Der Redakteur | 07.02.2022 Wie können wir uns vor Hackern schützen?

Spaß haben, Geld erpressen, Chaos stiften? Warum greifen uns Hacker an, wer ist besonders gefährdet und wie kann man sich schützen?

Offenes Vorhängeschloss auf Computertastatur
Virtuelle Schlösser hängen Erpresser regelmäßig vor angegriffene Systeme - und verlangen Geld für den Code zur Öffnung. (Symbolbild) Bildrechte: IMAGO

Es ist nicht sonderlich überraschend, aber wir weisen sicherheitshalber daraufhin: Überfälle auf Züge und Postkutschen sind nicht mehr das Hauptproblem für den Ortssheriff und auch der klassische Bankraub kommt so langsam aus der Mode. Aktuell werden zwar gern Geldautomaten gesprengt, aber auch das wird sich auf Dauer nicht durchsetzen. Soll heißen: Das Verbrechen ging schon immer mit der Zeit. Und wir leben nun einmal im digitalen Zeitalter und müssen feststellen: Kriminelle können heute auf viel unauffälligeren Wegen zu Geld kommen, sagt Prof. Haya Shulman, eine international anerkannte Expertin für IT-Sicherheit.

Eine KI-Wissenschaftlerin arbeitet an Computerbildschirmen und programmiert Lösungen mit Künstlicher Intelligenz. 8 min
Bildrechte: dpa
8 min

"Die Schwelle, Angriffe im Internet durchzuführen ist geringer als in der realen Welt", sagt Haya Shulman, Expertin für sichere Informationstechnologie. Deshalb gebe es immer mehr, auch auf Kommunen.

MDR THÜRINGEN - Das Radio Di 08.02.2022 17:01Uhr 08:03 min

https://www.mdr.de/mdr-thueringen/audio-1953626.html

Rechte: MITTELDEUTSCHER RUNDFUNK

Audio

Sie lehrt an verschiedenen Universitäten und forscht am Fraunhofer-Institut für Sichere Informationstechnologie SIT in Darmstadt an den Abwehrstrategien der Zukunft. Sie sagt: Der Einbrecher von heute braucht keine speziellen Werkzeuge. Er hat ein überschaubares Risiko, erwischt zu werden und muss für einen "Bruch" noch nicht einmal weit fahren. Etwas Expertise reicht.

Man kann sogar sehr billig Angriffe im Darknet mieten und beauftragen.

Prof. Haya Shulman, Fraunhofer-Institut für Sichere Informationstechnologie SIT

Bereits hier wäre für jeden Hackertypen etwas dabei. Denn den typischen Hacker gibt es gar nicht. Die Hackerszene ist so vielfältig wie die Menschheit selbst. Es gibt kleine Ganoven und ganze Verbrechersyndikate und Schurkenstaaten noch dazu. Trotzdem geht es in den meisten Fällen schlicht um die Erpressung von Geld, mittels sogenannter Ransomware (von Ransom=Lösegeld) werden zum Beispiel ganze Server verschlüsselt und damit Firmen und Institutionen lahmgelegt. Oft haben die Verbrecher ihre Opfer zuvor gut ausspioniert und wissen genau, wo die Schmerzgrenzen liegen, was den Zahlbetrag angeht.

Zweistelliger Milliardenschaden

Und wie gewaltig die Bedrohung angestiegen ist, das verdeutlichen zwei Zahlen. Knapp 25 Milliarden Euro Schaden haben Hacker 2020 bei deutschen Wirtschaftsunternehmen angerichtet. Das hat der digitale Branchenverband Bitkom ausgerechnet. Diese Zahl bekommt noch ein besonderes Gewicht, wenn man die Zahl von 2017 danebenlegt: Da waren es geradezu lächerliche 0,7 Milliarden. Was in Zahlen aber auch so aussieht: 700.000.000 Euro. Die zweite Zahl, die etwas sprachlos macht, ist die Anzahl an Schadsoftware, die täglich entsteht.

