“Es gibt nur zwei Arten von Unternehmen – die, die gehackt worden sind und die, die es noch nicht wissen.”

Im Exklusivinterview mit der Redaktion von itsecurity-xpert.com spricht Stefan Rojacher, Pressesprecher von Kaspersky Lab, über Cyberkriminalität, Cyberterrorismus und Unternehmenssicherheit.

Herr Rojacher, gibt es eine Professionalisierung der Cyberkriminalität?

Cyberkriminalität ist ein sehr divergentes Feld. Vor zwei Jahren hätte ich noch zugestimmt, dass wir es mit einer zunehmenden Professionalisierung von Cyberkriminalität zu tun haben. Heute betrifft die Professionalisierung aber vor allem Geschäftsmodelle. Einerseits zeichnet sich ab, dass es aufgrund von Untergrundhandel mit Malware immer einfacher wird, Cyberkrimineller zu werden. Es gibt richtige Marktplätze, auf denen Viren und Trojaner, E-Mail-Adressen oder Botnet-Services verkauft werden - inklusive Support! Der finanzielle Aufwand dafür bewegt sich maximal im dreistelligen Bereich.

Auf der anderen Seite gibt es Professionalisierung im Zusammenschluss von sich unbekannten Personen. Da geht es um Kampagnen, die über Monate geplant werden, um sich in ein stark gesichertes System zu hacken. Dazu werden Arbeitsabläufe aufgeteilt und delegiert. Am Ende einer mehrmonatigen Vorbereitung wird dann der Angriff gefahren und viel Geld abgeräumt.

Es gibt also mehr oder weniger “zufällige Cyberkriminelle” und hoch professionalisierte Banden, die teilweise ihre Fähigkeiten sogar als Cybersöldner anbieten. Know-how und Manpower werden dort mittels mafiöser Strukturen angeboten.

Ist Ransomware ein Hype, der vor allem in den Medien stattfindet oder ist das wirklich eine Form von Cyberkriminalität, die ein derzeit besonders wichtiges Geschäftsmodell darstellt?

Mit Mediahype hat das nichts zu tun. Es gibt Zahlen, die zeigen, wie Ransomware in den letzten eineinhalb Jahren gewachsen ist. Einige Beispielfälle in Deutschland haben das Thema natürlich in die Medien gebracht, wie etwa Angriffe auf die Stadtverwaltung Dettelbach oder verschiedene Krankenhäuser. Das Geschäftsmodell ist einfach: Man verschlüsselt Daten und kann voll anonymisiert über Bitcoin Lösegeld erzwingen. Im besten Fall wird das Entschlüsselungstool oder der Key zur Verfügung gestellt, damit das Geschäftsmodell auch weiterhin funktioniert.

Es springen aber immer mehr Cyberkriminelle auf den Zug auf, die gar kein Interesse am Fortbestehen des Modells haben. Diese Entwicklung ist gut, denn so wird sich das Geschäftsmodell irgendwann von selbst auflösen.

Inzwischen gibt es auch eine Internetseite namens nomoreransom.org, auf der sich Strafverfolgungsbehörden aus der ganzen Welt zusammengetan haben und Entschlüsselungstools zur Verfügung stellen. Als Betroffener kann man dort verschlüsselte Daten hochladen und die Datenbank erkennt, ob es dafür schon einen Key zur Entschlüsselung gibt. Im Idealfall können die Daten einfach wiederhergestellt werden. Der Bestand wächst ständig - und seit Kurzem gibt es die Seite auch auf deutsch.

Ein anderes großes Thema rückt mit Cyberterrorismus und politisch motivierten Cyberangriffen immer mehr ins Bewusstsein. Wird da bereits ein Cyberkrieg geführt?

Wir haben Erkenntnisse, die darauf hindeuten, dass im Internet ein “gegenseitiges Schädigen” bereits praktiziert wird. Mit dem Wort “Krieg” bin ich noch vorsichtig, weil es sich um einen Begriff mit eindeutiger Definition handelt.

