Bedrohungen erkennen und abwehren
So arbeiten Hacker und Cyber-Kriminelle
Die Profi-Klasse
Besitzt man nun hochpreisige Wertgegenstände oder elektronische Informationen, auf dass man sich auch gegen jene dunklen Gestalten zu wappnen wünscht, die ihr Handwerk von der Pike auf gelernt haben, so hilft nur der Aufstieg in eine deutlich höhere Sicherheitsklasse.
Tresorknacker und Diplominformatiker (Advanced Hacker) ziehen hier gleich. Wissend, dass es etwas zu holen gibt, wägen sie Kosten, Risiko und Ertrag gegeneinander ab, wählen Mittel und Methoden, kaufen Werkzeug oder Tools. Wenn es sich bei dem Ziel lohnt, kommen sogar Advanced Persistent Threads, also zielgerichtete Angriffe gegen bestimmte Organisationen, in Betracht. Insbesondere geraten hierbei wichtige Konzerne und Behörden mit kritischen Infrastrukturen ins Visier der Angreifer.
Dies ist sicherlich mit ein Grund für die EU-Kommission, die den Schutz von kritischen Infrastrukturen gesetzlich zu regeln versucht und hierbei in Richtung ISO-27001 auf Basis von BSI-Grundschutz schaut. Mittelfristig ist davon auszugehen, dass bis hinunter zur kommunalen Ebene die Maßnahmen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zum gesetzlichen Zwang werden. Aber auch hiermit wird man das organisierte Verbrechen oder den fremden staatlichen Geheimdienst, der genau "Ihr" Unternehmen angreifen will, nicht wirkungsvoll abhalten können!
- Fühlen Sie sich sicher?
Spätestens nach dieser Bilderstrecke sind Sie dieses Gefühl garantiert los ... - Mythos: Das Internet ist so unendlich groß. Niemand wird gerade mich angreifen.
Fakt: Es gibt vollautomatisierte Angriffs-Tools, die Hacker einsetzen, um Schwachstellen aufzudecken. Ein neuer, ungeschützter Computer, der erstmalig mit dem Internet verbunden wird, ist in der Regel innerhalb von sieben Minuten kompromittiert. - Mythos: Ich besitze überhaupt keine wertvollen digitalen Informationen.
Fakt: Jeder Computernutzer besitzt wertvolle Daten. Und seien es nur lokal gespeicherte Passwörter fürs Online-Banking, Kreditkartendaten, E-Mail- oder Web-Accounts. Diese Infos sind gerade für Identitätsdiebe äußerst wertvoll. - Mythos: Security und Usability gehen nicht zusammen.
Fakt: Usability-Experten bemühen sich schon lange, diesen Widerspruch aufzulösen. Viele Dinge lassen sich heute bequem, gleichwohl sicher erledigen. - Mythos: AV und Firewall genügen dann aber auch, um meinen Computer sicher zu machen.
Fakt: Jede installierte Software birgt potenzielle Schwachstellen und sollte mit Updates auf dem Stand gehalten werden - das gilt für Security-Software ebenso wie für jede andere Applikation. Wichtig ist auch, dass persönliche Passwörter und weitere Informationen über einen selbst vertraulich und sicher aufbewahrt werden. - Mythos: Ich habe die kritischen Daten auf meiner Festplatte gelöscht - nun sind sie weg.
Fakt: Auch wenn die Datei nicht mehr angezeigt und gefunden wird, ist doch nur der Verweis darauf entfernt worden. Die eigentliche Information ist noch solange auf der Festplatte gespeichert, bis sie mit einer neuen überschrieben wird. Erst mit speziellen Wipe-Tools, die Festplatten sektorweise überschreiben, werden Daten endgültig gelöscht. - Mythos: Gefährliche Websites lassen sich direkt erkennen.
Fakt: Cyberkriminelle tun alles, um eben das zu verhindern. Die besten entwickeln Websites, die seriös und professionell aussehen - oft sogar vertrauten Angeboten eins zu eins gleichen, um die Besucher zu täuschen. Und dann reicht ein einziger kompromittierter Link, und der ahnungslose Besucher sitzt in der Falle. - Mythos: Ich bekomme es mit, wenn mein Computer infiziert oder unterwandert wurde.
Fakt: Früher vielleicht ja, heute nur noch bei schlecht gemachten Attacken. Die Entwicklung im Untergrund ist soweit fortgeschritten, dass kaum ein Nutzer noch merkt, wenn sein Rechner als Teil eines Botnetzes als Spam-Schleuder missbraucht wird oder andere Computer angreift. - Mythos: E-Mails meiner Freunde und Bekannten kann ich gefahrlos öffnen.
Fakt: Es ist einfach geworden, sich beim Versenden einer Mail als jemand anders auszugeben. Ein wenig Stöbern im Social Web, überzeugende Argumente, ein falscher Name im Absender-Feld, eine geklaute oder kaum sichtbar abgeänderte E-Mail-Adress als Absender - fertig ist der Stress für dem Empfänger. Halten Sie also die Augen immer offen!
Zurück auf die dunkle Seite der Macht: Beiden Tätern gemein sind Zielorientierung und Mitteleinsatz. Sie sind lediglich über den Zeitfaktor und das damit verbundene Risiko des Entdeckt-Werdens vom Erreichen ihres Zieles abzuhalten. Dem Tresorknacker wird hierbei das Leben, zum Beispiel durch mehrwandige Konstruktionen und mittels Karborundpartikeln in einer Betonfüllung, schwer gemacht, während dem Hacker Honey-Pots und Tarpits entgegengesetzt werden.
Doch auch hier gilt: Ein bisschen was geht immer noch. Die perfekte Sicherheit (vor staatlichen Tätern wie vor der organisierten Kriminalität) ist sowohl bei Tresoren als auch bei IT-Systemen eine Illusion und endet immer in einer Abwägung von Schutzbedarf und Kosten, womit wir wieder am Anfang des Artikels und den drei wesentlichen Fragen wären.