Die Anzahl der entwickelten Schadsoftware liegt zwischen 300.000 und 500.000 pro Tag.

Arne Schönbohm, Präsident Bundesamt für Sicherheit in der Informationstechnik (BSI)

Nun zielt nicht alles auf den heimischen PC, das Handy oder irgendeine Anwendersoftware und ist damit eine direkte Bedrohung für jeden. Für die hohe Anzahl sorgt alleine schon die Tatsache, dass die Angriffsmöglichkeiten sehr vielfältig sind, sagt Arne Schönbohm.

Arne Schönbohm, Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI). 10 min
Bildrechte: Bundesamt für Sicherheit in der Informationstechnik
10 min

"Hacker greifen flächendeckend an - öffentliche Einrichtungen und Privatpersonen", sagt Arne Schönborn vom Bundesamt für Sicherheit in der Informationstechnik.

MDR THÜRINGEN - Das Radio Di 08.02.2022 17:02Uhr 09:33 min

https://www.mdr.de/mdr-thueringen/audio-1953628.html

Rechte: MITTELDEUTSCHER RUNDFUNK

Audio

Ein iOS-Mailprogramm von Apple erfordert eben andere Technologien als eine Industrieanlage oder gar die IT von staatlichen Verwaltungen, Geheimdiensten oder Hightech-Firmen, wie eben zum Beispiel die Firma BioNTech, die u.a. auf ihre Patente oder Studiendaten aufpassen müssen. Entsprechend unterschiedlich sehen auch die Abwehrstrategien aus. Und um mit den großen Bedrohungen unserer Zeit anzufangen: Auch wenn es abgedroschen klingt: "Die überwiegende Zahl der in Deutschland festgestellten Cyberangriffe mit mutmaßlich staatlicher Steuerung werden Russland, China und dem Iran zugeordnet", schreibt das Bundesinnenministerium.

Solche staatlich gelenkten Cyberangriffe werden genutzt, um Informationen auf digitalem Weg zu beschaffen, politischen Einfluss zu nehmen, Sabotage zu verüben oder Devisen zu generieren.

Mitteilung des Bundeskriminalamts

Es sollen schon amerikanische Präsidentschaftsbewerber in eine vorteilhaftere Position gebracht worden sein, im Vergleich zu einer Mitbewerberin. Mit gezielten Kampagnen ganze Bevölkerungsschichten mindestens zu verunsichern, das hat auch zu Coronazeiten gut geklappt und die Fans von "unabhängigen Wahrheiten" ahnen oft gar nicht, wo die Urheber des Unsinns sitzen und mit welchem Ziel dieser in die Welt gesetzt wurde. Diese gezielten Adressierungen in Richtung des naiven Teils der Bevölkerung – Stichwort RT DE – sind aber nur der sichtbare Teil ganzer Strategien.

Behörden geben sich zugeknöpft

Der Rest läuft im Verborgenen ab und die damit beschäftigten Einrichtungen wie Bundeskriminalamt, Bundesnachrichtendienst oder Bundeswehr geben auch verständlicherweise keine detaillierten Informationen preis, wie sie denn arbeiten. Das haben schon die Feldherren in der Vergangenheit nicht getan, womit wir direkt beim Thema sind: Wir müssen uns im Klaren darüber sein, dass Kriege künftig digital geführt werden.

Wann wird es kritisch?

Ein Bedrohungspotential gewaltiger Art haben die direkten Angriffe auf die sogenannte kritische Infrastruktur von Staaten. Man muss heutzutage keine Bomber oder Marschflugkörper mehr losschicken, um zum Beispiel die Energie- oder Wasserversorgung, die Logistik (Verkehr, Lebensmittel, Treibstoffe) oder die Telekommunikation eines Landes auszuschalten. Was dann in der betroffenen Region passiert, könnten die Urheber dann genüsslich aus der Ferne verfolgen.

