Cybersicherheit in Schulen
Nebenbei-IT hat ausgedient
Fortsetzung des Artikels von Teil 2
Basics, Cyberhygiene, Notfallplan
Was Schulen und Hochschulen tun können, dafür haben Berghoff, Hickisch und Weiß durchaus konkrete Vorschläge. Berghoff weist darauf hin, dass am Anfang einer IT-Sicherheitsstrategie immer die Frage stehe: „Was muss ich warum schützen?“ Dabei lasse sich IT-Security auch ohne zusätzliches Budget verbessern, als Beispiel nennt Berghoff Anpassungen im Active Directory, durch die sich der Schutzlevel erhöhen lasse.
Grundsätzlich sollten Schulen und Universitäten IT-Security-Basics umsetzen. „Dazu zählt etwa Identitäts- oder Rechte-Management. Jede*r Mitarbeiter*in erhält nur Zugang zu den Ressourcen, die er oder sie für seine Arbeit benötigt. Auch eine Netzwerksegmentierung gehört zu diesen Basics“, erläutert Berghoff.
Darüber hinaus ist Cyberhygiene ein wichtiges Stichwort. Wer seine Kommunikationsstruktur nur stiefmütterlich behandelt, zahlt irgendwann die Quittung. Hickisch nennt als Beispiel Patches, die aus „Angst vor Störungen im Betrieb nicht eingespielt werden. Solange es eine Realität ist, dass Schulen und Hochschulen Schwachstellen nicht beheben, selbst wenn vom Hersteller Abhilfemaßnahmen bereitgestellt werden, haben Angreifer ein leichtes Spiel“, so Hickisch weiter. Auch die Einrichtung eines Risiko- und Krisenmanagements, die Durchführung von Risikoanalysen und -bewertungen sowie die Erstellung von Resilienzplänen seien laut Hickisch wichtige Aspekte.
Ein Gefahrenbewusstsein bei allen involvierten Personen herzustellen, ist dabei der eher menschliche Faktor. Alle Beteiligten „müssen sensibilisiert werden für die Tricks der Angreifer wie Phishing oder Social Engineering“, so Berghoff. Er zieht einen Vergleich zu Brandfällen. Hier sei es „selbstverständlich, dass Fluchtwege gekennzeichnet und Brandmelder installiert sind. Das hinterfragt auch niemand, wenn Unternehmen eine Übung durchführen. Solche Notfallübungen brauchen wir auch für IT-Notfälle“, so Berghoff. Jede Einrichtung sollte daher einen Notfallplan haben, so dass jeder im Fall der Fälle – also wenn Cyberkriminelle ins Netzwerk eingedrungen sind – weiß, was zu tun ist und es grundlegende Prozesse gebe. Was beispielsweise zu tun ist, um eine verdächtige E-Mail zu melden oder zu prüfen. Dabei hat Berghoff noch einen einfachen wie wichtigen Tipp: „Der Plan ist nur dann hilfreich, wenn er im Notfall in Papierform vorliegt. Ein digitaler und im Ernstfall verschlüsselter Plan hilft keinem!“
Einen Notfallplan auszudrucken, ist dabei noch die leichteste Übung. Wer also einen solchen Druckbefehl geben kann, dürfte seine Hausaufgaben schon weitgehend gemacht haben.
- Nebenbei-IT hat ausgedient
- Ursachen für die erhöhte Bedrohungslage
- Basics, Cyberhygiene, Notfallplan
Lesen Sie mehr zum Thema
