<div class="OutlineElement Ltr SCXW57950339 BCX0" style="color: #000000; background-color: #ffffff; margin: 0px; padding: 0px;">
<p class="Paragraph SCXW57950339 BCX0" paraid="1958179705" paraeid="{5[..]

Ein pragmatischer Weg zu Ihrem Threat-Intelligence-Programm

Kleine und mittelgro&szlig;e Unternehmen (KMU) sind mit ihrer notorischen Ressourcenknappheit und wenig konsequenten Sicherheitsrichtlinien vergleichsweise leichte Beute f&uuml;r Cyberkriminelle, die sich deshalb immer st&auml;rker auf diese Unternehmen einschie&szlig;en. Ein weiterer Grund, warum KMU als lohnendes Ziel gelten: Als Glieder in Lieferketten k&ouml;nnen sie Kriminellen Zugang zu Gro&szlig;unternehmen verschaffen.
<div style="color: #000000; background: white; padding: 0in; border: 1pt none #e3e3e3;">
<h4 style="margin: 15pt 0in; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none; text-align: center;">98&nbsp;% der Cyberangriffe auf KMU sind finanziell motiviert, bei 54&nbsp;% spielen kompromittierte Zugangsdaten eine Rolle. &ndash; Verizon DBIR 2023</h4>
Was sind die Hintergr&uuml;nde zu dem aktuellen Trend? LastPass hat dazu k&uuml;rzlich 600 Unternehmensleiter und IT-Sicherheitsleiter aus Betrieben mit unter 3.000 Mitarbeitern befragt.
<a href="https://www.lastpass.com/resources/reports/smb-commercial-cybersecurity-report" style="color: blue;">Das Umfrageergebnis stimmt nicht nur positiv</a>: Zwar gehen KMU das Thema Cybersicherheit inzwischen proaktiver an &ndash; die Sensibilit&auml;t daf&uuml;r w&auml;chst, es wird st&auml;rker investiert. Doch die Antworten zeigen auch, dass der Faktor Mensch immer noch die Achillesferse der Cybersicherheit ist.
Wie k&ouml;nnen KMU Sicherheitsl&uuml;cken schlie&szlig;en und ihr Risiko minimieren? Lesen Sie hier in Kurzform die Ergebnisse der Umfrage und welche Tipps das LastPass-Threat-Intelligence-Team f&uuml;r KMU hat.
<h2 style="color: #434343; margin: 14pt 0in 4pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Anspruch und Wirklichkeit</h2>
Eines machte die Umfrage besonders deutlich: Zwischen den Vorstellungen und Ma&szlig;nahmen der Unternehmensleitung und dem Verhalten der Mitarbeiter besteht eine Kluft.
Die Unternehmensleitung hebt Cybersicherheit immer st&auml;rker auf die Agenda und investiert entsprechend. 90&nbsp;% der IT-Leiter und 80 % der Leiter anderer Unternehmensabteilungen geben an, dass ihr Unternehmen &uuml;ber das letzte Jahr hinweg seine Sicherheitsma&szlig;nahmen verst&auml;rkt hat. 82&nbsp;% der Unternehmen haben ihr Budget f&uuml;r Cybersicherheit entsprechend aufgestockt.
92&nbsp;% der Unternehmensleiter und 93&nbsp;% der IT-Leiter gehen davon aus, dass ihren Mitarbeitern klar ist, was in puncto Sicherheit von ihnen erwartet wird. Die Mehrheit dieser Befragten halten ihre Ma&szlig;nahmen f&uuml;r zielf&uuml;hrend; nur 30&nbsp;% sch&auml;tzen das eigene Risiko, angegriffen zu werden, als hoch ein.
<h4 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none; text-align: center;">KMU gehen Cybersicherheit immer proaktiver an. Doch der Faktor Mensch bleibt weiterhin die Achillesferse von Sicherheitskonzepten.</h4>
Dass Anspruch und Wirklichkeit nicht ganz deckungsgleich sind, zeigt die Umfrage aber eben auch:&nbsp;
</div>
<div style="color: #000000; background: white; margin-right: 0in; margin-left: 0.25in; padding: 0in; border: 1pt none #e3e3e3;">
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Nur 78&nbsp;% der Nicht-IT-Bereichsleiter glauben, dass den Mitarbeitern klar ist, welche Sicherheitsregeln am Arbeitsplatz f&uuml;r sie gelten.
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Einer von f&uuml;nf Unternehmensleitern umgeht Sicherheitsrichtlinien.
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Einer von zehn IT-Sicherheitsleitern umgeht Sicherheitsrichtlinien.
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Einer von vier j&uuml;ngeren Arbeitnehmern h&auml;lt sich nicht immer unbedingt strikt an Sicherheitsrichtlinien.
●&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 36&nbsp;% der Gen-Z-Mitarbeiter notieren sich Passw&ouml;rter.
</div>
<div style="color: #000000; background: white; margin-right: 0in; margin-left: 0.5in; padding: 0in; border: 1pt none #e3e3e3;">
&nbsp;
</div>
<div style="color: #000000; background: white; padding: 0in; border: 1pt none #e3e3e3;">
Fazit: F&uuml;r Cybersicherheit wird immer mehr Geld in die Hand genommen. Doch mindestens genauso wichtig ist es, in eine gute Umsetzung der Konzepte zu investieren.
<h2 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Die Kluft schlie&szlig;en: Tipps und Best Practices</h2>
Die Ergebnisse legen nahe, wie KMU-Leiter ihre Cybersicherheitsstrategie erg&auml;nzen k&ouml;nnen: durch gezielte Optimierung ihrer Richtlinien, Aufkl&auml;rung der Mitarbeiter und Schaffung einer Sicherheitskultur.
<h3 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tipp 1: Aufkl&auml;ren und schulen</h3>
Nicht-IT-Bereichsleiter nennen Kenntnismangel, ein fehlendes Gesp&uuml;r f&uuml;r die Wichtigkeit von Ma&szlig;nahmen und den oft hektischen Betriebsalltag als Haupth&uuml;rden f&uuml;r ein sicherheitskonformes Verhalten und halten die gezielte Aufkl&auml;rung zu diesen Punkten f&uuml;r wichtig.
Um die Kluft zwischen Anspruch und Wirklichkeit zu schlie&szlig;en, sollten KMU Ma&szlig;nahmen und Ziele klar kommunizieren und alle Unternehmensebenen regelm&auml;&szlig;ig schulen. So l&auml;sst sich jedem und jeder im Unternehmen vermitteln, welche Rolle er oder sie bei der Aufrechterhaltung der Cybersicherheit spielt. Wer seine Zust&auml;ndigkeit erkennt, der kann auch sein Verhalten &auml;ndern: In diesen Prozess werden alle einbezogen.
Dabei geht es nicht um simple Wissensvermittlung von oben herab. Erst mit einem gut durchdachten Kommunikationskonzept k&ouml;nnen alle auf denselben Stand gelangen und die Regeln richtig einhalten. Abteilungs&uuml;bergreifende Meetings k&ouml;nnen daf&uuml;r sorgen, dass alle Unternehmensfunktionen die Sicherheitsrichtlinien verstehen und sich f&uuml;r ihre Einhaltung einsetzen. &Uuml;ber regelm&auml;&szlig;ige Audits und Feedback-Runden l&auml;sst sich ermitteln, wo es noch an Wissen hapert.
<h3 style="margin: 15pt 0in; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tipp 2: Gutes Verhalten belohnen, Verst&ouml;&szlig;e ahnden</h3>
Die Umfrageergebnisse zeigen, dass insbesondere bei j&uuml;ngeren Mitarbeitern und in bestimmten F&uuml;hrungsrollen die Regeln zuweilen umgangen werden. Hier kann es helfen, Anreize f&uuml;r gew&uuml;nschtes Verhalten und Konsequenzen bei Regelverst&ouml;&szlig;en zu kombinieren. Eine Whistleblower-freundliche Kultur kann f&ouml;rdern, dass Mitarbeiter die Sache ernst nehmen und mit der Zeit zu &bdquo;Sicherheitsprofis&ldquo; werden.
Gestandenen Sicherheitsexperten ist au&szlig;erdem eines klar: So manche Regel ist bei der t&auml;glichen Arbeitsausf&uuml;hrung im Weg und wird schlicht deshalb umgangen. Die M&ouml;glichkeit zur unkomplizierten Einrichtung von Ausnahmen kann dem abhelfen. Wenn ein Mitarbeiter wei&szlig;, wie er f&uuml;r einen bestimmten Arbeitsschritt eine Richtlinie ausnahmsweise (und sicherheitskonform) umgehen kann, so erspart ihm dies den Versto&szlig; gegen die Regeln.
<h3 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tipp 3: Bedrohungsdaten als Basis nutzen</h3>
Dass KMU-Leiter das Thema Sicherheit optimistisch betrachten, ist erfreulich. Allerdings kann Optimismus auch tr&auml;ge machen. Was sind die &bdquo;Kronjuwelen&ldquo; des Unternehmens? Wer k&ouml;nnte es darauf abgesehen haben? Wie sehen die wahrscheinlichsten Bedrohungsszenarien aus? Dazu brauchen KMU ein klares Bild. Mit einem Threat-Intelligence-basierten Sicherheitsprogramm stochern sie nicht mehr im Nebel, sondern sehen klar, wo ihre Risiken liegen.
Durch regelm&auml;&szlig;ige Risikoanalysen und Bedrohungs&uuml;berwachung sind KMU zum eigenen Sicherheitsstatus stets im Bild. Eine proaktive Gefahrenerkennung und kluge Reaktionsstrategien unterst&uuml;tzen sie dabei, Risiken zu erkennen und im Ernstfall rechtzeitig gegenzusteuern.
<h3 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tipp 4: Einen Passwort-Manager verwenden</h3>
Die Verwaltung von Passw&ouml;rtern ist ein durchaus kritischer Punkt, wie die Umfrage zeigte. Ein positives Signal ist es, dass Passwort-Manager in KMU inzwischen Einzug halten. Dennoch spielen bei fast der H&auml;lfte der gemeldeten Angriffe kompromittierte Zugangsdaten eine Rolle.
KMU sollten also tunlichst fordern, dass alle im Unternehmen einen Passwort-Manager nutzen. Genauso wichtig ist aber auch eine kontinuierliche Aufkl&auml;rung zur Passwortsicherheit. Mitarbeiter m&uuml;ssen Wissensl&uuml;cken schlie&szlig;en und verstehen, dass Passwortrichtlinien kein l&auml;stiger Firlefanz, sondern eine Notwendigkeit sind.
<h3 style="margin: 0in 0in 15pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Tipp 5: KI-basierten Bedrohungen die Stirn bieten</h3>
Phishing, Schlupfl&ouml;cher in Cloudsystemen, Verlust von Gesch&auml;ftsdaten durch Ransomware oder Malware: Unternehmen, die eine sichere Zukunft anstreben, m&uuml;ssen wachsam bleiben. Die k&uuml;nstliche Intelligenz ist auch im Cybercrime angekommen; ein besonderes Augenmerk erfordern beispielsweise KI-generierte Phishing-Angriffe.
Um mit den rasanten Entwicklungen Schritt zu halten, empfiehlt sich die Investition in KI-gest&uuml;tzte Sicherheitstools, die Unternehmen ausgefeilte Bedrohungserkennung und Reaktionsm&ouml;glichkeiten bieten k&ouml;nnen. Ebenso entscheidend ist es, Mitarbeiter zu neuen Phishing-Methoden aufzukl&auml;ren, insbesondere den KI-gest&uuml;tzten.
<h4 style="margin: 0in; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none; text-align: center;">Wie gut ihre Sicherheitsressourcen auch sein m&ouml;gen, Gro&szlig;unternehmen haben t&auml;glich ein hohes Angriffsrisiko. Warum sollte ausgerechnet f&uuml;r KMU etwas anderes gelten?</h4>
<h2 style="color: #434343; margin: 14pt 0in 4pt; padding: 0in; border-top: none; border-right: none; border-bottom: 0in none #e3e3e3; border-left: none;">Schritt f&uuml;r Schritt in eine sichere Zukunft</h2>
Der Aufbau einer tragf&auml;higen Cybersicherheit ist ein kontinuierliches Unterfangen f&uuml;r KMU. Der Ansatz &bdquo;Vertrauen und verifizieren&ldquo; bew&auml;hrt sich dabei nach wie vor. Einerseits muss sich das Unternehmen auf seine Mitarbeiter und Systeme verlassen k&ouml;nnen, andererseits sollte es kontinuierlich daf&uuml;r sorgen, dass seine Sicherheitsrichtlinien immer aktuell sind, funktionieren und auch eingehalten werden.
&nbsp;
Mehr Sensibilit&auml;t f&uuml;r Sicherheit, wachsende Investitionen: Diese Umfrageergebnisse sind ein gutes Signal. Um die Sicherheitskultur und Richtlinien &uuml;bereinzubringen und die Kluft zwischen Anspruch und Wirklichkeit zu schlie&szlig;en, bleibt in KMU dennoch viel zu tun. Sie k&ouml;nnen sich noch st&auml;rker wappnen und ihre Zukunft noch besser absichern &ndash; durch umfassende Aufkl&auml;rung, Durchsetzung von Richtlinien und innovative Technik.
</div>
&nbsp;
<a href="https://www.lastpass.com/resources/reports/smb-commercial-cybersecurity-report" style="color: blue;">Vor welchen Herausforderungen der Cybersicherheit stehen KMU im Einzelnen? Lesen Sie den ganzen Bericht.*</a>
*Bericht nur auf Englisch verf&uuml;gbar.

