Die Verringerung des Risikos von „ DSGVO “-Verstößen beginnt im Posteingang

Als einer der am häufigsten ausgenutzten Angriffspunkte in einem Unternehmen stellt die E-Mail eine große Gefahr für die Datensicherheit dar. Ob es sich nun um Daten im Posteingang des Benutzers, in gemeinsam genutzten Postfächern, um den Zugriff auf Laufwerke oder auf Systeme von Drittanbietern wie CRM-Plattformen handelt – der Posteingang kann als Ausgangspunkt für viele Sicherheitsverletzungen dienen.

Ein E-Mail-Hack ist ein Einfallstor zu den Daten Ihres Unternehmens

In einem solchen Fall wurde eineAnwaltskanzlei über ein Outlook-E-Mail-Konto kompromittiert.Der Angreifer konnte daraufhin Zahlungen umleiten, die für Begünstigte in einem Nachlassverfahren bestimmt waren.

Aus diesem Grund ist ein solides Sicherheitskonzept, das bereits im Posteingang ansetzt, nicht nur für die allgemeine Sicherheit unerlässlich, sondern unterstützt Ihr Unternehmen auch direkt dabei, seinenVerpflichtungen gemäß derDSGVO nachzukommen.

Dies ist jedoch keine Herausforderung, die sich allein durch Technologie lösen lässt. Es bedarf der richtigen Tools in Verbindung mit gut geschulten Anwendern, die im Rahmen eines koordinierten Ansatzes für die E-Mail-Sicherheit zusammenarbeiten.

Menschen sind die Hauptursache für Sicherheitsverletzungen – fangen Sie dort an

Schätzungsweise 90 % aller Sicherheitsvorfälle sind auf menschliches Versagen zurückzuführen – daher liegt hier der größte Verbesserungsbedarf. DaE-Mail-Bedrohungen immer raffinierter und gezielter werden, ist es wichtiger denn je, dass die Nutzer wissen, worauf sie bei Phishing-Angriffen achten müssen.

Datatilsynet, die dänische Datenschutzbehörde, berichtet von ähnlichen Ergebnissen und führt mehr als 80 % der jüngsten Vorfälle auf menschliches Versagen zurück. Dabei war Phishing die häufigste Ursache für Datenschutzverletzungen.

Das macht deutlich, dass eine gute Verteidigung bei Ihren Nutzern beginnt:

• Schulen Sie Ihre Mitarbeiter effektiv. Eine einmal im Jahr stattfindende Schulung, bei der lediglich ein Häkchen gesetzt wird, reicht nicht aus. Die Schulungen müssen aktuell und ansprechend sein und regelmäßig stattfinden. Tools, die Schulungen automatisieren und Inhalte vermitteln, die im Gedächtnis bleiben, ermöglichen es den Nutzern, besser mit den Bedrohungen umzugehen, denen ihre E-Mail-Postfächer ausgesetzt sind. Ergänzen Sie dies durch Quizfragen, um das Behalten des Gelernten zu überprüfen und Schwachstellen aufzudecken.

• Setzen Sie das Training in die Praxis um. Erstellen Sie Phishing-Simulationen, die über die Theorie hinausgehen, und beobachten Sie, wie Nutzer auf Phishing-Versuche in ihrem Posteingang reagieren. Finden Sie heraus, welche Versuche die Nutzer möglicherweise getäuscht haben, und decken Sie Lücken im Training auf, damit Sie Ihre Gegenmaßnahmen verbessern können.

• Auswerten und anpassen. Je größer die Organisation, desto mehr Daten stehen Ihnen zur Verfügung. Erkennen Sie Trends, überwachen Sie Testergebnisse und finden Sie heraus, woran Nutzer in der Praxis scheitern. Dies ist nicht nur eine nützliche Quelle für umsetzbare Informationen – es zeugt auch von einer Kultur der Weiterbildung und klaren Prozessen, die beide fürRichtlinien wie NIS2 erforderlich sind.

Gute Datenpraktiken bilden die Grundlage für die Einhaltung der Vorschriften des „ DSGVO “

Neben der Schulung der Nutzer im Erkennen von Bedrohungen ist es von entscheidender Bedeutung, die Grundsätze von „ DSGVO “ in das tägliche Verhalten zu integrieren. Dies trägt dazu bei, Probleme zu vermeiden, bevor ein Phishing-Versuch zu einem Vorfall führt.

Im Hinblick auf „DSGVO “ lohnt es sich, bestimmte Verhaltensweisen speziell im Zusammenhang mit Daten zu bekräftigen. Daten sind ein Unternehmensgut und sollten auch als solches behandelt werden.

Bei einem Sicherheitsvorfall zählt jede Sekunde. Gute Datenpraktiken können einige der Auswirkungen eines Angriffs abmildern und zumindest die Dauer der Datenpreisgabe während eines Vorfalls verkürzen.

