Coronavirus: Was hat das Virus mit IT-Sicherheit zu tun?

Das Coronavirus hält die Welt in Atem – nicht nur die physische, auch die digitale. Viele Mitarbeiter werden ins Home-Office versetzt, Hacker nutzen die Angst vor dem Virus aus und vielfach wird überlegt, inwieweit der Datenschutz Platz für Gesundheit machen soll. Wie verhalten sich Mitarbeiter und Arbeitgeber am besten in diesen Krisenzeiten? Diese und weitere Fragen soll unser heutiger Blogbeitrag beantworten.

Coronavirus in der IT-Welt

Das Coronavirus beeinflusst nahezu jeden Sektor des täglichen Lebens: Neben der Gesundheit jedes Einzelnen auch die Wirtschaft und das Word Wide Web. Die nachfolgenden Ausführungen zeigen, wie weit das Virus ins Leben eingreift:

Cyberkriminelle nutzen Angst aus – Corona-Phishing

Der Sicherheitshersteller Sophos warnte Mitte Februar und erneut Anfang März 2020 davor, dass Hacker die Angst vor dem Coronavirus ausnutzen. Auch Antiviren-Experte Kaspersky warnt: „Das Coronavirus, das derzeit heiß in den Medien diskutiert wird, wurde bereits von Cyberkriminellen als Köder eingesetzt. Bisher haben wir zwar nur zehn eindeutige Dateien identifiziert, aber da diese Art von Aktivität häufig bei populären Medienthemen auftritt, gehen wir davon aus,d ass diese Zahl zunehmen wird. Da die Menschen weiterhin um ihre Gesundheit besorgt sind, wird in gefälschten Dokumenten, die angeblich über das Coronavirus aufklären, möglicherweise immer mehr Malware verbreitet.“

Beide Sicherheitsexperten, Sophos und Kaspersky, entdeckten einen Anstieg an Phishing-Mails mit Bezug auf COVID-19. Cyberkriminelle sind versucht, sich die Aufregung zunutze zu machen, indem sie schädliche Dateien in E-Mails einschleusen, die einen vermeintlichen Bezug zu Corona haben. Eine solche Phishing-Mail kann über einen Dokumentenanhang verfügen, in dem angeblich Vorsichtsmaßnahmen gelistet werden, die die Verbreitung der Infektion stoppen sollen. Tatsächlich jedoch versteckt sich in dem Dokument ein Makro, das die Opfer mit Trickbot-Malware infiziert. Die Cyberkriminellen nutzen die COVID-19-Welle, um ihre Malware möglichst effizient zu verbreiten.

Zum Schutz ist es ratsam, Makros auszuschalten (aufgrund von Emotet und ähnlichen Gefahren ist das ohnehin empfehlenswert) und sehr vorsichtig mit Klicks auf Anhängen und/ oder Links zu sein. Erscheint eine E-Mail verdächtig, sollte sie gelöscht werden. In unserem Beitrag „Emotet erkennen: Maßnahmen gegen Trojaner“ haben wir Ihnen dringend empfohlene und optionale Maßnahmen zu Ihrem Schutz vorgestellt. Diese Empfehlungen gelten auch hier.

Gefälschte Corona-Virus-Karten

Menschen möchten sich über die Coronaviren-Pandemie informieren, Hacker wissen dies. Aus diesem Grunde starteten Cyberkriminelle damit, persönliche Informationen über eine gefälschte Website abzufangen. Die John-Hopkins-Universität erstellte eine Corona-Verbreitungskarte. An dieser Website orientierten sich die Cyberkriminellen bei ihrer gefälschten Website. Wie im Original können Interessierte auf der gefälschten Site sehen, in welchen Ländern sich das Virus ausgebreitet hat, wie viele Todesfälle und Infektionen es wo gibt.

