Cyberattacken: Eine unsichtbare Bedrohung

Es ist wie in der realen Welt: Einbrecher steigen nicht zuerst in die alarmgesicherte und videoüberwachte Villa mit hohen Sicherheitszäunen ein, wenn im Nebenhaus ein gekipptes Fenster den Einstieg erleichtert und das Gartentor nur angelehnt ist. KMU im Visier der Angreifer Auch in der virtuellen Welt suchen sich Kriminelle den einfachsten Weg, um in ein Unternehmensnetzwerk einzudringen, schrieb das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Bericht zur "Lage der IT-Sicherheit in Deutschland" im November 2023. Danach suchen Cyberkriminelle verstärkt solche Opfer aus, die ihnen leicht angreifbar erscheinen. Daher geraten nicht vor allem große Konzerne, wo viel zu holen wäre, sondern vermehrt kleine und mittlere Unternehmen (KMU) ins Visier der Angreifer. Und deutsche Firmen rücken offenbar immer stärker in den Fokus von Angreifern aus dem In- und Ausland, wie der aktuelle "Wirtschaftsschutzbericht 2024" zeigt, den der Digitalverband Bitkom und das Bundesamt für Verfassungsschutz Ende August veröffentlicht haben. Demnach waren in den letzten zwölf Monaten 81 Prozent aller Betriebe von Diebstahl von Daten und IT-Geräten sowie von digitaler und analoger Industriespionage oder Sabotage betroffen. Weitere zehn Prozent vermuten dies. 2023 lagen die Anteile noch bei 72 und acht Prozent. Für die Studie waren laut Bitkom mehr als 1000 Firmen quer durch alle Branchen repräsentativ befragt worden. Dabei konnten 70 Prozent der Be-triebe, die Opfer wurden, Angriffe der organisierten Kriminalität zuordnen. 2023 waren es erst 61 Prozent. Ausländische Geheimdienste wurden mit 20 Prozent deutlich häufiger als Täter genannt (2023: sieben Prozent). Cybercrime schädigt massiv Eine besondere Gefahr für die Wirtschaft bilden dem Bitkom zufolge allerdings Cyberangriffe. So sehen sich inzwischen zwei Drittel (65 Prozent) der Unternehmen durch Cyberattacken in ihrer Existenz bedroht, vor einem Jahr waren es noch 52 Prozent, 2021 sogar erst neun Prozent. 178,6 Milliarden Euro Schaden entstand der deutschen Wirtschaft in den vergangenen zwölf Monaten allein durch Cybercrime (Datendiebstahl, Sabotage und Industriespionage). "Die Bedrohungslage für die deutsche Wirtschaft verschärft sich also", kommentiert Ralf Wintergerst, Präsident des Digitalverbandes Bitkom, die Zahlen des Wirtschaftsschutzberichts. Umso dringlicher ist: "Die Unternehmen müssen ihre Schutzmaßnahmen weiter hochfahren", mahnt er. "Das gilt für digitale ebenso wie klassische Angriffe, etwa das Abhören von Besprechungen oder den Diebstahl von physischen Dokumenten." Die häufigste Bedrohung Die häufigste Bedrohung für Firmen ist "Ransomware", eine Form der digitalen Erpressung: Daten gegen Geld. So berichten laut dem aktuellen Wirtschaftsschutzbericht Betriebe am häufigsten von Schäden durch Ransomware (31 Prozent, plus 8 Prozentpunkte), dahinter folgen Phishing-Attacken (26 Prozent, minus 5 Prozentpunkte), Angriffe auf Passwörter (24 Prozent, minus 5 Prozentpunkte) und Infizierung mit Schadsoftware (21 Prozent, minus 7 Prozent). Ebenfalls häufig Schäden verursachen sogenannte Distributed-Denial-of-Service-Angriffe, durch die zum Beispiel Webserver lahmgelegt werden (18 Prozent, plus 6 Prozentpunkte). Die Cyberkriminellen nutzen Schlupflöcher wie falsche Bedienung, Fehlkonfigurationen, veraltete Softwareversionen oder mangelhafte Datensicherungen aus, um Unternehmenssysteme tiefgreifend zu infiltrieren und Daten zu verschlüsseln. Für die Entschlüsselung verlangen die Angreifer ein Lösegeld. Häufig drohen sie zusätzlich noch damit, gestohlene Daten zu veröffentlichen. Hierbei steht für die Erpresser laut BSI nicht eine Maximierung des potenziellen Lösegelds im Vordergrund, sondern das rationale Kosten-Nutzen-Kalkül. Das Perfide ist, dass die Angreifer verschiedene Wege nutzen, um in Firmennetze zu gelangen. Zudem gibt es jedes Jahr neue "Vorlieben" der Kriminellen, die zu ihrem Erfolg führen: Waren laut BSI-Bericht bis in