Impressum

ISBN 978-3-85402-395-1

Auch als Buch verfügbar:

ISBN 978-3-85402-394-4

1. Auflage 2021

Das Werk ist urheberrechtlich geschützt.

Alle Rechte vorbehalten.

Nachdruck oder Vervielfältigung, Aufnahme

auf oder in sonstige Medien oder Datenträger,

auch bei nur auszugsweiser Verwertung,

sind nur mit ausdrücklicher Zustimmung der

Austrian Standards plus GmbH gestattet.

Alle Angaben in diesem Fachbuch erfolgen

trotz sorgfältiger Bearbeitung ohne Gewähr und

eine Haftung der Herausgeber, der Autoren oder des Verlages ist ausgeschlossen.

Aus Gründen der besseren Lesbarkeit wird in vorliegendem Werk die Sprachform des generischen Maskulinums angewendet. Es wird an dieser Stelle darauf hingewiesen, dass die ausschließliche Verwendung der männlichen Form geschlechtsunabhängig verstanden werden soll.

© Austrian Standards plus GmbH, Wien 2021

Die Austrian Standards plus GmbH ist ein

Unternehmen von Austrian Standards International.

AUSTRIAN STANDARDS PLUS GMBH

1020 Wien, Heinestraße 38

T +43 1 213 00-300

F +43 1 213 00-818

E service@austrian-standards.at

www.austrian-standards.at/fachliteratur

PROJEKTBETREUUNG

Lisa Maria Heiderer

LEKTORAT

Johanna Zechmeister

COVER – FOTOCREDIT

© iStockphoto.com/alengo

GESTALTUNG

Alexander Mang

DRUCK

Prime Rate Kft., H-1044 Budapest

Inhalt

Abkürzungsverzeichnis

Vorwort

Vom Hacker zum Cyberkrieger

1 STRATEGIE 1: Den Hacker kennen

1.1 WER GREIFT UNS AN?

1.1.1 Kein Angriff ohne Motiv

1.1.2 Kein Angriff ohne die notwendige Fähigkeit

1.1.3 Erst die Angriffsfläche ermöglicht den Angriff

1.2 SIND WIR VOR DEM ANGREIFER SICHER?

2 STRATEGIE 2: Security ist Chefsache

2.1 COMMITMENT

2.2 VORBILDWIRKUNG

2.3 PLANUNG UND LENKUNG

2.3.1 Sicherheitsziele & Risikopolitik

2.3.2 Management-Review und Reporting

2.3.3 Rollen und Ressourcen

3 STRATEGIE 3: Schutz der Kronjuwelen

3.1 ÜBERSICHT ZUR VORGANGSWEISE

3.2 IDENTIFIKATION VON INFORMATIONSWERTEN

3.2.1 Herangehensweise: Top-down und Bottom-up

3.2.2 Gruppieren von Informationswerten

3.2.3 Erhebung der Systeme

3.3 IDENTIFIKATION DES SCHUTZBEDARFS

3.3.1 Definition von Schutzzielen

3.3.2 Bewertung des Schutzbedarfs

3.3.3 Klassifizierung von Informationswerten

3.4 SCHUTZMASSNAHMEN ZUR SICHERUNG DER INFORMATIONSWERTE

3.4.1 Risikoanalyse

3.4.2 Auswahl von Schutzmaßnahmen

3.4.3 Effektivitätsprüfung und Überwachung von Risiken

3.5 GRUNDHYGIENE IN DER CYBERSECURITY

4 STRATEGIE 4: Das Projekt aufsetzen

4.1 WARUM EIN PROJEKT?

4.2 WIE PLANE ICH DAS PROJEKT?

4.2.1 Projektziele festlegen

4.2.2 Das Projekt abgrenzen

4.2.3 Darstellung des Projektkontextes

4.2.4 Die Tätigkeiten strukturieren

4.2.5 Die Projektorganisation einsetzen

4.3 DIE PROJEKTARBEIT

4.3.1 Zusammenarbeit fördern

4.3.2 Projektmarketing gestalten

4.3.3 Projektfortschritt messen und Risiken aufzeigen

5 STRATEGIE 5: Organisationsstruktur aufbauen

5.1 INFORMATIONSSICHERHEITS-MANAGEMENTSYSTEM

5.2 DIE WICHTIGSTEN ROLLEN IM ISMS

5.2.1 Die Leitung

5.2.2 Informationssicherheitsbeauftragter

5.2.3 Schlüsselpersonal

5.3 STRUKTUREN SCHAFFEN

5.3.1 Logging- und Monitoring-Konzept

5.3.2 Verwaltung von Werten

5.3.3 Compliance-Management

5.4 AUF DEN ERNSTFALL VORBEREITET SEIN

5.5 WAS IST NOTWENDIG, UM RICHTIG REAGIEREN ZU KÖNNEN?

5.5.1 Notfallmanagement

5.5.2 Krisenmanagement

5.5.3 Üben und Testen

5.6 INTEGRIERTER ANSATZ DER BEWÄLTIGUNG

6 STRATEGIE 6: IT-Betrieb sichern

6.1 EINLEITUNG

6.2 WERTEMANAGEMENT

6.2.1 Informationswert

6.2.2 Physischer Wert

6.2.3 Personen

6.3 BACKUPS UND DATENSICHERUNG

6.4 CLOUD SECURITY

6.4.1 Risiken der Cloud

6.4.2 Sicherheit in der Cloud

6.5 SYSTEMHÄRTUNG UND SICHERE KONFIGURATION

6.6 PATCH-MANAGEMENT

6.6.1 Planen der Patches

6.6.2 Testen der Patches

6.6.3 Ausrollen der Patches

6.7 NETZWERKSICHERHEIT

6.8 SCHUTZ VOR SCHADSOFTWARE

6.9 REGELMÄSSIGE ÜBERPRÜFUNGEN UND ÜBUNGEN

6.9.1 Awareness-Trainings

6.9.2 Schwachstellen-Scans

6.9.3 Penetration-Tests

6.9.4 Red-Team-Assessments

7 STRATEGIE 7: Physische Sicherheit etablieren

7.1 EINLEITUNG

7.2 SICHERHEITSZONEN

7.2.1 Firmengelände

7.2.2 Besprechungsräume

7.2.3 Verteilerschränke/-räume

7.2.4 Büros

7.2.5 Kritische Bereiche

7.3 ÜBERGREIFENDE SICHERHEITSMASSNAHMEN

7.3.1 Bauliche Maßnahmen

7.3.2 Zutrittskontrolle

7.3.3 Brandschutz

7.3.4 Stromversorgung

7.3.5 Weitere Schutzmaßnahmen

7.4 AGIEREN STATT REAGIEREN

8 STRATEGIE 8: Mitarbeiter begeistern

8.1 EINLEITUNG

8.2 TRAINING

8.2.1 Inhalte

8.2.2 Methoden

8.2.3 Herausforderung

8.3 MOTIVATION

8.3.1 Updates

8.3.2 Personalisierung

8.3.3 Gamification und Serious-Gaming

8.3.4 Belohnungssystem

9 STRATEGIE 9: Sicher im Homeoffice

9.1 EINLEITUNG

9.2 GOVERNANCE

9.3 IT-SECURITY

9.3.1 Device-Management

9.3.2 Bring-Your-Own-Device

9.3.3 Verschlüsselung bei Mobile Computing

9.3.4 Zugriffsschutz

9.3.5 Netzwerksicherheit

9.3.6 IT-Operations & Technology

9.4 PHYSISCHE SICHERHEIT

9.5 AWARENESS

9.5.1 Sichere Kommunikation

9.5.2 Phishing-Attacken

9.6 DATENSCHUTZ

9.7 KOMMUNIKATION IM HOMEOFFICE

9.8 ZUKUNFT IM HOMEOFFICE

10 STRATEGIE 10: Qualität steigern

10.1 DER KVP-PROZESS

10.2 MESSEN DER INFORMATIONSSICHERHEIT

10.2.1 KPIs entwickeln

10.2.2 Daten sammeln und analysieren

10.2.3 Massnahmen identifizieren und umsetzen

10.3 REPORTING

Ausblick

Literatur- und Normenverzeichnis

DIE AUTOREN

Abbildungsverzeichnis

ABBILDUNG 1: SCHEMATISCHE DARSTELLUNG DES PROZESSES

ABBILDUNG 2: BEISPIELHAFTE MATRIX ZUR BEWERTUNG VON BEDROHUNGEN

ABBILDUNG 3: ZUSAMMENWIRKEN VON BEDROHUNG, SCHWACHSTELLE UND RISIKO

ABBILDUNG 4: BEISPIEL GANTT-DIAGRAMM

ABBILDUNG 5: DREI DIMENSIONEN IN DER PROJEKTSTEUERUNG ALS DREIECK

ABBILDUNG 6: BEISPIEL FÜR SICHERHEITSZONEN

Abkürzungsverzeichnis

AV Antivirus

BCM Business Continuity Management

BSI Bundesamt für Sicherheit in der Informationstechnik

BIA Business-Impact-Analyse

BYOD Bring Your Own Device

