Über vergangene Hackerangriffe haben diverse Medien zahlreich berichtet, wie auch wir mit diesem Artikel auf unserem IT-Portal hinsichtlich der Top 10 Hackerangriffe. Mit dem folgenden Artikel möchten wir das Hauptmotiv der Kriminellen ins Bewusstsein rufen, und dazu motivieren die eigene Internetsicherheit stetig auf den Prüfstand zu stellen.
Wie hoch ist der digitale Stacheldrahtzaun gesteckt?
Das Sinnbild des Stahldrahtzauns soll aufzeigen, dass es schon vor dem Internet die Aufgabe jedes Unternehmens war, für die Abwehr von ungewünschten Eindringlichen zu sorgen. Wenn Sie beispielsweise an einem Gelände eines Energieversorgers vorbeifahren, sehen Sie bis heute die offensichtlichen Maßnahmen zur analogen Sicherheit, um Stromausfälle zu vermeiden und auch den Personenschutz zu gewährleisten – den Stahldrahtzaun. Handeln Energieversorger ebenso vorbildlich auf der digitalen Ebene? Wenn ja, warum war es im Falle eines gutartigen Hackerangriffs, trotz Vorankündigung möglich, innerhalb von nur 2 Tagen den Strom eines Privathaushalts abzustellen?
Weiter machte die branchenübergreifende Dokumentation hinsichtlich der unzureichende Sicherheit in Unternehmen die stets neu zu schließenden Sicherheitslücken mit folgendem Beispiel bewusst:
Ein vorher informiertes Hotel hatte aufgezeigt bekommen, dass die Risiken immer größer werden, indem ein Hacker über die WLAN-gesteuerte Glühbirne ins firmeninterne Netzwerk gelangte. Dabei war sich der Hotelbesitzer zu 100 % sicher, dass der Hacker nicht eindringen könne, aufgrund der vielen Penetrationstest auf die moderne Schließanlage. Im ersten Moment könnte man denken, dass der Zutritt ohne klassischen Schlüssel die größte Gefahr für das Hotel darstellen könnte, doch wissen auch Hacker darüber Bescheid, an welchen potenziellen Zugängen sehr gute Sicherheitsmaßnahmen Hersteller-seitig durchgeführt werden und an welche Sicherheitslücken weniger gedacht wird.
Von Hackerangriffen betroffen waren in der Vergangenheit viele Online-Shops und im Internet vertretene Händler, da Kreditkartendaten zu erhalten, stets ein interessantes Motiv ist, um einen Angriff zu planen. Überhaupt sind alle Internetplattformen für Hacker interessant, bei denen viele persönlichen Daten zu holen sind. Dass selbst bei Hackern auch das Gute im Menschen aufzufinden ist, zeigen Hackerangriffe auf ein Krankenhaus oder auf ein Wasserwerk, indem die Hacker nach dem erfolgreichen Angriff dabei geholfen haben, die Systeme wieder in Takt zu bringen. Doch dass dies nicht immer der Fall sein muss, wie eine gelungene Erpressung eines Produktionsunternehmens aufzeigt.
Deutsches Fallbeispiel mit über 1 Million US-Dollar Schaden
Warum Industrieunternehmen besonders attraktiv für Hackerangriffe sind, lässt sich durch dieses Fallbeispiel beantworten und zudem mit der damit verbundenen Zahlungsfähigkeit der Industrieunternehmen:
Es handelte sich um einen Kupferhersteller in Deutschland, bei dem die Folge eines Hackerangriffs eine eingeschränkte Fertigung war. Eine Ransomware wurde auf den Computern des Produktionsunternehmens hinterlassen. Eine Nachricht verwies ins Darknet, um dort die Verhandlungen über eine Lösegeldzahlung zu verhandeln. Die Staatsanwaltschaft und die Polizei wurden eingeschaltet. Mit einem Verhandlungsführer wurde die ursprüngliche Forderung von 7,5 Millionen Dollar auf 1,27 Millionen Dollar gedrückt, nach anfänglicher Bereitschaft des Produktionsunternehmens, 500.000 Dollar zu bezahlen.
Dabei sei die Verhandlung nicht einfach gewesen. Argumente, dass beispielsweise die Cyber-Risk-Versicherung nicht mehr als 750.000 Euro bezahlen würde oder auch die Covid-Situation liefen ins Leere und die Hacker zeigten sich unbeeindruckt. Der Verhandlungsführer berichtete über weitere Verhandlungen in sechs Fällen, bei denen in der Summe sechs Millionen Dollar am Ende der Verhandlungen überwiesen wurde. Meist würden sich Unternehmen zu einer Bezahlung eines Erpressungsgelds bereit erklären, wenn keine Daten mehr vorhanden seien, bzw. die Daten durch eine Verschlüsselung gesperrt sind. Behörden raten jedoch von einer Bezahlung ab, da es keine Sicherheit geben würde, tatsächlich die gesperrten Daten wieder entschlüsseln zu können.