den Berichtszeitraum 2023 hinein maliziöse Office-Dokumente das häufigste Angriffsmittel für die initiale Infektion, ersetzten Angreifer diese im Laufe des Jahres 2022 durch schadhafte Container-Dateien mit Formaten wie ISO oder IMG, während sie Anfang 2023 mehrheitlich zu maliziösen OneNote-Dateien für Spam- und Phishing-Mails wechselten. Sechs Phasen eines Angriffs In sechs Phasen gliedert sich laut BSI eine Attacke. Auch wenn es einen vollständigen Schutz vor Ransomware-Angriffen nicht gibt, weil Angreifer auch neue Wege nutzen können, für die es noch keine Detektions- und Abwehrmethoden gibt, sind kleine Firmen nicht machtlos. Denn in jeder Phase sind Gegenmaßnahmen möglich, um das Eindringen in Netze oder das Verschlüsseln von Daten zu verhindern und möglichen Schaden zu begrenzen: 1. Erstinfektion: Ein Ransomware-Angriff beginnt häufig mit einer maliziösen E-Mail, der Kompromittierung eines Fernzugriff-Zugangs (Remote-Zugang) wie zum Beispiel Remote Desktop Protocol (RDP) oder der Ausnutzung von Schwachstellen. Hier empfiehlt das BSI, empfangene E-Mails grundsätzlich als "Nur-Text" oder "reiner Text" codiert an-zuzeigen. Mitarbeiter sollten im Umgang mit Mails sensibilisiert und geschult werden - gerade in Bereichen, wo viele externe Mails eintreffen. Bei Transport- und Speditionsbetrieben können das Marketing oder Kundenbetreuung sein. Als Schutzmaßnahme beim Remote-Zugang rät das BSI zur Multifaktor-Authentifizierung, auch sollte der Zugriff von außen über Virtual Private Networks (VPN) in Kombination mit einer Multifaktor-Authentifizierung abgesichert werden. 2. und 3. Rechteerweiterung und Ausbreitung: Nach dem Einbruch verfügt der Angreifer nur über die Zugriffsrechte, die der kompromittierte Account besitzt. Daher laden Angreifende meist weitere Schadsoftware nach, um die erlangten Zugriffsrechte zu erweitern und zum Beispiel an Administratorrechte zu gelangen. Um sich davor zu schützen, sollten KMU privilegierte Konten wie Adminis-trator-Accounts absichern, etwa über Multifaktor-Authentifizierung. Zudem rät das BSI, für die Administration von Clients keine Domänen-Administra-tionskonten zu verwenden. Vor Ausbreitung schützt eine saubere Netzwerksegmentierung. 4. Datenabfluss: Die Cyberkriminellen können Daten entwenden, um später mit deren Veröffentlichung zu drohen, falls ein Opfer nicht zu einer Lösegeld- oder Schweigegeldzahlung bereit ist. Mit einer Anomalie-Detektion im Netz kann das laut BSI verhindert oder begrenzt werden. So sei es zeitnah möglich, einen potenziell unerwünschten Datenabfluss zu erkennen. Dafür muss der regulär anfallende Netzverkehr bestens bekannt sein. Auf Basis eines festgelegten Normalzustands lassen sich Schwellenwerte wählen, bei deren Über- oder Unterschreitung das System anschlägt. 5. Verschlüsselung: Daten werden auf möglichst vielen Systemen verschlüsselt, damit die erpressten Firmen selbst nicht mehr darauf zugreifen können. Der beste Schutz sind Back-ups und Datensicherung in einem Offline-Back-up, denn dann sind Daten auch im Falle eines Angriffs weiter verfügbar. 6. Reaktion: Firmen stehen vor der He-rausforderung, ihre Systeme und Daten wiederherzustellen. Je nach Ausmaß muss dafür ein Übergangsbetrieb organisiert und der Vorfall an Kunden und Partner kommuniziert werden. Helfen kann dabei ein IT-Sicherheitsdienstleister. Für das Worst-Case-Szenario, dass es einem Angreifer gelingt, alle Systeme im Netzwerk zu verschlüsseln, müssen KMU eine Notfallplanung für Notbetrieb und Wiederaufbau entwickelt haben. Das BSI rät gar dazu, die Prozesse zur Reaktion und Wiederherstellung geschäftskritischer Systeme in regelmäßigen Abständen zu üben. Hilfreich ist es zudem, trotz aller Digitalisierung Telefonnummern und Daten von wichtigen Kontaktpersonen in Papierform vorliegen zu haben. Checkliste: Maßnahmen für den Notfall Vorbereitung auf einen IT-Notfall: Beauftragte für Informationssicherheit und Notfallmanagement bestimmen, nach Möglichkeit nicht in Personalunion. Beide