CISO Chief Information Security Officer

CEO Chief Executive Officer

CFO Chief Financial Officer

DoS Denial-of-Service-Attacken

DDoS Distributed-Denial-of-Service-Attacken

DSGVO Datenschutz-Grundverordnung

EDR Endpoint Detection and Response

IDS Intrusion-Detection-System

IEC International Electrotechnical Commission

IKT Informations- und Kommunikationstechnik

IoT Internet of Things

IPS Intrusion-Prevention-System

ISB Informationssicherheitsbeauftragter

ISMS Informationssicherheits-Managementsystem

ISO International Organization for Standardization

KPI Key-Performance-Indicator

KMU Kleine und mittlere Unternehmen

KVP Kontinuierlicher Verbesserungsprozess

NIST National Institute of Standards and Technology

PDCA Plan-Do-Check-Act

SLA Service Level Management

SOC Security Operations Center

ToD Test of Design

ToE Test of Effectiveness

TOMs Technische und organisatorische Maßnahmen

USV Unterbrechungsfreie Stromversorgung

VPN Virtual Private Network

WBT Web-Based-Training

Vorwort

Georg Beham

In den letzten Jahren haben mein Team und ich viele Cyberangriffe für Kunden abgewehrt. In den meisten Fällen werden Angriffe, in denen beispielsweise Lösegelder für das Entschlüsseln von widerrechtlich verschlüsselten Dateien das Ziel sind, nicht mehr nach dem Prinzip von Postwurfsendungen[1] durchgeführt. Unternehmen werden immer häufiger ganz gezielt von Cyberkriminellen ausgewählt. Besonders Unternehmen, die niedrige Einstiegshürden aufgrund von Sicherheitslücken aufweisen bzw. deren Geschäftsfeld eine hohe Digitalisierung und somit eine Abhängigkeit der Wertschöpfung von der IT vermuten lässt, werden zum Opfer.

Den Grad der Digitalisierung kann ein Unternehmen heutzutage nicht reduzieren. Im Gegenteil, ist doch die Digitalisierung einer der Erfolgsfaktoren für die Zukunft. Die Hürde für Cyberkriminelle, nämlich eine funktionierende Cybersecurity, kann jedoch sehr wohl beeinflusst werden. Das Beispiel Ransomware[2] ist nur eine von vielen Varianten, wie sich Cyberkriminelle zu Lasten ihrer Opfer bereichern.

Wenn Sie nun als verantwortlicher Geschäftsführer oder als Teil des Managements in Ihrem Unternehmen dieses Buch lesen, dann sollten Sie sich die Frage stellen: „Wie hoch ist meine Hürde?”. Auch sollten Sie sich überlegen: „Wer kümmert sich für mich um dieses Risiko?” „Wer ist verantwortlich, wenn meine Produktion aufgrund einer Ransomware ausfällt?”

Sie sehen, worauf ich hinaus möchte: In den 1990er Jahren wurden IT-Bedrohungen vom IT-Verantwortlichen durch technische Maßnahmen abgewehrt. Ransomware ist zwar Software, dahinter stehen allerdings Cyberkriminelle, deren Ziel die Einnahme von Lösegeld ist. Es handelt sich hierbei nicht mehr um eine reine IT-Bedrohung, sondern um eine Unternehmensbedrohung. Auch die Maßnahmen, die das Risiko in Bezug auf derartige Bedrohungen minimieren, sind nur zum Teil technischer Herkunft. Ein Cyberangriff richtet sich nicht gegen die IT Ihres Unternehmens, sondern direkt gegen Ihr Unternehmen, für welches Sie haften.

Cybersecurity ist daher definitiv Chefsache! Übernehmen Sie selbst diese Verantwortung und delegieren Sie dieses Risiko nicht an die IT.

Als leidenschaftlicher Segler möchte ich die Kernaussage des vorliegenden Werks mit einem an ein Zitat von Aristoteles angelehnten Satz zusammenfassen:

„Wir können den Wind nicht ändern, aber die Segel richtig setzen.“

Cyberangriffen werden wir immer wieder ausgesetzt sein. In diesem Buch zeigen wir Ihnen, wie Sie Ihr Unternehmen mit höchstmöglicher Sicherheit für solche Turbulenzen rüsten bzw. es durch diese hindurch steuern können.

Georg Beham

Geschäftsführer

PwC Advisory Services GmbH Österreich

1Das massenhafte Versenden von Post an Empfängergruppen.

2Mittels Ransomware können Daten widerrechtlich verschlüsselt werden.

Einleitung

Georg Beham

An dieser Stelle möchte ich Ihnen das Thema Cybersecurity anhand meiner Erfahrungen und einer kurzen Geschichte dazu näherbringen.

Seit 1989 arbeite ich in der IT-Branche und konnte so die Digitalisierung österreichischer Unternehmen hautnah miterleben. In den frühen 1990er Jahren gab es nur wenige vereinzelte Computersysteme in Unternehmen. Ich selbst war zu dieser Zeit IT-Leiter einer Reisebürokette. EDV, so hieß die Disziplin dazumal, umfasste hauptsächlich das Auftragsbearbeitungssystem; E-Mails gab es keine. Es wurden Briefe geschrieben und Faxe versendet. Flüge und Pauschalreisen wurden zwar vereinzelt schon über vernetzte Software gebucht, fiel diese aus, dann war der Griff zum Telefonhörer eine rasche und effektive Backup-Lösung. Die kritischen Geschäftsprozesse liefen also entweder gar nicht über die IT und wenn, dann konnte ein Ausfall durch manuelle Verfahren ausgeglichen werden.

Diese Zeiten sind in fast allen Unternehmen, ob KMU oder Konzern, längst vorbei. Die wertschöpfenden Geschäftsprozesse sind weitestgehend IT-abhängig. Ein manuelles Verfahren gibt es im Regelfall nicht mehr.

Zudem drehte sich die Geschäftswelt in den 1990er Jahren viel langsamer. Gerade die fehlende IT-Durchdringung und die vielen Medienbrüche durch manuelle Tätigkeiten wirken im Rückblick geradezu entschleunigend. Zu dieser Zeit machten sich KMUs keine Gedanken über „Business-Kontinuität”. In großen Unternehmen wurden zumindest regelmäßig Datensicherungen durchgeführt und jährlich wurde die Wiederherstellung von Daten und Systemen nach einem Notfall geübt. Die Sicherheitsmaßnahmen fanden hauptsächlich auf technischer Ebene statt. Die größten Bedrohungen in dieser Zeit waren defekte Festplatten und dadurch verursachter Datenverlust oder Naturereignisse wie Überschwemmungen im Serverraum. Diese Bedrohungen wurden von den meisten IT-Abteilungen identifiziert und die Risiken durch technische Maßnahmen mitigiert. Dass die Informationssicherheit in der alleinigen Verantwortung der IT-Abteilung liegt, hat niemand bezweifelt.

