Abwesenheitsnotizen als Gefahr für die Cybersicherheit
Weltweit schreiten die nationalen Impfkampagnen immer weiter voran und damit rückt die Chance auf die Rückkehr eines halbwegs normalen Lebens in immer greifbarere Nähe. Bereits im Sommer sollen Urlaubsreisen in vielen Ländern wieder möglich sein. Diese Chance werden sich viele Menschen nicht entgehen lassen. Für Arbeitnehmer bedeutet das, dass sie auf viele Anfragen und E-Mails lediglich eine Abwesenheitsnotiz erhalten oder selbst eine solche einrichten werden. Doch dabei ist Vorsicht geboten, denn wer zu viele Informationen in die automatischen Antworten packt, kann damit Cyberkriminellen in die Hände spielen, die sich auf Social Engineering spezialisiert haben.
Allein die Information, wann man sich im wohlverdienten Urlaub befindet, kann ausreichen, um einem findigen Angreifer den nötigen Ansatzpunkt zu liefern, um den Abwesenden zu imitieren – insbesondere, wenn auch noch öffentliche Social-Media-Profile ins Spiel kommen, auf denen sich Fotos oder Posts befinden, die den Urlaubsort verraten. So könnten beispielsweise Kollegen mit einer Nachricht überlistet werden, dass man gerade in Las Vegas ist und vor dem Urlaub vergessen hat, eine wichtige Zahlung an einen Lieferanten zu veranlassen. Darum solle sich nun bitte der Kollege kümmern. Die Kontodaten würde man gleich heraussuchen und separat schicken, als Verwendungszweck reiche der Unternehmensname. Die E-Mail-Adresse und den Namen des Kollegen hat der Angreifer praktischerweise direkt in der Abwesenheitsnotiz bezüglich der Urlaubsvertretung mitgeliefert bekommen.
Für den angeschriebenen Kollegen gibt es scheinbar keinen Grund, misstrauisch zu sein. Und selbst wenn eine Nachfrage kommt, kann der Angreifer Informationen zum Hotel, den Begleitern und den Erlebnissen liefern, die sich dann über Fotos und Posts in den sozialen Netzwerken leicht verifizieren lassen. Damit können selbst vorsichtige Kollegen oft überzeugt werden.
Das zeigt: Die Weitergabe von zu vielen Daten in Abwesenheitsnotizen kann durchaus problematisch sein. Einer Untersuchung des Sicherheitsunternehmens Tessian zufolge teilen rund 90 Prozent aller Befragten persönliche und berufliche Informationen in den sozialen Netzwerken. Etwa ein Drittel teilt Fotos und andere Daten zu privaten Reisen. Hinzu kommen die Informationen, die direkt in der Abwesenheitsnotiz enthalten sind, wie der Zeitraum des Urlaubs und alternative Ansprechpartner. Allein aus diesen Daten können geschickte Cyberkriminelle bereits alle Informationen für einen Social-Engineering-Angriff ziehen.
Was ist also die Lösung? Sollte man aufhören, Abwesenheitsnotizen überhaupt zu nutzen? Doch das bürge die Gefahr, dass eine wichtige E-Mail nicht oder zu spät gesehen wird. Tatsächlich ist es nicht nötig, Abwesenheitsnotizen komplett zu verbannen, allerdings sollte dringend darauf geachtet werden, welche Informationen man preisgibt. Empfehlenswert ist eine kurze und knappe Nachricht, dass man vom Zeitpunkt X bis zum Zeitpunkt Y nur eingeschränkten Zugang auf seine E-Mails hat und sich schnellstmöglich melden wird. Auch eine Vertretung für dringende Fälle anzugeben, ist in Ordnung. Besteht die Möglichkeit, hier anstatt eines bestimmten Kollegen eine allgemeine E-Mail-Adresse, beispielsweise der Abteilung, anzugeben, sollte man das tun. So kann keine Einzelperson als Opfer ins Visier genommen werden. Nichts in der Autoreply an Externe verloren haben die eigene Handynummer oder die private E-Mail-Adresse als alternative Möglichkeit der Kontaktaufnahme.
Doch auch im Privatleben sollten Angestellte sich überlegen, ob es tatsächlich notwendig ist, Reisepläne und Fotos aus dem Urlaub öffentlich zu teilen. Bereits die Umstellung auf ein privates Profil, das nur Freunde sehen können, erschwert Cyberkriminellen die Recherche nach den nötigen Informationen für einen Angriff.
Unternehmen bleibt angesichts mangelnden Einflusses auf die private Internetnutzung nur Aufklärung über die Gefahren einer allzu großen Präsenz in den sozialen Netzwerken, um ein Bewusstsein unter den Angestellten für die Problematik zu schaffen.
