Von Helmuth Fuchs
Moneycab: Herr Schwegler, seit etwa zwei Jahren verantworten Sie das Geschäft von ESET in der Schweiz. Wie haben sich der Marktanteil und die Kundenbasis in der Zeit entwickelt, was waren Ihre wichtigsten Entscheidungen in dieser Zeit?
Rainer Schwegler: In der Schweiz haben wir einen immens grossen Sprung nach vorne gemacht. Unser Ansatz von gelebter Partnerschaft und Kundennähe, den wir in Deutschland schon immer pflegen, kommt auch hier gut an. Vor Jahren war unser Bekanntheitsgrad kaum der Rede wert, aber das hat sich massiv geändert. ESET wächst gerade schneller als der Anti-Virus-Markt in der Schweiz. Selbst Gartner zeigte sich von ESETs Wachstum beeindruckt und ordnete unser Unternehmen unter «Visionäre» ein. Das alles spricht für unsere Produkt-, Vertriebs- und Support-Qualität.
«Die Vereinheitlichung der Preise in allen deutschsprachigen Ländern in der DACH-Region war für uns die beste und wichtigste Entscheidung.»
Rainer Schwegler, Territory Manager Schweiz bei ESET
Mittlerweile nutzen weltweit über 100 Millionen Anwender ESET, darunter immer mehr Wirtschaftsunternehmen im Banken- und Versicherungsumfeld. Im SMB und KMU-Segment sind wir extrem stark aufgestellt. Unabhängig von Grösse und Branche sind unsere Kunden von unserem zentralisierten Management-Tool, der Erkennungsrate sowie vom einfachen Lizenzierungsmodell inklusive funktionierender Cloud-Lösungen und freien Support durch Schweizer IT-Profis hellauf begeistert.
Die Vereinheitlichung der Preise in allen deutschsprachigen Ländern in der DACH-Region war für uns die beste und wichtigste Entscheidung: Die Preise sind konsistent, werden nur in die Währung umgerechnet und an die Mehrwertsteuer angepasst. Auch für unsere Partner haben wir aus gutem Grund ein DACH-weites, einheitliches Partnerprogramm auf die Beine gestellt, das unser Bekenntnis zum Channel unterstreicht. ESET macht keine Direktgeschäfte mit Endkunden, sondern setzt bei seinem Vertriebsmodell voll auf Fachhändler.
Im letzten Jahr kam es zu zahlreichen Cyber-Attacken. So hat zum Beispiel eine verteilte Denial-of-Service-Attacke (DDoS), gerüchteweise über ein riesiges Bot-Netz von Objekten wie Kameras, Video-Recordern und privaten Routern, einige grosse amerikanische Dienste wie Twitter, Netflix und PayPal lahm gelegt. Gibt es einen effektiven Schutz gegen solche Attacken?
Es gibt tatsächlich mehrere effektive Schutzmassnahmen, leider werden sie nur nicht richtig eingesetzt. Das beginnt beim Anwender/Käufer der Internet of Things (IoT) Geräte wie Webcams. Vor dem Kauf gilt es, sich im Netz zu informieren, ob Sicherheitslücken beim entsprechenden Modell bereits bekannt sind, welche Produkte es am Markt gibt und vor allem, welche Möglichkeiten der Nutzer hat, die Einstellungen des Geräts anzupassen, beispielsweise beim Zugang. Der Angriff auf die Dienste hatte unter anderem Erfolg, weil die Zugangsdaten der Geräte hart gecoded und statisch, also bei jedem Gerät gleich und unveränderbar sind.
«Spätestens jetzt sollten alle Beteiligten aus ihren Fehlern gelernt haben und sich an bestehende Standards halten.»
Der Angriff funktionierte aber auch, weil die betroffenen Dienstanbieter nachlässig und bequem handelten. Anstatt auf mehrere verteilte Knoten zu setzen, haben sich alle, also entgegen dem Dezentralisierungsprinzip des Internets, allein auf Dyn.com und seinen DNS-Dienst verlassen. Deswegen konnten sonst so effektive «Umleitungsmassnahmen» von Anti-DDoS-Diensten nicht wirklich greifen. Spätestens jetzt sollten alle Beteiligten aus ihren Fehlern gelernt haben und sich an bestehende Standards halten. Lokal hat man lediglich die Chance, die eigenen Geräte durch entsprechende IP-Berechtigungen und spezielle, vom eigentlichen Firmennetz getrennt operierende Kommunikationskanäle / VPN «im Zaum zu halten».
