Das Cyberrisiko lauert im Homeoffice
Auch wenn Bundesarbeitsminister Hubertus Heil (SPD) mit seinem Vorschlag für ein „Mobile-Arbeit-Gesetz“ im Herbst gescheitert ist – die Pandemie hat längst Fakten geschaffen. Während zuvor nur rund 4 Prozent der Beschäftigten ausschließlich beziehungsweise überwiegend im Homeoffice arbeiteten, waren es während des ersten Lockdowns 27 Prozent und im Januar erneut immerhin 24 Prozent. Der Anteil dürfte bei Logistikunternehmen in etwa gleicher Höhe liegen.
Was allerdings zu Beginn der Pandemie noch freiwillig war, ist mit der SARS-CoV-2-Arbeitsschutzverordnung (Corona-ArbSchV) längst verpflichtend geworden: Wo immer dies möglich ist, soll von zu Hause gearbeitet werden. Etwaige betriebliche Gründe dafür, dass eine Arbeit im Homeoffice nicht möglich ist, müssen Arbeitgeber der zuständigen Behörde auf Verlangen darlegen. Die ursprünglich bis zum 15. März befristete Regelung läuft nun Ende April 2021 aus.
116 Angriffe pro Sekunde
Wer im Homeoffice arbeitet, erhöht das Risiko allerdings in anderer Hinsicht. Nach einer im April 2020 veröffentlichten Umfrage von Check Point Software und Dimensional Research berichteten 71 Prozent der IT- und Sicherheitsexperten weltweit von einer Zunahme der Sicherheitsbedrohungen und Angriffe seit dem Ausbruch des Coronavirus. Der Grund: Kriminelle versuchen, die explosionsartige Zunahme des mobilen Arbeitens auszunutzen. Homeoffice-Netzwerke waren laut einem Bericht des Anbieters von IT-Sicherheitsratings Bitsight vom März 2020 mit 45 Prozent 3,5 Mal häufiger mit Malware infiziert als Unternehmensnetzwerke (13,3 Prozent). Das Unternehmen Eset, das Sicherheitssoftware entwickelt, kann mit ebenfalls beeindruckenden Zahlen aufwarten: Pro Tag habe es im Dezember 2020 rund 14,3 Millionen Angriffe auf das Remote-Desktop-Protokoll (RDP) allein in Deutschland, Österreich und der Schweiz gegeben. Das sind in dieser Region 116 Angriffe pro Sekunde. Seitdem habe sich diese Zahl auch nicht verringert. Im Vergleich zum Januar 2019 mit 310.000 Angriffen entspricht das einer Steigerung von 4.516 Prozent. Selbst im dritten Quartal 2020 waren es mit 7,1 Millionen Angriffen noch halb so viele, da die Attacken seit dem zweiten Lockdown noch einmal zugenommen haben.
Moderates Risiko in Deutschland
Anderswo ist das Problem allerdings noch gravierender. Nach dem vom IT-Sicherheitsunternehmen Nord VPN in Zusammenarbeit mit Statista erstellten Cyberrisikoindex (Cyber Risk Index, kurz CRI) für 50 Länder belegen die USA den 5. Platz und das Vereinigte Königreich landet auf dem 10. Platz. In beiden Ländern sind die Opfer von Cyberkriminalität in der Regel männliche Unternehmer und Geschäftsführer zwischen 25 und 45 Jahren. Für Deutschland wurde wie für Westeuropa mit Ausnahme von Belgien und den Niederlanden lediglich ein moderates Risiko ermittelt.
Unsichere IoT-Geräte bergen Risiken
Die Ergebnisse einer von Opinium für AT&T durchgeführten und im März veröffentlichten Umfrage zum Verhalten von 3.000 Arbeitnehmer/innen in Deutschland und im Vereinigten Königreich sprechen aber auch hier für viel Sorglosigkeit: 54 Prozent der mobil arbeitenden Mitarbeiter nutzen ihr Arbeitsgerät regelmäßig für private Zwecke, einschließlich der gemeinsamen Nutzung von Arbeitsgeräten mit Familienmitgliedern. Mehr als ein Drittel der Befragten gab zu, das Equipment zu nutzen, um sich mit Smart-Home-Geräten (35 Prozent) wie Sprachassistenten (14 Prozent), intelligenten Lautsprechern (14 Prozent), Fitnessmonitoren (13 Prozent), intelligenter Beleuchtung (12 Prozent) und intelligenten Küchengeräten (12 Prozent) zu verbinden.
Dabei verstehen die Arbeitnehmer das Problem durchaus. Zwei Drittel (66 Prozent) gaben an, dass sie sich der Bedrohung der Cybersicherheit bewusster seien, seit sie von zu Hause aus arbeiten. Und fast die Hälfte glaubt, dass sie persönlich (49 Prozent im Vereinigten Königreich; 38 Prozent in Deutschland) und ihre Unternehmen (52 Prozent im Vereinigten Königreich; 42 Prozent hierzulande) einem erhöhten Risiko von Cyberangriffen ausgesetzt seien. Doch wenn es darum geht, Verantwortung zu übernehmen, sagen zwei von drei mobil arbeitenden Mitarbeitern (66 Prozent), dass es eine Herausforderung sei, für gute Cybersicherheit bei der Arbeit zu sorgen. Sie führen einen Mangel an adäquaten Schulungen oder technischem Support (22 Prozent), fehlende Priorisierung durch die Geschäftsleitung (18 Prozent) und einen zu hohen Zeitaufwand beziehungsweise zu viel Mühe (16 Prozent) an. Jeder fünfte Mitarbeiter (20 Prozent) sagt gar, dass er nicht dazu ermutigt werden könne, sich um Cybersicherheitsrisiken zu kümmern.
Wie ernst dies allerdings gerade auch von Logistikern genommen werden sollten, hat der Angriff auf ein Unternehmen in Südafrika Anfang April gezeigt, bei dem offenbar Malware der berüchtigten Lazarus-Gruppe eingesetzt wurde. Da Logistikunternehmen immer vernetzter sind, ist auch nicht auszuschließen, dass weitere Firmen von diesem Angriff betroffen sind. Im Schnitt dauert es allerdings 220 bis 250 Tage, bis Attacken überhaupt entdeckt werden. (ben)
