Themen
Tipp des Monats
Machen Sie in nur zehn Minuten den IT-Sicherheitscheck von Deutschland sicher im Netz. Der Test liefert Handlungsempfehlungen, mit denen Sie die eigene IT-Sicherheitslage verbessern können.
Newsletter
Um neue Beiträge regelmäßig zu erhalten, können Sie hier unseren Newsletter abonnieren:
Stalking-Gefahr für Unternehmen
Die Sicht von außen
Haben Sie sich schon mal selbst gestalkt? Beziehungsweise ihr Unternehmen? Also nicht nur den Namen in Google oder eine andere Suchmaschine Ihrer Wahl eingegeben, sondern mal ein bisschen mehr Recherche betrieben, was über Sie oder ihr Unternehmen im Internet oder Darknet bekannt ist?
Öffentlich erreichbare Quellen sind mitunter sehr aufschlussreich, und gerade für Unternehmen ist es eine gute Idee, ein bisschen Recherche über sich selbst zu betreiben. Das beginnt mit der Domainregistration, privat wie öffentlich. Über Dienste wie https://www.whois.com/whois/ kann man hier schon mal Adresse und Ansprechpartner herausfinden, wenn kein entsprechender Schutz dazu gebucht wurde; und auch das ist nicht bei allen Domainendungen möglich.
Ein Angreifer bereitet sich nun vielleicht mit weiteren technischen Hilfsmittel auf einen Netzwerkeinbruch vor. Mit Hilfe von weiteren Webdiensten kann ein Dritter Informationen über die dem Internet zugewandte Infrastruktur gewinnen. Dabei ist er oder sie jetzt noch gar nicht in Erscheinung getreten, aber das ist auch kein Problem. All diese Informationen werden aus verschiedenen technischen oder rechtlichen Gründen benötigt.
Aus den Nachrichten hört man leider mit Regelmäßigkeit, dass Dienste gehackt und Benutzerdaten entwendet wurden. Als möglicherweise Betroffener muss man aber häufig selbst aktiv werden, um herauszufinden, ob die eigenen Daten entwendet wurden. Zwar sollte jeder gehackte Dienst seine Nutzer informieren, aber auch hier ist eine Kontrolle besser als blindes Vertrauen. Ob eine verwendete Mailadresse mal mit oder ohne Passwort entwendet wurde, kann man bei https://haveibeenpwned.com/ nachlesen. Natürlich sollte man, falls man betroffen ist, so schnell wie möglich die entwendeten Passwörter ersetzen, auch bei anderen Seiten, bei denen man das gestohlene Passwort verwendet hat.
Soziale Netzwerke sind ebenfalls eine Goldgrube für Datenschürfer. Fotos, Kontakte, berufliche Vernetzung wie auch Interessen und Hobbies geben einem Angreifer Inspiration für Phishing-Mails und Angriffe mit Social Engineering. Man sollte also ruhig mal nachschauen, welche Sicht ein Angreifer einnehmen könnte, und was er oder sie alles in Erfahrung bringen können.
Übrigens — für viele der Dienste muss man gar nicht registriert sein, um dort mitlesen zu können. Und wenn das doch eine Voraussetzung sein sollte, kann man sich eine andere Identität anlegen. Eine Überprüfung auf die Richtigkeit der Daten findet selten und zumeist schlampig statt.
Wenn man damit fertig ist, die Informationen zu sichten, welche nach außen hin öffentlich aus diversen Quellen im regulären Web erhältlich sind, kann man auch noch einen Schritt weiter gehen und die Recherche ins Darknet verlagern. Allerdings ist es hier wohl besser, diese Aufgabe an einen Partner auszulagern, wenn man das nicht selbst häufig macht. Zum einen liegt dort die Hürde für Suche nach Informationen sehr viel höher, und zum anderen kommt man dort bei der Recherche unter Umständen mit Dingen in Berührung, mit denen man das eigene Unternehmen nicht in Verbindung bringen möchte – Stichworte sind hier Waffen, Sex und Drogen.
Neben der technischen Überprüfung der eigenen Infrastruktur von außen durch Penetrationstests und andere Methoden ist es sinnvoll, auch mal den Blickwinkel eines theoretischen Angreifers einzunehmen und das eigene Unternehmen genau zu betrachten. Vielleicht kann man so schon die wahrscheinlichsten Angriffsvektoren für Social Engineering und andere Angriffe identifizieren und sich entsprechend darauf vorbereiten; der kriminelle Gegenspieler sollte schließlich nicht mehr über das eigene Unternehmen wissen als man selbst.

Beschäftigt sich seit den späten 80ern mit Themen rund um Cyber-Security. Beruflich erfolgte die Fokussierung auf die Absicherung von Netzwerken sowie Bedrohungen aus dem Internet in 1999, mit Arbeitsplätzen in Schottland und Deutschland. Seit 2010 tätig für die DATEV in Themengebieten rund um Netzwerksicherheit und Internet-Security.

Neueste Kommentare