Die Kriminellen haben die Karte nach dem Vorbild der John-Hopkins-Universität erstellt, um sie authentisch wirken zu lassen. Ein sehr wichtiger Unterschied ist jedoch die .exe-Datei auf der gefälschten Website: Opfer, die die Website aufrufen, aktivieren unwissentlich bösartige Software, die zum Diebstahl von Informationen eingesetzt wird. Dieses Vorgehen ist nicht neu, erstmals wurde die Malware-Familie „AZORult“ 2016 entdeckt. Neu ist jedoch die Verbindung zum Coronavirus. Da der Link zu dieser Karte in sozialen Netzwerken, Messengern und per E-Mail in Umlauf ist, ist Vorsicht geboten! Bitte achten Sie darauf, dass echte Karten zur Verbreitung des Coronavirus in aller Regel ohne Download einer Zusatzsoftware einsehbar sind.

Handytracking zum Aufspüren von Infizierten

Ungewöhnliche Umstände erfordern ungewöhnliche Maßnahmen – so oder so ähnlich hat man wohl im Robert-Koch-Institut (RKI) gedacht: Mittels Handytracking könnte man infizierte Personen ausfindig machen. Woher kommt diese Überlegung?

Aktuell ist es sehr zeitintensiv, alle Kontaktpersonen ausfindig zu machen, mit denen Infizierte in Kontakt waren. In Wissenschaftskreisen hieß es, das könne Zeit für eventuell lebensnotwendige Behandlungen kosten und dazu beitragen, die Ausbreitung des Coronavirus voranzutreiben. Durchs Handytracking bzw. durchs Auslesen der Bewegungsdaten von Smartphones erhofft sich das RKI, Kontaktpersonen schneller ausfindig zu machen.

Technisch sei das möglich, erklärte RKI-Präsident Lothar Wieler. Man habe bislang laut Wieler nur „erste Überlegungen“ angestellt. Denn der RKI-Präsident gibt zu bedenken, dass sowas nur möglich wäre, wenn jeder einzelne Verbraucher persönliche Daten für diesen Zweck auch herausgeben würde. Inwieweit dies für eine Gesellschaft akzeptabel sei, werde derzeit diskutiert.

Weder Mobilfunkanbieter noch Datenschützer sehen für ein solches Handytracking eine Grundlage: Einer Telekom-Sprecherin zufolge sei es aufgrund der hohen Datenschutzbestimmungen gar nicht möglich, Bewegungen von einzelnen Kunden zurückzuverfolgen. Solche Daten lägen ohnehin nur anonymisiert vor, erklärte das Unternehmen. Die Herausgabe personenbezogener Daten sei ausschließlich auf richterliche Anordnung an Ermittlungsbehörden möglich.

Eine Sprecherin des Bundesministeriums für Justiz und Verbraucherschutz (BMJV) erklärte gegenüber dem Tagesspiegel, dass „auf den ersten Blick keine spezifische Rechtsgrundlage ersichtlich“ sei, auf deren Basis Bewegungsdaten erhoben werden könnten. Ulrich Kelber sieht es als Bundesbeauftragter für den Datenschutz ähnlich: „Ein staatlich erzwungener Zugriff auf die Handydaten von Infizierten – wie er scheinbar aktuell in China praktiziert wird – wäre hier rechtlich gesehen mehr als problematisch“. Kelber gibt weiter zu bedenken, dass solche Maßnahmen die Zustimmung jedes Betroffenen voraussetzen würde. Außerdem: „Die Betroffenen müssen vorher ausführlich über den Zweck der Erhebung, die Nutzung der Daten und die Speicherdauer informiert werden, damit sie die potenziell für sie entstehenden Risiken abwägen können.“

Home-Office für mehr Sicherheit

Um die rasante Verbreitung des Coronavirus einzudämmen, forderte die Bundesregierung dazu auf, große Veranstaltungen zu meiden. Veranstaltungen, zu denen mehr als 1.000 Besucher erwartet werden, sollten vorbeugend verschoben oder abgesagt werden. In der Hauptstadt wurde nun sogar die Notbremse gezogen: Der Senat beschloss, dass in Berlin jede Veranstaltung ab 50 Teilnehmern untersagt wird. Damit sind neben Kneipen und Clubs auch Spielhallen oder Wettannahmestellen dicht. Unternehmen sind nun angehalten, den Empfehlungen zu folgen.

