Die Zahl an Cyber-Angriffen mit Malware wie Ransomware steigt ständig. Doch deutsche Unternehmen vernachlässigen die einfachsten Sicherheitsmaßnahmen. Im September 2020 kostete dies ein erstes Todesopfer.
Den ersten Cyber-Toten gab es in Deutschland im September 2020 als ein Krankenhaus seine Patienten nach einem Cyber-Angriff verlegen musste.
Foto: thelefty – shutterstock.com
Die Zahl der Cyber-Angriffe hat in Deutschland in den letzten Monaten einen neuen Höchststand erreicht. Eine Erklärung dafür ist laut Bundeskriminalamt (BKA), dass der Trend zum Homeoffice in der Coronakrise einen perfekten Nährboden für die Cyber-Kriminalität schaffe (siehe auch “BKA schlägt Hacker-Alarm“). Doch nicht nur das, wie Arne Schönbohm, Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI), ergänzt.
Nach seinen Worten hat sich die Cyber-Kriminalität mittlerweile zu einem einträglichen Geschäft für die Organisierte Kriminalität entwickelt, mit dem mehr Geld verdient wird als mit dem Drogenhandel. Und der Angreifer von heute hat laut Schönbohm nichts mehr gemeinsam mit dem Klischee vom übermüdeten Hacker im Pullover im abgedunkelten Zimmer, “sondern heute agieren hochspezialisierte Banden”.
Jeder vierte Versicherte hat Cyber-Schäden
Die Organisierte Kriminalität verdient mittlerweile mit Cybercrime mehr Geld als mit dem Drogenhandel.
Foto: ShutterstockProfessional – shutterstock.com
Angesprochen auf die Bedrohungslage in Deutschland ist der BSI-Präsident davon überzeugt, dass wir in den nächsten Jahren einen weiteren Anstieg an Angriffen sehen werden, “zumal wir viele Bereiche noch gar nicht digitalisiert haben, aber auf der anderen Seite jeden Tag Hundertausende neue Schadsoftware entsteht”. Auch bei der Allianz blickt man in Sachen Cyber-Kriminalität eher pessimistisch in die Zukunft.
Laut Allianz Risk Barometer 2020 ist Cybercrime mittlerweile eines der größten Geschäftsrisiken weltweit und in Deutschland. Eine Entwicklung, die auch die Allianz Global Corporate & Specialty (AGCS), der Industrieversicherer der Allianz, registriert: Zu jeder vierten Cyberpolice, die in Deutschland verkauft werde, gebe es im Schnitt einen gemeldeten Schaden. Vor zwei Jahren war es noch jede zehnte Police.
Schadenssummen steigen
Der Trend zu mehr Cyber-Erpressungsfällen mit Ransomware hält leider auch 2020 an.
Foto: JMiks – shutterstock.com
Gleichzeitig steigt dabei auch die Schadenssumme pro Vorfall wie Bettina Dietsche, als Vorstandsmitglied der AGCS für Operation und IT verantwortlich, berichtet. Hierzulande betrug der höchste Schaden bislang rund zehn Millionen Euro, weltweit wurden bereits Schadensfälle in Höhe von ungefähr 80 Millionen Euro gemessen. In das Verhältnis zum Unternehmensumsatz gesetzt, betrug der größte Schaden fünf Prozent des Umsatzes.
Und viele Unternehmen sind mittlerweile nicht nur einmal von einem Cyber-Vorfall betroffen, sondern mehrfach: Einen Versicherungsnehmer der Allianz traf es gleich siebenmal. Grundsätzlich sieht Dietsche für 2020 einen Trend zu deutlich mehr Cyber-Erpressungsfällen, während die Schäden im E-Payment-Bereich zurückgingen.
Arbeiten in der IT nur Dilettanten?
Das Erschütternde an diesen Zahlen ist, dass die Cyber-Schäden oft durch einfachste Maßnahmen zu verhindern gewesen wären. So lesen sich die Schadensfälle häufig wie ein Tagebuch von IT-Dilettanten:
Computer mit unverschlüsselten Gesundheitsdaten werden gestohlen
Web-Server mit Software aus 2007 werden gehackt. Der Hersteller der Software ist längst insolvent
Nicht separierte Backups werden von Verschlüsselungs-Trojanern befallen
Von mehreren Mitarbeitern gemeinsam genutzter Ebay-Account eines Retailers wird übernommen
Die komplette Personalliste mit Gehältern und Steuernummern wird an Externen verschickt
Aufgrund deaktivierten Mail-Filters legt Emotet-Angriff große Teile eines Versicherungsnehmers lahm.