Kleine und mittelgro&szlig;e Unternehmen (KMU) sind mit ihrer notorischen Ressourcenknappheit und wenig konsequenten Sich[..]

LastPass-Report: Cybersicherheit: Wie KMU die Kluft zwischen Anspruch und Wirklichkeit schließen

Ihnen ist wahrscheinlich schon aufgefallen, dass wir unsere Kunden in letzter Zeit gebeten haben, ein paar Änderungen an ihrem LastPass-Konto vorzunehmen. Unter anderem baten wir Sie, die Länge und Komplexität Ihres Master-Passworts an die empfohlenen Best Practices anzupassen sowie sich wieder für die Multifaktor-Authentifizierung anzumelden. Damit möchten wir die Datensicherheit unserer Kunden erhöhen, denn angesichts stetig zunehmender Cyberbedrohungen sind diese Änderungen wichtiger denn je. Hier erfahren Sie, welche spezifischen Gefahren uns zu einigen der erwähnten Änderungen veranlasst haben und wie diese die Bedrohungen abwehren sollen.

Neue Vorgaben für Master-Passwörter

Warum ist das notwendig? 

Die Menge macht's: Längere Passwörter sind weniger leicht zu hacken. Aber das ist nur ein Aspekt – die Passwortstärke hängt von mehreren Faktoren ab, z. B. Länge, Komplexität und Durchschaubarkeit. Die US-Behörde für Standardisierungsprozesse, das National Institute of Standards and Technology (NIST), schreibt in ihren Richtlinien für benutzergenerierte Passwörter eine Mindestlänge von acht Zeichen vor (NIST 800-3B). Wir raten allerdings zu längeren Passwörtern, denn erstens entwickeln sich die Technologien für Passwortentzifferung und Brute-Force-Angriffe in einem rasanten Tempo und zweitens hat der Mensch die Angewohnheit, Passwörter zu erstellen, die man sich einfach merken kann – und die leider auch ziemlich leicht zu erraten sind.

Die neue Längenanforderung für LastPass-Master-Passwörter ist Teil einer Reihe aufeinander fußender Schutzmaßnahmen, die dazu dienen, dass unsere Kunden sich selbst besser gegen aktuelle und zukünftige Bedrohungen wappnen können. Zwar sind Master-Passwörter bei LastPass bereits seit 2018 standardmäßig zwölf Zeichen lang, allerdings konnten Benutzer die empfohlenen Standardeinstellungen bisher umgehen und auf Wunsch ein kürzeres Master-Passwort erstellen. Die Mindestlänge von zwölf Zeichen ist jetzt Pflicht, und zusammen mit der Erhöhung der PBKDF2-Iterationen, die ebenfalls in diesem Jahr eingeführt wurde, helfen wir damit unseren Kunden, stärkere und angriffssicherere Schutzmaßnahmen für den Zugang und die Entschlüsselung ihrer Daten im LastPass-Vault umzusetzen.

Mehr zu den neuen Vorgaben

Seit April 2023 müssen alle neuen LastPass-Kunden (sowie alle bestehenden Kunden, wenn sie ihr Master-Passwort zurücksetzen) eine Passwort-Mindestlänge von zwölf Zeichen einhalten. Ab Januar 2024 wird diese Vorgabe auf die Konten aller LastPass-Kunden ausgeweitet.

