10 Dinge, die Ihre Mitarbeiter niemals tun sollten. – Nein, auch nicht der CEO!

Warum Bequemlichkeit, Status und falsche Eile die größten Sicherheitsrisiken im Unternehmen sind.

Sicherheitsrichtlinien im Unternehmen haben ein großes Problem: Sie werden oft genau dort aufgeweicht, wo der Schaden am größten ist – im Management. „Ich muss im ICE eben die Zahlen durchgehen“, „Das VPN bremst mich aus“ oder „Ich kenne den Absender schon“ sind die Klassiker, mit denen IT-Sicherheit aus Mangel an Zeit oder Komfort über Bord geworfen wird.

Doch Cyberkriminelle suchen immer nach dem einfachsten Weg ins System. Gerade Führungskräfte sind aufgrund ihrer Zugriffsrechte beliebte Ziele für Spear-Phishing und Social Engineering.

Wer die folgenden 10 Todsünden begeht, macht das digitale Scheunentor weit auf – und verschlüsselt vielleicht bald mehr, als die Richtlinien vorgeben.

1. Öffentliches Hotel-WLAN ohne VPN nutzen

Offene WLANs in Hotels, Cafés oder an Flughäfen sind eine Spielwiese für Angreifer. Wer sich hier ohne ein verschlüsseltes VPN einloggt, riskiert, dass der gesamte Datenverkehr mitgelesen oder umgeleitet wird. Noch besser sind eigene Hotspots (Tethering).

⚠️ Reales Szenario: Forscher einer Cybersicherheitsfirma entdeckten eine Masche mutmaßlich staatlich unterstützter Angreifer: Diese manipulierten gezielt die WLAN-Netzwerke von Luxushotels, um Firmenzugänge abzugreifen. Hotelgäste wurden beim Verbinden unbemerkt auf gefälschte Login-Websites umgeleitet.

2. Laptops unterwegs ohne Sichtschutzfolie nutzen

Ob in der Bahn, der Airport-Lounge oder im Flugzeug: Visual Sniffing (das Blicken auf fremde Bildschirme) ist die analogste, aber effizienteste Form der Spionage. Ohne Blickschutzfilter sind vertrauliche Zahlen, Strategiepapiere und Kundenmails für jeden Sitznachbarn frei lesbar.

3. Öffentliche Ladestationen nutzen („Juice Jacking“)

Das Smartphone oder das Firmen-Tablet ist leer und am Gate steht eine praktische USB-Ladesäule? Finger weg. Über das USB-Kabel werden nicht nur Strom, sondern auch Daten übertragen. Manipulierte Ladebuchsen können im Hintergrund Schadsoftware installieren.

• Die Regel: Immer ein eigenes Netzteil für die Steckdose nutzen oder ein „Data Blocker“-Kabel (sogenanntes USB-Kondom) dazwischenschalten.

4. Ungeprüft auf Links in E-Mails klicken

Nur weil eine E-Mail nicht im Spam-Ordner gelandet ist, ist sie noch lange nicht sicher. Moderne Phishing-Angriffe sind optisch und sprachlich kaum noch vom Original zu unterscheiden.

⚠️ Reales Szenario: Ein Phishing-Scam kopierte echte X-Login-Benachrichtigungen bis ins letzte Pixel: Die E-Mails warnten vor einem Login „von einem neuen Gerät“ an einem fremden Ort. Logo, Formatierung, Grammatik und Farbschema entsprachen exakt dem Original. Der enthaltene Link führte auf eine gefälschte Website, die Zugangsdaten abgriff oder eine bösartige App autorisierte, die Angreifern direkten Zugriff auf das Konto gewährte – ganz ohne komplexes Angriffsszenario.

5. Ziele im Navi von Mietwagen hinterlassen

Wer nach der Geschäftsreise den Mietwagen zurückgibt, vergisst oft die Spuren im Bordcomputer. Gespeicherte Navigationsziele (Home-Adresse, Zentrale, vertrauliche Kundenstandorte) oder das gekoppelte Smartphone-Telefonbuch bleiben für den Nachmieter einsehbar.

• Vor der Rückgabe: Das System immer auf Werkseinstellungen zurücksetzen und Bluetooth-Kopplungen löschen.

6. Vertrauliche Details in der Öffentlichkeit telefonieren

Die Verlockung ist groß, die Wartezeit am Flughafen oder die Bahnfahrt für Telefonate zu nutzen. Wenn dabei Projektnamen, Übernahmesummen oder Angebots- bzw. Auftragsdetails lautstark besprochen werden, freut sich die Konkurrenz. Das Ego muss hier hintenanstehen: Sensibles gehört nicht in den öffentlichen Raum.

7. Firmendaten ungeprüft in öffentliche KI-Tools tippen

ChatGPT, Midjourney und Co. sind fantastische Produktivitätsbooster. Doch wer vertrauliche Kundenverträge, Quellcode oder Finanzdaten in die Gratis-Versionen öffentlicher KI-Modelle kopiert, speist diese Daten unter Umständen direkt in das Trainingsmodell der Anbieter ein.

8. MFA-Push-Nachrichten genervt abnicken („MFA Fatigue“)

Zwei-Faktor-Authentifizierung (2FA) schützt – außer man wird unaufmerksam. Bei der Masche des MFA Spamming bombardieren Angreifer das Smartphone des Opfers mitten in der Nacht mit dutzenden Push-Bestätigungen. Wer genervt auf „Akzeptieren“ drückt, nur damit das Vibrieren aufhört, hat verloren.

9. Fremde USB-Sticks aus Neugier einstecken

Ein unbeschrifteter USB-Stick auf dem Firmenparkplatz? Ein schicker Werbe-Stick als Begrüßungsgeschenk auf einer Konferenz? Niemals direkt an den Firmen-Laptop anschließen. Solche USB-Sticks können präpariert sein, um beim Einstecken automatisch Schadcode auszuführen (BadUSB).

10. Dringenden Messenger-Anweisungen blind vertrauen

„Hallo, ich bin’s, der Chef. Ich sitze im Meeting und brauche dringend Gutscheinkarten für einen Kunden / eine Eilüberweisung!“ – Wer solche Anweisungen per WhatsApp, SMS oder unbedachter Mail ohne zweiten Bestätigungskanal (z. B. kurzer Anruf über die bekannte Festnetznummer) ausführt, hat bald Probleme mit dem CFO.

Fazit

Cybersicherheit ist keine Abteilungsaufgabe und kein Privileg. Sie funktioniert nur, wenn sich alle an dieselben Spielregeln halten – vom Werkstudenten bis zur Geschäftsführung!