arbeiten bei IT-Notfällen eng zusammen Sicherstellen, dass die individuellen und fallbezogenen Erstmaßnahmen im IT-Notfall vorliegen, unter anderem Meldewege im Unternehmen Zeitkritische Geschäftsprozesse und Assets im Rahmen eines strukturierten Prozesses identifizieren und Schutzmaßnahmen für diese priorisiert umsetzen Mit IT-Dienstleistern klären, für welche IT-Vorfälle Unterstützung gewährt werden kann Dienstleister suchen und kontaktieren, die bei IT-Notfällen geeignet unterstützen könnten Liste mit allen Ansprechpartnern anfertigen und Vorabsprachen mit diesen hinsichtlich Erreichbarkeit, Verfügbarkeit, ggf. Service-Level-Agreement treffen Regeln zur Kommunikation nach innen und außen festlegen. Eine erfolgreiche Presse- und Öffentlichkeitsarbeit während eines IT-Notfalls kann einen Imageschaden erheblich begrenzen Falls möglich: aktive Überwachungsmaßnahmen für die IT implementieren, auch durch IT-Dienstleister möglich IT-Notfallszenarien jeglicher Art wie IT-Ausfälle oder Cyberangriffe üben und gesamtes Personal sensibilisieren Vertiefende Schulungen für die mit der Bewältigung von IT-Notfällen betrauten Personen durchführen Grundlegende Schutzmaßnahmen, regelmäßige Patches und Sicherheitsupdates, Programme zum Schutz vor Schadsoftware sowie Firewalls, Änderung von Standard-Passwörtern in sichere, Zwei-Faktor-Authentifizierung, regelmäßige Sicherheitskopien (Back-ups) der Daten und deren Wiederherstellung regelmäßig üben IT-Infrastruktur (u. a. Netzplan) dokumentieren Restriktive Benutzerrechte an IT-Systemen, besonders privilegierte Benutzerkonten schützen, zum Beispiel durch Zwei-Faktor-Authentifizierung Restriktiv bei der Vernetzung der IT-Systeme vorgehen Meldewege vorbereiten, um externen Meldepflichten während des IT-Notfalls fristgerecht nachzukommen Bereitschaft: In regelmäßigen Abständen den Sicherheitsstatus der IT-Systeme überprüfen Sicherstellen, dass alle Mitarbeiter den richtigen Ansprechpartner für IT-Notfälle kennen und handlungssicher sind Erreichbarkeit zu den relevanten Arbeitszeiten gewährleisten Bedenken, dass nicht jede Fehlfunktion von Hard- oder Software ein Cyberangriff ist. Dennoch kann der Ausfall eines IT-Systems auf einen Cyberangriff zurückzuführen sein Bewältigung eines IT-Notfalls: Ruhe bewahren und sofort alle zur Bewältigung benötigten Ansprechpartner kontaktieren Ggf. betroffene Nutzer zu Beobachtungen und Aktivitäten befragen IT-Dienstleister kontaktieren, der bei der Bewältigung behilflich sein kann System-Protokolle, Log-Dateien, Notizen, Fotos von Bildschirminhalten, Datenträger und andere digitale Informationen sammeln und sichern, am besten, bevor auf den Systemen eine Analyse gestartet wird. Diese Daten sind im Fall einer forensischen Auswertung essenziell (Strafanzeige) Alle mit dem IT-Notfall im Zusammenhang stehenden Sachverhalte dokumentieren Ggf. Kontaktaufnahme mit der Zentralen Ansprechstelle für Cybercrime (ZAC) beim Landeskriminalamt, um eine Anzeige zu erstatten Freiwillige Meldung an die Meldestelle der Allianz für CyberSicherheit (ACS) prüfen Meldepflichten: Datenschutz, Kritische Infrastrukturen (KRITIS) etc. Was Betriebe nicht tun sollten Was kleinere und mittlere Betriebe nicht tun sollten: auf die Forderung der Kriminellen eingehen und das Lösegeld zahlen. Davon rät das BSI ab. Viele Opfer lassen sich darauf ein in der Hoffnung, schnell wieder arbeitsfähig zu sein. Laut einer Umfrage von Bitkom haben hierzulande elf Prozent der Betriebe, die Opfer von Ransomware wurden, Lösegeld bezahlt. Es gibt indes laut BSI keine Garantie, dass die Cybererpresser die verschlüsselten Daten, die ja zudem prinzipiell als kompromittiert zu betrachten sind, tatsächlich wieder freigeben oder gestohlene Daten löschen. Auch kann das vom Angreifer gebotene Entschlüsselungstool fehlerhaft sein. Und nicht zuletzt, und das ist ein wichtiger Grund, macht sich eine Firma, die auf die Forderungen der Kriminellen eingeht, für einen zweiten Erpressungsversuch attraktiv.