Um die Einhaltung dieser Vorgabe sicherzustellen, müssen Kunden sich zunächst bei ihrem LastPass-Konto anmelden und eines der folgenden zwei Szenarien bestätigen:
<ul>
 	<li>Kunden, deren Master-Passwort bereits mindestens zwölf Zeichen lang ist, müssen nichts weiter tun, da sie die Vorgabe bereits erfüllen.</li>
 	<li>Kunden, deren Master-Passwort zu kurz ist, werden aufgefordert, ein neues, aus mindestens zwölf Zeichen bestehendes Passwort zu erstellen.</li>
</ul>
Beim Erstellen eines neuen Master-Passworts ist Folgendes zu beachten:
<ul>
 	<li>Ihr Passwort muss mindestens zwölf Zeichen umfassen, aber ein längeres Passwort ist noch besser</li>
 	<li>Verwenden Sie folgende Zeichentypen mindestens je einmal: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen</li>
 	<li>Sie sollten sich das Passwort leicht merken können, es sollte aber nicht leicht zu erraten sein – eine Passphrase ist eine gute Lösung</li>
 	<li>Verwenden Sie etwas, das nur Sie kennen</li>
 	<li>Verwenden Sie nicht Ihre E-Mail-Adresse als Master-Passwort</li>
 	<li>Fügen Sie keine persönlichen Informationen in Ihr Master-Passwort ein</li>
 	<li>Verwenden Sie keine Zeichenfolgen wie „1234“ oder Zeichenverdoppelungen wie „aaaa“</li>
 	<li>Verwenden Sie Ihr Master-Passwort nicht mehrmals, z. B. für ein weiteres Konto oder eine Anwendung</li>
</ul>
Warum wurde ich noch nicht zum Ändern meines Master-Passworts aufgefordert? 

Diese Richtlinie wird nach und nach eingeführt. Als Erstes benachrichtigen wir Free-, Premium- und Families-Benutzer, gegen Ende Januar 2024 sind Teams- und Business-Kunden an der Reihe. Da LastPass-Kunden selbst festlegen können, wie häufig sie zur erneuten Eingabe ihres Master-Passworts aufgefordert werden sollen, können wir nicht genau abschätzen, wie lange es dauert, bis diese Initiative all unsere Kunden erreicht hat.

<a href="https://support.lastpass.com/s/document-item?language=en_US&amp;bundleId=lastpass&amp;topicId=LastPass/set-up-account-recovery.html&amp;_LANG=enus">Richten Sie vor Ändern des Master-Passworts die Kontowiederherstellung ein</a>

<a href="https://support.lastpass.com/s/document-item?language=en_US&amp;bundleId=lastpass&amp;topicId=LastPass/change-master-password.html&amp;_LANG=enus">So ändern Sie Ihr Master-Passwort</a>

Prüfung neuer Master-Passwörter im Darkweb

Ab nächsten Monat prüft LastPass zudem neue oder zurückgesetzte Master-Passwörter gegen eine Datenbank gehackter Anmeldedaten, um sicherzustellen, dass das gewünschte Passwort nicht zuvor im Darkweb preisgegeben wurde. Taucht das Passwort im Zusammenhang mit einer früheren Datensicherheitsverletzung auf, wird eine Sicherheitswarnung eingeblendet, in der der Kunde darüber informiert und zur Eingabe eines anderen Passworts aufgefordert wird.

Warum ist das notwendig? 

Das ist einfach zu beantworten: Preisgegebene Passwörter sind leicht zu knacken. Moderne Passwort-Cracking-Tools können Listen bekannter Passwörter in ihr Dataset aufnehmen, sodass sie die Anmeldedaten betroffener Konten noch schneller erraten. Wir lassen nur Passwörter zu, die noch nicht zuvor veröffentlicht wurden, und sorgen damit dafür, dass die Passwörter um einiges schwieriger zu knacken sind.

<a href="https://support.lastpass.com/s/document-item?language=en_US&amp;bundleId=lastpass&amp;topicId=LastPass/c_lastpass_faqs_users_about_dark_web_monitoring.html&amp;_LANG=enus">Was ist die Darkweb-Überwachung?</a>

<a href="https://support.lastpass.com/s/document-item?language=en_US&amp;bundleId=lastpass&amp;topicId=LastPass/sd_dwm_start_monitoring.html&amp;_LANG=enus">So aktivieren Sie die Darkweb-Überwachung in LastPass</a>

Erneute Anmeldung bei der Multifaktor-Authentifizierung (MFA)

Bereits im Mai 2023 begann LastPass, die erneute MFA-Anmeldung für diejenigen Business-Kunden ohne Verbundanmeldung zu vereinfachen, die gängige Authentifikatoren wie Microsoft Authenticator, Google Authenticator oder LastPass Authenticator verwenden. Die erneute Anmeldung für die Grid-Authentifizierung wird in Kürze folgen, und die Kunden können sich dann über Microsoft oder Google neu anmelden.

Warum ist das notwendig? 

Wie wir bereits <a href="https://blog.lastpass.com/2023/03/security-incident-update-recommended-actions/">im März 2023 in unserer Mitteilung zu den Sicherheitsvorfällen</a> erwähnten, muss die MFA zurückgesetzt werden, um das verbleibende Risiko zu minimieren, das sich aus der vorherigen Preisgabe des Backups der LastPass-MFA-/Verbundanmeldungsdatenbank ergab.

Falls Sie das noch nicht getan haben, sollten Sie eine manuelle Neuanmeldung bei der MFA für alle Kunden ohne Verbundanmeldung initiieren. Eine detaillierte Anleitung finden Sie in unserem <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators#topic_4">Sicherheitsbericht</a>.

Fazit

Diese Änderungen sollen die Sicherheit unserer Kunden erhöhen. Wir wappnen uns damit gegen Cyberbedrohungen, die ständig im Wandel begriffen sind. LastPass fordert Sie nie ohne guten Grund auf, Maßnahmen zu ergreifen oder Änderungen vorzunehmen, und wir erläutern den jeweiligen Grund stets so transparent wie möglich.

Folgen Sie den Blogposts von LastPass Labs, um sich über zukünftige Änderungen und die neuesten Cyberbedrohungen zu informieren, die für Authentifizierungsmethoden, unsere Branche und unsere Kunden gefährlich werden können.

LastPass führt ein paar Kontoänderungen ein. Hier erfahren Sie, warum.

Ihnen ist wahrscheinlich schon aufgefallen, dass wir unsere Kunden in letzter Zeit gebeten haben, ein paar Änderungen an ihrem LastPass-Konto vorzunehmen. Unter anderem baten wir Sie, die Länge und Ko[..]

Wir haben schlechte Nachrichten für Sie: Da draußen gibt es viele, die Ihre Passwörter erbeuten wollen. Und das aus den verschiedensten Gründen … Überraschung: Gute Absichten stecken nie dahinter. Sehen wir uns an, wer sich Ihre Passwörter erschleichen will und warum, welche Methoden diese Akteure einsetzen und wie Sie den Schaden minimieren können, sollten Ihre Passwörter in falsche Hände gelangen.

