Im letzten Heft des Sicherheits-Berater warnte Rainer von zur Mühlen vor Spionageaktivitäten Russlands. Dazu möchten wir Ihnen heute einen Sicherheitshinweis des Bundesamtes für Verfassungsschutz (BfV) nicht vorenthalten (www.verfassungsschutz.de, Kurzlink https://tinyurl.com/4t8mdh3f). Das BfV warnt damit vor von Russland, China und Nordkorea ausgehender Spionage gegen den Verteidigungssektor. Die praktischen Handlungsempfehlungen des BfV dürften für die meisten Unternehmen und Behörden unserer Leser interessant sein, auch wenn sie sich nicht zum Verteidigungssektor zählen. Wir denken hier auch an KRITIS-Unternehmen. Interessant ist der Hinweis des BfV, dass Russland verstärkt auf den verschleierten Erwerb sogenannter „Dual-Use“-Güter setzt, die sowohl zu zivilen als auch zu militärischen Zwecken nutzbar sind. Russland will damit die umfassenden EU-Sanktionen umgehen.
Die Handlungsempfehlungen* (Sicherheitshinweis für die Wirtschaft 01/2023 des BfV) des Verfassungsschutzes drucken wir hier im Wortlaut ab:
Cybersicherheit
Maßnahmen für (IT-)Sicherheitsverantwortliche:
- Sensibilisieren und schulen Sie Ihre Mitarbeiterinnen und Mitarbeiter regelmäßig mit Blick auf aktuelle Gefahren im Cyber-raum.
- Etablieren Sie klare Meldewege. Kommunizieren Sie an die Beschäftigten, was im Notfall zu tun ist.
- Überprüfen Sie in regelmäßigen Abständen die Notwendigkeit von Zugriffsberechtigungen, insbesondere bei neuen Mitarbeiterinnen und Mitarbeitern in administrativen Bereichen, aber auch bei externen Dienstleistern.
- Schaffen Sie für sensible Informationen geeignete Übermittlungswege mit den jeweils notwendigen Vorkehrungen – z. B. Multi-FaktorAuthentifizierung (MFA) und verschlüsselte E-Mail-Kommunikation.
- Führen Sie in geeigneten Abständen Penetrationstests durch, um ein Feedback zum Umsetzungsstand der IT-Sicherheit aus der Sicht von Angreifenden zu erhalten. Beachten Sie dabei auch mögliche Einfallstore in Ihre Netzwerke z. B. über Auslandsniederlassungen.
- Sorgen Sie dafür, dass interne Serverdienste grundsätzlich nicht aus dem Internet erreichbar sind. Es bietet sich an, einen Zugriff lediglich aus dem Unternehmensnetzwerk oder über Virtual Private Network (VPN) zuzulassen. Prüfen Sie ggf. auch bestehende Möglichkeiten, um die Zurechenbarkeit Ihrer öffentlichen IP-Adressen zu Ihrem Unternehmen zu reduzieren.
- Von DDoS-Angriffen betroffene Stellen finden auf der Internetseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI) eine Liste qualifizierter DDoS-Mitigation-Dienstleister.
Maßnahmen für Anwenderinnen und Anwender:
- Schützen Sie Ihre Konten nach Möglichkeit mit Hilfe von MFA vor (Credential-)Phishing-Angriffen.
- Misstrauen Sie E-Mails, die Sie zu dringenden Handlungen auffordern. Geben Sie niemals Ihre Passwörter an.
- Klicken Sie niemals auf Links oder Anhänge verdächtiger E-Mails. Dies gilt auch für E-Mails von Familienangehörigen, Bekannten oder Ihrer Arbeitsstelle. Auch deren E-Mail-Konten könnten gehackt worden sein.
- Greifen Sie, wo möglich, auf alternative und sicherere Kommunikationswege zurück.
Verdacht von Ausforschungs- und Anbahnungs- sowie physischen Sabotageversuchen
Maßnahmen für Personalverantwortliche:
- Weisen Sie Beschäftigte auf die Möglichkeit von nachrichtendienstlichen Ausforschungs- und Anbahnungsversuchen hin und etablieren Sie intern Meldewege für Verdachtsfälle.
- Informieren Sie Beschäftigte auch über physische Sabotagehandlungen sowie darüber, dass diese mit Cyberangriffen abgestimmt durchgeführt werden können. Berücksichtigen Sie dabei vor allem solche Betriebsabläufe, deren Ausfall besonders schwerwiegende und/oder langfristige Folgen hätte.
- Zögern Sie nicht, Kontakt zum Verfassungsschutz aufzunehmen, wenn Sie den Verdacht haben, dass Beschäftigte Ziel von Ausforschungs- oder Anbahnungsversuchen werden sollen oder bereits geworden sind.
Maßnahmen für Beschäftigte:
- Gehen Sie diskret mit Informationen über Ihr berufliches Umfeld, Kolleginnen und Kollegen sowie geschäftliche Zusammen-hänge um.
- Besondere Zurückhaltung ist im Kontakt mit Ihnen unvertrauten Ansprechpartnerinnen und -partnern geboten.
- Nutzen Sie die internen Meldewege, wenn Sie den Verdacht haben, dass Sie Ziel eines Ausforschungs- oder Anbahnungsversuchs werden sollen – oder es bereits geworden sein sollten.
- Achten Sie auf Anzeichen physischer Sabotage und melden Sie ungewöhnliche Beobachtungen über die dafür vorgesehenen Wege. Aufmerksam werden sollten Sie z. B. bei versteckt installierten Kameras oder Drohnenüberflügen.
*Quelle: Bundesamt für Verfassungsschutz