Elektromobilität: Hamburg will Ladepunkte auf 10.000 erhöhen

Bürokratieentlastung: Bundesrat stimmt neuer Verordnung zu

Automobilzulieferer: Bosch will weitere Stellen streichen

A7 wird zeitweise gesperrt

Schwerpunktkontrollen: Viele Verstöße von Lkw und Bussen

Alle Schlagzeilen

Cyberattacken: Eine unsichtbare Bedrohung

HASHTAG

#Cyber-Sicherheit

Cyberversicherung: Auf was Unternehmer achten sollten

Cyber-Risiken im Homeoffice – Tipps für sicheres mobiles Arbeiten

Mangelnde Cybersicherheit in deutschen Supply Chains

MEISTGELESEN

Emons Spedition siedelt sich am c-Port an

Änderung durch EU-Mobilitätspaket: Mitführungspflicht verdoppelt sich

Duvenbeck übernimmt Sander Logistics

STELLENANGEBOTE

Leiter (w/m/d) Logistik Teilbereich Warenausgang

Teamleiter Lager im Handelslager/ Brennschneidbetrieb (w/m/d)

Schichtleiter (w/m/d) Logistik - Warenausgang

Head of Logistics (w/m/d) mit fundierter Erfahrung im internationalen Versand

Koordinator (m/w/d) Intralogistik mit Teamleitungsfunktion

WEITERLESEN

NEWSLETTER