So arbeiten Hacker und Cyber-Kriminelle

Wann immer sich Unternehmen oder Kommunen mit der Bedrohung durch Hacker auseinandersetzen müssen, gibt es eigentlich nur zwei Szenarien - entweder die Gefahr wird hoffnungslos unterschätzt oder, dem Fernsehen sei Dank, man mystifiziert den Hacker zu einer dunklen, omnipotenten Gestalt mit mysteriösem Geheimwissen.

Selten trifft man auf einen eher pragmatischen Umgang mit der Bedrohung durch Hacker, und noch seltener sind die jeweiligen IT-Sicherheitsverantwortlichen in der Lage, die Basis ihrer Bedrohungseinschätzung zu qualifizieren oder gar zu quantifizieren.

Der folgende Artikel zeigt, dass Hacking weder etwas Mystisches hat noch dass es nur von einem besonders elitären und technikaffinen Kreis durchgeführt wird.

Einmal Hotelsafe und zurück

Fliegt man in den Urlaub, so nutzt man ganz selbstverständlich den Safe im eigenen Zimmer und vertraut diesem Kamera, Urlaubskasse und Papiere an, völlig ignorierend, dass eine Notöffnung nur 20 Euro kostet. Dem Zimmermädchen mag der Zugriff auf diese Art und Weise verwehrt sein, doch schon der Hoteldetektiv weiß, dass sich auf der Rückseite eine Bohrung befindet, durch die man den Safe mittels einer Stricknadel ganz einfach entriegeln kann.

Will man sich mit diesem Wissen nun einen eigenen Tresor zulegen, so stellt man sich im Rahmen einer Bedrohungsanalyse vernünftigerweise die folgenden drei Fragen:

• Was will ich schützen?

• Vor wem und wovor will ich es schützen?

• Wie viel ist es mir wert?

Soweit es einfach nur darum geht, das Haushaltsgeld dem Zugriff der Putzfrau zu entziehen, mag ein einfaches Baumarktmodell für unter 100 Euro reichen, das im Kleiderschrank festgeschraubt wird. Wollen Sie Ihr Hab und Gut jedoch vor einem versierten Einbrecher schützen, so entscheiden Sie sich vielleicht für einen Panzerschrank der Sicherheitsklasse 6 nach EN-1143-1.

Kenne deinen Gegner

Dass Hacker nicht gleich Hacker ist, dürfte jedem spätestens seit dem ersten Bekanntwerden von Stuxnet klar sein. Die Unterscheidung, nach Wissenstand, Intention und Spezialisierung vorgenommen, fällt jedoch so uneinheitlich aus, dass für Angreifer die folgende Einteilung hilfreich sein kann:

Tresorknacken für Anfänger

Die einfachste Art, einen Tresor zu öffnen, ist, zu probieren, ob dieser überhaupt verschlossen ist. Ein Reporter oder auch einfach nur ein neugieriger Mitarbeiter im Sinne des "Gelegenheits-Hackers" wird dementsprechend einfach nur versuchen, ob interessante (vertrauliche) Inhalte mehr oder weniger frei zugänglich sind oder mit geringstem Aufwand zugänglich gemacht werden können. In der Praxis bedeutet dies, dass ein Blick auf ungesperrte Rechner geworfen oder vielleicht in einem ungesicherten WLAN recherchiert wird, auf welche Ressourcen im Netzwerk man problemlos zugreifen kann. Wir reden also von Informationen, die vergleichsweise auch öffentlich auf einem Schreibtisch oder im Abfallbehälter liegen könnten.

Jetzt wird sich der interessierte Leser dieses Beitrags (gleich ob Hacker oder Einbrecher) wahrscheinlich auf Amazon zumindest theoretisch kundig machen und feststellen, dass einfache Schranktresore mit einem Paar Sicherheitsschlüsseln geliefert werden, obwohl sie mit einem Zahlenschloss ausgestattet sind. Der Einbrecher wird also ein einfaches Lockpicking-Set und Handschuhe bei sich haben (gibt es übrigens auch im Online-Handel zu kaufen), um dann teils enttäuscht festzustellen, dass er einen Doppelbart-Pick benötigt hätte. Analog bewaffnet sich das einfache "Skript-Kiddy" mit den ihm bekannten Werkzeugen seiner Windows-Welt, um diese dann nach dem Zufallsprinzip und meist erfolglos gegen Unix-Systeme anzuwenden.

Bis zu diesem Punkt helfen einfache Maßnahmen. Beim Tresor reicht es, auf die Art des Zweitschlüssels zu achten und einen sicheren Code zu nutzen, was bei Computern seine Analogie in der Aktualität der Patch-Level, der Firewall und einem starken Passwort findet.

