Informationsbroschüre Informationsbroschüre für Einsteiger IT-Sicherheit: Themenfokus Web 2.0 und Social Media www.ec-net.de www.ecc-handel.de
Herausgeber Maria Klees, E-Commere-Center Handel, Köln c/o IfH Institut für Handelsforschung GmbH Dürener Str. 401b 50858 Köln Telefon: 0221-94 36 07-77 Telefax: 0221-94 36 07-59 E-Mail: m.klees@ecc-handel.de Internet: www.ecc-handel.de Text und Redaktion Maria Klees, ECC Handel, Köln Grafische Konzeption und Gestaltung Christian Bähr, ECC Handel, Köln Bildquellen BeTa-Artworks www.fotolia.com Michael Brown www.fotolia.com contrastwerkstatt www.fotolia.com julien tromeur www.fotolia.com Julien Eichinger www.fotolia.com maigi www.fotolia.com Yana Tsvetkova www.fotolia.com Druck Saxoprint GmbH, Dresden Herausgeber ECC Handel, Köln Stand Juni 2012
Inhalt 1 Einleitung...02 2 Daten und Fakten...03 3 Neue Möglichkeiten bergen neue Sicherheitslücken...04 4 Web 2.0 - Sicherheitstipps...08 5 Fazit... 11 6 Quellen...12 7 Sichere E-Geschäftsprozesse in KMU und Handwerk...13
2 Einleitung Web 2.0 und Social Media: Das interaktive Internet Einleitung Der Begriff Web 2.0 wurde von Tim O Reilly im Jahr 2003 erstmals gegenüber der Öffentlichkeit erwähnt und geprägt. Er steht für die technische Weiterentwicklung des Internets zu einer interaktiven Plattform, die von den Nutzern selbst verändert und gestaltet werden kann und somit einen öffentlichen Dialog ermöglicht. Für die verschiedenen dynamischen und interaktiven Anwendungen des sogenannten Mitmach-Internets hat sich in den letzten Jahren der Begriff Social Media etabliert, der weniger den technologischen Fortschritt, sondern insbesondere den sozialen Charakter einer Vielzahl von Anwendungen beschreibt. Zu den bekanntesten Anwendungen gehören soziale Netzwerke (z. B. Facebook), Content-Sharing-Plattformen (z.b. You- Tube), Blogs, Foren und Microblogging- Dienste (z. B. Twitter). In dem Maße, in dem sich Konsumenten zunehmend auch in Social Media über Unternehmen und Produkte informieren und austauschen, wird eine Nutzung dieser Anwendungen auch für die Unternehmen immer interessanter. So informiert sich bereits jeder vierte Nutzer sozialer Netzwerke dort über Unternehmen und Produkte und im Jahr 2010 nutzte bereits jedes zehnte Unternehmen eine oder mehrere Social Media-Anwendungen. Zunehmend werden die einzelnen Social Media-Kanäle in die Marketingstrategien integriert. So können Kunden bspw. in die Produktentwicklung und Vermarktung einbezogen werden und so zu einer glaubwürdigen Referenz für das Unternehmen werden. Mithilfe von Kundenbewertungen können sich auch insbesondere kleine und mittlere Händler positiv von ihrer Konkurrenz abheben. Laut der aktuellen Studie Elektronischer Geschäftsverkehr in Mittelstand und Handwerk 2011 des Netzwerks Elektronischer Geschäftsverkehr gehört die Einbindung von Web 2.0-Elementen auf der Website zu den Top 3-Themen, zu denen die befragten Unternehmen sich mehr Informationen wünschen. Um maximal von den Chancen des Web 2.0 profitieren zu können, müssen sich die Unternehmen jedoch auch der Risiken bewusst sein, die damit einhergehen können.
Daten und Fakten 3 Wussten Sie schon, dass... 74,7 Prozent der Deutschen online sind? 42 Prozent der Onlinenutzer ab 14 Jahren in privaten Netzwerken und Communities aktiv sind? 55 Prozent der Community-Mitglieder sogar täglich aktiv werden? bereits 47 Prozent der deutschen Unternehmen Social Media-Anwendungen einsetzen? lediglich 19 Prozent der in Social Media aktiven Unternehmen interne Richtlinien für die Nutzung festgelegt haben? 50 Prozent der Unternehmen, die noch nicht in Social Media aktiv sind, rechtliche Unsicherheiten bspw. bezüglich des Datenschutzes als Grund angeben?