Das Millennium änderte meine Sicht zum Thema Informationssicherheit. Ende der 1990er Jahre gab es großes Aufsehen durch das Auftreten eines Computerfehlers: des sogenannten Millennium Bugs. Es handelte sich dabei um ein Problem verursacht durch alte Computersysteme, die nur zwei Stellen für die Jahreszahlvariable im Datumsfeld reserviert hatten. Die teilweise berechtigte Angst war, dass Software nach Vollzug der Jahrtausendwende falsch rechnen und dadurch ganze Systeme am 1. Januar 2000 lahmgelegt werden würden. Der Digitalisierungsgrad war in meinem damaligen Unternehmen bereits verhältnismäßig hoch. Jeder Mitarbeiter war mit einem Computer ausgestattet und die Geschäftsprozesse liefen ausschließlich über diese – zumindest in der notwendigen Effizienz. Die Bedrohung durch den Millennium Bug war für mich und meinen damaligen verantwortlichen Vorgesetzten offensichtlich. Daher wurde ein großes IT-Projekt zur Behebung des Problems durchgeführt. Dass nicht alle Bedrohungen so einfach zu identifizieren sind, zeigt meine nächste Erfahrung. Im Mai 2000 bekam ich an einem späten Nachmittag ein E-Mail von einer Mitarbeiterin bei Microsoft, mit der ich seit einiger Zeit in einem anderen Projekt zusammengearbeitet hatte. In der Betreffzeile stand „ILOVEYOU“. Aus einem Affekt heraus öffnete ich das E-Mail in Outlook per Doppelklick, um den Text zu lesen. Dies war mein erstes und hoffentlich letztes Mal, dass ich Opfer eines Cyberangriffes wurde.

Innerhalb von nur wenigen Minuten nach Aufruf des E-Mails läutete mehrfach mein Telefon. Einige Kollegen und auch mein Vorgesetzter fragten mich nach der Bedeutung des ominösen E-Mails mit dem Betreff „ILOVEYOU“, das sie eben von mir erhalten hatten. Gemeinsam mit vielen meiner Outlook-Kontakte wurde ich Opfer des Computerwurms „Loveletter”, entwickelt von einem jungen philippinischen Programmierer. Für mich war diese – wenn auch unangenehme – Erfahrung sehr wertvoll. Die gesamte darauffolgende Nacht arbeitete ich daran, all die unfreiwillig generierten E-Mails aus dem Mailserver zu entfernen, um zu verhindern, dass Kollegen, die an diesem späten Nachmittag nicht mehr im Büro waren, am nächsten Morgen in dieselbe Falle tappen würden. Der Schaden hielt sich in Grenzen. Der Computerwurm war, verglichen mit heutzutage kursierender Schadsoftware, absolut harmlos. Der Programmierer hatte keine kriminellen Absichten; er wollte lediglich Aufmerksamkeit erregen.

Seit 2017 erlebe ich immer wieder ähnliche Situationen wie im Fall „Loveletter“. Ich treffe immer mehr neue Opfer, die durch einen Cyberangriff einen Paradigmenwechsel vollzogen haben. Sie realisieren, dass auch ihr Unternehmen im Fokus der Cyberkriminellen steht.

Diese Cyberangriffe wurden von Hackern meistens mittels sogenannter Ransomware[3], ausgeführt. Dabei handelt es sich um Schadsoftware, mit deren Hilfe Daten und Systeme in „Geiselhaft“ genommen werden können. In der Praxis bedeutet dies, dass alle Daten, die diese Schadsoftware findet, verschlüsselt werden. Den Schlüssel zum Dechiffrieren geben Cyberkriminelle gegen Lösegeldzahlung preis. Warum erinnert mich Ransomware an „ILOVEYOU“? Das Thema Cybersecurity bekommt plötzlich eine hohe Aufmerksamkeit von Vorständen und Geschäftsführern. Dachten viele bis vor kurzem noch „Mein Unternehmen ist doch unwesentlich. Was soll ein Hacker von mir wollen?”, so wird im Falle der Ransomware klar: Cyberkriminelle wollen Geld!

Die erste große Welle an Ransomware wurde durch die Schadsoftware „WannaCry“ und deren Nachfolger ausgelöst. Diese Software funktionierte wiederum nach dem Prinzip von Postwurfsendungen: Sie verbreitete sich wahllos und massenhaft auf Windows-Systemen, und zwar sowohl auf Firmen- als auch auf Privatgeräten. Die benutzte Schwachstelle im Betriebssystem von Microsoft Windows[4] war dazumal schon bekannt. Die Lösegeldforderung, mit deren Begleichung das Opfer das Entschlüsselungspasswort erhält, betrug wenige hundert US-Dollar. Für Privatpersonen waren diese Forderungen keine Bagatelle mehr. Der drohende Verlust von Fotosammlungen oder anderer für das Opfer wertvolle Daten bewegte viele dennoch zu einer Zahlung.

In Unternehmen war der Schaden durch die verschlüsselten Systeme unerwartet hoch. So wurden bei Automobilherstellern ganze Produktionsanlagen lahmgelegt, Krankenhäusern wurde der Zugriff auf deren Röntgenarchive und Laborergebnisse verwehrt und Logistiker hatten keine Möglichkeit mehr, auf ihre Hochregallager zuzugreifen. Das Lösegeld wurde hier meist „gerne” bezahlt.

WannaCry war nur der Anfang. Ransomware und andere Schadsoftware werden heute ganz gezielt eingesetzt. Der Sourcecode wird angepasst, um Abwehrmechanismen zu umgehen bzw. ganz konkrete Systeme beim Opfer zu kompromittieren.

Cyberkriminelle entwickeln sich stetig weiter. Dies sollten besser die Verteidiger übernehmen, um durch die Erweiterung ihrer Fähigkeiten Cyberangreifern den entscheidenden Schritt voraus zu sein. Die in diesem Buch aufgezeigten zehn Strategien helfen Ihnen dabei.

3Im weiteren Verlauf dieses Buches werden die Autoren immer wieder auf diese verweisen.

4Kaspersky: Was ist WannaCry-Ransomware, https://www.kaspersky.de/resource-center/threats/ransomware-wannacry (abgerufen am 03.10.2020)

Vom Hacker zum Cyberkrieger

Philipp Mattes-Draxler

Information als Wert

Bevor die Strategien zur Abwehr von Hackerangriffen vorgestellt werden, ist es sinnvoll, einen Blick in die Vergangenheit zu werfen, um zu verstehen, wie es überhaupt dazu kam, dass wir uns vor Hackern schützen müssen.

Es ist schon bezeichnend, dass die als älteste bekannte Form der Verschlüsselung als „Cäsar-Chiffre“ bekannt ist.[5] Bereits Julius Cäsar verschlüsselte mit einfachen Mitteln Botschaften an seine Heerführer und Kommandanten, sodass nur ein berechtigter Empfänger über die Befehle und geplanten Aktionen am Gefechtsfeld Bescheid wusste. Es kann davon ausgegangen werden, dass er nicht der erste und im Lauf der Geschichte auch sicher nicht der letzte Herrscher und Befehlshaber war, der auf diese Weise dafür Sorge getragen hat, dass seine Geheimnisse auch geheim bleiben. Gerade das berühmte Beispiel der „Enigma“, einer Maschine zur Verschlüsselung des Nachrichtenverkehrs der Wehrmacht im zweiten Weltkrieg, zeigt, mit welchem Aufwand Informationsschutz und Kryptoanalyse betrieben wurde bzw. immer noch betrieben wird.