„Passwortdiebe“ lassen sich in drei Hauptgruppen unterteilen: Nationalstaaten, Cyberkriminelle und firmeninterne Personen (d. h. Insider) mit böswilligen Absichten. Ihre Motivationsgründe mögen grundverschieden sein, aber das Endergebnis ist letztlich dasselbe: Sie verschaffen sich Zugriff auf vertrauliche Daten und/oder Systeme.
<h4>Nationalstaaten</h4>
In der Welt der Cybersicherheit (und der Politikwissenschaften/internationalen Angelegenheiten) ist das ein feinerer Ausdruck für Regierungen. Diese haben es auf Ihre Passwörter abgesehen, weil sie Zugriff auf Systeme und/oder Informationen erlangen möchten. Ziel dabei ist es, diese Informationen zu stehlen, sich langfristig in den Systemen einzunisten oder beides. In seltenen Fällen wollen sie die Daten und/oder Systeme auch dauerhaft vernichten. Letzteres kann verheerende Konsequenzen nach sich ziehen – insbesondere, wenn die Daten oder Systeme dem Betrieb kritischer Infrastruktur dienen (z. B. eines Stromnetzes, das lahmgelegt werden kann).
<h4>Cyberkriminelle</h4>
Der Name sagt alles. Ihr Motiv ist auch offensichtlich: Cyberkriminelle sind finanziell motiviert, d. h., sie wollen Geld. Mit Passwörtern können sie sich auf zwei Arten bereichern: Einerseits, indem sie sie verkaufen – ein Satz Zugangsdaten ist im Darkweb durchschnittlich 10 Dollar wert –, und andererseits, indem sie sich damit Zugriff auf Konten oder Systeme verschaffen. In weiterer Folge können sie durch Ransomware, Datenexfiltration oder Erpressung an Geld gelangen oder im Fall von Bankkonten diese direkt leerräumen.
<h4>Böswillige Insider</h4>
Auch wenn es manchmal naheliegen könnte: Darunter versteht man nicht die Kollegen, die im Pausenraum Fleischkäse in der Mikrowelle erhitzen. Böswillige Insider sind Angestellte, die ihrem Arbeitgeber Schaden zufügen möchten, indem sie missbräuchlich auf Firmennetzwerke zugreifen. Vielleicht wollen sie Ihre Zugangsdaten nur ausspionieren, um mit Ihrem Konto kriminelle Handlungen auszuführen – dann hat es den Anschein, als wären Sie die schuldige Person, was IT-Forensikern die Arbeit erschwert. Oder sie haben es auf Ihre Passwörter abgesehen, weil Sie Zugriff auf verschiedene Teile des Firmennetzwerks haben: z. B. auf vertrauliche Finanzdaten oder industrielle Steuerungssysteme, die materielle Schäden verursachen könnten.
<h3>Wie verschaffen sich diese Akteure Zugriff auf Ihre Passwörter?</h3>
Es gibt einige Gemeinsamkeiten bei den eingesetzten Methoden. Viele Akteure verwenden beispielsweise allgemein erhältliche Malware oder kaufen Zugangsdaten im Darkweb, die bei einem früheren Angriff erbeutet wurden. Es gibt aber auch einige Unterschiede bei ihren Vorgehensweisen, die wir uns jetzt näher ansehen werden.

Nationalstaaten verfügen über das am besten ausgebildete Personal und die meisten Ressourcen, sodass ihnen am meisten Optionen offenstehen. Häufig entwickeln sie ihre eigene Malware und nutzen neue oder unveröffentlichte Schwachstellen in Software aus, um sich Zugriff auf Geräte oder Netzwerke zu verschaffen und Passwörter zu exfiltrieren. Unter Umständen verwenden sie auch Spearphishing-E-Mails, um bestimmte Personen gezielt zur Herausgabe ihrer Passwörter zu bringen. Oder sie greifen einen vorgelagerten Dienstanbieter wie einen Cloud-Service-Provider an, um sich mit einem Schlag Zugriff auf viele Konten und Zugangsdaten zu verschaffen.

Cyberkriminelle gehen – was kaum überrascht – etwas unternehmerischer an die Sache heran. Manche Gruppierungen konzentrieren sich größtenteils darauf, Passwörter über Infostealer-Malware oder Phishing-E-Mails zu ergattern und diese dann im Darkweb zu verkaufen (lesen Sie unseren <a href="https://blog.lastpass.com/2023/07/infostealers-the-widespread-threat-from-information-stealing-malware/">Blogbeitrag</a> zum Thema Infostealer, wenn Sie mehr erfahren möchten). Andere verwenden Malware wie Phishing-Kits oder Infostealer, die von Dritten erstellt und als Dienst vertrieben wird, wie wir es etwa von Office-Software kennen. Diese Malware-as-a-Service-Angebote (MaaS) sollen es technisch weniger versierten Personen ermöglichen, Phishing- oder Malware-Angriffe zu planen und in die Tat umzusetzen. Mit ihrer einfachen Benutzeroberfläche ist es ein Leichtes, Benutzer gezielt anzuvisieren.

Insider mit böswilligen Absichten haben einen Vorsprung gegenüber den anderen Akteuren, da sie in der Regel bereits Zugang zu den Büros und Netzwerken des Unternehmens haben. Sie können die Schreibtische von Kollegen nach Notizen mit Passwörtern durchsuchen oder in freigegebenen Netzwerkordnern nachsehen, ob jemand auf einer SharePoint-Website oder in einem anderen allgemein zugänglichen Bereich Passwörter gespeichert hat. Vielleicht überprüfen sie auch Code-Repositorys auf fest programmierte Passwörter – jeweils mit dem Ziel, unberechtigterweise Zugriff zu erlangen und ihrem Arbeitgeber und/oder ihren Kollegen auf irgendeine Weise Schaden zuzufügen.
<h3>Wie können Sie das Risiko und den Schaden minimieren?</h3>
Das kommt wohl kaum überraschend: indem Sie einen Passwort-Manager verwenden. Dann müssen Sie sich nur ein einziges Master-Passwort merken und können für jedes Ihrer Konten ein anderes komplexes Passwort erstellen und speichern. Und sollte eines Ihrer Passwörter kompromittiert werden, können Sie ganz einfach ein neues generieren. Mit der Darkweb-Überwachung profitieren LastPass-Kunden zudem von einem kostenlosen Monitoringdienst für ihre Zugangsdaten. Wenn Sie diese Funktion aktivieren, überwacht unser Dienst eine Datenbank mit kompromittierten Zugangsdaten und benachrichtigt Sie, falls Daten von Ihnen gefunden werden. So können Sie proaktiv Maßnahmen zu Ihrem Schutz ergreifen. Wenn Sie für jedes Konto ein anderes Passwort verwenden, minimiert dies außerdem den möglichen Schaden, sollte eines davon in falsche Hände gelangen. Denn heutzutage lautet die Frage nicht, ob Zugangsdaten von Ihnen offengelegt werden, sondern wann. Und darauf sollten Sie vorbereitet sein. Wir können Ihnen gerne dabei helfen.

Wer hat es auf Ihre Passwörter abgesehen und warum?

Wir haben schlechte Nachrichten für Sie: Da draußen gibt es viele, die Ihre Passwörter erbeuten wollen. Und das aus den verschiedensten Gründen … Überraschung: Gute Absichten stecken nie dahinter. Seh[..]

So wie das Autofahren für viele von uns zum Alltag gehört, ist auch das Internet ein notwendiger Teil unseres Lebens. Und beides ist mit Risiken verbunden. Laut der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA) ist <a href="https://www.cisa.gov/be-cyber-smart/facts">einer von drei Haushalten</a>, in denen es Computer gibt, mit bösartiger Software infiziert. Und 65 % der amerikanischen Internetnutzer waren schon einmal Ziel eines Betrugsversuchs. Aber genau so, wie wir sicheres Autofahren erlernen können, können wir auch lernen, Cyberangriffe zu erkennen und im Keim zu ersticken, um uns und unsere Daten vor Hackern zu schützen.

Virenschutzlösungen, Firewalls und andere Sicherheitsmaßnahmen können viele Bedrohungen automatisch abwehren. Am gefährlichsten sind jedoch diejenigen, die sich den Faktor Mensch zunutze machen, um diese automatisierten Verteidigungsmechanismen zu umgehen. Manche Cyberkriminelle interagieren direkt mit ihren Opfern – zumeist in Form von Social-Engineering-Angriffen –, während andere „Köder“ wie falsche Apps in unregulierten App Stores auslegen und hoffen, dass nichtsahnende Personen darauf hereinfallen. In diesem Artikel befassen wir uns mit beiden Arten von Bedrohungen und ihrer Abwehr. Wir sehen uns auch an, welche Gefahren die Wiederverwendung von Passwörtern birgt und wie Sie das vermeiden können.
<h3>Social Engineering </h3>
Unter Social Engineering versteht man eine ganze Reihe böswilliger Aktivitäten, die nach einem ähnlichen Schema ablaufen: Cyberkriminelle treten direkt mit ihrem Opfer in Kontakt (entweder per E-Mail, SMS, telefonisch oder auf einem anderen Weg) und versuchen, sie zur Herausgabe vertraulicher Informationen zu bringen oder sie auf eine Website zu leiten, die ihren Computer mit Malware infiziert. Dabei spielt jedes Mal der Faktor Mensch eine Rolle; die Methoden und Warnsignale sind jedoch anders. Sehen wir uns die wichtigsten Arten von Social-Engineering-Angriffen an.

Phishing

Mit rund <a href="https://www.splunk.com/en_us/blog/learn/phishing-scams-attacks.html#:~:text=3.4%20billion%20phishing%20emails%20are,compromised%20due%20to%20phishing%20attacks">3,4 Milliarden versendeten Phishingmails</a> pro Tag ist das die häufigste Art von Cyberangriff. Diese E-Mails sehen aus, als würden sie von einem legitimen Absender stammen, und setzen verschiedene „Lockmittel“ ein, um den Empfänger zu ködern. Vielleicht beziehen sie sich auf aktuelle Ereignisse wie Feiertagseinkäufe oder Naturkatastrophen, warnen den Empfänger, dass sein Konto kompromittiert wurde, oder enthalten eine gefälschte Rechnung, bei der die Person nur wenig Zeit hat, die Gebühr anzufechten. Diese E-Mails sind so gestaltet, dass sie psychischen Druck auf den Empfänger ausüben und eine Reaktion hervorrufen wollen – sei es aus Interesse oder um andere Betrugsversuche auszuschließen.

