Stand: 26.05.2015
Blickpunkt Wirtschaft: Juni 2015 01.06.2015
Angriff aus dem Netz
So schützen Sie Ihr Unternehmen vor Cyberkriminellen
Ein Großteil des Geschäftsverkehrs hat sich ins Internet verlagert. Diese Vernetzung erleichtert die
Kommunikation, ist aber gleichzeitig ein wunder Punkt, an dem Unternehmen höchst verletzlich sind. Auch kleine Betriebe können zum Opfer vielgestaltiger Cyberattacken werden, wenn sie sich nicht ausreichend schützen.
Wie Kometen schießen die Pfeile in Sekundenschnelle über den Bildschirm. Von China nach Polen, von Deutschland in die USA, von den USA nach China, rund um die Erdkugel. Dort schlagen sie Wellen, wie Meteoriten. Die Internetseite map.norsecorp.com zeigt, wo und auf welche Ziele in diesem
Moment Computerattacken abgefeuert werden. Deutschland belegt in diesem Augenblick Platz 7 der Ursprungsländer.
Jetzt, da Sie dies lesen, könnte die Kamera am Bildschirm Ihres Computers Sie übrigens gerade filmen und beim Lesen beobachten. Vielleicht arbeitet auch ein Virus an Ihrem Rechner, der Ihre Firmendaten so verschlüsselt, dass Sie bald keinen Zugriff mehr darauf haben. Oder er will Ihre Telefonanlage lahmlegen, Überweisungen in Ihrem Namen tätigen, ihre Rechenkapazität anzapfen oder von Ihrem PC aus ein Bundesministerium angreifen.
Alles veranlasst von einem Virus, der durch ein Sicherheitsloch gekrochen, sich bei Ihnen eingenistet und verbreitet hat. Im schlimmsten Fall kann er Ihren Rechner jetzt komplett fernsteuern. Das Einfallstor war vielleicht eine infizierte Internetseite, die Sie zur Eingabe von Daten aufgefordert hat, ein verseuchter E-Mail- Anhang oder USB-Stick.
Das Gefahrenpotenzial für den Mittelstand verdeutlicht Sabrina Jülich vom Dezernat Cybercrime des Landeskriminalamts Rheinland-Pfalz mit den Zahlen einer Symantec-Studie aus dem Jahr 2013. Demnach richtet sich etwa die Hälfte aller Cyberangriffe in Deutschland gegen Unternehmen mit weniger als 2500 Mitarbeitern. Betriebe mit weniger als 250 Mitarbeitern sind in etwa jedem dritten Fall das Opfer.
BIS ZU 50 MILLIARDEN EURO SCHADEN IN DEUTSCHLAND
Es sind also längst nicht nur hoch technologisierte Weltunternehmen oder die Rüstungsindustrie von Wirtschaftsspionage betroffen. Gerade weil kleinere Unternehmen glauben, weniger interessant für
Cyberkriminelle zu sein und deshalb gerne an Sicherheitsvorkehrungen sparen, werden sie häufig attackiert.
Jülich: „Unabhängig von Unternehmensgröße und -bereich ist die deutsche Wirtschaft in einem nicht unerheblichen Maß von Cybercrime betroffen.“
Nach Informationen der Frankfurter Allgemeinen Zeitung schätzt der deutsche Cyber-Sicherheitsrat den Schaden hierzulande auf bis zu 50 Milliarden Euro. Eine Bitkom-Studie habe ergeben, dass mehr als die Hälfte aller Unternehmen in Deutschland in den vergangenen beiden Jahren Opfer von Cyberkriminellen
geworden sei. Zu den am stärksten gefährdeten Wirtschaftszweigen gehörten die Automobil-Industrie, die Chemie- und Pharmabranche sowie Banken und Versicherungen. Der Technologiekonzern IBM berichte von einer Milliarde gestohlenen Datensätzen weltweit im Jahr 2014 – ein Viertel mehr als 2013.
Ein Grund, warum sich die IHKs deutschlandweit aktuell schwerpunktmäßig dem Thema „Wirtschaft digital. Grenzenlos. Chancenreich.“ widmen, politischen Handlungsbedarf auf diesem Feld aufzeigen und Unternehmen verstärkt über technische Entwicklungen informieren.
