlinienverwaltung und der Schwellenwerte für die Erkennung von Bedrohungen – ordnungsgemäß konfiguriert sind. Wenn Sie bereits über E-Mail-Sicherheitslösungen verfügen, sollten Sie Funktionen wie die Überwachung der Web-Reputation und die Erkennung von Dokument-Exploits nutzen. Diese sind darauf ausgelegt, gezielte Angriffe abzuwehren, bevor sie die Benutzer erreichen.

Business Email Compromise (BEC)

Bei dieser Betrugsmasche verschaffen sich Hacker Zugriff auf das E-Mail-Konto eines leitenden Managers und versenden von diesem Konto aus Nachrichten. Bei BEC-Betrugsfällen fordern Cyberkriminelle die Mitarbeiter häufig auf, Geldbeträge auf ein von ihnen kontrolliertes Konto zu überweisen.

BEC-Betrugsmaschen sind bei Cyberkriminellen sehr beliebt, da sie kinderleicht durchzuführen sind und die Betrüger weder fortgeschrittene Programmierkenntnisse noch technische Fähigkeiten oder komplexe Malware benötigen. Aus dem Internet Crime Report 2019 des FBI geht hervor, dass BEC-Betrugsmaschen im vergangenen Jahr die schädlichste und effektivste Form der Cyberkriminalität darstellten.

Infosec-Tipp: Kleine und mittlere Unternehmen sollten automatisierte E-Mail-Sicherheitssoftware einsetzen. Machen Sie Ihre IT-Techniker, Führungskräfte und Mitarbeiter mit den gängigen Anzeichen für BEC vertraut, damit alle Mitglieder Ihres Teams in der Lage sind, die Herkunft sowie den Inhalt eingehender und ausgehender E-Mails kritisch zu prüfen.

Eine solide und wirksame Informationssicherheitsrichtlinie für die E-Mail-Kommunikation Ihres Unternehmens ist unerlässlich. Es liegt in Ihrer Verantwortung, die sensiblen Daten Ihrer Kunden und Mitarbeiter zu schützen. Mit der App „ Graphus “ können Sie sorgenfrei kommunizieren, da Sie wissen, dass Ihre Posteingänge vor Cyberangriffen und Social-Engineering-Betrug geschützt sind. Rufen Sie uns noch heute an, um loszulegen.