Der Schutz vor Datendiebstahl oder anderen drohenden Gefahren im Internet ist hat bei den meisten deutschen Unternehmen oberste Priorität. Dies geht aus einer aktuellen IDC-Studie „IT Security in Deutschland 2010“ hervor. Demnach haben mehr als die Hälfte der Befragten bereits Angriffe auf die Unternehmens-IT erlitten. Dies rührt unter anderem daher, dass IT-Dienstleistungen vermehrt aus der Cloud bezogen werden. Unternehmen sind dadurch neuen Bedrohungen ausgesetzt, denen IT-Abteilungen entgegenwirken müssen. Laut IDC verfügt etwa ein Viertel der befragten Unternehmen über ein ganzheitliches Sicherheitskonzept. Allerdings wird dies als lückenhaft bezeichnet und von Mitarbeitern nur teilweise akzeptiert und umgesetzt. Im Folgenden geben wir Ihnen einen Überblick über die fünf größten Bedrohungen aus dem Internet und zeigen Wege wie Sie jenen entgegenwirken können.
1. Browserschwachstellen
Kein Anbieter ist vor den immer wieder auftauchenden Sicherheitslücken in Browsern gefeit. Ein aktuelles Beispiel ist der sogenannte CSS-Bug in den Internet Explorer-Versionen 6, 7 und 8 (CVE-2010-3962). Die Infizierung eines Computers ist dabei von einem zweistufigen Vorgang geprägt: Mittels eines Links in einer E-Mail wird ein Nutzer auf eine präparierte Seite gelockt, die den entsprechenden Schadcode enthält. Ohne Wissen des Nutzers wird dieser Code dann ausgeführt und löst eine selbstständige Installation eines Trojaners auf dem Computer aus. Hierfür ist kein Mausklick notwendig – es reicht, wenn der Nutzer die Seite besucht. Die einzige Gegenmaßnahme für Unternehmen ist, die Browser, bei denen aktuelle Sicherheitslücken bekannt sind, nicht zu nutzen, solange diese Lücken nicht gepatcht sind.
2. Schwachstellen in Adobe PDF Reader, Flash, Java
Tools und Programme wie beispielsweise Adobe PDF Reader, Flash und Java sind mittlerweile sehr weit verbreitet und bieten daher auch eine große Angriffsfläche. Sie weisen zwar oftmals Sicherheitslücken auf; die meisten Anbieter stellen dann jedoch in der Regel zügig Patches bereit. Unternehmen müssen allerdings dafür Sorge tragen, dass diese dann auch installiert werden – eine Tatsache, an der es oftmals hapert. Entweder kennen IT-Abteilungen die Patches nicht, können diese nicht installieren oder beklagen sich über ein fehlerhaftes Update. Ruft ein Mitarbeiter dann beispielsweise eine Seite mit eingebetteten Flash-Videos auf, die automatisch abgespielt werden, kann im Hintergrund automatisch Schadcode ausgeführt werden. Hier merkt der Nutzer selbst nichts von diesem Vorgang, ihm wird unbemerkt ein Trojaner untergeschoben, der den Rechner dann in ein Botnet eingliedert. Während es beispielsweise für Windows ein nur geringes Angebot an Exploits gibt, ist der Markt für Adobe, Java und Flash riesig. Gerade Flash und Java sind in den letzten Monaten zu unglaublichen Malwareschleudern aufgestiegen und haben sich quasi als Steigbügelhalter für Trojaner etabliert, die im Hintergrund einer bunten Webseite lauern und sich dann an allen Virenscannern vorbei dauerhaft auf dem Rechner einnisten. Als Privatperson sollte man deshalb diese Programme nicht nutzen, als Unternehmen die Nutzung durch Richtlinien untersagen. Besser noch: Unternehmen sollten sich Alternativen für diese Programme suchen. Um Attacken über Flash zu vermeiden, kann ein sogenannter Flash Blocker benutzt werden. Das ist ein Browser Plugin, das verhindert, dass Videos automatisch abgespielt werden.
