Melani warnt vor Mehrfachnutzung eines Passworts

Nach wie vor würden viele Benutzerinnen und Benutzer das gleiche Passwort für mehre Online-Dienste wie beispielsweise Webmail, E-Banking und Onlineshops verwenden, schreibt Melani im veröffentlichten Halbjahresbericht. Dies sei eine willkommene Vereinfachung für Kriminelle und ermögliche es ihnen, die gesammelten Login-Daten aus den diversen Datenabflüssen bei verschiedensten Internetdienstleistern systematisch einzusetzen. In einem Fall hätten sich Angreifer mit knapp einer Million solch gestohlener und aus verschiedenen Quellen zusammengestellten Login-Kombinationen in die Benutzerkonten eines Online-Portals einzuloggen versucht.

Eine besonders grosse Angriffsfläche bieten gemäss Melani auch mit dem Internet vernetzte Gegenstände und Geräte, die grundsätzlich von jedem im Internet gefunden werden können. Ans Internet angeschlossene Geräte müssten sowohl mit individuellen Passwörtern und eingeschränktem Zugang abgesichert als auch regelmässig aktualisiert werden. Eine Aktualisierung sollte immer rasch erfolgen, sobald Updates verfügbar seien. Anders als beim Desktop-Computer oder Smartphone denke beim intelligenten Lichtschalter oder Kühlschrank kaum jemand daran, dass auch bei diesen Geräten allenfalls Software-Updates durchgeführt werden müssten.

Auch im ersten Halbjahr 2018 seien zahlreiche Phishing-E-Mails versendet worden: Der Inhalt der Mails ändere sich dabei nicht markant: Die einen würden nach Kreditkartendaten fragen, damit diese «verifiziert» werden könnten, oder andere forderten auf einer verlinkten Seite nach Login und Passwort zu Internetdiensten. Regelmässig würden in solchen Phishing-Mails auch Firmenlogos von bekannten Unternehmen respektive des betroffenen Dienstes missbraucht, um den E-Mails einen offiziellen Anstrich zu verleihen.

So haben etwa Angreifer den Namens des Labors Spiez für die Planung eines Spionageangriffs gegen Dritte im Sommer 2018 missbraucht. Die Angreifer hätten dazu ein im Internet publiziertes Dokument verwendet, mit dem das Labor Spiez zu einer internationalen Konferenz eingeladen hatte. Dieses sei kopiert und mit einer Schadsoftware versehen worden. Die E-Mails seien anschliessend mit gefälschtem Absender im Namen des Bundesamtes für Bevölkerungsschutz (Babs) und des Labors Spiez an diverse Empfänger gesendet worden. Server der Bundesverwaltung waren laut Melani zu keinem Zeitpunkt involviert. Auch sei das Labor Spiez nicht angegriffen worden, sondern lediglich der Name des Labors sei für den Angriff missbraucht worden, um diesem mehr Seriosität zu verleihen.

Immer häufiger komme es auch zu ungewollten Datenabflüssen, schreibt Melani weiter. Davor bleibe auch die Schweiz nicht verschont. Cyber-Kriminelle seien bezüglich Verwendung solcher Daten sehr vielfältig und innovativ. Eine unmittelbare Vorgehensweise, um aus Datenabflüssen Geld zu machen, sei die direkte Erpressung der Firma, bei der die Daten abgeflossen seien. Mit entwendeten Daten liessen sich ausserdem personalisierte E-Mails generieren, welche die Erfolgsrate bei Phishing-Mails im Vergleich zu Massen-Mails erheblich erhöhten: Es sei deshalb zu erwarten, dass Kriminelle künftig vermehrt diese Vorgehensweise wählen würden.