Die Geheimdienste aller grossen Länder haben offenbar wenig Schwierigkeiten, sich Zugang zu praktisch allen Informationen von Privatpersonen und Unternehmen zu verschaffen, oft über spezielle Zugänge in der Software von bekannten Anbietern. Wie können Nutzer sicher sein, dass das nicht auch zum Beispiel mit Ihrer Sicherheits-Software geschieht?
Sollten Geheimdienste tatsächlich diese Daten abfangen, geschieht dies weniger am Computer eines Einzelnen, sondern eher an zentralen Internetknoten oder Servern der Dienstanbieter. Sogenannte Backdoors in Security-Software kann man vielleicht nicht für alle Anbieter hundertprozentig ausschliessen. Doch seriöse Hersteller unterliegen einer Art Ehrenkodex der Branche, solche unsportlichen Mittel nicht einzusetzen. Bei ESET ist es jedenfalls so, dass die Software keine personenbezogenen oder anderweitig identifizierbaren Daten generiert, die für Geheimdienste von Nutzen wären. Die Daten unserer Anwender, die in diesen Bereich fallen, werden gesondert erhoben (wie beim Kauf der Software), separat gespeichert und durch moderne, technische Massnahmen wie Verschlüsselung geschützt.
«Sicher ist, dass nichts zu 100 Prozent sicher ist. Es gibt so etwas wie ein «ausreichend sicher», wozu aktuelle TLS oder SSL Verschlüsselungstechnologien immer noch gehören.»
Lange Zeit als sicher geltende Schutzmechanismen, wie die SSL-Verschlüsselung, wurden geknackt. Was ist der aktuelle Stand der Sicherheit in der Datenkommunikation, was gilt als sicher?
Sicher ist, dass nichts zu 100 Prozent sicher ist. Es gibt so etwas wie ein «ausreichend sicher», wozu aktuelle TLS oder SSL Verschlüsselungstechnologien immer noch gehören. Darüber hinaus werden die Standards regelmässig aktualisiert, das heisst, es besteht nicht nur «das eine SSL». Hinzu kommt, dass die Browserhersteller nach und nach veraltete und geknackte Versionen der Verschlüsselung blockieren oder gezielt einzelne Zertifikate zurückrufen oder sperren. Datenkommunikation ist genauso vielfältig wie Sicherheit. In vielen Fällen geht bei Anwendern der Schutz nicht über eine verschlüsselten TLS/SSL-Seite hinaus. Verschlüsselt der Nutzer aber zum Beispiel die Daten zusätzlich mit einer Verschlüsselungslösung, legt er die Latte für Angreifer schon weitaus höher. Der heimische PC wird mit solchen Schutzmassnahmen wesentlich besser abgesichert sein als ein Unternehmensnetzwerk, das für Angreifer ein durchaus lohnenswerteres Ziel darstellt. Deswegen investieren Cyberkriminelle erfahrungsgemäss mehr Geld in ihre «Arbeit».
Unternehmen sehen sich durch Trends wie flexible und mobile Arbeitsplätze, Bring Your Own Device (BYOD) und eine massive Zunahme von mobilen Geräten zusätzlichen Risiken ausgesetzt. Wie kann das Thema Sicherheit adressiert werden, ohne dabei die Kreativität der Mitarbeitenden einzuschränken?
Hier gibt es keine Standardlösung. Die Strategie ist abhängig von jedem einzelnen Unternehmen und steht und fällt mit der Vorabplanung. In der Praxis häuft sich die Methode «erstmal einfach machen», bis es zu Zwischenfällen kommt und die Lücken im Konzept erkennbar werden. Sicherheitshalber können Firmen von BYOD auf CYOD («Choose your own device») umsatteln. Das heisst, sie stellen ihren Mitarbeitern vorkonfigurierte Laptops und Smartphones zur Verfügung. Darüber hinaus bekommen sie je nach Einsatzgebiet die entsprechende Software und benötigte Apps in die Hand, die dann per Whitelist verwaltet werden. So ist es dem Nutzer nicht möglich, ungewollt oder bewusst betriebsfremde Software oder im schlimmsten Falle Malware zu installieren. Auch ein VPN (Virtual Private Network) gehört in jedem Falle zu weiteren Schutzmassnahmen. Über die firmeneigenen Router und Gateways wird der Netzverkehr gesteuert, egal wo sich der Einzelne gerade aufhält. Entscheiden sich Verantwortliche aus vermeintlichen Kostengründen für BYOD, sollten jeweils getrennte Nutzerkonten verwendet werden, die zum Beispiel sämtliche Daten auf verschlüsselten, virtuellen Laufwerken speichern und das VPN starten.
