Betriebsrisiko Cyberkriminalität

Eigentlich unverständlich. Da gibt es ein Delikt, das schneller wächst als alle anderen, aber niemand fürchtet sich davor. Von Raub, Einbruch, Diebstahl fühlt sich jeder bedroht, aber Cyberkriminalität? Das ist ein Delikt, von dem jeder glaubt ihn betrifft es nicht. Leider auch die Meinung vieler Firmenverantwortlicher, dabei fischen Cyberkriminelle gerade im Bereich der Wirtschaft am erfolgreichsten.

Praktische Beispiele sagen oft mehr aus als theoretische Abhandlungen, deshalb beginne ich mit einem praktischen Fall:

Bei einem Mitarbeiter eines internationalen Konzerns trifft ein Mail ein mit dem Text „Wie besprochen das Gedächtnisprotokoll unseres Treffens vom …. Bitte um Bestätigung von Punkt 2“. Der Empfänger war zum Termin bei keinem Meeting, aber als Absender der Nachricht scheint die Mailadresse eines Kollegen auf. Verwundert ist der Empfänger auch über die „Herzliche Grüße“ zum Abschluss, eine Formel, die in der Firma absolut unüblich ist.

Natürlich macht das Attachment im Mail neugierig, doch dem Empfänger erscheint es eigenartig, dass ein firmeninternes Papier verschlüsselt geschickt und das Passwort gleich mitgeliefert wird. Der Empfänger macht das völlig Richtige und ruft den angeblichen Absender einfach an. Treffer, dieser hat keine Mail verschickt. Jetzt wird die interne Sicherheit eingeschaltet. Wie zu erwarten, das Mail war ein Fake und ein vorerst unbekannter Täter wollte via einer vorgetäuschten Mailadresse in das Firmennetzwerk eindringen. Im Attachment war ein Virus und der Täter hoffte, durch die Verschlüsselung vom Virenscanner nicht erkannt zu werden. Hinter diesem Fall, bei dem E-Banking-Daten ausspioniert hätten werden sollen, stand eine Gruppe der Organisierten Kriminalität. Dieser Fall zeigt auch mehrere neuere Entwicklungen der Cyberkriminalität auf, die vor allem auf die Wirtschaft zielen:

• Cyberkriminalität wird immer mehr von der Organisierten Kriminalität angewendet.
• Die Professionalität und Internationalität steigen stetig an.
• Outsourcing ist auch in der Cyberkriminalität angekommen. Die Entwicklung von Maleware für kriminelle Zwecke wird wegen ihrer Komplexität von der OK häufig ausgelagert. Crime-as-a-Service wird dies in der Fachwelt genannt. Entsprechende Malware wird ab Euro 5.000 bis zu sechsstelligen Beträgen angeboten.
• Verseuchte Malware wird häufig über Mails an Firmenangehörige in Firmennetzwerke eingeschleust.
• Lücken entstehen häufig durch das einfache Ausspähen von Adressbüchern und Zustelladressen. Bekannte Mailadressen können damit als Absender vorgeschoben werden, weil sie eher als vertrauenswürdig eingestuft werden. Spoofing (Verschleierung der eigenen Identität) nennt man so etwas.
• Die Kosten nach einem Cyberangriff sind in der Regel weit höher, als die Prävention und die technische Sicherheitsvorbereitung. Das Center for Strategic and International Studies schätzte 2014 den weltweiten Schaden auf 445 Milliarden Dollar.

Was kann man aus diesem Einzelfall lernen?

Bekannte Mailadressen sind keine Garantie, dass sie tatsächlich vom genannten Absender kommen. Es sollte daher die Gesamtheit des Textes überprüft werden, bevor Attachments geöffnet oder angeführte Links angeklickt werden.