Informationsschutz im Sinne von Geheimnisschutz hat also bereits eine lange Geschichte und gewinnt heute insofern an Bedeutung, als die Informationsverarbeitung unsere wirtschaftlichen, politischen und sozialen Interaktionsprozesse immer mehr durchdringt. Als Beispiel sei hier die Diskussion rund um die Ende-zu-Ende-Verschlüsselung bzw. die Sicherheit von Messangerdiensten wie WhatsApp und ähnlichen angeführt.[6]

Bewegt man sich in der digitalen Welt, wird landläufig vom „Cyberraum“ gesprochen. Der Cyberraum umfasst dabei alle weltweit über das Internet hinweg erreichbaren Informationsstrukturen. Betrachtet man nun die Sicherheitsaspekte im Cyberraum, so spricht man von „Cybersecurity“. Dies schließt klassischerweise alle möglichen Arten und Ausprägungen von Informationssicherheit und IT-Sicherheit in der digitalen Welt mit ein, im Besonderen auch die Informationssicherheit von Organisationen und Unternehmen im geschäftlichen Umfeld.

Obwohl die Begriffe „Cybersecurity“ und „Informationssicherheit“ oft synonym verwendet werden und es sehr viele Schnittstellen gibt, besteht doch ein wichtiger Unterschied zwischen den beiden Konzepten. Informationssicherheit umfasst den Schutz von Daten unabhängig von der Art der Daten (auch analoge Daten), während sich Cybersecurity ausschließlich mit dem Schutz von Daten in digitaler Form beschäftigt. Im Rahmen dieses Buches werden sowohl Maßnahmen für die Cybersecurity als auch übergreifende Maßnahmen im Rahmen von Informationssicherheit dargestellt.

Cybercrime

Die starke Durchdringung des Cyberraums und die damit einhergehenden Gefahren und Bedrohungen haben längst auch unser Privatleben erreicht. Cyberkriminelle nutzen die stetig wachsenden technischen Möglichkeiten, um Informationen zu stehlen und sich finanziell zu bereichern.

+Geht Cybercrime uns alle an?

Während sich Cyberkriminelle im geschäftlichen Umfeld vornehmlich auf die Schädigung von Unternehmen fokussieren, werden im privaten Umfeld alle Individuen zu potenziellen Opfern. Ob es sich bei den Tätern aber immer um klassische Hacker handelt, wie sie aus den Medien bekannt sind, kann gerne am Ende der ersten Strategie selbst beurteilt werden (siehe Kapitel 1).

Eine allgemein gültige Definition des weit gefassten Begriffs „Cybercrime“ gibt es nicht.[7] In der Regel werden darunter alle Straftaten, die unter Ausnutzung des Internets bzw. von Informations- und Kommunikationstechnik (IKT) begangen werden, verstanden. Die österreichischen Sicherheitsbehörden unterscheiden darüber hinaus zwischen Cybercrime im engeren Sinn und Cybercrime im weiteren Sinn.

Cybercrime im engeren Sinn meint jene Straftaten, bei denen Angriffe auf Daten oder Computersysteme unter Ausnutzung von verschiedenen Techniken begangen werden (z. B. Datenbeschädigung, Hacking oder Angriffe auf die Verfügbarkeit von Daten).

Im weiteren Sinn werden unter Cybercrime aber auch Straftaten verstanden, bei denen die Informations- und Kommunikationstechnik zur Planung, Vorbereitung und Ausführung von herkömmlichen Kriminaldelikten eingesetzt wird (z. B. Betrugsdelikte, Kinderpornografie, Cybergrooming[8] oder Cybermobbing).

Es zeigt sich also, dass die Bezeichnung „Cybercrime“ für nahezu alle Ausprägungen von Kriminalität verwendet wird – denn wie unsere Interaktionsprozesse vielfach im Cyberraum stattfinden, so spielen sich auch kriminelle Interaktionsprozesse vermehrt dort ab.

Als Beispiele für kriminelle Interaktionen im Cyberraum können diverse „Darknet“-Chats ebenso angeführt werden wie Umschlagplätze im digitalen Raum für den Handel von Drogen, Waffen und anderen illegalen Waren. Dabei handelt es sich vornehmlich um Chat-Gruppen bzw. Online-Dienste, die unter Wahrung der Anonymität und mit besonderen Formen der Verschlüsselung erreichbar sind und sich daher auch besonders dafür eignen, der Strafverfolgung zu entgehen. Per se ist diesen Technologien, welche die Möglichkeit der Anonymisierung im Internet erst ermöglichen, aber nichts vorzuwerfen, denn sie eignen sich ebenfalls dazu, die Freiheiten der Meinungsäußerung oder journalistische Tätigkeiten in Regime-Staaten zu unterstützen.

+Betrug bleibt Betrug

Weit weniger abstrakt sind Cyberbetrugsdelikte. Sei es, sich Passwörtern zu ermächtigen, mit falschen Social-Media-Profilen Vertrauensstellungen zu erreichen oder schlicht Konto- bzw. Kreditkarteninformationen zu entwenden und die Opfer so finanziell zu schädigen. Hier wird von „Social-Engineering-Angriffen“ gesprochen. Gemeint sind damit neue, moderne Formen des Trickbetrugs, wie z. B. des sogenannten Enkeltricks.

Dass diese Form des Betrugs aber nicht neu ist, zeigt beispielsweise der Film „Catch me if you can“. Hier spielt Leonardo di Caprio einen erfolgreichen Scheckkartenbetrüger in den 1960er Jahren, der das Scheckkartensystem ausnutzt, um sich persönlich zu bereichern. Auch die Ära des „Phone Phreaking“ in den 1970er bis Mitte der 1990er Jahre stellt ein gutes Beispiel für Trickbetrug dar: Hierbei konnten unter Ausnutzung der Eigenschaften der analogen Telefonie Ferngespräche und andere gebührenpflichtige Dienste „gratis“ in Anspruch genommen werden – auf Kosten diverser Firmenkonten, von denen diese Gebühren durch Telefonfirmen abgebucht wurden.[9]

Die Beispiele zeigen, dass sich Betrüger immer neue Maschen ausdenken und im Gleichklang mit dem technischen Fortschritt neue Möglichkeiten finden, finanzielle Vorteile unter Ausnutzung oder zumindest unter Abstützung auf die modernen Techniken zu erlangen.

War ein Heiratsschwindler in früheren Jahren darauf angewiesen, seine Zielperson persönlich auszuspähen, so kann er sich mittlerweile von jedem beliebigen Ort aus einen Überblick über seine Opfer auf diversen Dating-Plattformen beschaffen.

Durch das unüberschaubare Angebot im Internet und die vielen E-Mails und Nachrichten in Messenger-Diensten und Social-Media-Kanälen kommt hinzu, dass Anwender zunehmend den Überblick verlieren. Die Vielzahl an Benutzeraccounts, die heutzutage durch Tätigkeiten im Internet in Verwendung sind, verleiten dazu, aus Praktikabilitätsgründen für jedes Benutzerkonto dasselbe Passwort zu verwenden, was es Cyberkriminellen einfach macht. Hat ein Hacker erst einmal Zugang zu einem Passwort erlangt, ist es ihm oftmals ein Leichtes, auch auf weitere Accounts zuzugreifen.

Faktisch macht es keinen Unterschied, ob private Kontoinformationen am Telefon an einen fremden Anrufer weitergegeben oder sie im Zuge eines täuschend echt aussehenden Gewinnspiels per E-Mail oder durch Eingabe auf einer Website preisgegeben werden. Der Effekt bleibt der gleiche, und das ist in der Regel fehlendes Geld auf dem Bankkonto.

+Verschiedene Ausprägungen von Cybercrime

Cybercrime im engeren Sinn zielt darauf ab, Informationswerte in Bezug auf ihre Vertraulichkeit, Verfügbarkeit oder Integrität zu verletzen und so Vorteile zu erlangen.

Diese Vorteile werden wir in Kapitel 1 unter dem Überbegriff „Motivation“ näher erörtert. Denn während ein gewöhnlicher Krimineller in der Regel danach trachtet, finanzielle Vorteile zu erlangen, können andere Motive politische Aktionen oder Machtdemonstrationen sein.