«Auch wenn wir es gebetsmühlenartig wiederholen: Verwenden Sie gleiche Passwörter niemals für unterschiedliche Konten oder Dienste und ändern Sie sie regelmässig.»
Ein zunehmendes Einfallstor für unerwünschte oder schädliche Informationen stellen die Sozialen Medien, meist über gehackte Accounts, dar (Twitter, Facebook, Instagram…). Wie können sich Benutzer hier schützen?
Auch wenn wir es gebetsmühlenartig wiederholen: Verwenden Sie gleiche Passwörter niemals für unterschiedliche Konten oder Dienste und ändern Sie sie regelmässig. Benutzername und Passwort sind in unserer heutigen Zeit buchstäblich «abgemeldet». Wer wirklich sicher gehen will, setzt im Unternehmen und privat eine 2-Faktor-Authentifizierung ein. Alle grösseren Webseiten und Spieleplattformen bieten solche 2FA/OTP Verfahren an, zum Beispiel per Microsoft oder Google Authentication-Methoden, die Logins bei Facebook, Twitter, LinkedIn etc. zuverlässig absichern.
Anti-Virus, Anti-Spyware, Anti-Phishing… woher drohen den Benutzern aktuell im Netz die grössten Gefahren?
Komischerweise bei uns selbst, denn der Mensch ist mittlerweile die grösste Schwachstelle im «System». Angreifer nutzen das eiskalt aus und verschicken beispielsweise manipulierte E-Mail-Anhänge als vermeintliche Rechnungen und Bewerbungen. Sie täuschen Nutzer mit getürkter Werbung, der Rechner sei infiziert, oder mit gefälschten Systemdialogen, die ein Update des Flash-Players empfehlen oder die Installation eines neuen Online-Banking-Zertifikats auf dem Smartphone anbieten. Wer im Netz Risiken minimieren will, sollte sich regelmässig informieren und Anhänge wie Links genauer unter die Lupe nehmen. Als Angestellter, der keine Bestellungen auslöst oder Personalleiter ist, werde ich wohl kaum Rechnungen oder Bewerbungen erhalten. In diesem Fall sollte die E-Mail sofort gelöscht oder der Admin kontaktiert werden, damit er den Mail-Gateway neu einstellt. Jeder Nutzer ist auch gut beraten, zu hinterfragen, warum Webseiten vor Infektionen warnen, die eigene Sicherheitssoftware aber nicht. Davon mal abgesehen, wird Sie Microsoft auch nie anrufen, um Probleme auf Ihrem Rechner zu beheben.
Wenn dauernd alle Informationen überprüft werden müssen, was bedeutet das für die Performance des Netzes und der lokalen Rechner?
Als Unternehmen ist es wichtig, ein Auge auf die einzelnen Schutzkomponenten zu haben. So lassen sich Lösungen finden, die bei heutiger durchschnittlicher Hardware-Kapazität die Rechnerleistung kaum belasten. Mit einem gut durchdachten Konzept sind die Verantwortlichen beispielsweise in der Lage, die einzelnen Schutzstufen im Netzwerk zu verteilen oder die Prüfungen an den wirklich relevanten Stellen durchzuführen. Dies hängt natürlich auch von Grösse und Struktur des Netzwerks ab. Ist das Netz grösstenteils virtualisiert, benötige ich einen anderen Masterplan als bei einem klassisch «verdrahteten» Hardwarenetz.
Die Software ist ja nur ein Puzzleteil zur Gewährleistung von Sicherheit nebst Hardware (RAM), Netzwerk oder persönlichem Verhalten. Wie soll in einer solchen komplexen Umgebung das Thema Sicherheit angegangen werden, ohne in Paranoia zu verfallen?