Konkrete Zahlen zur Wirtschaftskriminalität im Netz für Rheinland-Pfalz gibt es wegen der hohen Dunkelziffer nicht. Nach einer Untersuchung des LKA Niedersachen würden lediglich neun Prozent aller Delikate in diesem Bereich angezeigt, erklärt Jülich. Sie weiß: „Viele erkennen Cybercrime noch immer nicht als reale Gefahr an.“
Das bestätigen Anbieter von Sicherheitslösungen aus der Region. Die Save IT First GmbH mit Sitz in Trier hat sich darauf spezialisiert, Kunden auf diesem Feld zu beraten und zu betreuen. „Oft fehlt das Bewusstsein, wie bedeutend IT-Sicherheit ist und was ein Unternehmen den Ausfall seiner IT kosten würde“, sagt Horst Schäfer, der zusammen mit Marco Becker und Sascha Koras die Geschäfte der Firma in der Güterstraße leitet. Während größere Unternehmen selbst Fachleute beschäftigen, fehle kleineren oft das Know-how. Dabei werden auch sie schnell zum Objekt der Hacker-Begierde, wenn sie beispielsweise einzigartiges Wissen hüten und besondere technische Verfahren anwenden, erklärt Dr. Thomas Simon, Geschäftsführer der IT-Haus GmbH in Föhren. Sie gehört als IT-Dienstleister und -Handelshaus für Unternehmen zu den 25 größten Systemhäusern in Deutschland.
WELCHE ZIELE VERFOLGEN DIE ANGREIFER?
In diesem Fall, also wenn Unternehmen über ein Alleinstellungsmerkmal und damit Wettbewerbsvorteil auf dem Markt verfügen, sind sie potenzielles Opfer von Wirtschaftsspionage – ebenso, wenn sie auf sensiblen Feldern oder mit Partnern beispielsweise der Rüstungsindustrie arbeiten. Selbst, wenn sie nur ein kleiner Teil der Zulieferkette sind, können Angreifer versuchen, über sie und ihr Netzwerk an ihr Objekt der Begierde heranzukommen, also beispielsweise den Waffenhersteller oder das Verteidigungsministerium, sagt Guido Jost, IT-Geheimschutz-Verantwortlicher des rheinland-pfälzischen Innenministeriums.
Um das zu erreichen, versuchten Hacker, Schadsoftware auf Unternehmensrechnern zu installieren.
Häufig handele es sich um verschiedene Komponenten, die eingeschleust würden und sich im Netzwerk des Opfers wie ein Puzzle zu einem Ganzen zusammensetzten. So könnten sie dort Daten abfangen: Informationen über Produktionsverfahren, Vertragsverhandlungen, Kundenadressen,
Organisationsstrukturen, Preisabsprachen und vieles mehr. Sensibles Know-how, das sich ein Mitbewerber zunutze machen und dem Betroffenen so deutlich schaden kann – bis hin zum Wegbrechen eines
Geschäftsbereichs oder gar der Insolvenz. Simon: „Die Welt basiert schließlich immer mehr auf digital verfügbaren Informationen.“
Neben der Spionage kann die Sabotage eines Konkurrenten das Ziel sein, erklärt Jost. In der Industrie ist es möglich, dass ein Angreifer beispielsweise ein Produktionsnetzwerk so manipuliert, dass Werkstücke nicht mehr korrekt hergestellt werden oder der gesamte Prozess zum Stillstand kommt. Werden Rechner komplett lahmgelegt, geht im Büro schnell nichts mehr, wie Simon anhand eines Falls verdeutlicht. Um 9 Uhr griffen Hacker den PC eines Unternehmensmitarbeiters an. Um 11 Uhr hatte der Virus sich bereits auf 20 Computer im Netzwerk ausgebreitet. Mittags war das Netz kollabiert, die komplette Abteilung konnte nicht mehr arbeiten. Hält eine solche Störung über zwei Stunden an, kommen so bei einem Ausfall von
Übeltäter kommen nicht nur Mitbewerber in Betracht, sondern unter anderem auch ehemalige Mitarbeiter, die sich im Unfrieden vom Unternehmen getrennt haben.
Andere Cyberkriminelle wollen ihren Opfern schlichtweg ans Portemonnaie. Sie spähen Bankdaten aus, verkaufen Datensätze, veranlassen Überweisungen, dringen in die Telefonanlage ein und rufen eine teure Hotline im Ausland an, die sie selbst eingerichtet haben, so dass sie den Profit einstreichen können.
Ebenso erpressen sie Privatleute oder Unternehmen, indem sie ihre IT lahmlegen oder Daten verschlüsseln und dann zur Zahlung einer Summe auffordern, um dies rückgängig zu machen. Was sie natürlich nicht tun. Becker erinnert sich an den Fall eines mittelständischen Unternehmens in Baden-Württemberg, das mehrere Hunderttausend Euro verlor, weil seine Bankdaten über einen Trojaner abgegriffen wurden.