3. Schwachstellen in Web 2.0 Applikationen
Als aktuelle Sicherheitslücken im Internet sind vor allem Angriffsmethoden wie XSS oder SQL Injection zu beachten. Die Ursache für die Verwundbarkeit ist hier meist eine fehlerhafte oder unsaubere Implementierung von AJAX, einem Konzept der asynchronen Datenübertragung zwischen einem Server und dem Browser. Ein Beispiel ist der MySpace-Wurm des Hackers Samy, der vor einem Jahr veröffentlicht wurde und der dem Hacker innerhalb kürzester Zeit Millionen von MySpace-Kontakten verschaffte, deren Profile er somit einsehen konnte. Eine aktuelle Attacke stellt der „on mouse over“-Angriff auf Twitter dar. Diese Attacke war besonders ausgefeilt, denn es gelang den Urhebern, in nur 140 Zeichen Schadcode unterzubringen, der sich selbst weiter verbreitete und Nutzer auf Websites mit Malware führte – ohne dass ein Mausklick notwendig war. Es reichte, mit dem Mauszeiger über den Tweet zu fahren. Gegenmaßnahmen kann der Nutzer solcher Applikationen kaum ergreifen, außer den Dienst nicht zu nutzen, sobald ein Sicherheitsproblem an die Öffentlichkeit gelangt ist. So muss vor allem der Hersteller dafür Sorge tragen, dass seine Applikationen sauber und sicher programmiert sind – oder vorbeugend eine Web Application Firewall zum Schutz der Daten seiner Nutzer einsetzen.
4. Datenlücke durch Handys oder Smartphones
Derzeit befinden sich über 100 Millionen Mobiltelefone in Deutschland in Umlauf. Dies birgt Tag für Tag neue Gefahren im Bereich der Datensicherheit. Inzwischen kursieren spezielle, auf Smartphones wie iPhone und Konsorten ausgelegte Würmer. Im September wurde entdeckt, dass das Botnet ZeuS gezielt Mobiltelefone attackiert, indem es über infizierte HTML-Formulare im Browser des Opfers dessen Mobilnummer abgreift und ihm dann eine SMS mit der neuen Malware SymbOS/Zitmo.A!tr (für “Zeus In The Mobile”) schickt. Diese installiert sich im Hintergrund und zielt darauf ab, Banktransaktionen abzufangen beziehungsweise umzuleiten.
Um beispielsweise die Bindung der SIM-Karte an einen bestimmten Telefonanbieter zu umgehen und um Anwendungen nutzen zu können, die Apple nicht für seinen Store zulässt, umgehen viele Apple-Nutzer die Nutzungseinschränkungen, die Apple auf seinen Geräten installiert hat – dies nennt sich Jailbreaking. Durch das Entriegeln des Betriebssystems erhält der Benutzer Root-Zugriff auf sein Gerät. Die Gefahr, die das Jailbraiking mit sich bringt, ist, dass so viele der Geräte verwundbar werden. Beispielsweise ändert die Mehrheit der Nutzer nach dem Jailbreak das SSH-Passwort nicht – eine gravierende Unterlassung, da das von Apple vergebene Root-Passwort „alpine" mittlerweile allgemein bekannt ist. Wird dieses Passwort nicht geändert, ermöglicht dies den unbefugten Zugriff von außen.
5. Zero Day-Exploits in Betriebssystemen
Ausnutzbare Sicherheitslücken, für die es keinen Patch gibt, werden als Zero Day-Exploits bezeichnet. Das bedeutet, dass diese dem Hersteller eines Systems erst am Tag der ersten Attacke oder sogar erst noch später bekannt werden. Hackern bietet dies eine optimale Gelegenheit, auftretende Lücken für sich auszunutzen. Derartige Angriffe auf das Betriebssystem sind gerade auch deshalb gefährlich, weil die Cyber-Kriminellen direkt remote auf die betroffenen Systeme zugreifen können. Hierfür werden keine Hilfsmittel wie Browser oder Java benötigt, der anvisierte Rechner muss nur online sein. Gegenmaßnahmen für Zero Day-Exploits gibt es nicht, da Patches und Erste-Hilfe-Maßnahmen erst im Nachhinein veröffentlicht werden können. Nicht nur Microsoft-Computer sind von diesem Problem betroffen, auch Mac-PCs werden durch die zunehmende Verbreitung mit gezielten Zero Day-Exploit-Attacken konfrontiert. (ph)