Die oberste Behörde für die IT-Sicherheit in Deutschland warnt vor wachsenden Bedrohungen im Internet (PDF-Link) und beklagt eine "digitale Sorglosigkeit" vieler Bürger und Firmen. "Die Angreiferszene rüstet auf", sagte der Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), Michael Hange, der Deutschen Presse-Agentur in Berlin. "Cyberangriffe werden immer professioneller." Viele Internetnutzer und Unternehmen seien sich der Gefahren aber nicht ausreichend bewusst. Zu der jüngsten Attacke auf die Internetseiten der Kanzlerin und des Bundestages sagte Hange, die Besonderheit dabei liege nicht in der Technik, sondern in der politischen Bedeutung. Zu dem Angriff hatte sich eine prorussische Hacker-Gruppe aus der Ukraine namens CyberBerkut bekannt.
Hange erklärte, mehr als eine Million Rechner in Deutschland seien mit Schadprogrammen infiziert und in sogenannten Botnetzen zusammengeschlossen, mit denen die Computer für Cyberangriffe ferngesteuert werden können. "Das ist ein erhebliches Gefahrenpotenzial." Jeder Rechner könne zu einem Tatwerkzeug werden, ohne dass der Nutzer das überhaupt merke.
Cyberangriffe seien bequem und das Entdeckungsrisiko für die Täter gering, betonte der BSI-Chef. Die technischen Instrumente seien im Netz zu kaufen und beispielsweise Botnetze zu mieten. Das Dunkelfeld der Cyberkriminalität sei sehr groß und die Aufklärungsquote niedrig.
Die Sensibilität für die Gefahren im Cyberraum bei Bürgern und Firmen habe sich durch die Enthüllungen der US-Geheimdienstaffäre zwar verbessert, sagte Hange. Eine "digitale Sorglosigkeit" sei aber noch immer weit verbreitet. "Viele Nutzer und Firmen merken gar nicht, wenn sie Opfer einer Cyberattacke werden." Zum Teil fehle es an Kompetenz, Gefahren zu erkennen und für genügend Schutz zu sorgen. In vielen Firmen werde außerdem zu wenig in IT-Sicherheit investiert. Gerade bei kleinen mittelständischen Firmen hapere es noch.
Security Trends 2015 -
1. Exploit-Bekämpfung reduziert die Einfallstore für Kriminelle.
Cyberkriminelle hatten in den vergangenen Jahren mehr oder weniger leichtes Spiel mit Microsoft Windows. Glücklicherweise hat der Konzern Exploits in letzter Zeit gezielt bekämpft, so dass Attacken immer schwieriger werden. Allerdings gibt es eine Kehrseite der Medaille, da viele Malwareentwickler sich nun wieder den Social-Engineering-Techniken zuwenden oder auf Nicht-Microsoft-Plattformen abzielen.
2. Internet-of-Things-Attacken haben sich von Machbarkeitsstudien zu Mainstream-Risiken entwickelt.
2014 mussten wir immer häufiger feststellen, dass Hersteller von Internet-of-Things-Geräten es oftmals verschlafen haben, grundlegende Sicherheitsstandards zu implementieren. Entsprechend sind Attacken auf diese Geräte absehbar und werden zudem umfassende Folgen haben. Die IT-Sicherheitsindustrie muss sich weiterentwickeln, um für dieses neue Thema Antworten zu finden.
3. Verschlüsselung ist mittlerweile Standard, aber darüber sind nicht alle glücklich.
Dank häufig auftauchender Schlagzeilen in Sachen Spionagesoftware und Datenbankeinbrüchen hat sich die Verschlüsselung aller Daten schon fast zum Standard entwickelt. Das geht allerdings gerade großen Organisationen wie Strafverfolgungsbehörden oder Geheimdiensten gegen den Strich, da sie befürchten, dass diese „Heimlichtuerei“ die allgemeine Sicherheit gefährdet.
4. Sicherheitsrelevante Programmierfehler in weit verbreiteter Software blieben jahrelang unter dem Radar.
„Heartbleed“ und „Shellshock” machen deutlich, dass weit mehr unsichere Code-Zeilen im Umlauf sind, als gedacht und sie werden seit vielen Jahren unbemerkt von einer großen Anzahl Computersystemen genutzt,. Entsprechend hat sich auch das Augenmerk der Hacker auf diese eher unauffälligen Programme gerichtet und 2015 sind vermehrt Attacken in diesem Bereich zu erwarten.
5. Gesetzliche Neuregelungen bringen mehr Verantwortung bei der Offenlegung von Daten und Haftung mit sich – vor allem in Europa.
Die Mühlen der Gesetze mahlen im Vergleich zur Technologieentwicklung sehr langsam, aber dennoch treten 2015 einige gesetzliche Neuerungen in Kraft, die lange auf sich warten ließen. Es ist wahrscheinlich, dass diese Änderungen auch in anderen Bereichen mit einer progressiveren Datenschutzregulierung einhergehen.
