Fake-IT-Support, Phishing & Ransomware: 3 Risiken für kleine Unternehmen

Cyberangriffe müssen nicht völlig neue Methoden nutzen, um gefährlicher zu werden, denn oft reicht es, wenn bekannte Maschen glaubwürdiger werden.

Ein vermeintlicher IT-Support meldet sich über Microsoft Teams. Eine Phishing-Mail ist sprachlich nahezu perfekt formuliert. Und selbst ein funktionierendes Backup bedeutet bei einem Ransomware-Angriff längst nicht mehr automatisch, dass damit alle Probleme gelöst sind.

Gerade für kleine Unternehmen ist diese Entwicklung relevant. Denn dort gibt es häufig keine eigene IT-Abteilung. Gleichzeitig gehören E-Mail, Microsoft 365, Cloud-Dienste und digitale Geschäftsprozesse längst zum täglichen Arbeitsalltag.

In meinem aktuellen IT-Wochenrückblick habe ich deshalb drei Sicherheitsmeldungen aufgegriffen, die aus meiner Sicht auch für kleinere Unternehmen und Selbstständige praktische Bedeutung haben.

Die wichtigsten Themen auf einen Blick

1. Gefälschter IT-Support über Microsoft Teams

Ein Anruf oder eine Nachricht vom IT-Support ist im Unternehmensalltag zunächst nichts Ungewöhnliches. Genau dieses Vertrauen können Angreifer ausnutzen.

Kriminelle können sich beispielsweise über Microsoft Teams als Mitarbeiter des IT-Supports oder Helpdesks ausgeben. Anschließend wird behauptet, auf dem Computer müsse dringend etwas überprüft werden. Im nächsten Schritt soll möglicherweise eine Fernwartungsverbindung hergestellt, eine unbekannte Software installiert oder eine Multifaktor-Anmeldung bestätigt werden.

Das Gefährliche daran: Für den Mitarbeiter kann der Ablauf zunächst völlig plausibel wirken.

Ein angezeigter Name, ein Profilbild oder ein Firmenlogo reichen deshalb nicht aus, um die Identität eines Supportmitarbeiters zuverlässig festzustellen.

Für Unternehmen bedeutet das: Es sollte klar geregelt sein, wer IT-Support leisten darf, über welche Wege dieser Kontakt aufnimmt und wie Mitarbeiter bei Zweifeln die Identität überprüfen können.

2. Moderne Phishing-Mails sind nicht mehr leicht zu erkennen

„Phishing erkennt man doch sofort an der schlechten Rechtschreibung.“

Auf diese Regel sollte man sich heute besser nicht mehr verlassen.

Professionell formulierte Texte, passende Signaturen und überzeugend nachgebildete Firmenauftritte lassen sich inzwischen mit vergleichsweise wenig Aufwand erstellen. Zusätzlich können technische Methoden zum Einsatz kommen, mit denen Nachrichten versuchen, Sicherheitssysteme zu umgehen.

Entscheidender als die Frage, ob eine E-Mail professionell aussieht, ist deshalb:

Passt der Vorgang überhaupt?

Eine unerwartete Zahlungsaufforderung, eine plötzlich erforderliche Passwortänderung oder die Aufforderung, sich über einen ungewöhnlichen Link anzumelden, sollte immer Anlass für eine zusätzliche Prüfung sein.

Ein typisches Beispiel ist die vermeintliche Nachricht der Geschäftsführung:

„Bitte überweisen Sie sofort 8.000 Euro auf folgendes Konto.“

Selbst wenn Logo, Sprache und Signatur perfekt aussehen, sollte eine ungewöhnliche Zahlungsanweisung niemals allein aufgrund dieser E-Mail ausgeführt werden.

Im Zweifel gilt: über einen bereits bekannten und unabhängigen Kommunikationsweg nachfragen – beispielsweise über eine bekannte Telefonnummer und nicht über Kontaktdaten aus der verdächtigen Nachricht.

3. Ein Backup allein schützt nicht vor allen Folgen von Ransomware

Eine funktionierende Datensicherung gehört weiterhin zu den wichtigsten Bestandteilen eines Sicherheitskonzepts.