In unserer verwöhnten Wohlstandnation liegen schon die Nerven blank, wenn in Supermärkten Masken getragen werden sollen oder die Schwimmhalle nicht für alle geöffnet hat. Was soll dann erst passieren, wenn es wirklich wehtut? Für den Schutz vor Angriffen auf unsere kritische Infrastruktur ist u.a. das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig.

Wir sind dafür da, die Sicherheit zu gewährleisten und zuständig rein defensiv für Abwehrmaßnahmen in Deutschland.

Arne Schönbohm, Präsident Bundesamt für Sicherheit in der Informationstechnik (BSI)

Von der mittlerweile geballten Fachkompetenz kann aber nicht nur die erwähnte kritische Infrastruktur profitieren, auch für Privatanwender bis hin zu Großunternehmen gibt es eine ganze Reihe von Hilfestellungen zum Thema IT-Sicherheit, die über die Basistipps hinausgehen, die Systeme stets auf dem aktuellen Softwarestand zu halten und die wichtigen Daten dergestalt per Backup zu sichern, damit sie nicht überschrieben oder verschlüsselt werden können, wenn ein "Einbrecher" erfolgreich ist.

Empfehlung: Erpressern kein Lösgeld zahlen

Denn das ist genau der Punkt, an dem es teuer wird oder ruinös. Wenn zum Beispiel plötzlich sämtliche Warenwirtschaftssysteme nicht mehr funktionieren, kein Zugriff besteht auf Kundenlisten und -Kontakte, Termine, Lagerdaten oder gar die IT der Produktionsanlagen lahmgelegt ist, braucht es nicht sehr viel Phantasie, um sich die Folgen auszumalen. Klar ist auch, dass Firmen in solchen Momenten bereit sind, viel Geld zu zahlen, um schnell wieder arbeitsfähig zu sein. Davor warnen aber BKA und BSI eindringlich. Besser ist es, die Polizei zu rufen und zwar konkret die ZAC. Das ist die jeweilige "Zentrale Ansprechstelle Cybercrime" in den Bundesländern und beim BKA. Hier geht es letztlich um die Verfolgung der Täter, der Verbandskasten allerdings hängt beim BSI, dem Bundesamt für Sicherheit in der Informationstechnik. Dessen Präsident hat auch ein medizinisch gefärbtes Beispiel, was passiert, wenn zum Beispiel eine Firma betroffen ist.

Es ist unsere Aufgabe, den Patienten – in Anführungszeichen – in die stabile Seitenlage zu bringen.  Also: Was muss ich kurzfristig tun, damit die IT wieder anfängt zu laufen.

Arne Schönbohm, Präsident Bundesamt für Sicherheit in der Informationstechnik (BSI)

Vorbeugen ist besser als heilen

Nun ist auch klar, wenn ein Einbrecher mit dem Nachschlüssel erfolgreich gewesen ist, kann das Türschloss nicht das beste gewesen sein. Und so wie im realen Leben, kann man auch für die IT-Sicherheit einiges tun. Arne Schönbohm rät zum Beispiel neben den erwähnten Basistipps dazu – und da wird es fachlich – alle Netzübergänge des Unternehmens oder der Behörde im Rahmen einer "Netzstrukturaufnahme" zu analysieren. Kritisch sind zum Beispiel individuelle DSL-Zugänge oder verschlüsselte Kommunikationswege wie z. B. von IT-Nutzern selbst eingerichtete und genutzte VPN-Verbindungen. Das klingt schon sehr speziell, wer es noch spezieller möchte, klickt hier entlang.