Dafür gibt es eine einfache Lösung: Verfallen Sie bloss nicht in Paranoia. Angreifer werden immer mit psychologischen Tricks arbeiten und mit den Ängsten der Menschen spielen. In solchen Momenten neigen wir eher zu Fehlentscheidungen, die sich Angreifer zunutze machen. Wer sich aber regelmässig informiert und ein Sicherheitsbewusstsein für mögliche Gefahren schafft, ist im Netz gut aufgestellt. Im Unternehmen sollte Aufklärung ein zentraler Punkt sein, beispielsweise in Form von Workshops oder Infomaterial zu aktuellen Spamwellen, aber auch zu eingesetzten, betriebsinternen Technologien wie eine Zwei-Faktor-Authentifizierung und warum sie erforderlich sind.
«Angreifer werden immer mit psychologischen Tricks arbeiten und mit den Ängsten der Menschen spielen.»
Darüber hinaus sollten sich Geschäftsführer im Schadensfall über ihre Haftung im Klaren sein und mindestens einmal im Jahr Update-Schulungen für die IT-Abteilung einplanen. Wie beim Brandschutz sollte die gesamte Belegschaft wissen, was im Falle eines (Vor-)Falls zu tun ist. Deswegen empfiehlt es sich, wie beim Feueralarm, Notfallübungen für Systemausfälle einzustudieren. Dies klingt im ersten Moment nach hohen Extrakosten, aber am Ende zahlen sich Vorkehrungen aus – im Vergleich zu dem, was womöglich an Folgekosten verbunden mit Produktionsausfall, Reputationsverlust oder Datendiebstahl auf Unternehmen zukämen.
Die Schweiz wirbt unter anderem als sicherer Standort für Datenspeicherung und Clouddienste. Sind die Schweizer auch als Anwender sorgfältiger im Umgang mit Ihren Daten?
Ich kann nicht einschätzen, ob wir Schweizer mit Daten behutsamer umgehen als andere Landsleute. Meiner Erfahrung nach erfüllt jeder Verantwortliche seine Aufgaben sehr gewissenhaft und fordert sehr detaillierte Informationen ein, bevor er in die Entscheidung geht. Dieses Allerweltsdenken «Nur was sich unter meinem Tisch befindet, ist kontrollierbar und somit sicher» scheint allmählich aus den Köpfen zu verschwinden. Kunden optimieren ihre Organisation anhand erworbener SLAs, die den kundenspezifischen Mehrwert erfüllen. Sie haben erkannt, dass eine galoppierende Kostenentwicklung in Unternehmen auf wenig Gegenliebe stösst. Es ist gar nicht so schwer, auf Wachstum zu reagieren.
Zum Schluss des Interviews haben Sie zwei Wünsche frei. Welche sind das?
Die EU-Datenschutzgrundverordnung (DSGVO) wird in Zukunft auch für die Schweiz ein heisses Thema sein. Jeder, der mit einem Partner in der EU Geschäfte abwickeln möchte, kommt spätestens ab Mai 2018 nicht mehr um die DSGVO herum. Ich wünsche mir, dass dies im Partner- und Endkundenumfeld berücksichtigt, geplant und mit genügend Vorlauf angegangen wird.
Als grosser Fan des EHC Biel wünsche ich mir, dass der Klub eine gute Saison spielt und mir möglichst viele Glücksmomente beschert.
Der Gesprächspartner:
Nach einer langen Karriere bei Cisco ist Rainer Schwegler seit Januar 2015 als Territory Manager für das Schweizer Geschäft von ESET verantwortlich.
Das Unternehmen:
ESET ist ein europäisches Unternehmen mit Hauptsitz in Bratislava (Slowakei). Seit 1987 entwickelt ESET preisgekrönte Sicherheits-Software, die bereits über 100 Millionen Benutzern hilft, sichere Technologien zu geniessen. Das breite Portfolio an Sicherheitsprodukten deckt alle gängigen Plattformen ab und bietet Unternehmen und Verbrauchern weltweit die perfekte Balance zwischen Leistung und proaktivem Schutz. Das Unternehmen verfügt über ein globales Vertriebsnetz in über 180 Ländern und Niederlassungen in Bratislava, San Diego, Singapur und Buenos Aires. Für weitere Informationen besuchen Sie www.eset.com/ch-de/.