So können Sie sich vor Phishing-Angriffen schützen

Früher zählten Grammatik- und Rechtschreibfehler zu den offensichtlichsten Anzeichen, dass eine E-Mail gefälscht war. Mit der zunehmenden Verbreitung von ChatGPT und anderen Large Language Models (LLMs) können Cyberkriminelle nun jedoch sehr überzeugende und sprachliche korrekte Nachrichten verfassen, die viel schwerer als Scam zu erkennen sind. Am besten, Sie lassen bei allen E-Mails, die nicht von einem vertrauenswürdigen Absender stammen, Vorsicht walten und folgen diesen Empfehlungen:
<ul>
 	<li>Sehen Sie sich die Absenderinformationen genau an, bevor Sie auf einen Link klicken oder bei einem Supportcenter anrufen. Auf den ersten Blick stammt die Nachricht womöglich von einem Ihnen bekannten Unternehmen, aber die E-Mail-Adresse des Absenders gehört in Wirklichkeit einer anderen Domain an. Hier ein Beispiel:</li>
 	<li>Klicken Sie auf keine Links in E-Mails von Ihnen unbekannten Absendern.</li>
 	<li>Kontaktieren Sie das betreffende Unternehmen im Zweifelsfall direkt, um nachzufragen, ob die E-Mail echt ist. Verwenden Sie dazu die Kontaktdaten auf der offiziellen Firmenwebsite.</li>
 	<li>Lassen Sie sich von einem Passwort-Manager helfen. Wenn Sie das automatische Ausfüllen für bekannte Konten aktiviert haben, Ihr Passwort-Manager Ihre Zugangsdaten auf einer Website allerdings nicht automatisch eingibt, könnte es sich um eine Phishing-Website handeln.</li>
</ul>
Vishing

Das Kofferwort „Vishing“ steht für „Voice Phishing“ und bezeichnet Phishing-Anrufe per Telefon. Dabei gibt sich der Anrufer als Vertreter eines namhaften Unternehmens, einer Exekutivbehörde oder der Steuerverwaltung aus, um sein Opfer zur Preisgabe vertraulicher Informationen wie Kreditkarten- oder Sozialversicherungsnummern, Zugangs- oder Finanzdaten zu bringen.

So können Sie sich vor Vishing-Angriffen schützen
<ul>
 	<li>Leiten Sie Anrufe von unbekannten Nummern an Ihre Voicemailbox weiter.</li>
 	<li>Kontaktieren Sie das betreffende Unternehmen bzw. die Behörde direkt, um nachzufragen, ob es sich um einen legitimen Anruf handelte. Schlagen Sie die Telefonnummer dabei immer auf der offiziellen Website nach und rufen Sie keine vom Anrufer hinterlassene Nummer an.</li>
</ul>
Smishing

Smishing funktioniert ähnlich wie Phishing und Vishing, allerdings per SMS. Manche dieser Nachrichten enthalten Links zu schädlichen Websites, während andere angeblich von einer Exekutivbehörde, einem Post- oder Zustelldienst oder einem seriösen Unternehmen stammen. In der SMS werden Sie möglicherweise gewarnt, dass Ihr Konto gehackt wurde, und dazu aufgefordert, sich (auf einer falschen Website) anzumelden, um Ihren Zugang wiederherzustellen.

Ebenfalls weit verbreitet sind Nachrichten, in denen Cyberkriminelle sich als Führungskraft beim Arbeitgeber des Empfängers ausgeben und ihn bitten, in dessen Namen einen Geschenkgutschein zu kaufen. Dabei schreibt der angebliche Absender oft, dass er gerade in einem Meeting ist und sofort Hilfe braucht, da er die Sache nicht selbst erledigen kann. Diese dringliche Formulierung soll Druck auf den Empfänger ausüben, damit dieser nicht an die Möglichkeit eines Betrugsversuchs denkt.

So vermeiden Sie Smishing-Angriffe
<ul>
 	<li>Antworten Sie auf keine aus heiterem Himmel erhaltenen SMS und klicken Sie auf keine Links.</li>
 	<li>Überprüfen Sie die Legitimität des Senders, bevor Sie auf die Nachricht reagieren.</li>
 	<li>Löschen Sie die SMS und melden Sie den Vorfall nach Möglichkeit Ihrem Mobilfunkanbieter und/oder dem Unternehmen, von dem sie angeblich stammt.</li>
</ul>
<h3>Schädliche Apps </h3>
Manche Cyberkriminelle entwickeln Apps, die Apps bekannter und renommierter Marken ähneln. Ziel dabei ist es, Informationen zu stehlen und/oder auf dem Mobilgerät bzw. Computer des Benutzers Malware einzuschleusen. Diese „geklonten“ Apps sehen dem Original täuschend ähnlich und lassen sich oft nur schwer als Fälschung erkennen. Sie können jedoch einige Maßnahmen zu Ihrem Schutz ergreifen:
<ul>
 	<li>Laden Sie Apps nur von offiziellen Stores wie dem Apple App Store oder Google Play herunter.</li>
 	<li>Kontrollieren Sie den Namen des Entwicklers oder Herausgebers der App. LastPass gibt im Apple App Store beispielsweise LogMeIn, Inc. als den Entwickler an und im Google Play Store GoTo Technologies. Alle anderen Namen würden auf eine schädliche App hindeuten.</li>
 	<li>Überprüfen Sie die App-Beschreibung auf Grammatik- und Rechtschreibfehler.</li>
</ul>
<h3>Mehrmalige Verwendung von Passwörtern </h3>
Laut dem LastPass-Bericht <a href="https://www.lastpass.com/resources/ebook/psychology-of-passwords-2022">Psychologie der Passwörter 2022</a> verwenden nahezu 62 % der Internetnutzer Varianten desselben Passworts für mehrere Konten. Von den Personen, die über die damit verbundenen Risiken aufgeklärt wurden, hörten nur 31 % mit der Mehrfachnutzung von Passwörtern auf und nur 25 % installierten einen Passwort-Manager. Wenn ein mehrmals verwendetes Passwort kompromittiert wird, ist das besonders gefährlich, da es in weiteren Hackerangriffen zum Einsatz kommen kann. Laut dem Data Breach Investigations Report 2023 von Verizon standen <a href="https://www.verizon.com/business/resources/reports/dbir/">86 % der Basic Web Application Attacks</a>, die zu einem Datenleck führten, mit gestohlenen Zugangsdaten in Verbindung.

Am besten können Sie sich schützen, indem Sie für jedes Konto ein anderes komplexes Passwort erstellen. Dabei kann Ihnen ein Passwort-Manager helfen. Und da auch die passwortlose Authentifizierung immer populärer wird, sollten Sie einen Passwort-Manager wählen, der diese neue Technologie unterstützt.

Cyberbedrohungen sind allgegenwärtig. Sie sollten daher unbedingt über die häufigsten Arten Bescheid wissen und diese einfachen Maßnahmen ergreifen, um sich selbst, Ihre Familie und Ihr Unternehmen vor Datenlecks und anderen Cyberangriffen zu schützen.

So erkennen und vermeiden Sie häufige Arten von Cyberangriffen

So wie das Autofahren für viele von uns zum Alltag gehört, ist auch das Internet ein notwendiger Teil unseres Lebens. Und beides ist mit Risiken verbunden. Laut der US-amerikanischen Cybersecurity and[..]

LastPass Labs ist der Content-Hub für das „Threat Intelligence, Mitigation, and Escalation“-Team (TIME) bei LastPass. Wir konzentrieren uns dabei auf die genaue Analyse der neuesten Sicherheitsentwicklungen, einen scharfen Blick für zukunftsweisende Technologien und einzigartige Bedrohungsperspektiven. 