• **Fördern Sie die Nutzung von Unternehmenssystemen.** Daten sind oft über Tabellenkalkulationen, Papierunterlagen und persönliche Speichermedien verstreut. Dies erschwert deren Sicherung und Verwaltung. Stellen Sie sicher, dass die Nutzer für die Speicherung ihrer Daten vom Unternehmen genehmigte Tools wie CRM-Systeme, Marketing-Systeme und Ticket-Tools verwenden.

• Versenden Sie niemals sensible Daten per E-Mail, auch nicht intern.Selbst intern entstehen durch E-Mails dauerhafte Kopien, die sich nur schwer kontrollieren lassen. Speichern Sie Daten in zentralisierten Systemen wie CRM-Plattformen oder SharePoint. Nutzen Sie bei der Weitergabe an externe Empfänger kontrollierte Freigabemechanismen, mit denen der Zugriff überwacht und widerrufen werden kann. Fördern Sie intern die Weitergabe über SharePoint oder OneDrive. Alle Daten, die vorübergehend für einen bestimmten Zweck gespeichert werden, sollten gelöscht werden, sobald dieser Zweck erfüllt ist.

• Wenden Sie gegebenenfalls Aufbewahrungsrichtlinien an.Auf Unternehmensebene können Sie Richtlinien zur Datenaufbewahrung festlegen und den Benutzern gleichzeitig die Möglichkeit geben, die Lebensdauer von E-Mails manuell zu begrenzen. Wenn eine E-Mail sensible Informationen für einen kurzfristigen Zweck enthält, sollten Sie die Benutzer dazu anhalten, für die gesendete E-Mail selbst eine strengere Aufbewahrungsrichtlinie festzulegen.

Der beste Angriff ist der, der den Posteingang gar nicht erst erreicht

Sie haben Ihre Teams geschult, Schulungen durchgeführt und Berichte erstellt. Die erste Verteidigungslinie sollte jedoch weiterhin darin bestehen, zu verhindern, dass Phishing-Versuche überhaupt den Posteingang eines Benutzers erreichen.

Auf der „Kaseya Local Connect“-Veranstaltung in LondondiskutiertenMSPs auf der Bühnedarüber, dass die zunehmende Bedrohung durch E-Mailszum großen Teil auf künstliche Intelligenz zurückzuführen sei. Sie betonten jedoch auch, dass künstliche Intelligenz bei der Abwehr dieser Bedrohungen ebenso wichtig sei.

KI kann eine Konversationsanalyse bieten, die die Absicht einer E-Mail erkennt, das Scannen von QR-Codes, um versteckte URLs zu finden und diese zu scannen, sowie maschinelles Lernen, um frühere Spam- und Phishing-E-Mails zu identifizieren und sich in Echtzeit an zukünftig eingehende E-Mails anzupassen.

Sie können den Benutzern außerdem regelmäßig unter die Arme greifen, indem SieE-Mails nach Kategorien und ihrem Risikograd einteilen und ihnen so helfen, bei jeder Nachricht die Sicherheit im Blick zu behalten.

Ausfälle können kostspielig sein

Unternehmen können bei Verstößen gegen die Datenschutz-Grundverordnung ( DSGVO) mit Geldbußen in Höhe von bis zu 4 % ihres weltweiten Jahresumsatzes oder 20 Millionen Euro (bzw. 17,5 Millionen Pfund) belegt werden. Auch der Reputationsschaden kann verheerend sein.

E-Mail-Sicherheit ist nur ein Aspekt der Einhaltung der Vorschriften zur „ DSGVO “, aber ein entscheidender. In einer Studie von Kaseya gaben 56 % der KMU an, bereits von Phishing-Nachrichten betroffen gewesen zu sein, wobei 40 % von früheren Vorfällen im Zusammenhang mit „Business E-Mail Compromise“ (BEC) berichteten. Vor diesem Hintergrund wird ein Verstoß gegen die „ DSGVO “-Vorschriften immer wahrscheinlicher.

 Ganz gleich, ob Sie als Unternehmen Ihre Compliance mit der „ DSGVO “ und der NIS2 verbessern möchten oder als MSP Dienstleistungen für Ihre Kunden erbringen – Ihre Prioritäten sind in gewisser Weise ähnlich. Manuelle Prozesse reichen nicht aus, und Sie können sich nicht ausschließlich auf menschliches Verhalten oder allein auf Technologien verlassen.

Ein ganzheitlicher Ansatz ist unerlässlich. In jeder Phase sollten Sie darauf achten, Ihre Schulungs-, Berichts- und Bedrohungserkennungsfunktionen zu automatisieren, um sicherzustellen, dass der technologische Teil Ihres Ansatzes im Rahmen der Einhaltung der „ DSGVO “-Vorschriften ordnungsgemäß funktioniert.