Für die bislang umfassendste Erhebung zu diesem Thema befragte Bitkom 1.074 Geschäftsführer und IT-Sicherheitsverantwortliche.
Foto:
Besonders auf die stärksten deutschen Wirtschaftszweige haben es die Kriminellen abgesehen: die Automobilindustrie, die Chemie- und Pharma-Branche sowie Banken und Versicherungen. Insgesamt entstehe durch die Angriffe jährlich ein Schaden von rund 51 Mrd. Euro. Bitkom-Präsident Prof. Dieter Kempf verweist jedoch darauf, dass es sich um eine konservative Berechnung handelt.
Ein Grund dafür sei, dass die Unternehmen ihre Infrastrukturen nicht ausreichend schützen. Besonders der Mittelstand ist demnach aufgefordert, mehr für seine IT-Sicherheit zu tun. Denn ausgerechnet kleine und mittlere Unternehmen sind besonders häufig Ziel von ausgeklügelten digitalen Spionage- und Sabotageakten, die meist auf die IT-Systeme und die Kommunikationsinfrastruktur abzielen.
Die Aussagen von Bitkom spiegeln genau unsere Beobachtungen und Erfahrungen wider. Auffällig ist, dass die Cyber-Angriffe mit immer mehr Aufwand durchgeführt werden. Das zeigt, dass hier viel Geld im Spiel ist und sich für Kriminelle offensichtlich ein lukrativer Markt etabliert hat. Möglicherweise stehen hinter den Hackern auch potente Financiers oder sogar staatliche Einrichtungen, die sich zum Beispiel durch Wirtschaftsspionage einen Wettbewerbsvorteil für ihre eigene Wirtschaft verschaffen wollen.
Foto: BITKOM
Bei Cyber-Attacken geht es längst um mehr als nur Kreditkartennummern oder Kontoinformationen von Endkunden. Die Kriminellen suchen und finden bewusst die Kronjuwelen der Unternehmen: Geschäftspläne, Forecasts, Konstruktionspläne neuer Produkte, einzigartiges technisches Know-how und so weiter. Oder sie manipulieren mit der IT verknüpfte Systeme und schaden den Firmen so möglicherweise zunächst unbemerkt.
Auffällig ist, dass die komplexen Attacken traditionelle Sicherheitslösungen wie Firewalls, Anti-Virus-Software oder Verschlüsselungseinrichtungen oft überfordern. Die Hacker nutzen gezielt Schwachstellen und hebeln die Security-Mechanismen aus. Viele Attacken bleiben unerkannt.
- Woran Sie einen Angriff erkennen
Nach Analysen von McAfee weisen vor allem acht Indikatoren darauf hin, dass ein Unternehmensnetz in die Schusslinie von Hackern geraten ist. Hans-Peter Bauer, Vice President Zentraleuropa bei McAfee, stellt sie vor. - Interne Hosts kommunizieren mit bösartigen oder unbekannten Zieladressen
In jedem Fall verdächtig ist, wenn ein Host-Rechner auf externe Systeme zugreift, deren IP-Adressen auf "Schwarzen Listen" von IT-Sicherheitsfirmen zu finden sind. Vorsicht ist auch dann geboten, wenn Rechner häufig Verbindungen zu Systemen in Ländern aufbauen, zu denen ein Unternehmen keine geschäftlichen Beziehungen unterhält. Dabei kann es sich um den Versuch handeln, Daten aus dem Unternehmen hinauszuschmuggeln. - Interne Hosts kommunizieren mit externen Hosts über ungewöhnliche Ports