4 Neue Möglichkeiten Neue Möglichkeiten bergen neue Sicherheitslücken Mit der Nutzung von Web 2.0-Anwendungen eröffnet sich Unternehmen eine neue digitale Welt der umfassenden Kommunikation. Auch in Unternehmen, die zusätzlich noch stationär vertreten sind, wird das Internet ein immer wichtigerer Bestandteil des Geschäftsmodells. Jedoch gehen mit der zunehmenden Nutzung auch Risiken einher, gegen die es sich zu schützen gilt. Doch auch für Kommunikation im Internet gilt, dass sie nie einseitig sondern stets zweiseitig erfolgt, daher ist die Kommunikation über das Internet sowohl von Mitarbeitern an Externe, als auch umgekehrt möglich, sodass auch beide Richtungen Gefahren bergen können:
Neue Möglichkeiten 5 Externe Risiken Nur wer aktiv in Social Media vertreten ist, kann in vollem Umfang von den Vorteilen und den sich bietenden Möglichkeiten zur Kundenakquise und -bindung profitieren. Dieses Mitmachen bedingt jedoch eine aktive Teilnahme und regelmäßige Interaktion in Social Networks, Blogs oder Foren. Darin eingeschlossen ist das Teilen von Informationen, oft über Verlinkungen auf Seiten oder Angebote von Dritten. Doch wie Links, die in E-Mails übergeben werden, können auch solche Links, die über Social Media verbreitet werden, Schadcodes wie bspw. Viren oder Trojaner enthalten. Diese infiltrieren das firmeninterne Netzwerk und können es nachhaltig schädigen. Datenverlust oder -manipulation können die Folge sein und ein Unternehmen vor ernstzunehmende Schwierigkeiten stellen. Besonderes Augenmerk sollten Unternehmen auf die Sicherheit ihrer eigenen Angebote und Beiträge in Social Media legen. Wenn es einem Angreifer gelingt, Unternehmensaccounts in Communities und Netzwerken unter seine Kontrolle zu bringen oder Schadcodes einzuspeisen, so kann für das betroffene Unternehmen nicht nur ein finanzieller Schaden, sondern ein nur schwer wieder gutzumachender hoher Reputationsverlust entstehen. Eine umsichtige Teilnahme am Web 2.0, d. h. die Vermeidung unachtsamen Anklickens von Links unbekannter Herkunft, sowie die Sicherung und Überprüfung eigener Angebote und Beiträge können vor der Verbreitung von Schadsoftware schützen und Schaden vom eigenen Unternehmen abwenden. Häufig weiterverbreitete, in Communities gesharte animierte Anwendungen, auf Java-Skripten basierend, werden von digitalen Angreifern aufgrund ihrer Einfachheit gerne genutzt um zumindest die partielle Kontrolle über fremde Rechner oder Systeme zu erlangen und diese dann nach Belieben zu ihrem eigenen Vorteil zu steuern. Dies kann dazu führen, dass Unternehmensrechner Teil eines sogenannten Bot-Netzwerks werden, das zum Angriff auf andere Systeme genutzt werden kann. In jedem Fall führt solch ein Eindringen zur Gefährdung von Unternehmensdaten sowie einer Reduzierung der Rechenleistung.
