10 Strategien gegen Hackerangriffe. Georg Beham

geschützt werden sollten.

      Dabei ist es fürs Erste unerheblich, wer als Person hinter der Gefahr steckt, denn es gilt zunächst die Systematik zu verstehen, die hinter den Bedrohungen steckt. Vereinfacht wird gerne vom „Hacker“ als Täter gesprochen. Doch wie so oft birgt auch diese Vereinfachung etliche Unschärfen, denn oftmals stehen hinter einem Angriff mehrere Täter, die als Akteursgruppe zusammengefasst werden können. Hinter dem landläufigen Begriff „Hacker“ können sich auch viele unterschiedliche Akteure verbergen. In den weiteren Kapiteln wird der bekannte Begriff „Hacker“ aber als Synonym für die unterschiedlichen Akteure (z. B. Cracker, Scriptkiddie, Hacktivist, staatliche Spione) verwendet.

      Das vorliegende Kapitel soll aufzeigen, dass ein Hacker nicht gleich ein Hacker ist, und dass für einen effizienten und effektiven Schutz vor Angriffen entscheidend ist, wer hinter einem potenziellen Angriff stehen kann. Nur durch dieses Wissen können zielgerichtete Schutzmaßnahmen beschlossen und realisiert werden.

      Im nachfolgenden Kapitel werden die drei Faktoren im Einzelnen beschrieben, die bei einem erfolgreichen Angriff zusammenspielen müssen. Diese sind:

      +Die Motivation eines Hackers.

      Jedes Handeln benötigt ein Motiv, so auch das Vorgehen von Cyberkriminellen. Die Motivation der Angreifer ist kein rein technisches Thema und gibt Aufschluss darüber, ob ein Unternehmen ein lohnendes Ziel für einzelne Akteursgruppen darstellt. Die Motivation kann beispielsweise finanzieller oder politischer Natur sein.

      +Die Fähigkeiten eines Hackers.

      Sie sind entscheidend für die Raffinesse und den technischen Mitteleinsatz, der während eines Angriffs aufgewendet werden kann. Die Fähigkeiten bestimmen die notwendigen Schutzmaßnahmen bzw. Analysetätigkeiten auf der zu verteidigenden Seite. Die Fähigkeiten eines potenziellen Cyberangreifers, welcher ja unbekannt ist, abzuschätzen, ist dabei nicht ganz einfach.

      +Die Möglichkeiten, die einem Hacker als Angriffsfläche zur Verfügung stehen. Diese werden durch eine Organisation selbst und den Betrieb ihrer Infrastrukturen geschaffen. Die Kontrolle darüber liegt daher ausschließlich in der Hand des Unternehmens. An dieser Stelle kann es eingreifen und sich (erfolgreich) gegen Angriffe wehren.

      1.1.1 Kein Angriff ohne Motiv

Am einfachsten ist es, zunächst die unterschiedlichen Akteure anhand ihrer Motivation zu unterscheiden[23]:

+Cybervandalismus: zielt darauf ab, Schaden anzurichten bzw. Services zu stören. Das Motiv dazu kann ein politisches sein, wie es etwa die Angriffe auf die Webseite des österreichischen Außenministeriums 2016[24] waren, oder auch einfach das Ergebnis von jugendlichem Leichtsinn, wie beim Virus „Loveletter“ aus dem Jahr 2000 vermutet wird.[25]

      +Cybercrime: zielt darauf ab, finanziellen Profit zu erzielen bzw. aus ideologischen Gründen kritische Informationen zu erlangen (Informationsdiebstahl). So wird etwa ein Krypto-Trojaner in das Unternehmensnetzwerk eingeschleust, um die Unternehmensdaten zu verschlüsseln. Um die Daten wieder zu entschlüsseln, muss ein bestimmter Betrag an Lösegeld an die Angreifer überwiesen werden. Auch Kreditkarteninformationen stellen ein beliebtes Ziel für Cyberkriminelle zur finanziellen Bereicherung dar.

      +Einbruch in das Unternehmensnetzwerk zur weiteren Tatvorbereitung: dient zur Verbesserung der Kenntnisse der IT-Infrastruktur, um Ansätze für zukünftige Angriffe zu gewinnen.