Eine populäre Methode, um als Hacker finanzielle Vorteile zu lukrieren, ist die Erpressung. Dabei sind unterschiedliche Ausprägungen möglich. Die folgenden Beispiele beschreiben mögliche Szenarien.

Im privaten Umfeld erlangt sich ein Angreifer beispielsweise Zugriff auf den Laptop einer Privatperson und erstellt so kompromittierende Fotos mit der Webcam, um damit sein Opfer zu erpressen. Um die Verbreitung des Fotos zu verhindern, zahlt das Opfer den geforderten Betrag an den Angreifer. In einem anderen Fall verschlüsselt ein Angreifer alle Dateien auf der Festplatte einer Person inklusive deren Urlaubsfotos mit einer sogenannten Ransomware. Damit sind alle Dateien auf der Festplatte unbrauchbar. Im besten Fall werden die Daten nach der Überweisung von Lösegeld an den Hacker wieder entschlüsselt. Oftmals sind die Daten aber trotz Bezahlung verloren.

Ransomware-Angriffe sind aber auch im unternehmerischen Umfeld sehr populär und richten hohe Schäden an, wenn alle Dateisysteme inklusive Back-Ups verschlüsselt werden, stehen somit nicht nur die Geschäftskommunikation und Buchhaltung, sondern auch die Produktion still. Angreifer lassen sich fürstlich entlohnen, um Systeme wieder freizugeben. Lösegeldforderungen in der Höhe von zweistelligen Millionenbeträgen sind die Regel. Nicht selten werden diese auch bezahlt, wie das Beispiel von Garmin[10] zeigt. Laut Medienberichten flossen beim Hersteller von Navigations-Empfängern Zahlungen in Millionenhöhe, nachdem Hacker Daten mit Hilfe einer Ransomware verschlüsselt hatten.

Eine andere Art von Angriffen sind verteilte Angriffe, um die Verfügbarkeit von Systemen zu stören. Sogenannte Destributed-Denial-of-Service-Attacken (DDoS) zeichnen sich dadurch aus, dass Systeme und Web-Services innerhalb von kurzer Zeit mit so vielen Anfragen konfrontiert werden, dass dadurch das System überlastet wird und der Service nicht mehr verfügbar ist. Die Angriffe werden gleichzeitig über ein sogenanntes Botnetz orchestriert, wobei die Bots alle möglichen Arten von Endgeräten wie Fernsehern bis hin zum vernetzen Kühlschrank sein können. Damit lassen sich Unternehmen erpressen, die auf ihren Web-Auftritt oder einen Online-Shop angewiesen sind.

Die Bezahlung von Lösegeld wird gemeinhin mit Kryptowährungen realisiert. Das versetzt das Opfer in die Zwangslage, ebenfalls eine Krypto-Wallet[11] besitzen zu müssen, um Überweisungen an die Angreifer vornehmen zu können. Für die Angreifer ist es jedenfalls vorteilhaft, da die Verfolgung von Kryptogeld bis hin zur Realisierung in einen Geldbetrag in regulärer Währung bei Verdacht auf eine Straftat für die Behörden schwierig ist. Gründe dafür sind die Designs von Kryptowährungen und nationale Grenzen.

Der Diebstahl von geistigem Eigentum in Form von Daten und Informationen – also Wirtschafts- oder Industriespionage – ist da schon deutlich „leiser“ und passiert oft unbemerkt. Werden etwa Juwelen aus dem Tresor gestohlen, wird man dies in der Regel sofort bemerken. Erlangt der Angreifer jedoch unbemerkt Zugriff auf wertvolle Daten eines Unternehmens und kopiert diese nur, kann dies auch unbemerkt bleiben. Die Folgen sind aber ebenso verheerend.

Cyberwarfare als neue Disziplin

Alle Entwicklungen, die bisher dargestellt wurden, setzen sich auch im politischen, diplomatischen und militärischen Bereich weiter fort. Es verwundert daher nicht, dass sich die geopolitischen Spannungen auch im Cyberraum weiter fortsetzen.

Obwohl es sicherlich zu weit gegriffen ist, von einem Cyberkrieg oder von Cyber-War zu sprechen, ist Cyberwarfare – also das Setzen von kriegerischen Handlungen im Cyberraum – mittlerweile Realität.

Bei Cyberwarfare geht es darum, realen politischen Auseinandersetzungen mit dem Einsatz bzw. dem Stören von Informations- und Kommunikationstechnologie zusätzlichen Nachdruck zu verleihen.

Das ist aus politischer und diplomatischer Sicht interessant, weil

+die Rückverfolgung der Angriffe und das Benennen des Angreifers, wie auch im Bereich des Cybercrimes, sehr schwer ist,

+der Mitteleinsatz im Gegensatz zu „Kommandoaktionen“ durch Spezialeinsatzkräfte relativ gering ist,

+der Schaden im realen Leben aber je nach Ziel genauso spürbar ist wie nach physischen Interventionen.

Die Art und Weise der Eingriffe in bzw. Angriffe auf Informationssysteme sind dabei höchst unterschiedlich und werden auf die jeweilige Zielsetzung maßgeschneidert. Es folgen dazu einige Beispiele.

Estland: Im April 2007 kam es zu mehrwöchigen, politisch motivierten Cyberangriffen, nachdem ein russisches Denkmal in Tallinn versetzt werden sollte. Es handelte sich dabei durchwegs um Denial-of-Service-Angriffe, die die Verfügbarkeit vieler Webseiten von estnischen Ministerien, Banken und Medien störte.[12] Ob der Auftraggeber tatsächlich die russische Regierung war oder ob pro-russische Aktivisten für die Angriffe verantwortlich waren, ist nicht klar; sie haben jedenfalls zu einem starken Engagement Estlands im Cyberbereich der NATO geführt. So wurde etwa das NATO Cooperative Cyber Defence Centre of Excellence in Tallinn als Cyber-Defence-Kompetenzzentrum aufgestellt.

Iran: Im November 2010 wurde bekannt, dass die iranische Urananreicherungsanlage Natanz mehrmalig mit technischen Problemen zu kämpfen hatte. Heute weiß man, dass mehr als 1000 Zentrifugen in Natanz zwischen 2009 und 2010 zerstört wurden.[13] Kern des Problems war eine neuartige Cyberwaffe – Stuxnet –, die speziell für die Steuerungs- und Regelungstechnik der Urananreicherungsanlage programmiert worden war und die Umdrehungsgeschwindigkeit der Zentrifugen manipuliert hatte. Die Schadsoftware Stuxnet war 2010 von Sicherheitsforschern entdeckt worden, weil sie auf anderen Systemen aufgefallen ist.[14] Auch hier ist nicht bekannt, ob US-amerikanische oder israelische Cyberangreifer hinter der Attacke stehen. Der Schaden für das iranische Atomprogramm war jedenfalls enorm.

