Tipps vom Verfassungsschutz

Welche Maßnahmen sollten Sicherheits- und IT-Verantwortliche im Blick haben?

• Etablieren Sie ein ganzheitliches Sicherheits- und Risikomanagement, das physische Sicherheit, Informations- und Cybersicherheit sowie organisatorische Schutzmaßnahmen umfasst. Überprüfen und aktualisieren Sie dieses regelmäßig unter Berücksichtigung der aktuellen Bedrohungslage.
• Sensibilisieren und schulen Sie Ihre Mitarbeitenden fortlaufend hinsichtlich aktueller Sicherheitsrisiken. Dazu gehören insbesondere Bedrohungen durch Spionage, Cyberangriffe, Social Engineering, Sabotage sowie unzulässige Einflussnahme durch staatliche und nichtstaatliche Akteure.
• Informieren Sie präventiv über mögliche Szenarien physischer Sabotage und deren potenzielle Verknüpfung mit Cyberangriffen. Berücksichtigen Sie dabei insbesondere kritische Geschäftsprozesse, Anlagen und Infrastrukturen, deren Ausfall erhebliche oder langfristige Auswirkungen auf den Geschäftsbetrieb haben kann.
• Prüfen Sie bestehende und geplante Veröffentlichungen, beispielsweise Lagepläne, technische Informationen oder Referenzprojekte, darauf, ob sie potenziellen Angreifern nützliche Informationen liefern könnten. Beschränken Sie die Veröffentlichung sensibler Informationen auf das notwendige Maß und wenden Sie konsequent das „Need-to-know“-Prinzip an, soweit keine gesetzlichen Offenlegungs- oder Veröffentlichungspflichten entgegenstehen.
• Führen Sie regelmäßig Penetrationstests und Sicherheitsüberprüfungen durch, um Schwachstellen aus der Perspektive potenzieller Angreifer zu identifizieren. Stellen Sie sicher, dass interne Systeme und Dienste nicht unnötig aus dem Internet erreichbar sind, und nutzen Sie für den Fernzugriff geeignete Schutzmechanismen, beispielsweise Virtual Private Networks (VPN).
• Prüfen Sie, inwieweit Maßnahmen wie eine konsequente Netzsegmentierung, eine Beschränkung von Zugriffsrechten sowie weitere technische Schutzmaßnahmen dazu beitragen können, Aufklärungsaktivitäten, unbefugte Zugriffe und automatisierte Angriffe auf besonders schutzwürdige Systeme zu erschweren.
• Prüfen Sie bei Stellenausschreibungen sorgfältig, welche Informationen für die Ansprache geeigneter Bewerberinnen und Bewerber tatsächlich erforderlich sind. Verwenden Sie nach Möglichkeit allgemeine Tätigkeits- und Anforderungsbeschreibungen und vermeiden Sie unnötige Details zu internen Prozessen, technischen Systemen, Sicherheitsmaßnahmen oder eingesetzten Technologien.
• Stellen Sie durch geeignete Richtlinien und Sensibilisierungsmaßnahmen sicher, dass Beschäftigte in sozialen Netzwerken und anderen öffentlichen Medien verantwortungsvoll mit Informationen über das Unternehmen umgehen. Sofern noch keine entsprechende Social-Media-Policy besteht, sollte die Einführung einer solchen Regelung geprüft werden. Dabei sollte insbesondere auf die Risiken einer unbeabsichtigten Preisgabe sensibler Unternehmensinformationen hingewiesen werden.
• Gehen Sie in sozialen Netzwerken, Karriereplattformen und anderen öffentlich zugänglichen digitalen Medien sparsam mit persönlichen und beruflichen Informationen um. Vermeiden Sie insbesondere detaillierte Angaben zu Tätigkeiten, Verantwortungsbereichen, Projekten, Standorten oder internen Abläufen. Solche Informationen können in Kombination mit weiteren öffentlich verfügbaren Daten für gezielte Angriffe auf Personen oder Unternehmen genutzt werden.
• Trennen Sie dienstliche und private IT-Nutzung konsequent voneinander. Nutzen Sie für den Zugriff auf Unternehmenssysteme ausschließlich die vorgesehenen und abgesicherten Verbindungen, beispielsweise über VPN-Lösungen. Achten Sie auch bei der Nutzung von Heimnetzwerken oder mobilen Endgeräten auf ein angemessenes Sicherheitsniveau.
• Verwenden Sie für dienstliche Kommunikation grundsätzlich die vom Unternehmen bereitgestellten Geräte sowie die freigegebenen und abgesicherten Kommunikationskanäle. Sensible oder betriebskritische Informationen sollten nicht über private Messenger-Dienste, private E-Mail-Konten oder nicht freigegebene Cloud-Dienste ausgetauscht oder gespeichert werden.
• Seien Sie aufmerksam gegenüber möglichen Sicherheitsvorfällen oder Auffälligkeiten, die auf Ausspähungs-, Manipulations- oder Sabotageversuche hindeuten könnten. Hierzu zählen beispielsweise unbefugte Zutrittsversuche, ungewöhnliche Aktivitäten im Umfeld des Unternehmens, verdächtige Kontaktaufnahmen oder technische Auffälligkeiten. Melden Sie entsprechende Beobachtungen über die vorgesehenen Meldewege.
• Seien Sie sich bewusst, dass Beschäftigte, insbesondere in verantwortungsvollen oder sensiblen Funktionen, Ziel von Informationsbeschaffungsversuchen, Social-Engineering-Angriffen oder anderen Formen der Einflussnahme werden können. Gehen Sie daher sorgfältig mit beruflichen und persönlichen Informationen um und beachten Sie die geltenden Sicherheits- und Verhaltensrichtlinien des Unternehmens.