Ein Cybersicherheitskonzept ist in der Geschäftswelt ein Muss, ganz gleich, ob es sich um einen großen multinationalen Konzern handelt oder ein Ein-Personen-Start-up. Nicht jedes Unternehmen hat aber das Glück, über ein speziell der Cybersicherheit zugewiesenes Budget zu verfügen – viele Unternehmen müssen Prioritäten setzen, um den maximalen Nutzen aus den begrenzten Mitteln zu ziehen.  Neben der Einrichtung strenger Kontrollen für E-Mails (z. B. Suche nach und Sperren von schädlichen Mails) sowie der Sensibilisierung und Schulung der Mitarbeiter, um das Risiko von Social-Engineering-Angriffen zu verringern, sollte das Schwachstellenmanagement Grundpfeiler jedes Cybersicherheitsprogramms sein – nicht zuletzt bietet es eine unmittelbare Investitionsrendite. Die Ausnutzung von Schwachstellen ist eine der Hauptursachen für erfolgreiche Hackerangriffe – Im <a href="https://www.mandiant.com/resources/blog/m-trends-2023">M-Trends-Bericht 2023</a> von Mandiant werden 36 % der untersuchten Cyberangriffe einer von den Hackern ausgenutzten Sicherheitslücke zugeschrieben.

In mehreren Cybersicherheits-Frameworks, wie dem des US-amerikanischen National Institute of Standards and Technology (NIST), zählt das Bestandsmanagement zu den grundlegenden Elementen, denn es liefert umfassende Informationen zur Technikinfrastruktur und den verwendeten Netzwerkgeräten. Denn nur wenn Unternehmen – egal welcher Größe – genau wissen, welche Technologie sie einsetzen, können sie rasch ermitteln, ob sie von neuen Bedrohungen betroffen sind, und entsprechende Schritte unternehmen. Es ist ganz einfach: Wenn Sie nicht wissen, was Sie haben, können Sie es nicht schützen. Wie wichtig es ist, Schwachstellen rasch zu erkennen und zu beheben, kann nicht oft genug gesagt werden.  Laut dem Rapid7 <a href="https://www.rapid7.com/blog/post/2023/02/28/a-shifting-attack-landscape-rapid7s-2022-vulnerability-intelligence-report/">2022 Vulnerability Intelligence Report</a> wurden mehr als die Hälfte der untersuchten Schwachstellen innerhalb von sieben Tagen nach Bekanntgabe für Hackerangriffe ausgenutzt. Im Vergleich zu 2021 ist das ein Anstieg von 12 %, gegenüber 2020 gar 87 %.

Bei IT-Sicherheitslücken denken die meisten von uns an die großen Software-Anbieter. Allerdings wird das Ganze durch Open-Source-Angebote zunehmend verkompliziert. Eine <a href="https://openuk.uk/wp-content/uploads/2021/10/openuk-state-of-open_final-version.pdf">von OpenUK durchgeführte Studie</a> ergab, dass 90 % der befragten Unternehmen Open-Source-Software einsetzen. Damit sind potenzielle Sicherheitsrisiken in der Supply Chain nicht mehr auf Betriebssysteme und/oder eigene Software beschränkt. Zudem geht <a href="https://www.gartner.com/en/articles/7-top-trends-in-cybersecurity-for-2022">Gartner</a> davon aus, dass weltweit 45 % aller Unternehmen bis 2025 Opfer eines Hackerangriffs auf ihre Software werden. Die weitreichende Verwendung von Open-Source-Software schafft Abhängigkeiten, die leicht übersehen werden können. Eine der im Jahr 2022 am häufigsten ausgenutzten Sicherheitslücken, die Schwachstelle im Logging-Framework Apache Log4j (CVE-2021-44228), fand sich beispielsweise laut dem <a href="https://www.synopsys.com/software-integrity/resources/analyst-reports/open-source-security-risk-analysis.html?intcmp=sig-blog-ossra22">Open-Source Security and Risk Analysis Report</a> von Synopsys auch 2023 noch in immerhin 5 % der geprüften Codebases.

Die Zunahme des Homeoffice und verschiedener BYOD-Programme hat die Mehrheit der Unternehmen einem viel größeren Gefahrenspektrum ausgesetzt, als dies bisher im Rahmen einer herkömmlichen Infrastruktur der Fall war. IT-Verantwortliche müssen sich daher jetzt auch über Sicherheitslücken Gedanken machen, die außerhalb ihrer direkten Kontrolle auftreten können.  Gegen diese Gefahren helfen nur strikte Patch-Richtlinien sowie regelmäßige Mitarbeiterschulungen und gute Kommunikation.
<h3>Wie können Sie sich also schützen? </h3>
<ul>
 	<li>Führen Sie Richtlinien für das Management von Sicherheitsschwachstellen und Patches ein, die sowohl die Anforderungen des Unternehmens erfüllen als auch den Best Practices für Ihre Branche entsprechen. Klare Richtlinien für die Handhabung neuer Sicherheitslücken beschleunigen und erleichtern die jeweils notwendigen Abhilfemaßnahmen.</li>
 	<li>Investieren Sie möglichst in Tools, die eine automatische Bestandsaufnahme einschließlich Erfassung eventueller relevanter Sicherheitsschwachstellen und/oder Probleme ermöglichen.</li>
 	<li>Erstellen Sie ein umfassendes Inventar, das nicht nur die proprietäre Software in Ihrer IT-Umgebung umfasst, sondern auch eventuelle Open-Source-Abhängigkeiten berücksichtigt. Mithilfe einer Software Bill of Materials (SBOM) lässt sich feststellen, welche Open-Source-Komponenten für Ihre Abläufe besonders kritisch sind, und bei neuen Bedrohungen können Sie rasch aktiv werden.</li>
 	<li>Aktivieren Sie möglichst immer automatische Software-Updates, damit Sie stets über die aktuelle, sicherste Version verfügen. Sind Tests notwendig, um sicherzustellen, dass das Update den Betrieb nicht beeinträchtigt, sollten diese Tests umgehend ausgeführt werden.</li>
 	<li>Die Liste der Jahr für Jahr veröffentlichten Schwachstellen ist immens – <a href="https://www.cve.org/About/Metrics">allein 2022</a> umfasste sie 25.000 Einträge. Deshalb muss das Patchen der Schwachstellen anhand ihrer möglichen Auswirkungen und anhand der aktuellen wahrscheinlichen Ausnutzung durch Hacker priorisiert werden. Zu diesem Zweck unterhält die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) einen Katalog bekannter bereits gehackter Schwachstellen, den sie regelmäßig aktualisiert. Den Katalog finden Sie hier. Er ist öffentlich erhältlich und kostenlos und eine wertvolle Hilfe bei der Priorisierung der wichtigsten Bedrohungen.  Zusätzlich hat das Forum of Incident Response and Security Teams (FIRST), ein internationales Forum verschiedener IT-Sicherheitsteams, ein Bewertungssystem für Cyberbedrohungen entwickelt, das sogenannte <a href="https://www.first.org/epss/">Exploit Prediction Scoring System</a> (EPSS). Das EPSS kann ebenfalls bei der Kategorisierung der Angriffswahrscheinlichkeit und damit des Patch-Bedarfs helfen.</li>
 	<li>Eine individuell entwickelte Priorisierungsmethodik ist auch eine Überlegung wert, da sie zusätzlich bei der raschen und angemessenen Handhabung neuer Schwachstellen helfen kann. Eine solche Methodik würde verschiedene Faktoren berücksichtigen – externe wie die CVSS-Bewertung einer Schwachstelle und nachweisliche aktuelle Hackeraktivitäten ebenso wie interne, z. B. ob die betroffenen Anwendungen geschäftskritisch und/oder für die Außenwelt sichtbar sind.</li>
 	<li>Stellen Sie klare Richtlinien für Updates von BYOD-Geräten zusammen und sorgen Sie dafür, dass Ihre Mitarbeiter die Richtlinien kennen. Informieren Sie die Benutzer stets über neue Schwachstellen, die diese Geräte betreffen könnten (einschließlich Smartphones oder Computer zu Hause), damit sie sofort die notwendigen Patches ausführen können.</li>
</ul>
Ein eigenes Programm für das Schwachstellenmanagement zu entwickeln, mag zunächst aufwendig erscheinen, aber es versetzt Sie in die Lage, Ihre Maßnahmen auch mit begrenzten Mitteln anhand fundierter Risikobewertungen angemessen zu priorisieren.  So können Unternehmen ihren ROI nach dem Pareto-Prinzip maximieren oder, anders gesagt, 80 % der Vorteile des Schwachstellenmanagements mit 20 % Aufwand erzielen.

