Auch 2018 wird kein leichtes Security-Jahr werden – weder für Unternehmen und Privatanwender noch für Cyberkriminelle. Das prognostiziert der europäische Security-Software-Hersteller Eset in seinem soeben erschienen Report «Cybersecurity Trends 2018: The Cost of Our Connected World».

Konzertierte Attacken auf Kritische Infrastrukturen, «Kidnapping» von Smarten Geräten und gezielte Meinungs-Manipulationen stehen bei digitalen Gangstern auf der To-do-Liste 2018.

Doch auch die Gegenwehr dürfte deutlich stärker ausfallen als es den Hackern lieb ist: Security-Experten und Behörden blasen laut Eset-Einschätzung gemeinsam zum Halali auf Cyberkriminelle.

Ausserdem: Dank der kommenden EU-Datenschutzgrundverordnung (DSGVO), der auch viele Schweizer Firmen unterstellt sind, werden viele Unternehmen ihre Sicherheitslevel deutlich erhöhen müssen.

2018 werde es zu mehr Angriffen auf kritische Infrastrukturen wie Kraftwerke, Wasserversorgung und Industrieanlagen kommen, prognostizieren die Eset-Experten.

Die Betreiber stehen dabei vor mehreren Herausforderungen: Viele noch immer genutzte industrielle Steuerungssysteme wurden in einer Zeit vor dem modernen Internet installiert und können daher oftmals nicht entsprechend aufgerüstet und geschützt werden. Gleichzeitig verfügen jedoch immer mehr dieser kritischen Infrastrukturen über Netzwerk- und Internet-Schnittstellen. Das macht sie anfällig für Cyberangriffe.

Ein auffälliger Trend dabei: Angreifer attackieren immer häufiger IT-Systeme von Zulieferern und kleineren Partnerunternehmen von kritsichen Infrastrukturen. Über diesen Umweg arbeiten sie sich zum eigentlichen Ziel vor.

«Denn die Betreiber Kritischer Infrastrukturen haben viel in die eigene IT-Sicherheit investiert. Deswegen weichen Cyberkriminelle aus und richten ihre Angriffe auf die meist mittelständischen Zulieferer mit geringerem Securityniveau», sagt Thomas Uhlemann, Security Specialist bei Eset. «Hier gilt es, die Prozesse der Lieferkette mit Hilfe passgenauer Konzepte und IT-Security-Lösungen wasserdicht zu machen», folgert er deshalb.

Cyberkriminelle und politisch motivierte «Hacktivisten» gab es auch schon früher. Doch nun haben sie gemäss Eset eine neue Spielwiese für sich entdeckt: Meinungsmache in Sozialen Medien und Manipulation der eingesetzten Wahlmaschinen.

Auf Sicherheitskonferenzen wie der DefCon zeigten IT-Sicherheitsfachleute, wie einfach es ist, sich Zugang zu solchen Systemen zu verschaffen und diese zu manipulieren.

Auch in Deutschland gab es vor der Bundestagswahl im September bedenken, nachdem nur wenige Wochen vor der Wahl bekannt wurde, dass die Wahlsoftware «PC Wahl» unsicher und anfällig für Cyberattacken war. Entsprechend genau muss auch die Security-Situation bei helvetischen E-Voting-Systemen beachtet werden.

«Die Digitalisierung wird auch vor Wahlen nicht Halt machen. Hier ist es immens wichtig, die eingesetzten Systeme gründlich auf Sicherheitslücken zu testen, bevor diese mit fatalen Folgen für unsere Demokratie zum Einsatz kommen», mahnt Uhlemann.

Neben technischen Herausforderungen, wird es nach Ansicht des Experten zudem immer schwieriger, zwischen echten und falschen Informationen im Netz zu unterscheiden. «Wie die Brexit-Abstimmung in Grossbritannien und die US-Wahlen eindrucksvoll gezeigt haben, können Fake-News-Kampagnen und Hacking-Angriffe auf E-Mail-Accounts von Politikern politische Meinungsbildungsprozesse massgeblich beeinflussen», so der Eset-Vertreter weiter.

Doch es gibt laut Eset auch gute Nachrichten. Bei der Bekämpfung von Cyber-Kriminellen arbeiteten Ermittlungsbehörden und IT-Sicherheitsunternehmen immer besser und länderübergreifend zusammen. So sei es Eset beispielsweise zusammen mit Microsoft und Polizeibehörden aus mehreren Ländern, das berüchtigte Gamarue-Botnet (auch: Andromeda-Botnet genannt) auszuschalten.

Esets Uhlemann resümiert: «Botnetze sind das Rückgrat von international agierenden Online-Kriminellen. Mit der Zerschlagung des Gamarues-Botnetzes, ist ein wichtiger Schlag gegen die E-Crime-Infrastruktur gelungen. Für 2018 sind nach Einschätzung von Eset weitere Erfolge im Kampf gegen Cyberkriminelle zu erwarten.»

Mehrere Wellen von Angriffen mit Erpressersoftware prägten bereits das abgelaufene Jahr. Daran wird sich auch 2018 nicht viel ändern, denn viele Unternehmen waren in der Vergangenheit bereit, «Lösegeld» zu bezahlen.

Das ist ein fataler Ansatz, der Cyber-Kriminelle dazu verleiten wird, dieses eCrime-Business fortzuführen. Stattdessen sollten Unternehmen ihr Geld in eine schlagkräftige IT-Security-Architektur und verlässliche Backup-Systeme investieren.

Eset Security Researcher Stephen Cobb geht davon aus, dass mit der zunehmenden Vernetzung unseres Alltags – vom Fernseher über den Kühlschrank bis hin zu Kinderspielzeug – auch das Internet of Things zunehmend von Ransomware betroffen sein wird.

Bislang gab es nur Testläufe bei «Ransomware of Things», aber das könnte sich 2018 ändern. Denn die Sicherheit von IoT-Geräten und -Anwendungen kann bisher nicht mit seiner zunehmenden Verbreitung in nahezu allen Lebensbereichen Schritt halten.

In der Gesamtbetrachtung ihrer Analysen warnen die Eset-Experten davor, den Schutz von Daten, IT-Systemen, Notebooks und Smartphones nur als Aufgabe von IT-Security-Spezialisten zu betrachten. IT-Security-Schutzmassnahmen, wie der Einsatz von Antiviren-Software und Firewalls, sind klar unverzichtbar. Der Report zeigt, dass es ist ebenso wichtig ist, das Bewusstsein beim Anwender für die Risiken des Internet- und «Always-on»-Zeitalters zu schärfen.

«Viele erfolgreiche Angriffe wären ins Leere gelaufen, wenn auf Anwenderseite ein stärkeres IT-Security-Know-how und Gefahren-Bewusstsein vorhanden gewesen wäre», resümiert Uhlemann. «Die gute Nachricht ist jedoch, dass sich ein Bewusstseinswandel einstellt.»

Dazu haben nach Einschätzung der Eset-Experten nicht zuletzt auch die mediale Berichterstattung über Cyber-Gefahren und der offene Umgang der betroffenen Unternehmen- und Institutionen beigetragen.

Insbesondere die DSGVO wird dafür sorgen, dass die Verstärkung der digitalen Abwehr von Unternehmen es Hackern ungemein schwieriger machen wird. Allein die Verschlüsselung der Daten könnte den Markt an Datendiebstahl austrockenen lassen: Aus chiffrierten Informationen können Kriminelle schlichtweg keinen Profit schlagen.