Tresorknacken und Fortgeschrittene

Erst ab einer mittleren Wissensstufe werden sowohl die Tresorknacker als auch die Hacker zu einer ernsthaften Bedrohung für unser Hab und Gut beziehungsweise für unsere Informationen.

Sowohl der versierte Einbrecher als auch der Hacker betreiben sogenanntes Footprinting, das heißt, sie sammeln die verfügbaren Informationen aus Webseiten oder New-Groups zur Vorbereitung ihres weiteren Vorgehens. Sehen sich nun beide mit dem Objekt ihrer Begierde (Tresor oder Computer) konfrontiert, so werden auch beide gleich agieren und erst einmal die ihnen bekannten Codes, wie zum Beispiel den Hochzeitstag, probieren, bevor sie sich wieder den üblichen Methoden zuwenden.

Aus ihrer besseren Vorbereitung benutzen beide Täter dabei nicht unbedingt deutlich mehr Werkzeuge, doch wissen sie die verfügbaren effizienter einzusetzen Auch wird sich der Täter mittels Youtube und einschlägiger Internetseiten damit beschäftigt haben, wie man einfache Werkzeuge anwendet.

Was bedeutet dies in der Praxis? Der Angreifer wird vielleicht sogar einen Wireshark starten, um an einer gepatchten Netzwerkdose mal zu schauen, welche Pakete vorbeifliegen. Das heißt aber noch lange nicht, dass der Täter "TCP/IP spricht", er weiß nur, auf welche Sequenzen er achten muss oder wie er die Filter des Tools zum Erkennen von Passwörtern anwenden kann. Er oder sie wird sicherlich auch Tools wie "nmap" halbwegs beherrschen und somit in der Lage sein, einfache Sicherheits-Features zu umgehen.

An dieser Stelle gilt es nun, sowohl dem Tresorknacker als auch dem Hacker die Basis für seine Arbeit zu entziehen: die Information - so wie man die Familie vergattert, Privates nicht im Internet zu posten oder über den Hausmüll zu entsorgen. Zusätzlich sind Systeme dahingehend zu härten, dass sie nur über die unbedingt erforderlichen Dienste verfügen und unerwünschte Anfragen blockiert werden. Eine Intrusion Detection beziehungsweise Prevention runden die Maßnahmen ab, denn es ist zu erwarten, dass diese Spezies von Hackern hier auffallen wird.

Die Profi-Klasse

Besitzt man nun hochpreisige Wertgegenstände oder elektronische Informationen, auf dass man sich auch gegen jene dunklen Gestalten zu wappnen wünscht, die ihr Handwerk von der Pike auf gelernt haben, so hilft nur der Aufstieg in eine deutlich höhere Sicherheitsklasse.

Tresorknacker und Diplominformatiker (Advanced Hacker) ziehen hier gleich. Wissend, dass es etwas zu holen gibt, wägen sie Kosten, Risiko und Ertrag gegeneinander ab, wählen Mittel und Methoden, kaufen Werkzeug oder Tools. Wenn es sich bei dem Ziel lohnt, kommen sogar Advanced Persistent Threads, also zielgerichtete Angriffe gegen bestimmte Organisationen, in Betracht. Insbesondere geraten hierbei wichtige Konzerne und Behörden mit kritischen Infrastrukturen ins Visier der Angreifer.

Dies ist sicherlich mit ein Grund für die EU-Kommission, die den Schutz von kritischen Infrastrukturen gesetzlich zu regeln versucht und hierbei in Richtung ISO-27001 auf Basis von BSI-Grundschutz schaut. Mittelfristig ist davon auszugehen, dass bis hinunter zur kommunalen Ebene die Maßnahmen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zum gesetzlichen Zwang werden. Aber auch hiermit wird man das organisierte Verbrechen oder den fremden staatlichen Geheimdienst, der genau "Ihr" Unternehmen angreifen will, nicht wirkungsvoll abhalten können!

Zurück auf die dunkle Seite der Macht: Beiden Tätern gemein sind Zielorientierung und Mitteleinsatz. Sie sind lediglich über den Zeitfaktor und das damit verbundene Risiko des Entdeckt-Werdens vom Erreichen ihres Zieles abzuhalten. Dem Tresorknacker wird hierbei das Leben, zum Beispiel durch mehrwandige Konstruktionen und mittels Karborundpartikeln in einer Betonfüllung, schwer gemacht, während dem Hacker Honey-Pots und Tarpits entgegengesetzt werden.