Allein die Information, wann man sich im wohlverdienten Urlaub befindet, kann ausreichen, um einem findigen Angreifer den nötigen Ansatzpunkt zu liefern, um den Abwesenden zu imitieren – insbesondere, wenn auch noch öffentliche Social-Media-Profile ins Spiel kommen, auf denen sich Fotos oder Posts befinden, die den Urlaubsort verraten. So könnten beispielsweise Kollegen mit einer Nachricht überlistet werden, dass man gerade in Las Vegas ist und vor dem Urlaub vergessen hat, eine wichtige Zahlung an einen Lieferanten zu veranlassen. Darum solle sich nun bitte der Kollege kümmern. Die Kontodaten würde man gleich heraussuchen und separat schicken, als Verwendungszweck reiche der Unternehmensname. Die E-Mail-Adresse und den Namen des Kollegen hat der Angreifer praktischerweise direkt in der Abwesenheitsnotiz bezüglich der Urlaubsvertretung mitgeliefert bekommen.
Für den angeschriebenen Kollegen gibt es scheinbar keinen Grund, misstrauisch zu sein. Und selbst wenn eine Nachfrage kommt, kann der Angreifer Informationen zum Hotel, den Begleitern und den Erlebnissen liefern, die sich dann über Fotos und Posts in den sozialen Netzwerken leicht verifizieren lassen. Damit können selbst vorsichtige Kollegen oft überzeugt werden.
Das zeigt: Die Weitergabe von zu vielen Daten in Abwesenheitsnotizen kann durchaus problematisch sein. Einer Untersuchung des Sicherheitsunternehmens Tessian zufolge teilen rund 90 Prozent aller Befragten persönliche und berufliche Informationen in den sozialen Netzwerken. Etwa ein Drittel teilt Fotos und andere Daten zu privaten Reisen. Hinzu kommen die Informationen, die direkt in der Abwesenheitsnotiz enthalten sind, wie der Zeitraum des Urlaubs und alternative Ansprechpartner. Allein aus diesen Daten können geschickte Cyberkriminelle bereits alle Informationen für einen Social-Engineering-Angriff ziehen.
Was ist also die Lösung? Sollte man aufhören, Abwesenheitsnotizen überhaupt zu nutzen? Doch das bürge die Gefahr, dass eine wichtige E-Mail nicht oder zu spät gesehen wird. Tatsächlich ist es nicht nötig, Abwesenheitsnotizen komplett zu verbannen, allerdings sollte dringend darauf geachtet werden, welche Informationen man preisgibt. Empfehlenswert ist eine kurze und knappe Nachricht, dass man vom Zeitpunkt X bis zum Zeitpunkt Y nur eingeschränkten Zugang auf seine E-Mails hat und sich schnellstmöglich melden wird. Auch eine Vertretung für dringende Fälle anzugeben, ist in Ordnung. Besteht die Möglichkeit, hier anstatt eines bestimmten Kollegen eine allgemeine E-Mail-Adresse, beispielsweise der Abteilung, anzugeben, sollte man das tun. So kann keine Einzelperson als Opfer ins Visier genommen werden. Nichts in der Autoreply an Externe verloren haben die eigene Handynummer oder die private E-Mail-Adresse als alternative Möglichkeit der Kontaktaufnahme.
Doch auch im Privatleben sollten Angestellte sich überlegen, ob es tatsächlich notwendig ist, Reisepläne und Fotos aus dem Urlaub öffentlich zu teilen. Bereits die Umstellung auf ein privates Profil, das nur Freunde sehen können, erschwert Cyberkriminellen die Recherche nach den nötigen Informationen für einen Angriff.
Unternehmen bleibt angesichts mangelnden Einflusses auf die private Internetnutzung nur Aufklärung über die Gefahren einer allzu großen Präsenz in den sozialen Netzwerken, um ein Bewusstsein unter den Angestellten für die Problematik zu schaffen.
Über die 8com GmbH & Co. KG
Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen von 8coms Kunden effektiv vor Cyberangriffen. Es beinhaltet ein Security Information and Event Management (SIEM), Vulnerability Management sowie professionelle Penetrationstests. Zudem bietet es den Aufbau und die Integration eines Information Security Management Systems (ISMS) inklusive Zertifizierung nach gängigen Standards. Awareness-Maßnahmen, Security Trainings und ein Incident Response Management runden das Angebot ab.
8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 15 Jahren ist das Ziel von 8com, Kunden die bestmögliche Leistung zu bieten und gemeinsam ein ökonomisch sinnvolles, aber trotzdem möglichst hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.
Firmenkontakt und Herausgeber der Meldung:
8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de
Ansprechpartner:
Felicitas Kraus
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Eva-Maria Nachtigall
Leiterin Kommunikation & Medien
Telefon: +49 (6321) 48446-0
E-Mail: redaktion@8com.de
Leiterin Kommunikation & Medien
Telefon: +49 (6321) 48446-0
E-Mail: redaktion@8com.de
Weiterführende Links
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.
