Einfallstore und künftige Trends

Wurde früher die Infrastruktur attackiert, richten sich die Angriffe nun vor allem gegen die Nutzer. Diese Erkenntnis bestätigt auch der Verzion Data Breach Report 2010, eine Studie, die Verizon in Zusammenarbeit mit dem US-Geheimdienst erstellt hat. Dabei kommt häufig maßgeschneiderte Malware zum Einsatz, um Anti-Viren-Systeme zu umgehen. Nutzer installieren diese, etwa weil sie als notwendiger Codec für ein Video verkauft wird. Laut Verizons Matt van der Wel sei Data Breaching, also der Zugriff auf Unternehmensdaten, ein lohnendes Geschäft. Durch zahlreiche Benutzerkonten mit zu vielen Berechtigungen sei der Zugriff ein Leichtes. Zudem hätten nur wenige Unternehmen Richtlinien, was geschehen soll, wenn sie von einem kompromittierten Nutzer-Account erfahren.

Demnach gehören zu den Top-Trends im Sicherheitsbereich vor allem Advanced Persistent Threats. Dieses Buzzword ist der Oberbegriff für ständige Angriffe auf die IT von Leuten, die über besonders hohes technisches Verständnis sowie ausgefeilte Ressourcen verfügen. Hinter APTs stecken nur selten Individuen, eher Gruppen oder gar Nationen. Ein Beispiel für so eine Bedrohung ist Stuxnet, ein Botnet, dessen Opfer Siemens geworden ist und das auch auf der RSA-Konferenz immer wieder erwähnt wurde. Allerdings sind die Experten uneins, was die Malware eigentlich erreichen wollte. Die wenigsten denken, dass Stuxnet politisch motiviert war - dazu habe es zu viele Systeme weltweit penetriert. Wahrscheinlicher ist, dass das Botnet ein Test ist, inwieweit sich die verwendeten Schwachstellen ausnutzen lassen. Oder, wie es ein Experte ausdrückt: "Die Malware verfügt über vier Zero-Day-Attacken - es wäre leichtsinnig zu glauben, dass die Macher nicht noch mehr in der Hinterhand hätten."

Dennoch wäre es ein Fehler, sich lediglich gegen von Staaten gesponserte Attacken abzusichern - im Gegenteil. Winkler rät Firmen, ihre Schwachstellen zu kennen und vor allem die kleineren Angriffe zu verhindern. Denn, was normale Kriminelle stoppt, bereitet auch APTs und angreifenden Staaten Probleme - für den Fall, dass man in deren Visier gerät.

Cyber Peace statt Cyber War

Einer der Vorträge über Cyber War kam von Richard A. Clarke, einem langjährigen Mitglied der US-Regierung, Special Advisor zum Thema Cybersecurity und Buchautor. Clark wies auf die Mythen des Cyber Wars hin, der von Medien gerne aufgegriffen und zur Bedrohung stilisiert werde. Die meisten Regierungen hätten zwar durchaus das Potential für Cyber-Attacken, ähnlich wie bei Atomwaffen diene dies aber hauptsächlich der Abschreckung. Clarke warf eine weitere interessante These in den Raum: Cyber-Attacken könnten zum Teil verehrende Auswirkungen auf die Zivilbevölkerung haben, etwa wenn das Stromnetz einer Metropole mehrere Tage ausfällt. Daher sollten Regierungen Abkommen über den Einsatz beziehungsweise den Verzicht von Cyber-Attacken anstoßen. Dies möge zwar schwer zu kontrollieren sein, aber diesen Einwand ließ Clarke nicht gelten. Schließlich sei auch der Verzicht auf Chemie- oder Bio-Waffen schwer zu überprüfen, aber allein das Vorhandensein der Abkommen habe die Welt sicherer gemacht.