Zugang über Umwege - Hacker nutzen Zulieferer als Einfallstor

9. Dezember 2014, 12:45
posten

Sicherheitsfirma Symantec: Gut die Hälfte der Angriffe haben Großunternehmen mit mehr als 2.500 Beschäftigten im Visier

Täglich greifen Hacker deutsche Firmen an. Einige haben ihre Sicherheitsmaßnahmen deshalb in den vergangenen Jahren erhöht. Doch die eigene Sicherheit liegt nicht mehr allein in den Händen der Unternehmen.

Stuxnet

Der Angriff erinnerte verdächtig an die Attacken auf das iranische Atomprogramm mit Hilfe des Computerwurms Stuxnet vor einigen Jahren: 2014 infizierten Cyberkriminelle die Treibersoftware eines deutschen Maschinenbauers mit Schadsoftware. Kunden, die die Maschinen betrieben und die dazugehörige Software auf den neuesten Stand brachten, luden sich den Schadcode ins System.

Die Aktion war kein Einzelfall, sagt Steve Durbin vom Information Security Forum, einer Nicht-Regierungsorganisation, die sich mit IT-Sicherheit beschäftigt. Angriffe auf Lieferanten als verlängerte Werkbank nehmen zu. "Die Zulieferer werden mehr und mehr zum Ziel - als Weg in große Unternehmen."

"Das Argument, ich bin zu klein, ist entkräftet"

Das Problem ist die wachsende Vernetzung der Wirtschaft: Wenn Firmen inzwischen mit gemeinsamen Bestellsystemen oder anderer Software arbeiten, kann das ein Einfallstor für Hacker sein. "Das Argument, ich bin zu klein, ist entkräftet", sagt Marc Fliehe, IT-Sicherheitsexperte beim Branchenverband Bitkom. Kleine Ingenieurbüros seien attraktive Angriffsziele, um beispielsweise in die Systeme von Autoherstellern zu gelangen und dort zu spionieren.

"Gefährdung entsteht immer dort, wo Werte vorhanden sind", heißt es beim Bundesamt für Sicherheit in der Informationstechnik (BSI) - also auch bei kleinen, innovativen Firmen.

Nach Daten der Sicherheitsfirma Symantec zielen rund 27 Prozent der Angriffe auf kleine und mittelgroße Firmen mit weniger als 250 Mitarbeitern. Gut die Hälfte der Attacken haben Großunternehmen mit mehr als 2.500 Beschäftigten im Visier. "Dieser Anteil war in den vergangenen Jahren weitgehend stabil" sagt Symantec-Virenjäger Candid Wueest. Aber: "Im Moment sprechen nur wenige über Angriffe, jeder muss seine Fehler selbst machen."

Allianz für Cybersicherheit

Sind - anders als beim jüngsten Hacker-Angriff auf Sony Pictures - keine Kundendaten oder private Informationen von Mitarbeitern betroffen, werden die Vorfälle in der Regel nicht öffentlich. Bei der vom BSI und dem IT-Branchenverband Bitkom ins Leben gerufenen Allianz für Cybersicherheit, wo Firmen Hackerangriffe freiwillig bekannt geben, haben sich bisher rund 1.000 Firmen angemeldet. Aber lediglich 160 Vorfälle wurden in zwei Jahren gemeldet. Die deutsche Regierung plant nun ein IT-Sicherheitsgesetz, in dem eine Meldepflicht zumindest für Vorfälle vorgesehen ist, die kritische Infrastrukturen wie Versorger oder Telekomunternehmen betreffen.

Doch während viele Firmen Probleme verschweigen, zählt das BSI täglich weitere Attacken. "Die Angriffe werden immer ausgefeilter", beobachtet Steve Durbin. Besondere Kopfschmerzen macht Sicherheitsexperten die aktuell im Umlauf befindliche Schadsoftware "Regin", die die grundlegenden Konzepte gängiger Antivirenprogramme aushebelte. Hinzu kommt, dass Hacker-Gruppen finanziell gut ausgestattet sind und deshalb auch mehr Zeit in einen Angriff investieren können. Haben sie sich einmal Zugang zum System verschafft, verhalten sie sich zunächst möglich ruhig, um die größtmögliche Beute zu ergattern.

Nach wie vor sind gezielte Attacken ein beliebtes Angriffsmittel. Auf persönliche Interessen zugeschnittene und mit Spähsoftware gespickte E-Mails werden an Zielpersonen geschickt, die Zugriff zu relevanten Informationen haben. Für die Ziele interessante Seiten werden mit Schadsoftware gespickt. Die wiederum installiert sich nur, wenn die IP-Adresse des Opfers relevant für die Hacker ist.

Menschliches Versagen

"Häufig ist menschliches Versagen ein Problem", sagt Wueest. Passwörter werden für mehrere Accounts verwendet. Angemessene Sicherheitsmaßnahmen würden in vielen Unternehmen nicht konsequent umgesetzt, heißt es beim BSI. So gaben in einer Umfrage der Allianz für Cyber-Sicherheit mehr als die Hälfte der befragten Unternehmen an, dass ihre Maßnahmen zum Schutz vor Cyber-Angriffen aktuell nicht ausreichten.

Auf der anderen Seite haben vor allem kleinere Firmen häufig nicht immer die Möglichkeiten, den Vorfällen so eingehend mit forensischen Mitteln nachzugehen, wie es zum Beispiel Sony nach der jüngsten Attacke tut.

Große Sicherheitsfirmen wie Symantec, aber auch die Deutsche Telekom oder Hewlett-Packard (HP) richten deshalb Beobachtungszentren ein, in denen sie Vorfälle beobachten. HP eröffnet am Dienstag in Böblingen sein erstes Cyberabwehrzentrum in Deutschland. Dort sollen Informationen über Angriffe gesammelt und Firmen geschult werden.

Das Problem der Zulieferer gehen inzwischen ihre Kunden selbst an, sagt Durbin. "Wir sehen, dass das Bewusstsein dafür wächst", sagt er. Einige Konzerne führten Untersuchungen bei ihren Zulieferern durch, in der Hoffnung, Einfallstore zu schließen.

Der deutsche Innenminister Thomas de Maizière (CDU) hat den Entwurf für das IT-Sicherheitsgesetz im Sommer vorgelegt. Hauptziel ist, kritische Infrastrukturen wie Energie- oder Telekommunikationsnetze besser vor Cyberattacken zu schützen. Ihre Betreiber sollen besondere Vorfälle oder Attacken künftig melden. Im Entwurf für das neue IT-Sicherheitsgesetz ist auch vorgesehen, dass Internetprovider ihren Nutzern einen Hinweis geben müssen, wenn sie auf deren Rechnern Schadsoftware entdecken.

Vorgesehen waren in der ersten Entwurfsfassung darüber hinaus auch Änderungen des Telemedien- und des Telekommunikationsgesetzes. Diensteanbieter sollten Nutzungsdaten ihrer Kunden zum Erkennen, Eingrenzen oder Beseitigen von Störungen erheben können. Die Anbieter sollten das allerdings nur dürfen, um Angriffe auf ihre Systeme zu erkennen oder Störungen zu beseitigen. Netzaktivisten hatten solche Surfprotokolle als hochproblematisch kritisiert. Über den endgültigen Entwurf soll die Regierung noch vor Weihnachten entscheiden. (APA, 9.12. 2014)

Share if you care.