6 Neue Möglichkeiten Interne Risiken Mitarbeiter zählen zu den wichtigsten Faktoren für den Erfolg eines Unternehmens, sind aber zugleich auch eine Quelle potenzieller Risiken. So sehen rund 20 Prozent der Unternehmen die eigenen Mitarbeiter als die Personengruppe, die das größte Sicherheitsrisiko birgt. Gerade im Umgang mit Social Media kann bewusstes oder unbewusstes Fehlverhalten seitens der Mitarbeiter schwerwiegende Konsequenzen haben. So kann es leicht passieren, dass Mitarbeiter aus Unwissenheit sensible Informationen preisgeben, die für potenzielle Angreifer interessant sind. Daneben gehören zu einer modernen Kommunikation im Web 2.0 verschiedene eigenständige Instant-Messaging Dienste (z. B. MSN- oder Yahoo-Messenger) oder bereits in Communities integrierte Dienste. So schnell hier Informationen verbreitet werden können, so schnell kann über diesen Weg auch sogenannte Malware (Schadprogramme) in das Unternehmensnetzwerk gelangen. Dieses unkomplizierte Kommunikationsmedium kann auch genutzt werden, um mit Kollegen in Echtzeit Informationen zu teilen. Werden solche Informationen aber unverschlüsselt über das Internet übertragen, können externe Akteure mit nur geringem Aufwand darauf zugreifen. Um das eigene Unternehmen wirkungsvoll vor solchen Risiken zu schützen, können zum einen besonders risikobehaftete Elemente des Web 2.0 gesperrt werden, zum anderen sollten die Mitarbeiter in jedem Fall hinsichtlich eines verantwortungsbewussten Verhaltens in Social Media geschult werden. Außerdem sollte bei einer internen Kommunikation über Instant-Messaging-Dienste darauf geachtet werden, dass wichtige und sensible Informationen verschlüsselt übertragen werden.
Neue Möglichkeiten 7 Social Engineering Mit dem Begriff des Social Engineering ist das geschickte Aushorchen von Mitarbeitern eines Unternehmens zu kriminellen Zwecken gemeint. Die größte Stärke des Web 2.0 für Unternehmen liegt in der Verbreitung von Informationen und der Darstellung des Unternehmens selbst. Hierzu gehört auch, dass sich ein Unternehmen so präsentiert, dass es mit den bereitgestellten Informationen das Interesse der Internetnutzer wecken kann. Da der Mitarbeiter zugleich auch Privatperson ist und somit also auch gegebenenfalls in Social Networks aktiv ist, können Kriminelle die frei verfügbaren Informationen aus dem Internet zusammenführen und dazu nutzen, sich das Vertrauen von Mitarbeitern zu erschleichen. Darüber hinaus wird beim Social Engineering häufig an menschliche Eigenschaften wie bspw. Hilfsbereitschaft oder Respekt vor Autorität appelliert, um unberechtigten Zugang zu Informationen oder IT-Systemen zu erlangen. Angreifer können sich über die Vielzahl der verfügbaren Informationen zu einer Person oder einem Unternehmen im Web 2.0 sehr einfach ein recht detailliertes Bild über ihre potenziellen Opfer verschaffen, so dass sie im persönlichen Kontakt schnell Vertrauen in ihre Seriosität aufbauen können. So gelingt es Ihnen, an sensible Informationen wie bspw. Geschäftsinterna oder sogar Passwörter zu gelangen. Hiervor schützen nur eine gewisse Zurückhaltung im Umgang mit kritischen Informationen sowie aufmerksame und geschulte Mitarbeiter.
8 Web 2.0 - Sicherheitstipps Web 2.0 - Sicherheitstipps 1 Sicherheits-Software installieren und aktualisieren: Antiviruslösungen, Security-Suites und das regelmäßige Einspielen von Sicherheits- Updates, die neue Schadsoftware erkennen und neutralisieren können, sind elementar, um sich im Web 2.0 möglichst sicher bewegen zu können. Die Verwendung alternativer und damit weniger verbreiteter Browser mit restriktiven Sicherheitseinstellungen ist eine wesentliche Ergänzung. 2 Restriktive Nutzung von externen Instant-Message Diensten: Generell sollten keinerlei Zugangsdaten oder sensible Unternehmensinterna (bspw. neue Projekte oder Entwicklungen) über solche internetbasierten Dienste versandt werden. 3 Phishing vermeiden: Phishing ist der Versuch, über gefälschte URLs an Daten eines Internet-Nutzers zu gelangen. Links in Mails oder Mitteilungen unbekannter Herkunft sollten also generell ignoriert werden. Öffnen Sie Web-Adressen oder Anmeldeseiten sozialer Netzwerke nur über eine direkte Eingabe der URL oder gespeicherte Lesezeichen. 4 Echtheit prüfen: Achten Sie immer darauf, ob in der Adresszeile Ihres Web-Browsers auch die tatsächliche Web-Adresse steht, die Sie besuchen wollten. Wenn Sie unsicher sind, geben Sie niemals Ihre Anmeldedaten ein. Legen Sie zudem Wert auf das Schlosssymbol in der Statusleiste, welches auf eine verschlüsselte Datenübertragung hinweist.