Patchen – nicht notwendig?
Und nach wie vor sind viele deutsche Unternehmen Patch-Muffel. Anders kann sich der BSI-Präsident nicht erklären, warum in Deutschland noch immer Tausende von Server zu finden sind, auf denen sicherheitskritische Patches – etwa für Microsoft oder Citrix – noch nicht aufgespielt sind, obwohl sie teilweise seit neun Monaten und länger verfügbar sind.
So fand das BSI, so eine Presseerklärung vom 7. Oktober 2020, in Zusammenarbeit mit dem Unternehmen Rapid 7 in Deutschland noch immer rund 40.000 Exchange-Server, auf denen ein kritisches Sicherheits-Update vom Februar 2020 noch nicht installiert war. Und im September 2020 wiesen noch immer 80 Netze von deutschen Unternehmen Sicherheitslücken in ihren Citrix-Lösungen auf, für die es seit Januar 2020 einen Patch gibt. Das CERT-Bund (Computer Emergency Response Team) kontaktiert die betroffenen Unternehmen mittlerweile per Briefpost.
Über eine nicht gepatchte VPN-Software griffen Hacker das Uniklinikum Düsseldorf an. Dabei war die Klinik lediglich ein Kollateralschaden, denn eigentlich wollten die Angreifer die Uni selbst treffen.
Foto: igorstevanovic – shutterstock.com
Diese Patch-Nachlässigkeit forderte in Deutschland im September 2020 den ersten Cyber-Toten. Hacker hatten damals über eine nicht gepatchte Citrix-Software das Universitätsklinikum Düsseldorf (siehe “Hacker kamen über VPN-Schwachstelle“) mit Malware aus der Familie DoppelPaymer angegriffen und wollten umgerechnet 870.000 Euro in Bitcoins erpressen.
Das Krankenhaus musste seinen Betrieb einstellen und deshalb Patienten verlegen, wobei es zu einem Todesfall kam. Mittlerweile ermittelt nach einem Bericht des WDR die Zentral- und Ansprechstelle Cybercrime (ZAC) bei der Staatsanwaltschaft Köln wegen fahrlässiger Tötung gegen Unbekannt. Dabei war die Klinik lediglich ein Kollateralschaden, denn eigentlich wollten die Angreifer die Uni selbst treffen.
Allerdings ist der fahrlässige Umgang mit dem Thema Cybersecurity kein rein deutsches Problem, wie ein Blick auf die Liste erfolgreicher Hacks allein im September 2020 zeigt. Zu den prominenten Opfern zählten dabei nach einem Bericht des ORF etwa der Schweizer Uhrenbauer Swatch (37.000 Beschäftigte, rund 8,5 Milliarden CHF Umsatz), die französische Großreederei CMA CGM (29.000 Beschäftigte, über 30 Milliarden Dollar Umsatz), die US-amerikanischen Krankenhauskette Universal Health Services (90.000 Beschäftigte, über 11 Milliarden Dollar Umsatz, über 400 Krankenhäuser) sowie mit Arthur J. Gallagher (31.000 Beschäftigte, rund 6 Milliarden Dollar Umsatz) einer der weltweit größten Versicherungsbroker.
Schlamperei hilft Angreifern
Fast zwei Wochen waren die E-Commerce-Seiten der französischen Großreederei CMA CGM nach einem Hackerangriff offline.
Foto: UNIKYLUCKK – shutterstock.com
Erschütternd an diesen Beispielen ist wiederum, dass die Angreifer nicht mit sophisticated Skills vorgehen mussten, sondern lediglich längst bekannte Lücken ausnutzten. Im Falle der Reederei CMA GCM war es wieder die bekannte Citrix-Lücke: Unter dem User-Namen “Nobody” war ein Login ohne Passwort möglich. Das Unternehmen wurde am 26. September angegriffen und selbst am 9. Oktober waren die E-Commerce-Seiten des Logistikers noch offline. Der Gesundheitsversorger Universal Health Services war von Ryuk-Lösegeldforderungen betroffen, einer Ransomware, die häufig im Kombination mit dem Trojaner Emotet sowie dem Banking-Trojaner TrickBot auftritt. TrickBot erschnüffelt die Kontozugangsdaten des Unternehmens und überprüft dann die Zahlungsfähigkeit des Opfers.