USA 2016: Während des Wahlkampfs zu den US-amerikanischen Präsidentschaftswahlen wurden E-Mails und Dokumente der demokratischen Partei und speziell jene der Präsidentschaftskandidatin Hillary Clinton zum Nachteil für die Demokraten veröffentlicht. (Ein Effekt, der sich auch während der österreichischen Nationalratswahl 2018 mit Dokumenten der ÖVP wiederholt hat.[15]) Hier wurde später gegen zwölf Mitarbeiter des russischen Militärnachrichtendienstes GRU Anklage erhoben.[16]

USA 2018: Während der US-amerikanischen Midterm-Elections, bei denen die Abgeordneten zum Repräsentantenhaus, ein Drittel des Senats und mehr als die Hälfte aller Gouverneure gewählt wurden, führte die USA einen militärischen Cyberangriff gegen Russland durch, um zu verhindern, dass sogenannte Trolle die Wahl durch Verbreitung von Falschmeldungen in sozialen Netzen beeinflussen. Bei diesen Falschmeldungen handelte es sich in der Regel um Postings und Kommentare in sozialen Netzwerken, Zeitungsartikeln oder Webforen mit dem Ziel, diverse Themen zu propagieren und rassistische und andere gesellschaftliche Konflikte zu schüren.[17]

Aufgrund solcher Entwicklungen erkannte auch das Österreichische Bundesheer die Entstehung des Cyberraum als einen neuen operativen Raum, der, analog zu Land- und Luftraum, gesondert betrachtet werden muss und für den eigene Wirkmechanismen entwickelt werden müssen. Es nimmt daher schon seit Jahren an internationalen Übungen und Testungen im Cyberbereich teil, um seine Cyber-Defence-Fähigkeiten kontinuierlich weiterzuentwickeln.[18]

Trends

Insgesamt kann festgehalten werden, dass die Anzahl an bekannten internetbasierten Straftaten in den unterschiedlichen Ausprägungen stetig zunimmt. 2018 war in Österreich eine Zunahme von 16,8 % gegenüber 2017 zu verzeichnen[19], während die Aufklärungsquote mit 37,4 % relativ niedrig ist und sogar weiter sinkt[20]. Aufgrund der Komplexität der Angriffe, der nationalen Grenzen der Strafverfolgung und auch aus Gründen der datenschutzrechtlichen Vorgaben ergeben diese Zahlen leider die logische Schlussfolgerung.

Ein weiterer beobachteter Trend ist die professionelle Organisation von Cyberkriminellen. Organisierte Cyberkriminelle setzen dabei auf die Teilung der „Produktionsprozesse“. So können neben Schadsoftware auch Zugänge zu Unternehmen, Botnetze und unterschiedliche Angriffe gekauft oder gemietet werden.[21] Der kriminelle Cyberangreifer benötigt daher mittlerweile weniger technische Kompetenz, sondern vielmehr die kriminelle Energie und Kreativität zum Angriff. Die Technik, also die Schadsoftware oder das Botnetz, kauft oder mietet er sich zu.[22]

Parallel zur Professionalisierung von Cybercrime kommt hinzu, dass viele Unternehmer wie Privatpersonen unzureichendes Fachwissen rund um die unzähligen Details zu digitalen Medien aufweisen oder sich zu wenig Kompetenz zutrauen, sodass sie resignieren und Gefahren einfach akzeptieren. Dies sind zusätzliche Faktoren, die Cyberkriminellen und Cyberbetrügern in die Hände spielen. Daher sollten wir uns auch im Umgang mit digitalen Medien – im Cyberraum – entsprechende Kompetenzen aneignen, um uns sicher und selbstbewusst bewegen zu können.

Doch egal, wie kompetent wir uns persönlich gegen Cybercrime wappnen, unser Leben wird immer digitaler und auch die politischen Auseinandersetzungen der Zukunft werden nach und nach digitale Komponenten enthalten. Die „digitale Achillesferse“ unserer Gesellschaft muss daher ebenso gut geschützt werden und das ist eine Aufgabe, die der Staat allein nicht übernehmen kann. Hier sind alle gefordert.

Umso wichtiger ist es, dass auch Ihr Unternehmen mit den nachfolgenden zehn Strategien gegen Hackerangriffe sicher gestaltet wird.

5vgl. The Code Book. The Secret History of Codes and Codebreaking. Simon Singh. Fourth Estate-Verlag. London. 2000. Seite 10.

6vgl. https://www.boxcryptor.com/de/blog/post/encryption-comparison-secure-messaging-apps/ (abgerufen am 15.07.2020).

7vgl. https://bundeskriminalamt.at/306/ (abgerufen am 14.07.2020).

8Unter „Cybergrooming“ wird die Anbahnung von Kontakten/Freundschaften bei Kindern und Jugendlichen im Internet verstanden. Besteht eine vertrauliche Beziehung, wird diese in weiterer Folge sexuell ausgenutzt.

9Mitnick, Kevin; Simon, William: Die Kunst der Täuschung. mitp-Verlag. 2011. Seite 10f.

10https://futurezone.at/digital-life/cyberangriff-garmin-soll-loesegeld-in-millionenhoehe-bezahlt-haben/400990550 (abgerufen am 29.08.2020).

11Eine Krypto-Wallet ist eine Art digitale Geldbörse zur Verwaltung der Kryptowährung.

12vgl. https://www.stratcomcoe.org/download/file/fid/80772 (abgerufen am 18.07.2020).

13https://isis-online.org/uploads/isis-reports/documents/stuxnet_FEP_22Dec2010.pdf ISIS Report. David Albright. Paul Brannan. Christina Walrond. 2010. (abgerufen am 18.07.2020).

14https://www.wired.com/images_blogs/threatlevel/2010/11/w32_stuxnet_dossier.pdf Symantec. 2010. (abgerufen am 18.07.2020).

15vgl. https://www.diepresse.com/5685360/ovp-kein-hacker-in-kinderschuhen (abgerufen am 18.07.2020).

16vgl. https://www.tagesspiegel.de/politik/hackerangriff-auf-hillary-clinton-zwoelf-russische-spione-wegen-wahlkampf-cyberattacke-in-usa-angeklagt/22801132.html (abgerufen am 18.07.2020).

17vgl. https://www.washingtonpost.com/national-security/trump-confirms-cyberattack-on-russian-trolls-to-deter-them-during-2018-midterms/2020/07/11/66a845e8-c2c3-11ea-b178-bb7b05b94af1_story.html (abgerufen am 18.07.2020).

18vgl. https://www.bundesheer.at/truppendienst/ausgaben/artikel.php?id=1773. 2014. Abwehramt. (abgerufen am 18.07.2020).

19Lagebericht Cybercrime 2018. Bundesministerium für Inneres, Bundeskriminalamt. Digitaldruckerei des BMI. Wien 2019. Seite 17.

20Lagebericht Cybercrime 2018. Bundesministerium für Inneres, Bundeskriminalamt. Digitaldruckerei des BMI. Wien 2019. Seite 38.

21Digging in the deep web. Exploring the dark part of the web. Pierluigi Paganini. Amazon Fulfillment. 2018. Seite 20.

22vgl. https://documents.trendmicro.com/assets/wp/wp-russian-underground-2.0.pdf (abgerufen am 17.07.2020). Seite 9.

1 STRATEGIE 1:
Den Hacker kennen

Philipp Mattes-Draxler

1 STRATEGIE 1: DEN HACKER KENNEN
1.1 WER GREIFT UNS AN?

Die erste Strategie zur Abwehr von Hackerangriffen beschäftigt sich zunächst mit unserem Gegenüber: dem Hacker, oder besser ausgedrückt, dem Akteur, vor dem Unternehmensinformationen geschützt werden sollten.

Dabei ist es fürs Erste unerheblich, wer als Person hinter der Gefahr steckt, denn es gilt zunächst die Systematik zu verstehen, die hinter den Bedrohungen steckt. Vereinfacht wird gerne vom „Hacker“ als Täter gesprochen. Doch wie so oft birgt auch diese Vereinfachung etliche Unschärfen, denn oftmals stehen hinter einem Angriff mehrere Täter, die als Akteursgruppe zusammengefasst werden können. Hinter dem landläufigen Begriff „Hacker“ können sich auch viele unterschiedliche Akteure verbergen. In den weiteren Kapiteln wird der bekannte Begriff „Hacker“ aber als Synonym für die unterschiedlichen Akteure (z. B. Cracker, Scriptkiddie, Hacktivist, staatliche Spione) verwendet.

Das vorliegende Kapitel soll aufzeigen, dass ein Hacker nicht gleich ein Hacker ist, und dass für einen effizienten und effektiven Schutz vor Angriffen entscheidend ist, wer hinter einem potenziellen Angriff stehen kann. Nur durch dieses Wissen können zielgerichtete Schutzmaßnahmen beschlossen und realisiert werden.