Schäfer berichtet zudem von sogenannten Script-Kids, also Jugendlichen, die sich einen Wettbewerb liefern und versuchen, auf möglichst vielen Rechnern rund um den Globus Schaden anzurichten. „Sie scannen das Netz auf Rechner oder Webseiten, die ungeschützt im Netz stehen und so Einfallstore bieten. Ihre Attacken können jeden treffen und richtig viel Geld kosten, wenn zum Beispiel ein Online-Shop stillgelegt wird. Dazu kommt der enorme Imageschaden.“ Dieser sei vor allem hoch, sobald Kundendaten verloren gehen.
Nicht zuletzt wollen Hacker andere Rechner kapern, um von dort aus Angriffe auf Dritte zu starten. Damit sind sie selbst aus dem Visier und lassen einbrechen. Auch das kann kleineren Unternehmen durchaus passieren, warnt Simon.
SO KÖNNEN SIE SICH SCHÜTZEN
Eine hundertprozentige Sicherheit gibt es nicht, das sagen die Experten vorneweg. Wie die IT eines
Unternehmens ausgerüstet sein muss, hängt zudem davon ab, welche Technik es nutzt, wie sensibel seine Daten sind, wie die Mitarbeiterstruktur gestaltet ist, und so weiter, sagt Schäfer. Eine gute Firewall und Anti- Viren-Schutz-Lösung wehren aber schon den Großteil der Angriffe von außen ab, sie sind also unerlässlich.
Auf die Gratis-Lösungen sollte aber niemand vertrauen, warnen die IT-Experten. Nur die hochwertigen Programme finden auch Schadprogramme, die mehrfach verpackt sind.
Nach außen hin gelte es, sowohl die Verbindung zum Internet als auch die zum Endgerät zu sichern, sagt Simon. Die entsprechenden Programme filtern den gesamten Datenverkehr auf Viren. Idealerweise werden zwei Firewalls hintereinander geschaltet. Falls eine ausfällt, ist die andere weiter aktiv, so dass das System nicht lahmgelegt ist. Außerdem sperrt die Software gefährliche Webseiten.
AKTUALISIEREN, AKTUALISIEREN, AKTUALISIEREN!
Haben Hacker eine Sicherheitslücke entdeckt, nutzen sie diese natürlich gnadenlos aus. „Schwachstellen, die nicht geschlossen werden, sind die schlimmste Bedrohung“, sagt Becker. Ein gutes Patch-Management – also regelmäßige Updates, die diese Einfallstore so schnell es geht schließen – sei also essentiell.
MITARBEITER – DIE GRÖSSTE GEFAHR
Eine der häufigsten Angriffsmethoden ist das sogenannte Social Engineering. Kriminelle suchen teils den persönlichen Kontakt zum Mitarbeiter. Sobald Vertrauen aufgebaut ist, wollen sie diese zu Fehlern verleiten und so an Informationen gelangen, erklärt Becker. Öffnen Mitarbeiter beispielsweise einen verseuchten E-Mail-Anhang, installiert sich im Hintergrund ein Schadcode. Ein Trojaner habe auf diese Weise in einer Bank Webcams an PC-Bildschirmen aktiviert, die das Geschehen im Büro filmten – und so Pins zu Bankkonten ausspionierten. Experten gehen davon aus, dass in bis zu 80 Prozent der Fälle der Mensch die Schwachstelle ist.
Die Beschäftigten müssen also für die Bedeutung von IT-Sicherheit sensibilisiert werden. „Sich zu verbarrikadieren wie Fort Knox hilft wenig, wenn dann im Inneren Fehler passieren“, sagt Simon. Ihre Quellen sind zahlreich, vom Desktop, der beim Verlassen des Arbeitsplatzes nicht gesperrt wird, so dass er für jeden zugänglich ist, über den unverschlossenen Serverraum bis hin zum USB-Stick mit Firmendaten, der unterwegs verloren geht. Grundsätzlich sollten sensible Daten nicht auf mobilen Speichermedien abgelegt werden, rät Becker. In jedem Fall müsste ein Programm installiert sein, das CDs, USB-Sticks & Co.
vor ihrer Nutzung auf Schadcodes prüft.
Auch müsse immer nachvollziehbar sein, auf welchen Mitarbeiter eine Aktion zurückgeht, sagt Becker.
Denn lade er sich zum Beispiel eine verbotene Datei herunter, hafte zunächst der Arbeitgeber dafür.
Gleiches gelte für Hotels und deren Gäste, daher müssten sie diese immer mit individuellen Zugangscodes versorgen.
Am Arbeitsplatz sei es das Mindeste, so Simon, dass jeder Beschäftigte einen eigenen Account habe – natürlich mit einem sicheren Passwort versehen. Auch müsse jeder dafür sensibilisiert werden, Unvorhergesehenes und Verdächtiges der Firmenleitung oder IT anzuzeigen. Bei Firmen ohne EDV- Abteilung gelte: IT ist Chefsache.