Internationale Konzerne empfehlen Home-Office

Viele der Big Player auf dem Markt – Apple, Twitter, Facebook, Amazon oder Microsoft – gehen mit gutem Beispiel voran: Sie empfehlen ihren Mitarbeitern innerhalb bestimmter Regionen, vom Home-Office aus zu arbeiten. Veranstaltungen und Messen wie Google I/O oder Facebooks Entwicklerkonferenz F8 sollen nun online stattfinden – oder gänzlich ausfallen.

Die Gesundheitsämter unterstützen diesen Ansatz und wünschen von Unternehmen: Wenn irgend möglich, sollten Mitarbeiter vom Home-Office aus arbeiten, um die Verbreitung des Coronavirus nicht weiter zu fördern. Vielfach wurden auch die Bestimmungen für Dienstreisen an die aktuelle Situation angepasst. Die Genehmigung einer solchen Reise liegt nun weniger beim direkten Vorgesetzten als eher auf höherer Führungsebene.

Cybersecurity im Home-Office

COVID-19 bringt jedes Unternehmen in eine bislang unbekannte Situation: Alle werden völlig überraschend und ungeplant getroffen. Referenzfälle existieren nicht. Dementsprechend existieren auch keine Notfallpläne für Pandemien in den Unternehmen. Außerdem weiß niemand, wie lang diese Situation anhält. Das macht es verdammt schwer für Unternehmen und ihre Mitarbeiter! Es kommen diverse Veränderungen in den Abläufen und Prozessen auf Verantwortliche für die IT-Sicherheit zu. Es ist nun an ihnen, die Nahtstellen, die in dieser neuen Situation entstehen, abzusichern. Es ist nicht einfach, sich um ein Problem zu kümmern, das so vorher noch nie da war. Um die Cyberrisiken zu verringern, empfehlen wir Mitarbeitern im Home-Office die folgenden Maßnahmen:

• VPN: Für eine sichere Verbindung ins Unternehmensnetzwerk nutzen Sie bitte einen VPN-Dienst.
• Sicherheitssoftware: Schützen Sie sämtliche Geräte einschließlich Mobiltelefon, Tablet oder Laptop mit einer geeigneten Sicherheitssoftware. Beachten Sie die Funktion zum Fernlöschen von Daten jener Geräte, die verloren oder gestohlen werden. Idealerweise lassen sich persönliche sowie Arbeitsdaten trennen. Beachten Sie etwaige unternehmensweite Einschränkungen zum Installieren von Apps. Eine aktivierte Geräteverschlüsselung schützt bei Diebstahl alle Daten auf dem Gerät.
• Updates: Spielen Sie Updates für Betriebssysteme und Apps zeitnah ein. Idealerweise aktualisiert sich Software automatisch, sodass kein Update vergessen werden kann.
• Zugriffsrechte: Personen, die eine Verbindung zum Unternehmensnetzwerk herstellen, sollten nur auf das zugreifen dürfen, was sie für ihre Arbeit benötigen.
• Sensibilisierung: Sensibilisieren Sie Ihre Mitarbeiter, damit sich diese der Gefahren bewusst sind.
• Anleitungen: Kontrollieren und optimieren Sie gegebenenfalls Ihre Zugriffs-Richtlinie. Bereiten Sie verständliche Anleitungen für Mitarbeiter, die weder von VPN noch von Remote Sessions gehört haben. Geben Sie auch eine Anleitung für das Ver- und Entschlüsseln von E-Mails.
• IT-Hotline: Richten Sie eine IT-Hilfshotline ein, können sich Mitarbeiter, die allein im Home-Office arbeiten, Rat einholen. Mitarbeiter müssen wissen, wer ihnen im Fall der Fälle helfen kann – schließlich sind im Home-Office keine Kollegen greifbar. Die Gefahr ist hoch, dass Mitarbeiter auftretende Probleme ignorieren und totschweigen, wenn sie keinen Ansprechpartner haben. Ermutigen Sie Ihre „Heimarbeiter“ zum Nutzen dieser Hotline und zum Melden jeder Auffälligkeit. Denkbar ist auch ein Briefkasten für auftretende Sicherheitsprobleme: Mitarbeiter können verdächtige Mails für weitere Untersuchungen hierhin weiterleiten.

