IT-Sicherheit in den Ferien – Wie der Urlaub zum Sicherheitsrisiko für Unternehmen wird

Normalerweise ist der Urlaub die Zeit des Jahres, in der man nicht arbeitet. Arbeitsrechner und Mobiltelefon bleiben ausgeschaltet, Abwesenheitsnotizen und Weiterleitungen regeln den Rest. Und dennoch gibt es gerade im Urlaub besondere IT-Sicherheitsrisiken: Nicht nur die Abwesenheitsnotiz birgt ein latentes Sicherheitsrisiko, sondern auch der- oder diejenige, die vom Urlaub aus doch einmal den Posteingang checkt, um in Notfällen trotz Ferien reagieren zu können.

Abwesenheitsnotiz – Auch wer weg ist, wird zum Ziel

Die Abwesenheitsnotiz ist in vielen Unternehmen verpflichtend einzurichten, wenn man sich in den Urlaub verabschiedet. Sie informiert Kunden und Partner, beugt Missverständnissen vor und sorgt dafür, dass man sich bei dringenden Anliegen gleich an Kollegen oder Vorgesetze wenden kann. Doch auch für Spam-Versender und Kriminelle ist die Abwesenheitsnotiz äußerst praktisch.

So gibt die Abwesenheitsnotiz nicht nur Auskunft darüber, dass die angeschriebene E-Mail-Adresse aktiv ist, sondern häufig auch über viele weitere Informationen wie den Zeitraum der Abwesenheit, den Beruf, die Telefonnummer sowie über Adresse und E-Mail-Adresse der vertretenden Kolleginnen und Kollegen. Im schlimmsten Fall werden diese Informationen für Einbrüche in Häuser und Wohnungen genutzt. Dazu gibt Sie Spammern die überaus wichtige Information, dass die Emailadresse in Gebrauch ist und dass es sich lohnt, hier spezifischere Spam- und Phishingattacken zu starten.

Wer sich und seine Unternehmensdaten schützen sein will, muss jedoch nicht gleich auf die Abwesenheitsnotiz verzichten. Mit folgenden Tipps lässt sich die Abwesenheitsnotiz nämlich auf eine sichere Weise zu nutzen:

Fünf Tipps zur Einstellung Ihrer Abwesenheitsnotiz:

1. Viele Mailsysteme (z.B. der MS Exchange Server mit Outlook) bieten die Möglichkeit, bei der Abwesenheitsnotiz zwischen internen und externen Absendern zu unterscheiden. So können intern und extern verschiedene Benachrichtigungen mit unterschiedlichen Inhalten und Informationen versendet werden.
2. Es gibt häufig auch die Möglichkeit, bei externen Nachrichten nur dann Abwesenheitsnotizen zu versenden, wenn die Kontakte im eigenen Adressbuch gespeichert sind. So können Sie dafür sorgen, dass externe Geschäftspartner Ihre Abwesenheitsnotiz erhalten, Spammer und Kriminelle aber nicht.
3. Das Antwortverhalten lässt sich auch bei Verteilerlisten oder Newslettern einstellen, sodass die Informationen Ihrer Abwesenheitsnotiz nicht unkontrolliert an unbekannte Empfänger und großer Verteiler gesendet wird.
4. Das automatische Antwortverhalten lässt sich auch in Bezug darauf einstellen, ob eine E-Mail Sie direkt adressiert hat oder ob Sie sie beispielsweise nur im CC erhalten.
5. Antworten auf Emails, die bereits als Spam erkannt wurden, lassen sich ebenfalls von der automatischen Abwesenheitsnotizen ausschließen.

Arbeit trotz Urlaub? – Wie Angreifer auf psychischen Druck setzen

Gerade für Selbstständige, aber auch für verschiedene Mitarbeiter in kleinen und mittleren Unternehmen ist der vollständige Kontaktabbruch zur Arbeitswelt trotz Urlaub nicht immer möglich. Je nach Rolle und Position im Unternehmen müssen wichtige Mails auch im Urlaub beantwortet werden, manche müssen zumindest für ein Notfallmanagement zur Verfügung stehen oder auf die dringendsten Anfragen reagieren. Genau hier lauern verschiedene Gefahren.

Kostenloses Roaming und Dual-Sim Geräte, wo private und berufliche Accounts nur wenige Klicks voneinander entfernt sind, erhöhen das Risiko, dass Kriminelle sich nicht nur an Ihren privaten Daten zu schaffen machen, sondern auch auf die Strukturen des Unternehmens zugreifen. Hier gilt es darauf zu achten, welche Verbindungen genutzt werden und welche Daten dabei abgerufen werden können. Im Zweifelsfall sollte man auf das Einwählen in unsichere Netzverbindungen an Bahnhöfen, Flughäfen und touristischen Hotspots verzichten.

Ein zweites Einfallstor für Kriminelle im Urlaub ist das sogenannte Phishing, wo sich Angreifer als vertrauenswürdige Kommunikationspartner ausgeben – etwa in Emails, gefälschten Websites oder Kurznachrichten, um vertrauliche Informationen wie Passwörter zu „fischen“. Ziel der Angreifer ist, dass man sich durch einen Klick auf einen Link oder Anhang eine Schadsoftware herunterlädt, die die eigenen Daten oder gleich die des ganzen Unternehmens verschlüsselt. Kriminelle erpressen infolge solcher Ransomwareattacken oft hohe Summen zur Freigabe der Daten.

Wer sich effektiv gegen Phishingattacken schützen will, muss die betrügerischen Emails erkennen und ausfiltern. Genau dafür ist im Urlaub aber wenig Zeit. Die Gefahr ist deshalb besonders hoch, eine Mail vorschnell zu öffnen – gerade, wenn sie noch mit Signalwörtern wie DRINGEND oder EILIG im Betreff versehen ist. Folgende Tipps helfen Ihnen, die schwarzen Schafe auszusortieren:

Drei Tipps zum Selbstschutz bei betrügerischen Emails

1. Auch im Urlaub wachsam sein. Wer entspannt am Strand liegt, muss sich trotzdem die Zeit nehmen, eine E-Mail genau zu prüfen. Werden Geld oder Daten verlangt? Sind Links oder Anhänge enthalten? Ist das der Fall…

2. Nicht voreilig klicken. Besonders wenn in der E-Mail eine kritische Situation geschildert wird und Druck aufgebaut wird, sollten sie achtsam sein. Denn eine besondere Dringlichkeit ist häufig ein Anzeichen für Phishing-Mails. Im Zweifelsfall…

3. Rücksprache mit dem Absender oder der IT-Sicherheit des Unternehmens halten. Ein kurzes Telefonat kostet keine Zeit, klärt den Sachverhalt aber schnell auf. Und so schützen sie nicht nur sich, sondern auch die IT-Sicherheit des ganzen Unternehmens.

Weitere Informationen zu Phishing-Mails finden Sie auf der Seite des BSi und auf dem goSecurityBlog. Hier können Sie außerdem einen kostenlosen Phising-Test absolvieren und prüfen, ob Sie im Falle der Fälle die richtigen Mails herausfiltern können (Angebot einer Cyber-Sicherheits-Initiative aus Köln)!