6. Kriminelle schießen sich auf mobile Zahlungssysteme ein, halten aber gleichzeitig noch eine Weile an traditionellen Finanzbetrügereien fest.
Nach der Ankündigung von Apple Pay waren mobile Zahlungssysteme eines der Topthemen der vergangenen Monate. Wie immer, wenn neue Systeme an den Start gehen, werden die Cyberkriminellen nach Lücken Ausschau halten. Da das aber aufgrund einiger sehr positiver Absicherungen nicht ganz einfach sein wird, dürfen wir davon ausgehen, dass die klassischen Onlinegaunereien mit Kreditkarten noch eine Weile weitergehen. Sie sind das bei weitem einfacherer für Betrug zu nutzen.
7. Die Lücke zwischen Sicherheitsaufgaben und geschultem Personal klafft immer weiter auseinander.
Im gleichen Rahmen, wie Technologie immer mehr in unser tägliches Leben Einzug hält und einer der Stützpfeiler für die globale Wirtschaft wird, kommt das fehlende Know-how in Sachen Cybersicherheit zum Vorschein. Diese bedenkliche Entwicklung wird sowohl von Regierungen, als auch der Industrie konstatiert. Das Besetzen der nötigen Stellen kann Jahre dauern und ist somit ein echter Sicherheitsfaktor.
8. Breite “Serviceoffensive” für Attacken und Exploit-Kits, um mobile Plattformen anzugreifen.
In den letzten Jahren hat sich ein neuer Trend bei den Cyberkriminellen durchgesetzt: das zur Verfügung stellen von Malwarepaketen, die keinerlei technisches Wissen voraussetzen und per Klick aktiviert werden können. Der rasante Anstieg bei mobilen Plattformen und der damit verbundene Austausch sensitiver Daten werden dazu führen, dass wir 2015 viele dieser Kits für Smartphone-Angriffe sehen werden. Gleiches gilt für Plattformen, die sich mit dem Internet of Things beschäftigen.
9. Die Lücke zwischen ICS/SCADA und Sicherheit in der realen Welt wächst weiter.
Systeme wie Industrial Control Systems (ICS) und Supervisory Control and Data Acquisition (SCADA) hinken in Sachen Sicherheit üblicherweise zehn oder mehr Jahre hinter dem Mainstream her. Wir gehen davon aus, dass innerhalb der nächsten Jahre einige besorgniserregende Lücken aufgedeckt werden, die von Hackern auf breiter Front ausgenutzt werden.
10. Flexiblere Rootkit- und Bot-Fähigkeiten eröffnen neue Angriffsvektoren.
Die Technologiesparte befindet sich zurzeit in einem grundlegenden Veränderungsprozess, in dessen Rahmen nun Plattformen und Protokolle abgeändert werden, die jahrelang als Standard dienten. Allein die Menge solcher Veränderungen der althergebrachten Technologiestandards wird viele alte Wunden aufreißen und neue Sicherheitslücken schaffen.
Am vergangenen Mittwoch hatte ein schwerer Hackerangriff auf die Internetseiten von Kanzleramt und Bundestag für Aufsehen gesorgt. Die Seiten waren stundenlang lahmgelegt. Die Truppe CyberBerkut begründete die Attacke mit der deutschen Unterstützung für den ukrainischen Ministerpräsidenten Arseni Jazenjuk, der am gleichen Tag zu Besuch in Berlin war.
Die Webseiten gehören nicht zum Regierungsnetz, sondern liegen bei einem kommerziellen Betreiber. Das BSI ist deshalb nicht unmittelbar für ihren Schutz zuständig. Hange betonte aber, den Angreifern sei es gelungen, mit der Attacke große öffentliche Aufmerksamkeit für ihre politische Botschaft zu schaffen.
Der Präsident der Bundesakademie für Sicherheitspolitik, Hans-Dieter Heumann, sagte der dpa, in Zukunft würden politische Auseinandersetzungen verstärkt im Cyberraum ausgetragen. Der Angriff der prorussischen Hackertruppe zeige, "wie wichtig es ist, sich mit dem Thema Cybersicherheit zu befassen und künftig - stärker als bisher - die sicherheitspolitische Relevanz in den Vordergrund zu rücken". Das BSI und die Bundesakademie veranstalten an diesem Mittwoch in Berlin eine Konferenz zur Cybersicherheit.
Heumann sagte, Staaten wie China, Russland und die USA investierten viel Geld in ihre Cyberfähigkeiten. "Eine Cyber-Aufrüstung verschärft die Gefahren - auch für Angriffe auf kritische Infrastrukturen." Deutschland müsse seine eigenen Fähigkeiten ausbauen. "Wir brauchen einen wehrhaften Cyberschild, der potenzielle Angreifer abschreckt." Hier verlasse man sich auf internationale Partner. "Da hinken wir hinterher", beklagte er. (dpa/tc/mje)