Im nachfolgenden Kapitel werden die drei Faktoren im Einzelnen beschrieben, die bei einem erfolgreichen Angriff zusammenspielen müssen. Diese sind:

+Die Motivation eines Hackers.

Jedes Handeln benötigt ein Motiv, so auch das Vorgehen von Cyberkriminellen. Die Motivation der Angreifer ist kein rein technisches Thema und gibt Aufschluss darüber, ob ein Unternehmen ein lohnendes Ziel für einzelne Akteursgruppen darstellt. Die Motivation kann beispielsweise finanzieller oder politischer Natur sein.

+Die Fähigkeiten eines Hackers.

Sie sind entscheidend für die Raffinesse und den technischen Mitteleinsatz, der während eines Angriffs aufgewendet werden kann. Die Fähigkeiten bestimmen die notwendigen Schutzmaßnahmen bzw. Analysetätigkeiten auf der zu verteidigenden Seite. Die Fähigkeiten eines potenziellen Cyberangreifers, welcher ja unbekannt ist, abzuschätzen, ist dabei nicht ganz einfach.

+Die Möglichkeiten, die einem Hacker als Angriffsfläche zur Verfügung stehen. Diese werden durch eine Organisation selbst und den Betrieb ihrer Infrastrukturen geschaffen. Die Kontrolle darüber liegt daher ausschließlich in der Hand des Unternehmens. An dieser Stelle kann es eingreifen und sich (erfolgreich) gegen Angriffe wehren.

1.1.1 Kein Angriff ohne Motiv

Am einfachsten ist es, zunächst die unterschiedlichen Akteure anhand ihrer Motivation zu unterscheiden[23]:

+Cybervandalismus: zielt darauf ab, Schaden anzurichten bzw. Services zu stören. Das Motiv dazu kann ein politisches sein, wie es etwa die Angriffe auf die Webseite des österreichischen Außenministeriums 2016[24] waren, oder auch einfach das Ergebnis von jugendlichem Leichtsinn, wie beim Virus „Loveletter“ aus dem Jahr 2000 vermutet wird.[25]

+Cybercrime: zielt darauf ab, finanziellen Profit zu erzielen bzw. aus ideologischen Gründen kritische Informationen zu erlangen (Informationsdiebstahl). So wird etwa ein Krypto-Trojaner in das Unternehmensnetzwerk eingeschleust, um die Unternehmensdaten zu verschlüsseln. Um die Daten wieder zu entschlüsseln, muss ein bestimmter Betrag an Lösegeld an die Angreifer überwiesen werden. Auch Kreditkarteninformationen stellen ein beliebtes Ziel für Cyberkriminelle zur finanziellen Bereicherung dar.

+Einbruch in das Unternehmensnetzwerk zur weiteren Tatvorbereitung: dient zur Verbesserung der Kenntnisse der IT-Infrastruktur, um Ansätze für zukünftige Angriffe zu gewinnen.

+Cyberspionage, Cybersabotage: Diebstahl von spezifischen, hochwertigen Informationen oder aktives Behindern bzw. Stören einer Organisation. Ende Februar 2018 wurde das deutsche Außen- und Verteidigungsministerium Opfer eines solchen Angriffs. Die Ministerien wurden mutmaßlich von der russischen Gruppierung „APT28“ angegriffen. Die Angreifer schleusten eine Schadsoftware ein und erbeuteten so Daten. Ebenfalls im Jahr 2018 wurde GitHub, ein Online-Dienst für Softwareentwicklung, Ziel einer Cybersabotage. Das Unternehmen wurde unter Anwendung einer DDoS-Attacke (Distributed-Denial-of-Service, siehe auch Kapitel „Vom Hacker zum Cyberkrieger“) konfrontiert. Der Dienst war für einige Zeit nicht erreichbar.[26]

+Cyberconflict/Cyberwarfare: ernsthafte Schädigung einer Organisation oder eines Staates in der Nutzung von Informationen und/oder Infrastrukturen. So wurden beispielsweise 2007 etliche Regierungs- und Verwaltungsstellen Estlands durch einen DDoS-Angriff massiv gestört.[27]

Je nachdem, in welcher Branche eine Organisation tätig ist bzw. wie das Geschäftsmodell aufgebaut ist, lassen sich unterschiedliche Motivationslagen für mögliche Angriffe ableiten. Dadurch ergeben sich in weiterer Konsequenz auch die möglichen Fähigkeiten der Angreifer und die Ausprägung der notwendigen Gegenmaßnahmen.

Ein Unternehmen in der Verteidigungsindustrie wirkt auf manche Angreifer sicherlich interessanter als eine Bank, um dort wertvolle Informationen zu erlangen, während eine Bank für viele ein interessanteres Angriffsziel ist als ein Textilproduzent, um sich bei einem erfolgreichen Angriff finanziell zu bereichern. Aufgrund der variierenden Motive werden sich daher auch die Sicherheitsmaßnahmen entsprechend unterscheiden.

1.1.2 Kein Angriff ohne die notwendige Fähigkeit

Nun liegt es auf der Hand, dass es zum Verfolgen der unterschiedlichen Motivationen auch unterschiedliche technische Fähigkeiten, aber auch Ressourcen bzw. Organisation benötigt. Daher ist es zweckmäßig, Hacker auch nach ihren Fähigkeiten zu unterscheiden:

+Skript Kiddies: bezeichnet wenig technisch versierte Angreifer, die vor allem vorgefertigte Tools – also gebrauchsfertige Lösungen und vorgefertigte Automatismen bzw. schriftliche Anleitungen verwenden. Sie sind hauptsächlich im Bereich des Cybervandalismus einzuordnen, wobei erfolgreiche Versuche oftmals unzureichendem Perimeterschutz[28] oder nicht vorhandenen Basissicherheitsmaßnahmen geschuldet sind.

+Cyberkriminelle: sind vornehmlich finanziell motivierte Akteure, die durchaus technisch versiert auftreten oder soweit organisiert sind, dass sie ihre Angriffe technisch professionell gestalten. Wenn sie selbst nicht über das notwendige Know-how verfügen, ihre Angriffe zu gestalten, kaufen sie die Expertise zu. Cyberkriminelle zeichnen sich jedenfalls dadurch aus, dass sie im ersten Moment keinen offensichtlichen Schaden bzw. keine Rufschädigung beabsichtigen, sondern alle Mittel zum Zweck der finanziellen Bereicherung einsetzen. Wenn dadurch Sachschaden entsteht, wie etwa durch den Einsatz von Ransomware, oder es zu Rufschädigung durch die Veröffentlichung von Informationen kommt, weil eine Erpressung nicht erfolgreich war, nehmen sie den Schaden in Kauf.

+Insider: hierbei handelt es sich um interne Mitarbeiter, die dem Unternehmen/der Organisation angehören und externe Mitarbeiter, die eine Vertrauensstellung in der Organisation einnehmen. Insider benötigen im Normalfall keine besonders ausgeprägten technischen Fähigkeiten, weil sie über ihre bereits bestehende Vertrauensstellung viel Schaden anrichten können.

+Staatliche Angreifer oder staatlich gesponserte Angreifer: verfügen nicht nur über exzellente technische Fähigkeiten, sondern auch über die notwendigen Ressourcen, Angriffe langfristig bzw. mehrphasig zu gestalten. Dabei können physische Angriffe mit virtuellen Angriffen kombiniert werden oder/und es kann nach erfolgreicher Infiltration über mehrere Schichten hinweg operativ gearbeitet werden. Wenn Angriffstechniken entdeckt werden, ist es auch möglich, die Vorgehensweisen und eingesetzten Tools zu wechseln. Ebenfalls ist es möglich, Angriffe durch das Nachbauen von Infrastrukturen und durch gezieltes Erforschen von Schwachstellen der eingesetzten Komponenten vorzubereiten.