Überhaupt hält das BSI eine ganze Reihe von praxisnahen Tipps bereit, bis hin zu Schautafeln, die in jedes Büro gehören, was zu tun ist, wenn ein Angriff entdeckt wird, wer Ansprechpartner ist im Betrieb usw. Was für einen Brand selbstverständlich ist, sollte es auch in Fragen der IT-Sicherheit sein, denn – auch wenn wir uns wiederholen – ein Angriff kann ein Unternehmen auf einen Schlag ruinieren. Und: es ist absolut naiv zu glauben, mich kann es gar nicht treffen. Ich bin ja viel zu klein und unbedeutend.

Es ist nicht die Frage, ob es stattfindet, sondern, wann!

Prof. Haya Shulman, Fraunhofer-Institut für Sichere Informationstechnologie SIT

Deswegen ist es ratsam, die Sicherheit der IT weder dem Zufall, noch dem eigenen Halbwissen anzuvertrauen. So wie wir den Heizungsinstallateur beauftragen oder den Elektriker, sollte auch hier ein wirklicher Fachmann herangezogen werden, das ist allemal billiger und kalkulierbarer als hinterher den Schaden zu beseitigen. Auch bei der Suche nach dem richtigen Experten wird man beim BSI fündig.

Ist das jetzt schon die Corona-Ersatz-Panik?

Nein. Es geht einfach nur darum, die Menschen, Firmen und Behörden zu sensibilisieren. Niemand käme hierzulande auf die Idee, die Haustür rund um die Uhr offen stehen zu lassen, aber genau das wird bei der IT leider noch viel zu oft getan. Haarsträubend einfache Passwörter sind oft der Anfang allen Übels, die – z.B. weil sie irgendwo unverschlüsselt gespeichert waren – im Darknet listenweise käuflich erworben werden können.

Auch die 2-Faktor-Authentifizierung bietet mitunter keinen ausreichenden Schutz, weil zum Beispiel das anfällige Handy eine Rolle spielt. Deshalb sind Wissenschaftler wie Prof. Haya Shulman damit beschäftigt, Alternativen zu entwickeln und auch Strategien für ganze Nationen, um Eindringlingen keine Chance zu geben. Das Hase-und-Igel-Spiel läuft. Und wenn unsere Autos wirklich einmal autonom unterwegs sein sollten, haben wir das nächste Problem, an dessen Lösung übrigens auch schon gearbeitet wird. Nicht auszudenken, dass irgendwo jemand sitzt, der einem plötzlich ins Lenkrad greift.

Die Welt wird nicht bedroht von den Menschen, die böse sind, sondern von denen, die das Böse zulassen.

Albert Einstein

MDR (csr)

Dieses Thema im Programm: MDR THÜRINGEN - Das Radio | Ramm am Nachmittag | 08. Februar 2022 | 16:40 Uhr

Mehr aus dem Bereich Digitales

Mann hält Handy und wählt 15 min
Bildrechte: Colourbox.de
Ein Hacker sitzt vor einem Computer. 3 min
Bildrechte: imago images / Panthermedia
Ein verschwommenes Kind am Strand. 4 min
Bildrechte: Colourbox.de
4 min

Wie wäre es mit einem Wasser-Scooter für's Reisegepäck? Alexander Schubert stellt diese Besonderheit vor: Außerdem: ein zusammenrollbarer, plastefreier Eimer für den Strand.

MDR SACHSEN Fr 05.08.2022 10:22Uhr 03:47 min

https://www.mdr.de/sachsenradio/audio-2097880.html

Rechte: MITTELDEUTSCHER RUNDFUNK

Audio
Camping 4 min
Bildrechte: Colourbox.de
4 min

Wie funktioniert eine Zelt-Toilette? Und was ist das Besondere am Multifunktionstisch? Alexander Schubert stellt dieses Camping-Zubehör vor.

MDR SACHSEN Fr 29.07.2022 10:21Uhr 04:25 min

https://www.mdr.de/sachsenradio/audio-2092168.html

Rechte: MITTELDEUTSCHER RUNDFUNK

Audio

Weitere Ratgeber-Themen