Doch auch hier gilt: Ein bisschen was geht immer noch. Die perfekte Sicherheit (vor staatlichen Tätern wie vor der organisierten Kriminalität) ist sowohl bei Tresoren als auch bei IT-Systemen eine Illusion und endet immer in einer Abwägung von Schutzbedarf und Kosten, womit wir wieder am Anfang des Artikels und den drei wesentlichen Fragen wären.

Schutzbedarfsfestellung und Bedrohungsanalyse

In der Praxis erlebt man leider immer wieder, dass Unternehmensberater mit dem Fokus auf IT-Sicherheit alle möglichen Dinge versuchen zu implementieren. Auch durch die öffentliche Diskussion im Bereich Security ist eine gewisse Verunsicherung - auch bei Entscheidern, die teilweise persönlich haften - aufgekommen, sodass sich auf dem Feld der Informationssicherheit einfach viel Geld verdienen lässt.

Will ich mich aber wirklich schützen, sollte ich mich intensiv mit den drei Fragestellungen auseinandersetzen.

Habe ich ein Unternehmen, in dem es keinerlei kritische und personenbezogene Daten gibt, reichen wahrscheinlich auch schon die einfachsten Schutzmaßnahmen.

Verglichen mit den Safes, genügen also die einfachen Tresore mit einer geringen Sicherheitsstufe, zum Beispiel EN 1143-1, Stufe 0, da man nur maximal 10.000 Euro hineinlegen will.

Spannender ist es sicherlich bei Behörden. Hier herrscht vielfach die Meinung, dass in einer öffentlichen Verwaltung eh nichts zu holen ist und die meisten Daten ja sowieso öffentlich erhältlich sind. Doch ist das wirklich so? Zwei kleine Beispiele, die vielleicht das Gegenteil beweisen:

• Die Daten, die unter den besonderen Schutz der Sozialgesetzgebung fallen. Hierbei geht es von der Zahlung von Hilfsleistungen bis zu kritischen Gesundheitsdaten von Bürgerinnen und Bürgern.

• Früher wurden Kommunen regelmäßig Opfer von Einbrüchen. Das Ziel waren in der Regel Pass- und Ausweis-Rohlinge sowie ein passendes städtisches Siegel dazu: der Weg zur zweiten Identität.

Maßnahmen gegen Bedrohungen richtig abschätzen

Zurück zum Safe: Will man sich einen Tresor besorgen, klingt das nach einem Modell der Sicherheitsstufe Grad 5 oder mehr. Hier sind dann mehrere 100.000 Euro an Vermögen im Spiel. Dabei ist die Hürde recht hoch, um diesen Tresor zu knacken. Wie sieht aber dann der kommunale Tresor aus, in dem die wertvollsten Unterlagen liegen? Was bedeutet dies in der Praxis der Informationssicherheit?

Nachdem man sich die zwei ersten Fragen gestellt und auch beantwortet hat, gleiche man die Antworten mit der Tabelle der Hacker-Level ab. Wie lange müssen die Systeme wem gegenüber standhalten? Dies bedingt, dass man sich intensiv mit Angriffsvektoren und Tools auseinandersetzen muss - gegebenenfalls ist das die Stelle, an der man auf externe Unterstützung zurückgreifen sollte.

Basierend auf diesen Erkenntnissen heißt es, Abwehrmaßnahmen zu identifizieren und die Kosten hierfür zu ermitteln. Passen die Kosten in das Budget, so kann man beruhigt aufatmen und mit der Umsetzung beginnen. Kritischer wird es, wenn es eine Lücke zwischen den zu erwartenden Kosten und dem notwendigen Budget gibt. In diesem - gar nicht so seltenen - Fall gilt es, die Maßnahmen zu identifizieren, die das Schutzniveau am positivsten beeinflussen, das heißt, die Zeitdauer zum Durchdringen der Sicherheitsmaßnahmen zu erhöhen.

Zur Verifizierung der Maßnahmen bietet es sich dann an, einen Penetrationstest gegen sich selbst zu beauftragen. Hierbei wird sich die Wirksamkeit der Maßnahmen zeigen, und übersehene Lücken werden auffallen. Wichtig ist es hierbei, die Ergebnisse des Tests im Anschluss mit den selbst gesteckten Zielen abzugleichen. Erst dann ist die Verifizierung vollständig.

Vereinfacht kann man das Ziel so beschreiben: Der Schwierigkeitsgrad muss so hoch sein, dass der Angreifer die Lust verliert und sich im besten Fall ein leichteres Opfer sucht. Hiervon gibt es noch genug! Da diese aber auch mit der Zeit besser werden und neue Tools und Angriffsvektoren auftauchen, bleibt das Themenfeld IT-Sicherheit an dieser Stelle eine Art Wettrüsten im Rahmen eines stetigen Verbesserungsprozesses. (hal)