Die Dunkelziffer der Schäden geht in die Milliardenhöhe
Wie bei den DSGVO-Verstößen ist davon auszugehen, dass nicht jeder erfolgte Hackerangriff an die Öffentlichkeit gelangt. Dennoch ermittelten Studien in der Vergangenheit folgende Schadenssummen, die auf eine deutlich höhere Schadenssumme hinweisen:
- Hackerangriffe kosten schon lange viel Geld, laut einer Studie der Bitkom handelt es sich für die Jahre 2016 bis 2018 um einen Gesamtschaden von 43,5 Milliarden.
- Fast jedes zweite Industrieunternehmen ist von Hackerangriffen laut der Studie betroffen.
- In der Schadensumme einberechnet sind nicht die Nerven, jedoch der Imageschaden bei Kunden und Lieferanten, Patentrechtsverletzungen, Produktionsausfälle aufgrund der Schädigung von Systemen und Prozessen, Kosten für Ersatzmaßnahmen, Umsatzverlust, Gerichtskosten, Datenschutzmaßnahmen und Erpressungsgelder.
- Folgende Sicherheitslücken gingen aus der Studie hervor: Phishing, unsichere Passwörter, DDOS-Angriffe, Man-in-the-middle-Angriffe, Schwachstellen von Softwarelösungen und Schadsoftware oder Malware.
- Eine Studie des Cyberrisk-Versicherers Hiscox ergab, dass der mittlere Schaden durch Cyberangriffe bei deutschen Unternehmen bei ca. 21.800 Euro lag. Das ist fast doppelt so hoch wie der Wert über weitere acht untersuchten Länder. Werden andere Länder weniger angegriffen und haben diese schon mehr Sicherheitsmaßnahmen betrieben? Immerhin wurde in Deutschland deutlich mehr in die Internetsicherheit investiert.
- Der höchste Einzelschaden aus Deutschland wurde mit 4,6 Millionen Euro beziffert.
Home-Office macht Industrieunternehmen verwundbarer
Diese Warnung spricht der Bundesverband der Deutschen Industrie aus. Zudem sollen deutsche Unternehmen stärker den je Ziel von kriminellen Hackerangriffen betroffen sein. Auch Vertreter weiterer Sicherheitsbehörden und Verbänden sind sich sicher, dass die Corona-Situation und das mit verbundene vermehrte Arbeiten aus dem Home-Office, dazu beigetragen hat, dass sich die Bedrohungslage verschärft hat.
Mit Sicherheit trägt auch der Digitalisierungsgrad einer Gesamtwirtschaft und der einzelnen Industrieunternehmen dazu bei, dass die Angriffe immer mehr werden und wie allseits bekannt, ist die Digitalisierung in Asien und Amerika schon deutlich fortgeschrittener als in Deutschland. Ein Begrüßungstelefonat von einem neuen Forenmitglied, welches in China für ein Produktionsunternehmen arbeitet und Vorort ist, bestätigte dies. Eines von vielen genannten Beispielen war der Einkauf in einem Supermarkt, der ohne Kassenpersonal innerhalb von 30 Sekunden erledigt ist, indem automatisch die entnommenen Produkte via Smartphone-Payment bezahlt werden.
Weitere Gefahrenquellen als Ursache für Hackerangriffe
Wer hätte gedacht, dass sechs von zehn Angreifern auf der Lohn- und Gehaltsliste der Hacking-Opfer stehen oder standen? So baut sich das Ranking der Gefahrenquellen wie folgt auf:
- Auslöser waren Mitarbeiter oder ehemaligen Mitarbeiter
- Die Gefahr kam aus dem unternehmerischen Umfeld (Lieferanten, Wettbewerber, Kunden, etc.)
- Hobby-Hacker oder Privatpersonen
- Kriminelle Organisationen
- Ausländische Nachrichtendienste
- Unbekannte Täter
Ich sehe das Hauptproblem nach wie vor darin, daß die Verantworlichen kaum wirklich über IT-Sicherheit in der Tiefe nachdenken, sondern sich auf formale Prozesse und den Einkauf von teurem Snakeoil verlassen. Die Erfahrung zeigt immer wieder, daß gerade die angeblichen „Sicherheitsprodukte“ die primären Angriffsziele darstellen.
Mit einem sauber durchdachtem Storage-/Archiv-Konzept und vollautomatischem Deployment (welches die gesamte Infrastruktur praktisch von Null wiederherstellen kann) würde Ransomware komplett ins Leere laufen.
Leider sehe ich gerade bei größeren Unternehmen in diese Richtung wenig bis überhaupt keine Maßnahmen.
–mtx