Sicherheitsrisiko Anwender
Ein Experiment belegt, dass der Durchschnittsanwender ein Sicherheitsrisiko ist.
Ein Schulungs- und Beratungsunternehmen führte in London ein kleines Experiment durch. Im Londoner Finanzviertel wurden 100 CD-ROMs verteilt. Der Vorwand: wer die CD einlegt, soll eine Reise gewinnen können. Ziel der Aktion: festzustellen, wie viele Personen die CD einlegen und starten würden.
Der Ort für die Verteilung der CDs ist bewusst gewählt worden, weil davon auszugehen war, dass sie in den PC am Arbeitsplatz eingelegt werden würden. Ferner durfte erwartet werden, dass in den meisten der Unternehmen Sicherheitsrichtlinien bestehen, die das Einlegen mitgebrachter Datenträger untersagen oder unbekannten Programmen den Zugriff auf das Internet verwehren sollten.
Die CD enthielt keinerlei Malware, sondern startete den Web-Browser und rief eine Web-Seite auf, die wiederum eine Bilddatei von einer anderen Website lud. Aus den Zugriffsprotokollen des Web-Servers lies sich ablesen, wie viele Personen die CD eingelegt haben. Auf der CD prangte eine Warnung, der Anwender möge sich vor dem Einlegen der CD über die Sicherheitsrichtlinien in seiner Firma informieren.
Von den 100 verteilten CDs sind demnach immerhin 75 gestartet worden. Eine der CDs gelangte sogar noch am Tag der Verteilung bis zu einem PC in Rom. Unter den Firmen, aus deren Büros die Zugriffe kamen, waren auch zwei bekannte Versicherungen, eine Telefongesellschaft und eine Bank. The Training Camp Ltd., das diesen Versuch veranstaltet hat, gab deren Namen allerdings nicht bekannt.
Das Ergebnis dieses Experiments belegt, dass Anwender auch ohne bösen Willen allzu oft einen Weg vorbei an Sicherheitsmaßnahmen und -richtlinien finden, wenn sie hinreichend motiviert sind. Unternehmen sind schlecht beraten, wenn sie glauben, dass Verbote und technische Mittel wie Firewalls ausreichenden Schutz bieten. Die wichtigste Maßnahme muss beim schwächsten Glied in der Kette ansetzen - den Anwendern. Sie müssen besser geschult werden, damit ihnen bewusst ist, welchen Risiken sie ihr Unternehmen durch Leichtsinn aussetzen.
Update Mai 2009: Training Camp GmbH heißt heute Firebrand Training GmbH.
