Auch im Home Office für IT-Sicherheit sorgen

Hybride Arbeitsmodelle, die Home Office und Büroarbeit kombinieren, sind vielerorts zum ­Alltag geworden. Für Unternehmen ergeben sich daraus auch Herausforderungen – nicht zuletzt in Sachen IT-Sicherheit. Hierfür lassen sich vor allem drei Gründe anführen:

Die Zunahme der Cyberrisiken durch hybride Arbeits­formen spiegelt sich auch in Statistiken wider. So ist die Zahl der von Mitarbeitern verursachten Vorfälle in den ­vergangenen zwei Jahren um 44 Prozent gestiegen. Die durchschnittlichen Gesamtkosten pro Unternehmen betrugen im vergangenen Jahr 15,4 Millionen US-Dollar. Im Jahr 2020 waren es noch 11,45 Millionen US-Dollar.

IT-Sicherheitsteams müssen daher neue Massnahmen ergreifen, um hybride Arbeitsplätze wirksam abzusichern, riskantes Verhalten rechtzeitig zu erkennen und Insiderbedrohungen abzuwehren.

Mit der zunehmenden Verbreitung von Cloud Computing ist das Risiko, dass Informationen in die falschen Hände geraten, grösser denn je. Meist sind fahrlässiges Verhalten, unsichere Geräte oder nicht gepatchte Software schuld, wenn Daten verloren gehen. Die Schäden sind dabei beträchtlich. Durchschnittlich kostet ein solcher Vorfall Unternehmen fast 500 000 US-Dollar.

Allerdings gibt es auch Mitarbeiter, die vorsätzlich ­handeln und sensible Daten an Externe verraten. Zum Austausch nutzen sie häufig die Kommunikationskanäle des Unternehmens. Werden die Tools für die Zusammenarbeit nicht oder nur unzureichend überwacht, haben sie leichtes Spiel. In hybriden Umgebungen sind solche Aktivi­täten zudem schwerer zu entdecken. Das ist ein wesentlicher Grund dafür, dass diese Art von Insiderbedrohungen für einen Viertel aller Datenverluste verantwortlich ist.

Datenverlust ist sicher eines der Hauptrisiken hybrider Arbeitsformen, aber bei Weitem nicht das einzige. Auch Online-Plattformen zur Zusammenarbeit können schnell zum Problem werden, zumal Mitarbeiter in der lockeren Atmosphäre des Home Office eher zu unprofessionellem Verhalten neigen.

Die Geschichte des Start-ups Away, eines amerikanischen Anbieters von Gepäck und Reisezubehör, zeigt, ­was passieren kann, wenn solche Umgebungen ausser Kontrolle geraten. Die Konversation über die Slack-Kanäle des Unternehmens entwickelte eine solche Eigendynamik, dass CEO Steph Korey schliesslich zurücktreten musste. Sie hatte mehrfach Mitarbeiter via Slack beleidigt und bedroht.

Entgleisungen wie diese sind nicht nur tödlich für den Zusammenhalt und das Vertrauen in einem Unternehmen, sie gefährden auch die Datensicherheit. Schliesslich arbeiten verärgerte Mitarbeiter weniger sorgfältig, gehen mehr Risiken ein oder verraten Unternehmens- und Kunden­daten sogar absichtlich.

Ein weiteres Problem liegt in der Vermischung von Berufs- und Privatleben. Dabei verschärfen hybride Arbeitsformen die Situation. So schickten Mitarbeiter von Equifax Kunden irrtümlich per Twitter auf eine falsche Seite. Google, Facebook, Twitter und viele andere wurden Opfer von Social-Engineering-Angriffen.

Mitarbeiter müssen sich daher immer bewusst sein, dass sie sich auch zu Hause in Tools wie Slack oder auf Social-Media-Kanälen in einem professionellen Umfeld befinden, für das dieselben Regeln und Sicherheits­richtlinien gelten wie für Unternehmensapplikationen und die Büroumgebung.

Insiderbedrohungen und andere durch Mitarbeiter ver­ursachte Risiken können viele Gründe haben. Möglicherweise ist Mitarbeitern nicht bewusst, welche Sicherheitsvorkehrungen sie treffen müssen, wenn sie ausserhalb des Büros arbeiten. Vielleicht wollen sie sich auch einfach nur das Leben so leicht wie möglich machen. In Einzel­fällen kann es sogar sein, dass verärgerte oder gekündigte ­Mitarbeiter absichtlich versuchen, den Arbeitgeber zu schädigen.

Egal was die Ursache dieser Risiken sein mag, es liegt am Unternehmen, Abhilfe zu schaffen.

Das beginnt mit einer klaren Kommunikation. Jedes Mitglied eines Teams sollte alle Richtlinien und Vorschriften, die seine Arbeit betreffen, kennen und verstehen. Sanktionen bei Nichteinhaltung müssen unmissverständlich benannt und bei Fehlverhalten auch durchgesetzt werden.

Bei Insiderbedrohungen ist zudem Zeit ein kritischer Faktor. Im Durchschnitt belaufen sich die jährlichen Kosten für Vorfälle, die innerhalb von 30 Tagen eingedämmt werden, pro Unternehmen auf 11,23 Millionen US-Dollar, während sie bei Vorfällen, die länger als 90 Tage dauern, 17,19 Millionen US-Dollar betragen. Je früher also Anzeichen für ein risikoreiches Verhalten erkannt werden, desto besser. IT-Sicherheitsverantwortliche sollten deshalb Online-Plattformen und Tools für die Zusammenarbeit regelmässig auf Verstösse oder verdächtige Aktionen hin überprüfen.

Bei jeder neuen Entwicklung gibt es Risiken, das gilt auch für hybride Arbeitsmodelle. Sie sollten jedoch so schnell wie möglich adressiert und eingedämmt werden. Wenn sich schlechte Gewohnheiten erst einmal etabliert haben, ist es sehr schwierig, diese zu verändern.