+Cyberspionage, Cybersabotage: Diebstahl von spezifischen, hochwertigen Informationen oder aktives Behindern bzw. Stören einer Organisation. Ende Februar 2018 wurde das deutsche Außen- und Verteidigungsministerium Opfer eines solchen Angriffs. Die Ministerien wurden mutmaßlich von der russischen Gruppierung „APT28“ angegriffen. Die Angreifer schleusten eine Schadsoftware ein und erbeuteten so Daten. Ebenfalls im Jahr 2018 wurde GitHub, ein Online-Dienst für Softwareentwicklung, Ziel einer Cybersabotage. Das Unternehmen wurde unter Anwendung einer DDoS-Attacke (Distributed-Denial-of-Service, siehe auch Kapitel „Vom Hacker zum Cyberkrieger“) konfrontiert. Der Dienst war für einige Zeit nicht erreichbar.[26]

+Cyberconflict/Cyberwarfare: ernsthafte Schädigung einer Organisation oder eines Staates in der Nutzung von Informationen und/oder Infrastrukturen. So wurden beispielsweise 2007 etliche Regierungs- und Verwaltungsstellen Estlands durch einen DDoS-Angriff massiv gestört.[27]

      Je nachdem, in welcher Branche eine Organisation tätig ist bzw. wie das Geschäftsmodell aufgebaut ist, lassen sich unterschiedliche Motivationslagen für mögliche Angriffe ableiten. Dadurch ergeben sich in weiterer Konsequenz auch die möglichen Fähigkeiten der Angreifer und die Ausprägung der notwendigen Gegenmaßnahmen.

      Ein Unternehmen in der Verteidigungsindustrie wirkt auf manche Angreifer sicherlich interessanter als eine Bank, um dort wertvolle Informationen zu erlangen, während eine Bank für viele ein interessanteres Angriffsziel ist als ein Textilproduzent, um sich bei einem erfolgreichen Angriff finanziell zu bereichern. Aufgrund der variierenden Motive werden sich daher auch die Sicherheitsmaßnahmen entsprechend unterscheiden.

      1.1.2 Kein Angriff ohne die notwendige Fähigkeit

      Nun liegt es auf der Hand, dass es zum Verfolgen der unterschiedlichen Motivationen auch unterschiedliche technische Fähigkeiten, aber auch Ressourcen bzw. Organisation benötigt. Daher ist es zweckmäßig, Hacker auch nach ihren Fähigkeiten zu unterscheiden:

+Skript Kiddies: bezeichnet wenig technisch versierte Angreifer, die vor allem vorgefertigte Tools – also gebrauchsfertige Lösungen und vorgefertigte Automatismen bzw. schriftliche Anleitungen verwenden. Sie sind hauptsächlich im Bereich des Cybervandalismus einzuordnen, wobei erfolgreiche Versuche oftmals unzureichendem Perimeterschutz[28] oder nicht vorhandenen Basissicherheitsmaßnahmen geschuldet sind.

      +Cyberkriminelle: sind vornehmlich finanziell motivierte Akteure, die durchaus technisch versiert auftreten oder soweit organisiert sind, dass sie ihre Angriffe technisch professionell gestalten. Wenn sie selbst nicht über das notwendige Know-how verfügen, ihre Angriffe zu gestalten, kaufen sie die Expertise zu. Cyberkriminelle zeichnen sich jedenfalls dadurch aus, dass sie im ersten Moment keinen offensichtlichen Schaden bzw. keine Rufschädigung beabsichtigen, sondern alle Mittel zum Zweck der finanziellen Bereicherung einsetzen. Wenn dadurch Sachschaden entsteht, wie etwa durch den Einsatz von Ransomware, oder es zu Rufschädigung durch die Veröffentlichung von Informationen kommt, weil eine Erpressung nicht erfolgreich war, nehmen sie den Schaden in Kauf.

      +Insider: hierbei handelt es sich um interne Mitarbeiter, die dem Unternehmen/der Organisation angehören und externe Mitarbeiter, die eine Vertrauensstellung in der Organisation einnehmen. Insider benötigen im Normalfall keine besonders ausgeprägten technischen Fähigkeiten, weil sie über ihre bereits bestehende Vertrauensstellung viel Schaden anrichten können.

      +Staatliche Angreifer oder staatlich gesponserte Angreifer: verfügen nicht nur über exzellente technische Fähigkeiten, sondern auch über die notwendigen Ressourcen, Angriffe langfristig bzw. mehrphasig zu gestalten. Dabei können physische Angriffe mit virtuellen Angriffen kombiniert werden oder/und es kann nach erfolgreicher Infiltration über mehrere Schichten hinweg operativ gearbeitet werden. Wenn Angriffstechniken entdeckt werden, ist es auch möglich, die Vorgehensweisen und eingesetzten Tools zu wechseln. Ebenfalls ist es möglich, Angriffe durch das Nachbauen von Infrastrukturen und durch gezieltes Erforschen von Schwachstellen der eingesetzten Komponenten vorzubereiten.

      Diese Einteilung ist zwar nur sehr grob, lässt aber einen Rückschluss darauf zu, wie komplex ein zu erwartender Angriff sein kann. Der Umstand, dass mittlerweile ein breites Repertoire an Beispielen zu durchgeführten Angriffen vorliegt und dieses auch stetig wächst, wirft kein gutes Licht auf die Zukunft. Diese Beispiele können jedoch maßgeblich dafür genutzt werden, um daraus den optimalen Einsatz von Sicherheitsmaßnahmen abzuleiten.

      Zudem empfiehlt es sich, zu recherchieren, welche Angriffe andere Unternehmen