Ihre Mitarbeiter sollten Links in E-Mails oder Dateianhängen auf keinen Fall anklicken. Informationen sind aus offiziellen und vertrauenswürdigen Quellen zu beziehen. Prüfen Sie bei Downloads immer die Datei-Erweiterung. Liegen Dokumente oder Videodateien im .exe- oder .lnk-Format vor, lassen Sie Skepsis walten und entscheiden Sie sich gegen den Download.

Corona-Daten dürfen durch Firmen erhoben werden

Am 13. März 2020 erklärte der Bundesdatenschutzbeauftragte Ulrich Kelber: „So lange die Maßnahmen der Arbeitgeber und Dienstherren verhältnismäßig sind, steht der Datenschutz der Infektionsbekämpfung nicht im Weg. Denn die Gesundheit der Bürgerinnen und Bürger steht jetzt im Mittelpunkt.“ Damit rechtfertigt die Bekämpfung der Pandemie das umfassende Speichern von personenbezogenen Daten, wie die Deutsche Datenschutzkonferenz (DSK) nun auch auf ihrer Website erklärt.

Diesen datenschutzrechtlichen Informationen ist zu entnehmen, dass personenbezogene Daten in Fällen gespeichert werden dürfen, „in denen eine Infektion festgestellt wurde oder Kontakt mit einer nachweislich infizierten Person bestanden hat“. Dies gilt auch dann, wenn sich Mitarbeiter in einem vom RKI als Risikogebiet eingestuften Regionen aufgehalten haben.

Stefan Brink, seines Zeichens Datenschutzbeauftragter in Baden-Württemberg, möchte jedoch Stigmatisierungen verhindern. Arbeitgeber dürften nicht den Beschäftigten mitteilen, welcher der Kollegen mit dem Coronavirus infiziert sei. In einer FAQ zum Thema (PDF) heißt es: „Die Kenntnis von der Corona-Erkrankung eines Mitarbeiters kann für diesen zu einer enormen Stigatisierung führen“. Jedoch seien jene Mitarbeiter, die mit einem Infizierten in direktem Kontakt standen, auch zu warnen. Sie seien von der Arbeit freigestellt, um selbst zur Eindämmung der Absteckungsgefahr des Coronavirus beizutragen.

Entsprechende Daten dürften laut DSK auch von Gästen und Besuchern erhoben werden. Mit ihnen könnte etwa festgestellt werden, ob diese infiziert sind, in Kontakt mit Infizierten standen oder sich im relevanten Zeitraum im Risikogebiet aufhielten. Alle in diesem Zuge erhobenen Daten müssen laut DSK vertraulich behandelt und zweckgebunden verwendet werden. Sie seien spätestens mit dem Ende der Coronavirus-Pandemie vollständig zu löschen. Die Datenschützer weisen auch darauf hin, dass Betroffene ihrer Ansicht nach verpflichtet seien, den Arbeitgeber über eine Corona-Infektion zu informieren.

Eindämmung des Coronavirus: Helfen auch Sie mit!

Sie sehen: Panik wäre unangebracht, Vorsicht ist jedoch das Gebot der Stunde. Auch Sie können dabei helfen, die Verbreitung von COVID-19 zu verhindern: Das Home-Office ist eine solche Möglichkeit, wenn sie richtig umgesetzt wird. Ist das Home-Office keine Option in Ihrem Betrieb, denken Sie bitte an Hygienemaßnahmen wie das Desinfizieren von Tastaturen oder Telefonen. Wichtig ist auch Ihr Team: Ihre Mitarbeiterinnen und Mitarbeiter sollten informiert und geschult sein, auf Panik und Angst jedoch verzichten.

Bleiben Sie gesund, achten Sie auf sich und Ihre Mitmenschen.