Web 2.0 - Sicherheitstipps 9 5 Kurz-URLs testen: Bei Twitter ist die Zeicheneingabe beschränkt, sodass viele auf die Kurz-URLs, wie bspw. die von TinyURL oder bitly, zurückgreifen. Diese sind jedoch auch beliebt, um Malware oder Phishing-Links zu tarnen. TinyURL bietet zum Schutz eine Preview-Funktion der Zieladresse an, die Sie unbedingt nutzen sollten. 6 Datensammler abwehren: Schützen Sie Ihre persönlichen Daten und geben Sie diese nur persönlichen Kontakten und ausgewählten Personen frei. Für kommerzielle Datensammler sind Portale wie Facebook ein Sammelbecken von Personenprofilen, die weiterverkauft und im Rahmen von Social Engineering missbraucht werden können. 7 Richtlinien erstellen: Unabhängig davon, ob Ihre Mitarbeiter Social Media-Anwendungen privat nutzen dürfen, ob sie Inhalte für das Unternehmen bei Twitter o. ä. verbreiten sollen, oder ob ihr Unternehmen interaktive Dienste, wie Blogs, Foren oder Communitys anbietet: die Mitarbeiter müssen hinsichtlich des Themas Sicherheit sensibilisiert werden. 8 Kontrollen durchführen: Halten Sie Einträge über Ihr Unternehmen, von Ihren Mitarbeitern oder auf Ihrem Blog im Auge. Eine kontinuierliche Kontrolle kann meist Schlimmeres verhindern, vor allem in Bezug auf eine Verfälschung eigener Angebote und Beiträge durch Dritte.
Fazit 11 Fazit Um in einer facettenreichen und dynamischen Geschäftswelt bestehen zu können, ist die Einbeziehung von Social Media im Unternehmensalltag wesentlich. Insbesondere kleine und mittelständische Unternehmen können mit den Möglichkeiten, die die verschiedenen Social Media-Anwendungen bieten, Wettbewerbsvorteile gegenüber den großen Marktbegleitern erzielen. Allerdings bergen die unzähligen Anwendungen des Web 2.0 auch Gefahren für die IT- und Informationssicherheit und damit den wirtschaftlichen Erfolg eines Unternehmens. Eine Sensibilisierung der Mitarbeiter nebst konsequent implementierten und durchgesetzten IT-Sicherheitsstandards erlaubt jedoch eine profitable Teilnahme am Web 2.0, bei der die Chancen mögliche Risiken klar überwiegen.
4 Thema Quellen BITKOM e. V. (2012): Social Media in deutschen Unternehmen [http://www.bitkom.org/files/documents/social_media_in_unternehmen.pdf] Duscha, A./Hotz, A./Winter, E./Klees, M. (2011): Internet im Handel 2010 Status Quo und Entwicklungen [http://www.ecc-handel.de/internet_im_handel_2010_-_status_quo_und.php] Van Eimeren, B./Frees, B. (2011): ARD/ZDF-Onlinestudie 2011 [http://www.ard-zdf-onlinestudie.de] Netzwerk Elektronischer Geschäftsverkehr (2011): Netz- und Informationssicherheit in Unternehmen 2011 [http://www.kmu-sicherheit.de] TNS-Infratest (2011): (N)Onliner-Atlas 2011 [http://www.initiatived21.de/portfolio/nonliner-atlas] AGOF e.v. / internet facts 2011-11 [http://agof.de/internet-facts.987.de.html] ECC Handel, Themenfeld Web 2.0, [http://www.ecc-handel.de/web_20.php] Wiewer, V./Anweiler, R. (2010): Der Europäische Social Media und E-Mail Monitor 6 Länder Studie zum digitalen Dialog mit Facebook, Twitter, E-Mail & Co. (Ergebnisse Teil 1) Ziemann, Frank (2009): Sicherheitstipps für soziale Netzwerke, [http://www.pcwelt.de/start/sicherheit/firewall/news/195774/ sicherheitstipps_fuer_soziale_netzwerke]
