Bedingt abwehrbereit

Eine zentrale US-Ölpipeline, das irische Gesundheitssysteme und der weltgrößte Fleischproduzent haben etwas gemeinsam. Sie sind alle erst kürzlich Opfer von Cyberangriffen geworden – und damit nur die Spitze eines Eisbergs in einer Reihe von Attacken, die seit Monaten für mediale Aufmerksamkeit sorgen. Was Fach- und Branchenexperten seit Jahrzenten beschäftigt und wovor fortwährend eindringlich gewarnt wurde, kommt nun mit enormer Wucht in der gesamtgesellschaftlichen Breite an – mit sicherheitspolitischen Konsequenzen. Hacking im Jahr 2021 stellt eine maßgebliche Bedrohung für den Schutz der Bevölkerung und deren Versorgungssicherheit dar.
Dabei gibt für das Hacking eigentlich, was für den gesamten technischen Fortschritt gilt: Technologie ist nicht gut oder schlecht, sie ist immer nur ein Mittel zum Zweck. Und auch beim Hacking muss es sich nicht zwangsläufig um einen kriminellen Akt handeln. Im Grunde genommen sind Hacker Personen, die ihr Know-How nutzen, um auf innovative Weise Hindernisse überwinden. Mit dieser differenzierten Sichtweise im Hinterkopf liegt der Fokus aber natürlich auf den Entwicklungen im kriminellen Bereich des Hackings und deren Auswirkungen auf Wirtschaft, Politik und Gesellschaft.

Vor diesem Hintergrund ist es essenziell, die Motivation der Angreifer zu verstehen. Abstrahierend von staatlichen Spionage-Aktivitäten ist der Löwenanteil von dem, was wir im Cyberraum beobachten, geschäftsgetrieben. Die Kriminellen haben klare Monetarisierungsinteressen und sind häufig auf das schnelle Geld aus. Seit Jahren beobachten wir die klare Tendenz hin zur Professionalisierung, Internationalisierung und Industrialisierung von Cybercrime. Je größer der potenzielle Schaden für die Betroffenen beziehungsweise die verursachte Breitenwirkung des Angriffs, desto höher ist der potenzielle Ertrag für die Kriminellen. Daher ist es wenig überraschend, dass die organisierte Kriminalität verstärkt im Cyberraum aktiv ist und auch nicht vor Angriffen auf unsere kritischen Infrastrukturen zurückgeschreckt wird – die Hebelwirkung ist einfach größer.

Zudem erfreut sich „Cybercrime-as-a-Service“ zunehmender „Beliebtheit“. Es kommt zur Segmentierung der kriminellen Wertschöpfungskette. Während sich einzelne Hackergruppierungen auf die „Gewinnung“ von Zugangsdaten spezialisiert haben, stellen andere Gruppen ihren „kundenfreundlichen“ Ransomware-Service bereit. Aufgrund des damit verbundenen Wegfalls technischer Kompetenzhürden kann sich die kriminelle Energie viel leichter im Cyberraum entladen. Kriminelle brauchen längst keine fundierten Programmierkenntnisse oder einen langjährigen IT-Hintergrund mehr. Überspitzt gesagt kann sich jeder Kleinkriminelle per „Drag and Drop“ seinen Angriffsvektor zusammenstellen.

Dabei sind die Einfallstore ebenso divers wie zielführend. Während ein Großteil der Angriffe mit Phishing und Social Engineering beginnt, öffnen natürlich auch ungepatchte Systeme den Kriminellen Tür und Tor. Dies ist vielen Unternehmen und Behörden allerdings erst mit einem Knall bewusst geworden. Im Zuge des Bekanntwerdens der Schwachstellen in lokalen Exchange-Servern haben Kriminelle großflächig länderübergreifend und branchenunabhängig auf verwundbare Systeme gescannt und Web-Shells platziert. Während nach wie vor sogar noch etliche Systeme ungepatched geblieben sind, bleibt nur zu erahnen, wie viele Systeme zwar Sicherheitsupdates erhalten haben, allerdings ohne forensisch zu prüfen, ob sich Angreifer bereits eingenistet hatten. Es bleibt zu befürchten, dass die nächsten Monate noch böse Überraschungen bereithalten.

Im Endeffekt ist es auf den ersten Blick unerheblich, ob die Angreifer per Phishing, Supply-Chain-Angriff oder über 0-/n-Day Schwachstellen, fehlkonfigurierte Cloud-Umgebungen, Schatten-IT oder Innentäter zum Ziel kommen. Die kriminelle Energie findet ihren Weg. In der Flexibilität und Anpassungsfreude der Cyberkriminellen liegt zudem die größte Schwierigkeit der Prävention und Reaktion für die Betroffenen. Sobald sich ein Einfallstor schließt, öffnet sich ein neues. Damit gibt es auch nicht das eine Patentrezept zur Abwehr. Es braucht die proaktive, strukturelle und kontinuierliche Auseinandersetzung mit dem Thema Sicherheit, die im schnelllebigen Alltag bei vielen zu kurz kommt.

Was also bleibt ist die Notwendigkeit, für die Gefahren zu sensibilisieren und die Bedeutung von IT- und Cybersicherheit quer durch alle Branchen, Unternehmensgrößen und staatliche Institutionen zur Sprache zu bringen. Solange ein hinreichend großer Anteil an Akteuren bereits am kleinen Einmaleins der Cybersicherheit scheitert, werden die Angriffe und die dadurch verursachten Schäden auch in Zukunft weiter steigen. Dabei kann und darf es nicht bleiben. Unternehmen und Behörden müssen deshalb umgehend konkrete Schritte einleiten. Neben der effizienten Strafverfolgung im digitalen Raum braucht es sicherheitssteigernde technische und organisatorische Maßnahmen sowie den adäquaten Einsatz von IT-Sicherheitstechnologien in den eigenen Infrastrukturen.

Sowohl in Sachen Sichtbarkeit für IT- und Cybersicherheit als auch zur Leistungsschau der relevanten Technologien und Lösungen bietet die it-sa einen unverkennbaren Mehrwert, um sich auf der Höhe der Zeit mit den Bedrohungen proaktiv auseinanderzusetzen. Das hier versammelte Wissen und die Vielzahl an neuen Impulsen gilt es aufzunehmen und in die Unternehmen und Institutionen zu tragen.