MOBILE ENDGERÄTE
Mit dem Smartphone und Tablet-PC überall erreichbar: Mobile Endgeräte bringen für Mitarbeiter wie Arbeitgeber zwar viel Nutzen. „Viele gehen das Thema aber zu blauäugig an. Denn sie müssen sich auch über die Folgen im Klaren sein, wenn die Geräte in falsche Hände geraten“, sagt Becker. Werden sie gestohlen, kommt der Dieb unter Umständen an alle Firmendaten heran. Er rät daher dazu, sie stets zu verschlüsseln.
Auch gibt es Apps, die versuchen, gezielt die Daten in anderen auf dem Gerät installierten Apps sowie Kommunikations- und Bewegungsdaten abzugreifen. Um zu verhindern, dass über das Netz Daten
abgefischt werden, sollten Firmengeräte nicht privat genutzt werden dürfen. Nur so habe das Unternehmen Kontrolle über die Anwendungen und kompletten Zugriff. „Sie brauchen hier eine ganz klare Regelung“, sagt Simon. Auch am Arbeitsplatz sollten die Mitarbeiter nur dienstlich im Internet unterwegs sein und keine privaten E-Mails von ihrem Postfach verschicken dürfen. Ansonsten könnten Viren, die auf dem außerdienstlichen Weg zu ihm durchdringen, Arbeitsprogramme und -daten schädigen.
OFT VERGESSEN: DATENSICHERUNG
„Zur IT-Sicherheit zählt in jedem Fall auch eine Back-Up-Strategie“, sagt Becker und berichtet von einem Winzer, dessen Laptop heruntergefallen und nicht mehr nutzbar war. Alle Kundendaten, Preislisten und Korrespondenz war auf diesem einen Gerät gespeichert – und somit verloren. „Das kann für einen solchen Betrieb existenzbedrohend sein.“ Die Daten konnten zwar wiederhergestellt werden, was aber mehrere Tausend Euro kostete. Deshalb sollten Unternehmer regelmäßig eine Sicherung vornehmen, zum Beispiel auf einer externen Festplatte.
DIE CLOUD
Wollen Mitarbeiter von verschiedenen Orten aus auf Daten oder Programme zurückgreifen, kann sich eine Cloud-Lösung anbieten, also eine Speicherung in einem externen Rechenzentrum. Hier hängt die Sicherheit maßgeblich davon ab, wo der Anbieter beziehungsweise das Rechenzentrum beheimatet ist. Idealerweise sollte dies Deutschland sein, alternativ ein anderes EU-Land, denn die dort geltenden
seien Cloud-Lösungen nur bei einer sehr guten Internetanbindung zu empfehlen. Ansonsten sei der Nutzen in Relation zur Sicherheitsproblematik zu gering.
IM ANGRIFFSFALL
Kommt es zu einer Cyber-Attacke, sollten die Symptome genau beobachtet und so minimal invasiv wie möglich eingegriffen werden. Aus Josts Sicht sollte ein Unternehmen jederzeit im Blick haben, was gerade im Firmennetzwerk geschieht. Da es sich nicht komplett vor Angriffen schützen kann, müsse es diese aber so schnell wie möglich entdecken, um einzugreifen, bevor größerer Schaden entsteht. Hier sei eine Detektionssoftware anzuraten. Der Erfahrungswert zeige, dass sich Hacker ansonsten im Schnitt 229 Tage unbemerkt im Netzwerk eines Unternehmens bewegen könnten.
Sich von der IT-Welt zu entfernen, um möglichst wenige Risiken einzugehen, sei natürlich keine Lösung, weiß Simon: „Veraltete Software und Produktionsverfahren führen auf Dauer zu Wettbewerbsnachteilen.“
Außerdem müssen Unternehmen nicht einmal ans Internet angeschlossen sein, um das Ziel von
Cyberkriminellen zu werden, wie Schäfer berichtet: Ein Angriff auf die Hardware sei beispielsweise auch über Radiowellen möglich.
„Je vernetzter die Welt wird, desto komplexer ist die Bedrohungslage“, sagt Simon. Mit der Vielzahl der Systeme, der Programme und Apps steige auch die Zahl der Einfallstore. Nicht zuletzt verdeutlicht die derzeitige Spähaffäre um den US-Geheimdienst NSA und den Bundesnachrichtendienst, wie schnell deutsche Unternehmen selbst ins Visier fremder Staaten geraten können. Informationen sind eben der begehrte Rohstoff des 21. Jahrhunderts. Vor einem Raubbau sollten sich Unternehmen schützen.
ANSPRECHPARTNER
Existenzgründung und Unternehmensförderung
RAIMUND FISCH Tel.: (06 51) 97 77-5 20 Fax: (06 51) 97 77-5 05 fisch@trier.ihk.de