Welche Maßnahmen sollten Personalverantwortliche umsetzen?

• Prüfen Sie bei Stellenausschreibungen sorgfältig, welche Informationen für die Ansprache geeigneter Bewerberinnen und Bewerber tatsächlich erforderlich sind. Verwenden Sie nach Möglichkeit allgemeine Tätigkeits- und Anforderungsbeschreibungen und vermeiden Sie unnötige Details zu internen Prozessen, technischen Systemen, Sicherheitsmaßnahmen oder eingesetzten Technologien.
• Stellen Sie durch geeignete Richtlinien und Sensibilisierungsmaßnahmen sicher, dass Beschäftigte in sozialen Netzwerken und anderen öffentlichen Medien verantwortungsvoll mit Informationen über das Unternehmen umgehen. Sofern noch keine entsprechende Social-Media-Policy besteht, sollte die Einführung einer solchen Regelung geprüft werden. Dabei sollte insbesondere auf die Risiken einer unbeabsichtigten Preisgabe sensibler Unternehmensinformationen hingewiesen werden.

Welche Maßnahmen werden für Beschäftigte empfohlen?

• Gehen Sie in sozialen Netzwerken, Karriereplattformen und anderen öffentlich zugänglichen digitalen Medien sparsam mit persönlichen und beruflichen Informationen um. Vermeiden Sie insbesondere detaillierte Angaben zu Tätigkeiten, Verantwortungsbereichen, Projekten, Standorten oder internen Abläufen. Solche Informationen können in Kombination mit weiteren öffentlich verfügbaren Daten für gezielte Angriffe auf Personen oder Unternehmen genutzt werden.
• Trennen Sie dienstliche und private IT-Nutzung konsequent voneinander. Nutzen Sie für den Zugriff auf Unternehmenssysteme ausschließlich die vorgesehenen und abgesicherten Verbindungen, beispielsweise über VPN-Lösungen. Achten Sie auch bei der Nutzung von Heimnetzwerken oder mobilen Endgeräten auf ein angemessenes Sicherheitsniveau.
• Verwenden Sie für dienstliche Kommunikation grundsätzlich die vom Unternehmen bereitgestellten Geräte sowie die freigegebenen und abgesicherten Kommunikationskanäle. Sensible oder betriebskritische Informationen sollten nicht über private Messenger-Dienste, private E-Mail-Konten oder nicht freigegebene Cloud-Dienste ausgetauscht oder gespeichert werden.
• Seien Sie aufmerksam gegenüber möglichen Sicherheitsvorfällen oder Auffälligkeiten, die auf Ausspähungs-, Manipulations- oder Sabotageversuche hindeuten könnten. Hierzu zählen beispielsweise unbefugte Zutrittsversuche, ungewöhnliche Aktivitäten im Umfeld des Unternehmens, verdächtige Kontaktaufnahmen oder technische Auffälligkeiten. Melden Sie entsprechende Beobachtungen über die vorgesehenen Meldewege.
• Seien Sie sich bewusst, dass Beschäftigte, insbesondere in verantwortungsvollen oder sensiblen Funktionen, Ziel von Informationsbeschaffungsversuchen, Social-Engineering-Angriffen oder anderen Formen der Einflussnahme werden können. Gehen Sie daher sorgfältig mit beruflichen und persönlichen Informationen um und beachten Sie die geltenden Sicherheits- und Verhaltensrichtlinien des Unternehmens.