Beispiele sind sicherlich der Blackout in der Ukraine, Angriffe auf das estnische Bankensystem, Spionageversuche beim Komitee der demokratischen Partei der USA oder auf den Deutschen Bundestag. Wir können die Berichte, die vom BSI oder vom FBI herausgegeben werden, hier mit unseren eigenen Analysen vergleichen: Es finden sich zunehmend Hinweise auf entsprechende Auseinandersetzungen im Internet. Daher wird es nötig, internationale Abkommen zu treffen und Regeln aufzustellen, wie man auf bestimmte Angriffe reagiert. Mit Sanktionen? Im Internet ist es nicht so einfach herauszufinden, wer hinter Angriffen steckt. Selbst wenn es offensichtliche Attacken gibt, finden sich auch viele mit bewusst falschen Fährten. Etwa indem Kriminelle falsche Zeitstempel benutzen, falsche Sprachanteile in der Malware benutzen oder parallel Angriffe auf andere Opfer durchführen, die nicht in das Beuteschema des Angreifers passen. Sie können auch ihre Tools veröffentlichen, sodass jeder sie einsetzen kann. Dann kann man nicht mehr einschätzen, wer gehandelt hat und welcher Gruppe er angehört. Entsprechend können Fraktionen andere fälschlicherweise für Angriffe verantwortlich machen.

Kritische Infrastrukturen wurden in den letzten Monaten als besonders gefährdet eingeschätzt. Sehen Sie bevorzugte Angriffsziele von Cyberkriminellen?

Dazu gehört auf jeden Fall der Finanzbereich. Dieser ist allerdings bei Gegenmaßnahmen schon weit vorangeschritten. Außerdem ist der öffentliche Bereich besonders gefährdet von Cyberspionage. Kritische Infrastrukturen oder Telekommunikation sind aufgrund ihrer besonderen Verantwortung entsprechend bedenkliche Angriffsziele.

Die Telekommunikation ist ja im letzten Jahr besonders durch die sogenannten Router Hacks ins mediale Bewusstsein geraten. Hier hatte man das Gefühl, dass “Botnets” nun zunehmend als ernsthafte Gefahr erkannt werden. Kann es sein, dass meine ganzen Geräte bereits Teil eines Botnets sind – ohne dass ich davon weiß?

Router Hacks sind keine Einzelfälle. Es gibt riesige Botnetze und gerade Geräte des Internet of Things sind stark gefährdet, da sich User nicht regelmäßig um Aktualisierungen des Betriebssystems kümmern. Das sollte eigentlich in der Verantwortung des Herstellers liegen. Normalerweise haben beispielsweise Smart TVs gar keinen Virenschutz, bedingt durch das Betriebssystem.

Ein großes Problem gibt es mit Überwachungskameras; sie werden sehr gerne an Botnets angeschlossen. Das bekannteste ist sicherlich das Mirai-Botnet, das auch für den Telekom-Angriff verantwortlich war.

Auf der it-sa war das große Buzzword das “ganzheitliche Sicherheitskonzept”. Dabei blieben die Vorschläge dazu relativ vage. Was macht ein solches Konzept eigentlich aus?

Das ist natürlich individuell vom Unternehmen abhängig und sieht für eine Produktionsanlage sicherlich anders aus als für eine Bank oder für ein mittelständisches Unternehmen. Es geht darum, dass man Schutz auf mehreren Ebenen benötigt. Darunter fällt nicht nur der klassische Schutz vor Angriffen, sondern auch Früherkennung und Reaktion auf Vorfälle.

Wie es so schön heißt: Es gibt nur zwei Arten von Unternehmen - die, die gehackt worden sind, und die, die es noch nicht wissen. Man muss immer damit rechnen, dass Malware in Unternehmenssysteme eindringen kann. 80% dieser Vorfälle haben mit dem “Faktor Mensch” zu tun, mit Anwenderfehlern. Erkennung, Schutz und Reaktion sind daher die drei zentralen Säulen eines Konzepts - und das wiederum auf verschiedenen Ebenen: Man muss ganz klassisch die Endpunkte, aber auch das Netzwerk und Cloud-Umgebungen schützen.

Weiter muss man Wissen verfügbar machen: Man kann beispielsweise Mitarbeiter schulen, das ist günstig, effektiv und geht beispielsweise über ein Online-Training. Dennoch benötigt man immer einen internen Experten, der aktuelle Probleme lösen kann.

Stefan Rojacher ist Corporate Communications Manager DACH bei Kaspersky Labs. 2015 wurde er gemeinsam mit Kaspersky vom Bundesverband deutscher Pressesprecher zur “Pressestelle des Jahres” gewählt. Foto: Kaspersky