Auffällig ist beispielsweise, wenn interne Rechner über Port 80 eine SSH-Verbindung (Secure Shell) zu einem System außerhalb des Firmennetzes aufbauen. SSH nutzt normalerweise Port 22 (TCP). Port 80 ist dagegen die Standardschnittstelle für HTTP-Datenverkehr, also den Zugriff auf das Internet. Wenn ein Host einen ungewöhnlichen Port verwendet, kann dies ein Indiz dafür sein, dass ein Angreifer das System unter seine Kontrolle gebracht hat. Um IT-Sicherheitssysteme zu täuschen, tarnt ein Hacker dann die Kommunikation mit seinem Command-and-Control-Server (C&C) als Anwendung, die jedoch nicht den Standard-Port verwendet. - Öffentlich zugängliche Hosts oder Hosts in entmilitarisierten Zonen (DMZ) kommunizieren mit internen Hosts
Mithilfe solcher Hosts kann es Angreifern gelingen, gewissermaßen "huckepack" in ein Unternehmensnetz einzudringen, Daten zu stehlen oder IT-Systeme zu infizieren. - Warnungen von Malware-Scannern außerhalb der Geschäftszeiten
Verdächtig ist, wenn Antiviren-Programme in der Nacht oder am Wochenende Alarm schlagen, also außerhalb der normalen Arbeitszeiten. Solche Vorkommnisse deuten auf einen Angriff auf einen Host-Rechner hin. - Verdächtige Netzwerk-Scans
Führt ein interner Host-Rechner Scans des Netzwerks durch und nimmt er anschließend Verbindung zu anderen Rechnern im Firmennetz auf, sollten bei Administratoren die Alarmglocken schrillen. Denn dieses Verhalten deutet auf einen Angreifer hin, der sich durch das Netzwerk "hangelt". Vielen Firewalls und Intrusion-Prevention-Systemen (IPS) entgehen solche Aktionen, wie sie nicht entsprechend konfiguriert sind. - Häufung identischer verdächtiger Ereignisse
Ein klassischer Hinweis auf Angriffe ist, wenn mehrere sicherheitsrelevante Events innerhalb kurzer Zeit auftreten. Das können mehrere Alarmereignisse auf einem einzelnen Host sein, aber auch Events auf mehreren Rechnern im selben Subnetz. Ein Beispiel sind Fehler beim Authentifizieren. - Schnelle Re-Infektion mit Malware
Nach dem Scannen mit einer Antiviren-Software und dem Beseitigen eventuell vorhandener Schadsoftware sollte ein IT-System eigentlich längere Zeit "sauber" bleiben. Wird ein System jedoch innerhalb weniger Minuten erneut von Malware befallen, deutet dies beispielsweise auf die Aktivitäten eines Rootkit hin. - Dubiose Log-in-Versuche eines Nutzers
Eigenartig ist, wenn derselbe User innerhalb kurzer Zeit von unterschiedlichen Orten aus Log-in-Versuche in ein Firmennetz startet oder wenn solche Aktionen von Systemen mit unterschiedlichen IP-Adressen aus erfolgen. Eine Erklärung ist, dass die Account-Daten des Nutzers in falsche Hände gefallen sind. Denkbar ist allerdings auch, dass sich ein illoyaler oder ehemaliger Mitarbeiter Zugang zu verwertbaren Daten verschaffen will.
Erst eine umfassende Analyse aller sicherheitsrelevanten Daten kann in dieser Situation ein umfassendes Bild sämtlicher Aktivitäten im Netzwerk ergeben. Mit intelligenten Analyseverfahren können Unternehmen dann auch verdeckte Angriffe aufspüren. Ein wichtiger Baustein für eine umfassende, verlässliche Sicherheitsstrategie können Protective Monitoring-Systeme wie Security Information and Event Management-Tools, kurz: SIEM, sein. Diese überwachen die gesamte IT-Infrastruktur in Echtzeit, sammeln alle von Systemen generierten Log-Daten und korrelieren diese mit erkannten Ereignissen. Dies versetzt IT-Sicherheitsteams in die Lage, bei einem erkannten Angriff sofort eine genau auf die Attacke abgestimmte Gegenmaßnahme einzuleiten. Schaden lässt sich dadurch minimieren oder ganz verhindern. (bw)