Das Verbundprojekt 13 Das Verbundprojekt Sichere E-Geschäftsprozesse in KMU und Handwerk Das Verbundprojekt Sichere E-Geschäftsprozesse in KMU und Handwerk des Netzwerks Elektronischer Geschäftsverkehr wurde vom Bundesministerium für Wirtschaft und Technologie (BMWi) unterstützt und sollte helfen, in kleinen und mittleren Unternehmen mit verträglichem Aufwand die Sicherheitskultur zu verbessern. Es widmete sich von 2007 bis 2011 der Vielfalt der Themen und Fragestellungen der ITund Informationssicherheit. Im Verbund mit Partnern aus der Forschung, der Wirtschaft und der Politik informierte und sensibilisierte das Projekt aktuell zu den jeweiligen Anforderungen der Sicherheit. Alle Materialien des Verbundprojekts werden kostenfrei auf der Online-Plattform unter www.kmu-sicherheit.de zum Download zur Verfügung gestellt. Das Gesamtprojekt setzte sich insbesondere aus den nachfolgenden Tätigkeiten zusammen: Kompakte IT-Sicherheitstipps zu unterschiedlichen Themen, z. B. Networking und WLAN-Sicherheit Informationsbroschüren und Checklisten für Einsteiger, z. B. Datensicherung und Mobile Business Branchenspezifische Handlungsanleitungen für die Praxis Sichere Geschäftsprozesse: Umsetzung in Unternehmen Unternehmerstammtische zur ITund Informationssicherheit in ganz Deutschland Jährliche zielgruppenspezifische Studie Netz- und Informationssicherheit in Unternehmen Online-Ratgeber IT-Sicherheit Fragen zum Verbundprojekt und dessen Angeboten beantworten Dagmar Lange (Konsortialführung), SAGeG, unter 0371/6900 1211 oder per E-Mail: langed@chemnitz. ihk.de und Maria Klees (Öffentlichkeitsarbeit), E-Commerce-Center Handel, unter 0221/94360777 oder per E-Mail: m.klees@ ecc-handel.de. Sebastian Spooren Aline Eckstein Andreas Gabriel Ekkehard Diedrich Dagmar Lange (Konsortialführung)
Das Netzwerk Elektronischer Geschäftsverkehr E-Business für Mittelstand und Handwerk Das Netzwerk Elektronischer Geschäftsverkehr (NEG) ist eine Förderinitiative des Bundesministeriums für Wirtschaft und Technologie. Seit 1998 unter stützt es kleine und mittlere Unter nehmen bei der Einführung und Nutzung von E-Business-Lösungen. Beratung vor Ort Mit seinen 28 bundesweit ver teilten Kom pe tenz - zentren infor miert das NEG kostenlos, neutral und praxisorientiert auch vor Ort im Unter - nehmen. Es unterstützt Mittelstand und Handwerk durch Beratungen, Informations veranstaltungen und Publikationen für die Praxis. Das Netzwerk im Internet Auf www.ec-net.de können Unternehmen neben Veranstaltungsterminen und den Ansprechpart nern in Ihrer Region auch alle Publikationen des NEG einsehen: Handlungsleitfäden, Checklisten, Studien und Praxisbeispiele geben Hilfen für die eigene Umsetzung von E-Business-Lösungen. Fragen zum Netzwerk und dessen Angeboten beantwortet Markus Ermert, Projektträger im DLR unter 02203/601-2649 oder per E-Mail: markus.ermert@dlr.de. Das Netzwerk bietet vertiefende Informationen zu Kundenbezie hung und Marketing, Netz-und Informationssicherheit, Kauf männischer Software und RFID sowie E-Billing. Das Projekt Femme digitale fördert zudem die IT-Kompetenz von Frauen im Handwerk. Der NEG Website Award zeichnet jedes Jahr herausragen de Internetauftritte von kleinen und mittleren Unter nehmen aus. Informationen zu Nutzung und Interesse an E-Business-Lösungen in Mittelstand und Handwerk bietet die jährliche Studie Elektro nischer Geschäftsverkehr in Mittelstand und Handwerk.