Die Verringerung des Risikos DSGVO beginnt im Posteingang

Da E-Mails zu den am häufigsten ausgenutzten Angriffspunkten in Unternehmen zählen, stellen sie eine erhebliche Gefahr für die Datensicherheit dar. Ob es sich nun um Daten im Posteingang des Benutzers, in gemeinsam genutzten Postfächern, um den Zugriff auf Laufwerke oder um Systeme von Drittanbietern wie CRM-Plattformen handelt – der Posteingang kann als Ausgangspunkt für viele Sicherheitsverletzungen dienen. 

Ein E-Mail-Hack ist ein Einfallstor für die Daten Ihres Unternehmens

In einem solchen Fall war eineAnwaltskanzlei über ein Outlook-E-Mail-Konto kompromittiert worden.Der Angreifer konnte daraufhin Zahlungen umleiten, die für Begünstigte in einer Nachlassangelegenheit bestimmt waren. 

Aus diesem Grund ist ein solides Sicherheitskonzept, das bereits im Posteingang ansetzt, nicht nur für die allgemeine Sicherheit unerlässlich, sondern unterstützt Ihr Unternehmen auch direkt dabei, seinenDSGVO nachzukommen. 

Dies ist jedoch keine Herausforderung, die allein durch Technologie gelöst werden kann. Es bedarf der richtigen Werkzeuge in Verbindung mit gut geschulten Anwendern, die im Rahmen eines koordinierten Ansatzes für die E-Mail-Sicherheit zusammenarbeiten. 

Menschen sind die Hauptursache für Sicherheitsverletzungen – fangen Sie dort an 

Schätzungsweise 90 % aller Sicherheitsverletzungen sind auf menschliches Versagen zurückzuführen, daher liegt hier der größte Verbesserungsbedarf. DaE-Mail-Bedrohungen immer raffinierter und zielgerichteter werden, ist es wichtiger denn je, dass die Nutzer wissen, worauf sie bei Phishing-Angriffen achten müssen.  

Die dänische Datenschutzbehörde „Datatilsynet“ berichtet von ähnlichen Ergebnissen und führt mehr als 80 % der jüngsten Vorfälle auf menschliches Versagen zurück. Dabei war Phishing die häufigste Ursache für Datenschutzverletzungen.   

Das macht deutlich, dass eine gute Verteidigung bei Ihren Nutzern beginnt:   

• Schulen Sie Ihre Mitarbeiter effektiv. Eine einmalige, rein formal durchgeführte Schulung pro Jahr reicht nicht aus. Schulungen müssen aktuell und ansprechend sein und regelmäßig stattfinden. Mit Tools, die Schulungen automatisieren und Inhalte vermitteln, die im Gedächtnis bleiben, können Nutzer den Bedrohungen in ihren Posteingängen besser begegnen. Ergänzen Sie dies durch Quizfragen, um das Gelernte zu überprüfen und Schwachstellen aufzudecken.  

• Setzen Sie das Training in die Praxis um. Erstellen Sie Phishing-Simulationen, die über die Theorie hinausgehen, und beobachten Sie, wie Nutzer auf Phishing-Versuche in ihrem Posteingang reagieren. Finden Sie heraus, welche Versuche die Nutzer möglicherweise getäuscht haben, und decken Sie Lücken im Training auf, damit Sie Ihre Maßnahmen verbessern können.  

• Auswerten und anpassen. Je größer das Unternehmen, desto mehr Daten stehen Ihnen zur Verfügung. Erkennen Sie Trends, überwachen Sie Testergebnisse und finden Sie heraus, woran Nutzer in der Praxis scheitern. Dies ist nicht nur eine nützliche Quelle für umsetzbare Informationen – es zeugt auch von einer Kultur der Schulung und klaren Prozessen, die beide fürRichtlinien wie NIS2 erforderlich sind.  

Gute Datenpraktiken bilden die Grundlage für DSGVO 

Neben der Schulung der Nutzer im Erkennen von Bedrohungen ist es von entscheidender Bedeutung, DSGVO in das tägliche Verhalten zu integrieren. Dies trägt dazu bei, Probleme zu vermeiden, bevor ein Phishing-Versuch zu einem Vorfall führt. 

Im Hinblick aufDSGVO lohnt es sich, bestimmte Verhaltensweisen im Zusammenhang mit Daten besonders zu betonen. Daten sind ein Unternehmensgut und sollten auch als solches behandelt werden. 

Bei einem Sicherheitsvorfall zählt jede Sekunde. Gute Datenpraktiken können einige der Auswirkungen eines Angriffs abmildern und zumindest die Dauer der Datenpreisgabe während eines Vorfalls verkürzen. 