Trotzdem hört man in der Praxis häufig die Aussage:

„Wir haben doch ein Backup – uns kann also nichts passieren.“

Das greift zu kurz.

Bei modernen Ransomware-Angriffen können Daten nicht nur verschlüsselt werden. Angreifer können Informationen zuvor auch kopieren und anschließend damit drohen, diese zu veröffentlichen.

Ein Backup kann dabei helfen, verschlüsselte oder gelöschte Dateien wiederherzustellen.

Was es nicht kann: bereits gestohlene Daten vom System des Angreifers zurückholen.

Deshalb sollte eine Datensicherung immer Teil eines umfassenderen Sicherheitskonzepts sein.

Was bedeutet das für kleine Unternehmen?

IT-Sicherheit bedeutet für kleinere Unternehmen nicht automatisch, dass komplexe Systeme aufgebaut oder eine eigene Sicherheitsabteilung beschäftigt werden müssen.

Viel wichtiger sind klare und nachvollziehbare Prozesse und technische Maßnahmen, die zum tatsächlichen Bedarf des Unternehmens passen.

Aus den drei Meldungen lassen sich einige praktische Maßnahmen ableiten:

• IT-Support eindeutig festlegen: Mitarbeiter sollten wissen, wer Support leisten darf, wie sich dieser normalerweise meldet und wie seine Identität im Zweifel überprüft werden kann.
• Einen zweiten Kommunikationsweg nutzen: Ungewöhnliche Zahlungsanweisungen, Passwortänderungen oder Sicherheitsmeldungen sollten über einen bereits bekannten Kontaktweg bestätigt werden und nicht über eine Telefonnummer oder einen Link aus der verdächtigen Nachricht.
• Mitarbeiter sensibilisieren: Nicht nur schlechte Rechtschreibung ist ein Warnsignal. Entscheidend können ungewöhnliche Abläufe, Zeitdruck und unerwartete Aufforderungen sein.
• Zugriffsrechte begrenzen: Anwender sollten nur die Berechtigungen besitzen, die sie für ihre tägliche Arbeit tatsächlich benötigen.
• Multifaktor-Authentifizierung einsetzen: Sie kann den Missbrauch gestohlener Zugangsdaten erheblich erschweren.
• Systeme aktuell halten: Sicherheitsupdates für Betriebssysteme und Anwendungen sollten regelmäßig installiert werden.
• Backups nicht nur erstellen, sondern testen: Eine grüne Statusanzeige allein beweist noch nicht, dass eine Wiederherstellung im Ernstfall tatsächlich funktioniert.

Gerade der letzte Punkt wird häufig unterschätzt.

Ein Backup ist erst dann wirklich wertvoll, wenn bekannt ist, wie die Wiederherstellung funktioniert und ob die benötigten Daten tatsächlich zurückgesichert werden können.

Bereits die testweise Wiederherstellung einer unwichtigen Datei kann zeigen, ob der grundlegende Wiederherstellungsprozess funktioniert. Je nach Sicherungskonzept sollten darüber hinaus auch größere Wiederherstellungsszenarien regelmäßig geprüft werden.

Mehr dazu im aktuellen IT-Wochenrückblick

Im aktuellen Video erläutere ich die drei Meldungen ausführlicher und zeige, warum hinter vielen Sicherheitsproblemen nicht nur technische, sondern auch organisatorische Herausforderungen stecken.

Außerdem erhalten Sie am Ende des Videos drei konkrete Prüfungen, die Sie ohne zusätzliche Software direkt in Ihrem Unternehmen durchführen können.

Unterstützung bei Ihrer IT benötigt?

Sie sind sich nicht sicher, ob Ihre Datensicherung tatsächlich funktioniert, wie Mitarbeiter bei verdächtigen Supportanfragen reagieren sollen oder ob Ihre IT grundsätzlich sinnvoll abgesichert ist?

RS IT-Service unterstützt kleine Unternehmen dabei, ihre IT verständlich, nachvollziehbar und praxistauglich aufzustellen.

Dabei geht es nicht darum, möglichst viele Produkte einzusetzen. Zunächst sollte geklärt werden:

Was ist bereits vorhanden, wo bestehen tatsächliche Risiken und welche Maßnahmen sind für Ihr Unternehmen sinnvoll?