Wie man sich davor schützt

Marco Marchesi ist CEO der ISPIN AG, President der ISSA Schweiz und im Vorstand von Infosurance und Datenschutzforum.ch. Christoph Baumgartner ist CEO der international tätigen Sicherheitsberaterin Oneconsult GmbH.

Noch vor vier Jahren wurden Systeme hauptsächlich von Script-Kiddies, interessierten junge Menschen, angegriffen. Diese haben sich inzwischen zu versierten «Hobby-Hackern» und Auftragshackern weiterentwickelt. Während Script-Kiddies aus Neugier handelten, waren Hobby-Hackern Ruhm und Anerkennung ihrer Kollegen wichtig. Heute stehen wirtschaftliche und je nach Ausprägung nationale Interessen als Beweggrund für Spionageakte im Vordergrund. Wirtschaftsspionage klingt nach Grosskonzern, Militär oder CIA - aber längst sind auch Privatbanken und mittelständische Betriebe in der Schweiz davon betroffen.

Überall wo Geld im Spiel ist, wird organisiert, gut organisiert. Otto-Normalverbraucher kann sich heute Bot-Netze mieten oder eine DoS-Attacke als Dienstleistung im Internet kaufen. Das Angebot ist vielfältig.

Marc Henauer von der Fedpol weiss, dass solche Aktionen heute an der Tagesordnung sind. Durch die Angebotsvielfalt kann sich heute ein Hobby-Hacker Zugang zu hochspezialisierten Werkzeugen verschaffen. Die Akteure sind Hobby-Hacker, Experten (-Organisationen) und Spezialisten mit ausgezeichnetem Wissen. Diese werden von Firmen oder in nationalem Interesse für entsprechende Aufgaben engagiert. Sie führen Angriffe aus und nutzen dabei noch nicht veröffentlichte Schwächen von Standardprodukten aus oder individualisieren Malware für gezielte Zwecke.

Die Tatsache, dass heute meist finanzielle, respektive gewinnbringende Absichten im Vordergrund stehen, führt dazu, dass Angriffe sehr leise geschehen. Script-Kiddies oder Hobby-Hackern schien es recht, wenn ein Angriff erkannt wurde und ihr Name in den News erschien. Moderne Angriffe sollen aus Sicht des Angreifers nicht mehr erkannt werden, der Daten- und Know-how-Verlust möglichst unbemerkt bleiben. Damit ist High-Noise-Malware out.

Wirtschaftsspionage ist so alt wie die Wirtschaft selbst. Mit den technischen Möglichkeiten von heute kann sie aber äusserst effizient und kostengünstig betrieben werden. Die Methode «Phishing» und deren potenzielle Opfer sind aufgrund der Medien allgemein bekannt Dies führte auch zu einer gesteigerten Security Awareness der Bevölkerung. Viel gefährlicher ist die Kombination von Social Engineering und gezielten technik-gestützten Attacken.

Es folgt ein auf Tatsachen basierendes Szenario: In einer Firma wird eine neue Raumpflegekraft beschäftigt, die am frühen Abend, wenn der eine oder andere Mitarbeiter noch im Büro ist, ihre Reinigungsarbeiten durchführt. Sie bekommt ein Gespräch mit, in welchem der Chef einem Mitarbeiter ein Mail mit Anhängen (Protokolle und Konzepte) ankündigt. Am nächsten und den darauf folgenden Tagen ist die Raumpflegekraft nicht mehr im Hause. Sie ist zurückgereist an ihre eigentliche Wirkungsstätte und beschafft sich auf dem Markt geeignete Software-Tools und bereitet den Angriff vor. Sie verfasst eine E-Mail im Namen des Chefs, fügt die vermeintlich erwarteteten Anhänge hinzu und sendet die E-Mail an den Mitarbeiter, der die E-Mail von seinem Chef erwartet. Hand aufs Herz - wer würde nicht auf die Anhänge klicken? Komischerweise startet dann aber das Textverarbeitungs- oder Tabellenkalkulationsprogramm nicht. Weil der Mitarbeiter noch mit einer anderen Aufgabe beschäftigt ist, hakt er nicht nach, sondern arbeitet an etwas anderem weiter. Am nächsten Tag erhält er die echte E-Mail von seinem Chef - mit den korrekten Anhängen. Inzwischen hat die Spyware (die vermeintlichen Protokolle und Konzepte) unbemerkt und systematisch wertvolle Informationen gesammelt und rausgeschickt - über Umwege direkt zur Konkurrenz. Und das in der korrekten, gut abgesicherten Schweiz.