Weil Unternehmen ihr Netzequipment nicht patchten, sah sich das US Cyber Command im Juli 2020 genötigt, öffentlich eine Warnung auszusprechen.
Foto: chrisdorney – shutterstock.com
Und beim Versicherungsbroker Gallagher kamen die Angreifer im September über Equipment vom Anbieter F5 Networks, für das es seit Mitte des Jahres Security Patches gibt. Selbst das US Cyber Command (US Cybercom), die US-amerikanische Militärbehörde zur elektronischen Kriegsführung, sah sich noch am 3. Juli 2020 dazu genötigt, öffentlich vor der F5-Sicherheitslücke zu warnen. Die Cyber Warrior hatten nämlich noch immer mehr als 8.000 ungepatchte F5-Devices gefunden.
Zweistellige Millionenbeträge als Lösegeld
Im Visier der Cyber-Kriminellen stehen zunehmend Konzerne. Oft werden bereits zweistellige Millionenbeträge erpresst.
Foto: vchal – shutterstock.com
Wenn man sich dann vergegenwärtigt, dass es sich bei den F5-Kunden nicht um kleine Fische handelt, sondern um große Konzerne – laut F5 nutzen 48 der Fortune-50-Unternehmen ihr Equipment – verwundert es nicht weiter, dass Cybercrime mittlerweile ein lukratives Geschäft ist. Damit sind auch die Zeiten vorbei, in denen primär irgendwelche Stadtverwaltungen oder akademische Einrichtungen angegriffen wurden. Im Visier der Kriminellen stehen nun die Konzerne und es werden zweistellige Millionenbeträge erpresst.
Einfachste Maßnahmen nicht umgesetzt
Einfachste Schutzmaßnahmen würden laut Bettina Dietsche, als Vorstandsmitglied der Allianz AGCS für Operation und IT verantwortlich, ausreichen, um Cyber-Angriffe auf deutsche Unternehmen abzuwehren.
Foto: Allianz AGCS
Eine Situation, die so nicht sein müsste. “Oftmals würden einfachste Maßnahmen ausreichen, um Cyber-Angriffe auf deutsche Unternehmen abzuwehren”, konstatiert Vorstandsmitglied Dietsche, “in der Praxis können aber gerade einmal zehn Prozent aller deutschen Unternehmen einen Haken hinter die vier wichtigsten Security-Maßnahmen machen”. Dabei zählt die IT-Verantwortliche zehn Maßnahmen auf, die nicht einmal viel kosten und einfach umzusetzen sind:
die Existenz eines umfassenden und nicht modifizierbaren Backups;
das zeitnahe Einspielen von Sicherheitsupdates;
regelmäßiges IT-Sicherheitstraining für alle Mitarbeiter;
Vorbereitung auf den Ernstfall (Cyber-Response-Plan);
Festplattenverschlüsselung (ein Windows Feature);
Echte Offline-Backups;
Passwörter nicht im Team teilen;
2-Faktor-Authentifizierung aktivieren;
Plausibilitätscheck machen und automatische Anzeige externer Versand;
Bereits bestehende Filterung aller ausführbaren Anhänge nicht ausschalten.
Mit diesen Maßnahmen, so ist Dietsche überzeugt, ließe sich die Cyber-Sicherheit in der deutschen Wirtschaft deutlich erhöhen. Doch sie sieht, ähnlich wie BSI-Präsident Schönbohm noch an einer anderen Stelle Handlungsbedarf: Neben den Unternehmen müsse jeder einzelne von uns sein eigenes, privates Risiko-Management und -Bewusstsein entwickeln, um den Cyber-Kriminellen die Arbeit zu erschweren. Und mit Blick auf die Jüngsten und ihren – in Sachen Security – unbedarften Umgang mit Smartphones ist Schönbohm überzeugt, dass dies bereits in der Schule und im Elternhaus beginnen muss.
Zumindest in einer Richtung besteht Hoffnung: Ähnlich wie für die Router will das BSI für weitere Produkte, IT-Sicherheitskennzeichen entwickeln, so Schönbohm. Diese sollen den Verbraucher, aber auch den Mittelstand in die Lage versetzten, bereits beim Kauf eines Produktes erkennen zu können, wie es um die Sicherheit eines Gerätes bestellt ist und ob der Anwender etwa Security-Patches gewährleistet. Gerade in Zeiten von IoT verspricht sich Schönbohm davon einen deutlichen Sicherheitsgewinn.