• Auf den Schreibstill und auf die Grammatik achten. Passt das Mail zur Situation? Sind die üblichen Aktenzahlen, Höflichkeits- und Grußformeln enthalten.
• Sind, vor allem bei Umlauten, plötzlich cyrillische Buchstaben oder Sonderzeichen.
• Nicht sofort auf angeführte Links klicken, sondern in der Statuszeile überprüfen.
• Absolut verdächtig ist, wenn bei einem verschlüsselten Dokument in der gleichen Mail das Passwort mitgeliefert wird.
• Niemals Makros in Dokumenten ausführen lassen, wenn diese per Mail eingetroffen sind.
• …und natürlich Virenscanner auf dem neuesten Stand halten.

Jedermann, vor allem jede Firma, die diese einfachen Regeln beherzigt und ihre Netzwerkuser entsprechend instruiert, hat bereits einen großen Schritt in Richtung Cybersicherheit getan. Gerade jetzt, mit verstärktem Home-Office ist die Lücke im Zugang zu Firmennetzwerken größer geworden und die Ahnungslosigkeit von Angestellten über die Gefahr, dass sie als Zugang benützt werden, ist grenzenlos.

Privatpersonen nicht die alleinigen Opfer

Der am Beginn erwähnte Fall ist nur eine Nuance des weiten Bereiches der Cyberkriminalität. Voll im Aufwärtstrend ist derzeit die Erpressung per Massen-E-Mail. Das Bundeskriminalamt hat auf diesen Trend durch die Schaffung eines eigenen Büros reagiert. Die 2019 gegründete “ARGE-Erpressungsmail“ hat in der kurzen Zeit ihres Schaffens bereits 5.300 Fälle registriert. Auch hier sind Privatpersonen nicht die alleinigen Opfer. Während bei Privatpersonen vorwiegend die Sex-Foto-Masche angewendet wird, sind es bei Firmen meist Bombendrohungen. Eine Masche die 2020 von den USA auf Europa überschwappte. Die erste Erpressung in Europa war am 24.8.2020 in Bayern, Tags darauf traf das erste Mail in Österreich ein und führte in Wien wegen der Bombendrohungen zu vielfachen Räumungen. Dabei wären diese Massenmails einfach zu erkennen gewesen, denn die Täter machten sich nicht einmal die Mühe die Erpressungsmail ordentlich zu übersetzen. Englische Texte wurden einfach mit handelsüblicher Übersetzungssoftware übersetzt und hatten daher leicht erkennbare Fehler.

Bombendrohungen sind aber nicht die einzige Gefahr für die Wirtschaft aus dem Internet. Keine Entwarnung, dass nicht auch Firmen mit Porno-Fotos erpresst werden können. In unserem großen Nachbarland hat ein Täter Fotos von Firmenhomepages abgenommen, in Pornofilme kopiert und für die Nichtveröffentlichung Geldbeträge verlangt.

Die Schwachstelle ist der Mensch

Imageschaden durch bösartige Veränderungen an Firmenwebseiten sind eine weitere Variante um Firmen Schaden zuzufügen. Die Täter sind hier meist politisch motiviert und weniger auf kriminellen Gewinn ausgerichtet. Die wohl (derzeit) letzte Variante ist die Drohung Firmenangehörige mit Covit anzustecken. Was die nächste Variante sein wird, kann man noch nicht erahnen. Die Informations- und Kommunikationstechnologie ist noch lange nicht am Ende ihrer Entwicklung und mit Sicherheit werden Kriminelle darin neue Geschäftsfelder entdecken.

Um Schaden vom eigenen Betrieb, ja von der ganzen Wirtschaft abzuhalten, genügt es nicht sich auf den Staat und passende Gesetze zu verlassen. Alleine die technische Aufrüstung zur Hebung des Sicherheitsniveaus wird aber auch nicht reichen. Das Problem muss sozialisiert werden, denn, darüber sind sich alle Fachleute einig - die Schwachstelle ist der Mensch. Aufklärung der User, deren Ausbildung und die Feststellung von bösartigen Insidern muss von jedem einzelnen Betrieb forciert werden. Cyberkriminalität muss nicht als unabwendbar hingenommen werden.