Das „Threat Intelligence, Mitigation, and Escalation“-Team (TIME) von LastPass setzt den Fokus auf den Schutz unserer Community, indem es Bedrohungen für unsere Kunden, unser Unternehmen und unsere Branche überwacht, analysiert und entschärft. Das Team verfügt zusammen über fast 50 Jahre Erfahrung in den Bereichen Intelligence und Cyber Experience und glaubt fest daran, dass der Informationsaustausch und Aufbau von Beziehungen der Schlüssel zu einem erfolgreichen Intelligence-Programm sind. Unser Ziel bei LastPass ist es, den Stakeholdern zeitnahe und umsetzbare Informationen zu liefern. Dadurch können unsere Sicherheitsteams unsere Kunden, ihre Daten und das Unternehmen schützen. Wir führen nicht nur Analysen durch und informieren unsere Sicherheitsteams über allgemeine Entwicklungen im Bereich Cyberbedrohungen, sondern arbeiten auch daran, unsere Erkenntnisse automatisch in die Prozesse unserer Partner einzubinden und die Zeitspanne von der Bedrohungserkennung bis zur Schadensbegrenzung zu minimieren.

Patchwork für mehr Sicherheit: Warum Patches so wichtig sind

LastPass Labs ist der Content-Hub für das „Threat Intelligence, Mitigation, and Escalation“-Team (TIME) bei LastPass. Wir konzentrieren uns dabei auf die genaue Analyse der neuesten Sicher[..]

Kriminelle Hacker warten nur darauf, dass Benutzer Fehler machen. Für sie sind die Millionen Websites und Anwendungen, die wir heutzutage haben, wie Türen, die einladend offen stehen. Und was ist besonders leichte Beute für sie? Unternehmen und Benutzer mit veralteter Software und Ausstattung. Wie wichtig ein gutes Schwachstellenmanagement ist, haben wir in diesem Blog (<a href="https://blog.lastpass.com/2023/08/cybersecurity-as-a-quilt-why-patches-are-key-to-a-strong-defense/">hier</a>) bereits erklärt. Sie brauchen Überblick über die eigene Technik und müssen sie stets auf dem neuesten Stand halten. Was sollten Sie zum Thema Audit und Modernisierung von Technik wissen? Im vorliegenden Beitrag anlässlich des Cybersecurity Awareness Month gehen wir darauf ein.

Mit einem Audit und der Modernisierung Ihrer Technik stellen Sie sicher, dass die gesamte Software und Hardware in Ihrem Netzwerk auf dem neuesten Stand ist und Ihren Geschäftsbetrieb schützen kann. Ihr Cyberrisiko steigt schließlich nachweislich, wenn Sie Ihre Mitarbeiter mit veralteter Technik arbeiten lassen, ganz gleich, ob sie technisch versiert sind oder nicht. Software und Geräte altern; und alte Technik ist nicht mehr ausreichend sicher. In der physischen Welt schließt in Zeiten von Magnetschlössern und biometrischer Zugangssicherung auch niemand mehr seine Privat- oder Geschäftsräume mit einem einfachen Vorhängeschloss ab. Ihre Kunden und Ihr Geschäft sind das Wertvollste, das Sie haben; beides mit modernster Technik zu schützen, ist also nur sinnvoll.

Aus unserer Sicht sollten Sie hier dreierlei tun: erstens Ihr Cyberrisiko verringern, zweitens technische Schulden abbauen und drittens Ihre Technik vereinheitlichen und nachvollziehbar dokumentieren. Sehen wir uns diese Maßnahmen nacheinander an.

Das Cyberrisiko verringern

Durch die Modernisierung von Technik verringern Sie Ihre Angriffsfläche – das ist der wohl wichtigste Zweck der Maßnahme.  Stets aktuelle Software und modernste Tools nutzen, die geschäftliche Resilienz stärken durch eine moderne Cloud- oder Hybrid-Infrastruktur und die eigenen Maßnahmen auf aktuelle Schwachstellen hin überprüfen, um sie schließen zu können: All das wappnet Sie gegen Hackerangriffe. Wenn Sie überblicken, wo es hapert, und verstehen, welche Tricks, Techniken und Abläufe es sind, mit denen Kriminelle Ihre Verteidigung durchbrechen könnten, sind Sie zu einem schnellen Handeln in der Lage und schützen Ihre Kunden, Ihre Daten und Ihr Unternehmen auch gegen neue Bedrohungen erfolgreich.

Technische Schulden abbauen

Technische Schulden sind unvermeidbar.  Hardware und Software altern nun einmal; ohne Quick Fixes geht es im echten Leben nie, und Programmiersprachen entwickeln sich immer weiter. Wenn Sie bei technischen Schulden nicht regelmäßig hinterher sind, sind Ineffizienz und steigende Risiken die Folge. Eine <a href="https://www.outsystems.com/1/growing-threat-technical-debt/">Umfrage von Outsystems aus dem Jahr 2021</a> zeigt, dass Unternehmen 28 % ihres IT-Budgets darauf verwenden, technische Schulden abzubauen; bei großen Unternehmen sind es gar 40 %.  Wenn Sie in diesem Punkt planvoll vorgehen, können Sie dadurch bis zu einem gewissen Grad einen „Reset“ in puncto technische Schulden bewirken. Natürlich, die Aktualisierung von Code, das Ersetzen alter Tools und die Einarbeitung in neue kosten Zeit und Geld. Doch langfristig sorgt all das für mehr Effizienz und Sicherheit.  Einer <a href="https://stripe.com/files/reports/the-developer-coefficient.pdf">Umfrage von Stripe aus dem Jahr 2018</a> zufolge widmen Ingenieure 33 % ihrer Arbeitszeit dem Abbau von technischen Schulden.  Aktuelle Technik entlastet das Zeitkonto Ihres Teams; es kann sich dann besser um die Optimierung von Prozessen und den Ausbau der Sicherheit kümmern.

Technik vereinheitlichen und dokumentieren

Wie wichtig es ist, die technische Bestandsverwaltung im Griff zu haben, haben wir schon öfter betont. Schatten-IT bringt verschiedene Gefahren mit sich. Erstens: Sie können nichts schützen, was Ihnen gar nicht gehört. Und zweitens: Technik, von deren Existenz in Ihrer Infrastruktur Sie nicht den leisesten Schimmer haben, können Sie auch nicht aktualisieren. Ein Audit Ihrer Ressourcen im Rahmen einer Modernisierungsmaßnahme ist eine Gelegenheit, eine „Single Source of Truth“ zu schaffen oder, falls Sie schon ansatzweise Überblick haben, diesen zu vervollständigen. Ein lückenloser Einblick ist spätestens dann wertvoll, wenn wieder eine Zero-Day-Angriffswelle herumgeht, weil Sie dann nämlich genau wissen, welche Patches Sie prioritär einspielen müssen. Ein gut dokumentiertes, zuverlässiges Register zeigt Ihnen, auf welcher Technik Ihr Geschäftsbetrieb beruht, und lässt Sie in der Krise schnell, entschlossen und passgenau handeln.  Ein weiteres Plus, das die Aktualisierung Ihres Tech-Stacks bietet: Sie können dabei Ihre Software auf den Prüfstand stellen, was das reibungslose Zusammenspiel angeht, und dadurch die Sicherheit und Effizienz weiter verbessern.

In seinem <a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_jul2023.pdf">Threat-Horizons-Bericht vom August 2023 zeigte Google Cloud</a>, dass gut die Hälfte der Vorfälle, mit denen die eigenen Incident-Response-Teams befasst waren, mit kompromittierten Zugangsdaten zu tun hatten. Entsprechend lautete die Empfehlung: das Identitätsmanagement strenger gestalten. Das Audit und die Aktualisierung der eigenen Technik ist für Unternehmen eine Gelegenheit, auch das Zugriffsmanagement zu modernisieren und Zugriffsbedingungen zu erneuern und zu verschärfen.  Gefahren durch kompromittierte Zugangsdaten gibt es nach wie vor. Umso besser, wenn Benutzer moderne Tools zur Verfügung haben – zum Beispiel einen Passwort-Manager, in dem sie ihre Zugangsdaten auf sichere Weise erstellen, verwalten und verwahren. Über den sie sensible Daten sicher austauschen können. Der es ihnen leicht macht, ihr Passwortverhalten zu verbessern und ihnen die Möglichkeit gibt, sukzessive auf ein passwortloses Arbeiten umzusteigen.

Modernisierung des Tech-Stacks

Kriminelle Hacker warten nur darauf, dass Benutzer Fehler machen. Für sie sind die Millionen Websites und Anwendungen, die wir heutzutage haben, wie Türen, die einladend offen stehen. Und was ist beso[..]

