Source: Universitat Hamburg24. Mai 2022, von Niklas Keller
Foto: UHH/Esfandiari
Krassen Deltchev ist seit Januar 2022 Beauftragter für Informationssicherheit im Digital Office. Das Büro wird aus Mitteln der Exzellenzstrategie finanziert und koordiniert den Prozess zur Entwicklung und Fortschreibung der Digitalisierungsstrategie.
Greifen Kriminelle Laptop, Smartphone oder Tablet an, kommt es schnell zum Diebstahl sensibler Daten. Krassen Deltchev ist seit Anfang 2022 Informationssicherheitsbeauftragter und Teil des Digital Office. Er identifiziert mögliche Angriffspunkte und schafft ein Bewusstsein für Bedrohungen.
Was machen Sie als Beauftragter für Informationssicherheit an der Universität Hamburg?
Meine Aufgabe ist es, den Informationsaustausch an der Universität abzusichern und das Kollegium zu sensibilisieren, verstärkt auf Informationssicherheit zu achten. Viele Mitarbeitende haben sicherlich schon mal betrügerische E-Mails erhalten oder seltsame Anrufe entgegengenommen. Die Universität Hamburg hat eine komplexe Struktur, sodass wir dies nicht komplett absichern können. Wir können jedoch dabei unterstützen, Angriffe besser zu erkennen, bevor ein Schaden entsteht.
Wie sehen Angriffe aus und wie können sich Angehörige der Universität schützen?
Häufig erhält man eine scheinbar harmlose Datei im Anhang einer E-Mail, die eine völlig normale Konversation vortäuscht. Wird der Anhang auf dem Computer geöffnet, wird eine schädliche Software unbemerkt ausgeführt. Ein Klassiker ist auch die Benachrichtigung, dass das Outlook-Postfach voll ist und man zur Behebung auf einen externen Link klicken muss. Häufig sehen die E-Mails oder Links täuschend echt aus. Auch Anrufe oder SMS werden verwendet, um Daten abzugreifen.
In Zukunft wollen wir eine neue Website zum Thema Phishing anbieten, auf der alle Informationen und Ansprechpersonen zum Thema gebündelt dargestellt werden. Mithilfe von Tools sollen die Mitarbeitenden spielerisch Kenntnisse zu Datenschutz und IT-Sicherheit vertiefen, um sich gegen Phishing und ähnliche Angriffe zu schützen. Hinweise zu Fallstricken und Handlungsempfehlungen werden dort ebenfalls zu finden sein.
Wie verhalte ich mich richtig, wenn ich tatsächlich auf einen Link in einer dubiosen Mail geklickt habe?
Schämen Sie sich nicht. Viele Menschen geben ungern zu, dass sie möglicherweise auf einen Betrugsversuch hereingefallen sind. Das kann jedoch schnell passieren, da böswillige E-Mails oft einen professionellen Eindruck machen.
Es ist wichtig, nach jedem Vorfall schnell den Austausch mit mir zu suchen. Wenn personenbezogene Daten ausgespäht wurden, müssen auch die Datenschutzbeauftragten und die Stabsstelle Recht eingebunden werden. Sprechen Sie im Team über solche Vorfälle, um sich gegenseitig dafür zu sensibilisieren.
Was tun Sie im Digital Office für den Informationsschutz?
An einigen Hochschulen haben bereits gefährliche Phishing-, oder Ransomware-Vorfälle stattgefunden. Das soll an der Universität Hamburg natürlich nicht passieren. Wir bemühen uns darum, Schwachstellen präventiv aufzudecken und schleunigst zu schließen. Zum anderen bereiten wir uns in enger Zusammenarbeit mit dem Regionalen Rechenzentrum auf den Fall vor, dass wirklich ein Ereignis eintritt. Wenn wir ohne Vorbereitung in einer solchen Situation landen, kann das schwere Konsequenzen mit sich bringen. Wenn wir uns jedoch vorher rüsten, können wir in der Situation bestmöglich reagieren.
Außerdem ist es für uns wichtig, immer auf dem Laufenden zu bleiben. Wir suchen ständig nach Trends in der Informationssicherheit und prüfen, wie die aktuelle Bedrohungslage aussieht.
Welche Trends sind das?
Beispielsweise ist der aktuell beste Weg für den Schutz von technischen Geräten, wenn diese untereinander präventiv kommunizieren. Stellen Sie sich folgendes vor: Sie sind mit einem Windows-PC im Netz mit anderen Kolleginnen und Kollegen. Plötzlich registriert der PC ein betrügerisches Ereignis, bewertet es und informiert alle anderen Geräte in diesem Netz. Es wird kommuniziert: Seid auf der Hut. Die Maschinen reden miteinander und sammeln Informationen. Die Sicherheitsserver wiederum bewerten das Feedback der einzelnen Geräte und sagen ihnen standardisiert, wie sie sich schützen können.
Auch die Zwei-Faktor-Authentisierung hat sich mittlerweile etabliert. Diese wollen wir hochpriorisiert an der Universität einsetzen – vor allem für Kolleginnen und Kollegen, die mit sensiblen Daten hantieren. Bei allen Trends und Innovationen prüfen wir, wie wir damit den Informationsaustausch an der Universität sicherer machen können. Der Chief Digital Officer Sebastian Gerling sagt immer: ‚Als exzellente Universität benötigen wir exzellente digitale Lösungen.‘ Der Status der Exzellenzuniversität ist eine Messlatte, an der wir uns tagtäglich messen.