Diese Einteilung ist zwar nur sehr grob, lässt aber einen Rückschluss darauf zu, wie komplex ein zu erwartender Angriff sein kann. Der Umstand, dass mittlerweile ein breites Repertoire an Beispielen zu durchgeführten Angriffen vorliegt und dieses auch stetig wächst, wirft kein gutes Licht auf die Zukunft. Diese Beispiele können jedoch maßgeblich dafür genutzt werden, um daraus den optimalen Einsatz von Sicherheitsmaßnahmen abzuleiten.

Zudem empfiehlt es sich, zu recherchieren, welche Angriffe andere Unternehmen in ähnlichen Branchen zu erleiden hatten, welche Motivation und welche Fähigkeiten hinter diesen Angriffen steckten und wie diese Unternehmen damit umgegangen sind.

1.1.3 Erst die Angriffsfläche ermöglicht den Angriff

Damit Bedrohungsakteure gegenüber einem Unternehmen oder einer Organisation letztlich kriminell, politisch, radikal oder terroristisch motiviert vorgehen können, benötigen sie zuallererst eine Angriffsfläche, um den Angriff überhaupt zu ermöglichen.

Die Möglichkeiten zum Angreifen werden durch das jeweilige Unternehmen bzw. die Organisation und ihre betriebene Infrastruktur selbst geschaffen. Dabei besteht ein natürliches Spannungsfeld zwischen dem Betreiben von digitalen Services und dem Exponieren von Angriffsflächen des Unternehmens im Cyberraum. Als Faustregel gilt: Je digitaler das Geschäftsmodell einer Organisation ist, desto verwundbarer ist es im Cyberraum.

Es ist daher naheliegend, dass ein geordneter IT-Betrieb mit gut strukturierten Prozessen weitaus weniger angreifbar ist als eine komplex aufgebaute Organisation, die unzureichend organisiert ist und deren Prozesse kaum überblickt werden können.

!

Praxistipp:

Angriffsfläche verkleinern

Disziplinen wie Schwachstellenmanagement zum Identifizieren von aktuellen Lücken in IT-Systemen, Patch-Management (siehe Kapitel 6.5) zum geordneten Schließen dieser Lücken und Change-Management zum Überwachen und Verwalten der Software- und Konfigurationsstände bewirken eine Verkleinerung der Angriffsfläche. Sie ermöglichen eine konsequente Überwachung von bekannten Lücken und sind daher auch geeignete Maßnahmen in einem Informationssicherheitsprogramm.

Über das Ausgestalten der IT-Infrastruktur und das Gestalten des IT-Betriebes bzw. einer effektiven IT-Betriebsführung kann also wesentlich zur Verminderung der Möglichkeiten des Angreifers beigetragen werden. Umso verwunderlicher mag es erscheinen, dass es zu so vielen erfolgreichen Angriffen kommt, wenn doch offensichtlich das Setzen einiger Sicherheitsmaßnahmen davor schützt.

Die Wahrheit ist, dass mit sehr wenigen Maßnahmen bereits ein guter Basisschutz erzielt werden kann. Allerdings ist der Schutz vor einem Angriff umso schwieriger, je motivierter der Angreifer ist, genau in dieses bestimmte Unternehmen einzudringen. Eine gewisse Rest-Angriffsfläche bleibt darüber hinaus in nahezu allen Fällen bestehen.

1.2 SIND WIR VOR DEM ANGREIFER SICHER?

Mithilfe der Analyse der Motivation und der Fähigkeiten der Angreifer sowie der möglichen Angriffsflächen im Unternehmen lässt sich rasch klären, ob die bisher gesetzten Sicherheitsmaßnahmen ausreichend sind. Aus diesen Analyseergebnissen lässt sich eine bedrohungsorientierte Verteidigungsstrategie ableiten, die letztlich in ein Informationssicherheitsprogramm zur Umsetzung von zusätzlichen Sicherheitsmaßnahmen mündet.

!

Praxistipp:

Clustern von Sicherheitsmaßnahmen

Es gibt dazu zwar keine allgemein gültige Vorgehensweise, aber eine geübte Praxis ist es, sich gedanklich an Domänen von bestehenden Cybersecurity-Frameworks zu orientieren. Dazu eignen sich etwa die Domänen „Identify“, „Protect“, „Detect“, „Respond“ und „Recover“ aus dem NIST-Cybersecurity-Framework[29].

Dazu können bestehende Sicherheitsmaßnahmen und Themen zu den einzelnen Werte-Gruppen (Assets)[30], wie etwa (End-)Geräte, Applikationen, Netzwerk, Daten und Mitarbeiter, geclustert werden. So erhält man eine erste Übersicht der bestehenden Maßnahmen, die das Unternehmen derzeit vor Angriffen schützen.

Auf Basis der Analyse der Motivation und der Fähigkeiten des Angreifers lässt sich auch eine Art Profil der zu erwartenden Bedrohungen ableiten. Damit lässt sich in Kombination mit den möglichen Angriffsflächen prüfen, ob die geclusterten Maßnahmen adäquat sind, um die Bedrohung zu verhindern bzw. darauf zu reagieren, sollte ein Angriff erfolgreich durchgeführt worden sein.

Mithilfe dieser Überprüfung lässt sich relativ rasch und überblicksartig beurteilen, wie die Sicherheitssituation aktuell zu bewerten ist und ob bzw. wie dringend zusätzliche Sicherheitsmaßnahmen zu implementieren sind, um sich vor den zu erwarteten Bedrohungen zu schützen. Darüber hinaus können so bestimmte Bereiche für ein mögliches nachfolgendes Informationssicherheitsprojekt bzw. Cybersecurity-Projekt bereits zu Beginn priorisiert werden.

Obwohl diese Vorgehensweise letztlich eine gewisse Unschärfe mit sich bringt, bietet sie gerade in Zusammenschau mit bereits erfolgten Angriffen in ähnlichen Branchen einen guten Einstieg in das Thema, um rasch erste Ergebnisse zu erhalten und sich mit der Bedrohung im Cyberraum auseinanderzusetzen. Darüber hinaus lassen sich für nachfolgende Diskussionen mit Stakeholdern und Mitarbeitern Beispiele entwickeln, die den Weg zu einem Informationssicherheitsprojekt aufzeigen und alle Involvierten dahingehend sensibilisieren sollen.

23vgl. Improving Cybersecurity and Mission Assurance via Cyber Preparedness (Cyber Prep) Levels. Deb Bodeau. Richard Graubart. Jennifer Fabius Greene. The MITRE Corporation. 2009. Seite 3ff.

24vgl. https://www.diepresse.com/5124955/aussenministerium-wehrte-cyberattacke-aus-ausland-ab (abgerufen am 20.07.2020).

25vgl. https://www.spiegel.de/netzwelt/web/i-love-you-prozess-onel-de-guzman-ist-frei-a-89973.html (abgerufen am 20.07.2020).

26vgl. https://www.psw-group.de/blog/hackerangriffe-2018/6673 (abgerufen am 01.08.2020).

27vgl. https://www.security-insider.de/was-ist-cyberwar-a-672813/ (abgerufen am 06.08.2020).

28Schutz des Unternehmensgeländes.

29vgl. https://www.nist.gov/cyberframework (abgerufen am 24.07.2020).

30Ein Asset bezeichnet hier Informations- oder Vermögenswerte eines Unternehmens.

2 STRATEGIE 2:
Security ist Chefsache

Erik Rusek

Конец ознакомительного фрагмента.

Текст предоставлен ООО «ЛитРес».

Прочитайте эту книгу целиком, купив полную легальную версию на ЛитРес.

Безопасно оплатить книгу можно банковской картой Visa, MasterCard, Maestro, со счета мобильного телефона, с платежного терминала, в салоне МТС или Связной, через PayPal, WebMoney, Яндекс.Деньги, QIWI Кошелек, бонусными картами или другим удобным Вам способом.