Ransomware dominiert immer noch die Schlagzeilen, doch tatsächlich kommt eine andere heimtückische Form von Malware wesentlich häufiger vor. Die Rede ist von Infostealern (kurz für information-stealing, also Daten stehlende Malware), die von großen Konzernen bis hin zu einzelnen Privatcomputern alle betreffen. Infostealer nehmen sensible Daten in infizierten Systemen ins Visier, darunter Passwörter, Krypto-Wallets, Sitzungscookies, Finanzdaten und andere personenbezogene Daten, die schnell zum Bedrohungsakteur ausgeschleust werden.

Viele Infostealer werden als „Malware-as-a-Service (MaaS)“ angeboten: Kriminelle können ein Abonnement kaufen (oft für mehrere hundert Dollar pro Monat), um die Malware für ihre eigenen Zwecke zu nutzen, während der Entwickler, der die Malware zum Kauf anbietet, die Wartung und das Hosting übernimmt.  Dies senkt die technologischen Zugangshürden für Cyberkriminelle, sodass sich Infostealer rasch ausbreiten und zu einer umfassenden Cyberbedrohung entwickeln.

Wie werden Opfer infiziert?

Opfer können auf verschiedene Arten infiziert werden, beispielsweise durch Phishing-Mails, den Besuch einer infizierten Website oder durch betrügerische Apps. Sobald ein Computer oder Netzwerk infiziert wurde, wird die Malware ausgeführt, sucht schnell in Browsern und anderen wichtigen Ordnern nach kritischen Informationen (wenn möglich auch nach LastPass-Master-Passwörtern) und schleust sie aus. Bedrohungsakteure verwenden diese Daten dann entweder, um sich selbst Zugang zu sensiblen Konten zu verschaffen, oder sie packen sie um, um sie auf Märkten, in Foren oder auf anderen kriminellen Seiten zu verkaufen.

Die Preise liegen aktuell bei durchschnittlich <a href="https://www.accenture.com/us-en/blogs/security/information-stealer-malware-on-dark-web">10 USD pro Log</a>, und es sind jederzeit Millionen von Logs zum Kauf verfügbar. Das zeigt, wie weitverbreitet und allgegenwärtig die Bedrohung durch Infostealer ist. Diese Logs enthalten Zugangsdaten und andere sensible Informationen von Opfern, bei denen es sich um multinationale Konzerne, kleine Unternehmen oder einzelne, von einem Privatcomputer gestohlene persönliche Konten handeln kann.

Was unternimmt LastPass dagegen?

Zuallererst hat LastPass im Rahmen seiner Bemühungen um die Weiterentwicklung seines Sicherheitsbereichs erheblich in sein Programm für Cyber Threat Intelligence investiert.  Das umfasst die Bildung eines spezialisierten Teams für Threat Intelligence, Minimierung und Eskalation (TIME), die starke Ausweitung unserer Überwachung und Alarmierung im Rahmen der Threat Intelligence durch Open-Source-Berichte und eigene Berichte sowie die proaktive Überwachung von Deep Web und Darkweb auf schädliche Aktivitäten. Wir operationalisieren diese Intelligence auch, indem wir ihre Integration mit unseren Erkennungs-, Reaktions- und Schwachstellenmanagementteams automatisieren, was die Zeitspanne bis zu Schadensbegrenzung verkürzt. Schließlich haben wir einen speziellen und fokussierten Prozess für die Überwachung exponierter Kundenzugangsdaten und entsprechende Warnungen für Kunden, die an unserer Darkweb-Überwachung teilnehmen, entwickelt.

Wie nicht anders zu erwarten, sind Master-Passwörter in der Infostealer-Community hoch begehrt, da sie Zugang zum Vault eines Kunden und den darin enthaltenen Daten und Passwörtern versprechen. Es sind Dutzende von Infostealern verfügbar, aber LastPass verfolgt drei Malware-Stämme, die dafür bekannt sind, Zugangsdaten von LastPass-Kunden zum Kauf anzubieten:
<ul>
 	<li>Redline: Dieser MaaS-Stealer ist seit 2020 erhältlich und gehört zu den am häufigsten anzutreffenden.</li>
 	<li>Raccoon: Varianten dieses Stealers sind seit 2019 verfügbar.</li>
 	<li>Vidar: Dieser Stealer ist mindestens seit 2018 erhältlich und kann auch Screenshots machen.</li>
</ul>
LastPass ergreift wichtige Maßnahmen, um die Zugangsdaten seiner Kunden zu schützen. Vor kurzem haben wir unsere Darkweb-Überwachung auch auf Infostealer-Logs und andere potenzielle Quellen für Zugangsdaten von LastPass-Kunden ausgeweitet. LastPass kann die ursprüngliche Infektion nicht verhindern, da diese oft über Phishing, den Besuch einer infizierten Website oder die lokale Verwendung einer betrügerischen App auf dem Gerät des Endbenutzers erfolgt. Wir können aber dennoch zum Schutz unserer Kunden beitragen, indem wir sie informieren, sobald wir entdecken, dass ihre Daten gestohlen wurden.

Was können Sie tun, um Ihr Konto zu schützen?

Wir empfehlen allen LastPass-Nutzern, sich für die Teilnahme an unserem Darkweb-Überwachungsprogramm zu entscheiden, was eine zusätzliche Absicherung bietet. Sollten Ihre Zugangsdaten im Darkweb auftauchen, informieren wir Sie. Zusätzlich:
<ul>
 	<li>Verwenden Sie, wo immer es möglich ist, Multifaktor-Authentifizierung (MFA), um Ihre Konten zu schützen. Akzeptieren oder genehmigen Sie keine MFA-Anfragen, die Sie nicht ausdrücklich generiert haben.</li>
 	<li>Vertrauen Sie keinen Apps, die über nicht-traditionelle Kanäle angeboten werden (d. h. außerhalb von App-Stores).</li>
 	<li>Verwenden Sie ein Virenschutzprogramm und aktualisieren Sie es regelmäßig, oder noch besser, aktivieren Sie die automatische Aktualisierung.</li>
 	<li>Speichern Sie Ihr Master-Passwort nicht auf Ihrem Gerät, auch nicht in automatischen Ausfüllfunktionen des Browsers.</li>
</ul>
LastPass wird seine Überwachungs- und Berichtsfunktionen weiter verbessern, und wir entwickeln einen Prozess, um die Malware-Stämme, die LastPass-Konten ins Visier nehmen, proaktiv zu stören. Im Rahmen unseres Engagements für Transparenz tun wir unser Bestes, um unsere Kunden und die breitere Cybersicherheits-Community über diese Trends zu informieren und über die Schritte, die wir zum Schutz der Daten unserer Kunden unternehmen, sowie die Wirkung unserer Anstrengungen auf dem Laufenden zu halten.

LastPass Labs ist der Content-Hub für das „Threat Intelligence, Mitigation, and Escalation“-Team (TIME) bei LastPass. Wir konzentrieren uns dabei auf die genaue Analyse der neuesten Sicherheitsentwicklungen, einen scharfen Blick für zukunftsweisende Technologien und einzigartige Bedrohungsperspektiven.

Das „Threat Intelligence, Mitigation, and Escalation“-Team (TIME) von LastPass setzt den Fokus auf den Schutz unserer Community, indem es Bedrohungen für unsere Kunden, unser Unternehmen und unsere Branche überwacht, analysiert und entschärft. Das Team verfügt zusammen über fast 50 Jahre Erfahrung in den Bereichen Intelligence und Cyber Experience und glaubt fest daran, dass der Informationsaustausch und Aufbau von Beziehungen der Schlüssel zu einem erfolgreichen Intelligence-Programm sind. Unser Ziel bei LastPass ist es, den Stakeholdern zeitnahe und umsetzbare Informationen zu liefern. Dadurch können unsere Sicherheitsteams unsere Kunden, ihre Daten und das Unternehmen schützen. Wir führen nicht nur Analysen durch und informieren unsere Sicherheitsteams über allgemeine Entwicklungen im Bereich Cyberbedrohungen, sondern arbeiten auch daran, unsere Erkenntnisse automatisch in die Prozesse unserer Partner einzubinden und die Zeitspanne von der Bedrohungserkennung bis zur Schadensbegrenzung zu minimieren.

Infostealer: die weitverbreitete Bedrohung durch Daten stehlende Malware

Ransomware dominiert immer noch die Schlagzeilen, doch tatsächlich kommt eine andere heimtückische Form von Malware wesentlich häufiger vor. Die Rede ist von Infostealern (kurz für information-stealin[..]

Blog

Blog

Jüngste Artikel

Branchennews

LastPass für Admins

LastPass Labs

Produktupdates

Tipps und Tricks