Sieben verbreitete Cybersecurity-Mythen
Mythen sind eigentlich vor allem eins: unterhaltsam. Allerdings gibt es auch gefährliche Mythen, wie die über Cybersicherheit. Denn ein falsches Verständnis darüber, wie eine Person sich digital schützen kann, führt mitunter zu verheerenden Sicherheitsverletzungen. Daher ist es an der Zeit, die sieben grössten Cybersecurity-Mythen zu enttarnen und Unternehmen besser zu schützen.
Nachfolgend die sieben verbreiteten Cybersecurity-Mythen:
1 Passwortrichtlinien sollten bestimmte Zeichen beinhalten
Sonderzeichen machen ein Passwort nicht notwendigerweise sicherer (vgl. auch Artikel Sichere Passwörter). Das Beispiel in der untenstehenden Tabelle zeigt, dass «Watch4T!m3» ein stärkeres Passwort als «qwerty» ist. «Caterpillar Motorboat Tree January» ist jedoch dreimal so stark wie «Watch4T!m3», obwohl es kein einziges Sonderzeichen enthält. Daher sollten Nutzer eher längere Passwörter verwenden. Passwörter mit willkürlichen Sonderzeichen sind nicht sicherer, sie sorgen nur für Frust beim Nutzer.
2 Multi-Faktor-Authentifizierung verhindert Credential Stuffing
Multi-Faktor-Authentifizierung (MFA) ist zwar ein Cybersicherheits-Tool, verhindert aber nicht Credential Stuffing. Versucht sich ein Hacker mit falschen Anmeldedaten einzuloggen, reagiert der Server mit einer Fehlermeldung. Sind die Anmeldedaten korrekt, fordert der Server einen zweiten Authentifizierungsfaktor an. Dadurch erhalten Angreifer nützliche Informationen. Mit den korrekten Anmeldedaten können sie sich auf Schemata konzentrieren und z.B. per Social Engineering, Portierungsbetrug oder SIM-Swapping einen Zugang für den zweiten Authentifizierungsfaktor erhalten.
3 Ohne Verlust gibt es keinen Betrug
Betrug ist immer Betrug, auch ohne Datenverlust. Sobald ein Hacker eine Täuschung vornimmt, beispielsweise indem er sich Zugang auf ein E-Mail-Konto verschafft, handelt es sich um einen Betrug, auch wenn noch kein Schaden entstanden ist. Es gibt durchaus einige Angriffsarten, die sich zunächst einen Zugang verschaffen und dann erst einmal abwarten. Dennoch handelt es sich um Betrug. So ist es nicht ungewöhnlich, dass Unternehmen infiltriert werden, lange bevor sie einen Angriff entdecken.
4 Nur ein Bruchteil des Login-Traffics ist automatisiert
Unternehmen unterschätzen, welche Bedrohung automatisierte Methoden darstellen. Mit u.a. Botnetzen, offenen Proxyservern, kompromittierten IoT-Geräten, gemeinsam genutzten VPNs und virtuellen Servern können Angreifer unter Verwendung von vielen Millionen IPs aus aller Welt verteilte Angriffe starten. Vorhandene Gegenmassnahmen, wie etwa Web Application Firewalls, erkennen in der Regel nur einen geringen Anteil des Angriff-Traffics. Deshalb verfehlen viele Gegenmassnahmen IPs mit geringem Datenverkehr. Doch gerade diese sind oftmals für den meisten Angriff-Traffic verantwortlich.
5 Captcha stoppt Bots
Captchas führen zwar manchmal bei Personen vor dem Bildschirm zu erhöhtem Blutdruck, sind für Angreifer jedoch kein wirkliches Hindernis. Längst gibt es menschliche Click-Farmen – wie etwa das russische Unternehmen 2Captcha – die Betrügern einen automatisierten API-Zugang anbieten, den ganzen Tag Captchas lösen und somit automatisierte Angriffe möglich machen.
6 Finanzdaten- und Treuepunkt-Aggregatoren nehmen Sicherheit ernst
Viele Anwender nutzen einen Finanzdaten-Aggregator, um sich in Online-Bankkonten einzuloggen. Sie erhalten so einen Überblick über ihren Finanzstatus und müssen sich nicht jedes Mal neu einloggen, wenn sie mehrere Bankkonten besitzen. Gleiches gilt für Treuepunkt-Aggregatoren. Allerdings wird zunächst für jedes Konto der Benutzernamen und das Passwort abgefragt, um es mit dem Aggregator zu verlinken. Hacker nutzen gestohlene Benutzer-/Passwort-Paare, die sie im Dark Web gekauft haben, und testen diese in Login-Formularen von hunderten Internetseiten über Aggregatoren. Da viele Menschen Benutzernamen und Passwörter häufig wiederverwenden, erhalten Kriminelle so mithilfe von Credential Stuffing Zugang zu tausenden Benutzerkonten.
7 Cybersicherheit ist für den Einzelnen immer anstrengend
Das ist falsch, denn gute Cybersicherheit funktioniert, ohne dass der Nutzer es überhaupt merkt oder beeinträchtigt wird. Verhaltensbezogene Biometrie läuft im Hintergrund und analysiert Tastenanschläge, Touch-Befehle, Mausbewegungen und Geräteausrichtung, um ein Nutzerprofil zu erstellen und sicher aufzubewahren. Diese Daten werden analysiert und bewertet, um eine Regelmässigkeit zwischen dem aktuellen Verhalten des Benutzers und seinem bisherigen und zu erwartenden Verhalten zu berechnen. So wird verhindert, dass Angreifer Konten übernehmen. Diese Art von Cybersicherheit ist viel sicherer als traditionelle Logins.
Autor: Bernd Achatz, Technischer Direktor bei F5 Networks, enttarnt geschäftsschädigende Cybersecurity-Mythen