• Fördern Sie die Nutzung von Unternehmenssystemen. Datenlanden oft verstreut in Tabellenkalkulationen, Papierunterlagen und privaten Speicherorten. Dies erschwert deren Sicherung und Verwaltung. Stellen Sie sicher, dass die Nutzer für die Speicherung ihrer Daten vom Unternehmen genehmigte Tools wie CRM-Systeme, Marketing-Systeme und Ticket-Tools verwenden. 

• Versenden Sie sensible Daten niemals per E-Mail, auch nicht intern.Selbst intern entstehen durch E-Mails dauerhafte Kopien, die schwer zu kontrollieren sind. Speichern Sie Daten in zentralen Systemen wie CRM-Plattformen oder SharePoint. Nutzen Sie für die Weitergabe nach außen kontrollierte Freigabemechanismen, mit denen der Zugriff überwacht und widerrufen werden kann. Fördern Sie intern die Weitergabe über SharePoint oder OneDrive. Alle Daten, die vorübergehend für einen bestimmten Zweck gespeichert werden, sollten gelöscht werden, sobald dieser Zweck erfüllt ist.   

• Wenden Sie gegebenenfalls Aufbewahrungsrichtlinien an.Auf Unternehmensebene können Sie Richtlinien zur Datenaufbewahrung festlegen und den Benutzern gleichzeitig die Möglichkeit geben, die Lebensdauer von E-Mails manuell zu begrenzen. Wenn eine E-Mail vertrauliche Informationen für einen kurzfristigen Zweck enthält, sollten Sie die Benutzer dazu anhalten, für die gesendete E-Mail selbst eine strengere Aufbewahrungsrichtlinie festzulegen. 

Der beste Angriff ist der, der den Posteingang gar nicht erst erreicht

Sie haben Ihre Teams geschult, Schulungen durchgeführt und Berichte erstellt. Dennoch sollte es oberste Priorität bleiben, Phishing-Versuche schon im Vorfeld zu verhindern, damit sie gar nicht erst im Posteingang der Nutzer landen. 

Auf der Kaseya Local Connect-Veranstaltung in London betraten MSPs die Bühne, umzu erörtern, dass die zunehmende Bedrohung durch E-Mailszum großen Teil auf KI zurückzuführen sei. Sie betonten jedoch auch, dass KI bei der Abwehr dieser Bedrohungen ebenso wichtig sei. 

KI kann eine Konversationsanalyse bieten, die die Absicht einer E-Mail erkennt, QR-Codes scannen, um versteckte URLs zu finden und diese zu überprüfen, sowie maschinelles Lernen nutzen, um frühere Spam- und Phishing-E-Mails zu identifizieren und sich in Echtzeit an künftige eingehende E-Mails anzupassen. 

Sie können den Benutzern auch regelmäßig unter die Arme greifen, indem SieE-Mails nach Kategorien und ihrem Risikograd einteilen und ihnen so helfen, bei jeder Nachricht die Sicherheit im Blick zu behalten. 

Fehlschläge können teuer werden

Unternehmen können bei Verstößen gegen DSGVO mit Geldstrafen in Höhe von bis zu 4 % ihres weltweiten Jahresumsatzes oder 20 Millionen Euro (bzw. 17,5 Millionen Pfund) belegt werden. Auch der Reputationsschaden kann verheerend sein. 

Die E-Mail-Sicherheit ist nur ein Aspekt der DSGVO , aber ein entscheidender. In einer Studie von Kaseya gaben 56 % der KMU an, bereits von Phishing-Nachrichten betroffen gewesen zu sein, wobei 40 % von früheren Vorfällen im Zusammenhang mit Business E-Mail Compromise (BEC) berichteten. Vor diesem Hintergrund steigt die Wahrscheinlichkeit eines DSGVO .  

 Ganz gleich, ob Sie als Unternehmen Ihre DSGVO NIS2-Konformität verbessern möchten oder als MSP Dienstleistungen für Ihre Kunden erbringen – Ihre Prioritäten sind weitgehend dieselben. Manuelle Prozesse reichen nicht aus, und Sie können sich nicht allein auf menschliches Verhalten oder allein auf Technologien verlassen. 

Ein ganzheitlicher Ansatz ist unerlässlich. In jeder Phase sollten Sie darauf achten, Ihre Schulungs-, Berichts- und Erkennungsfunktionen zu automatisieren, um sicherzustellen, dass der technologische Teil Ihres Ansatzes im Rahmen der DSGVO ordnungsgemäß funktioniert.