Digital
31.03.2017 05:00

Cyber-Einbruch auf Bestellung

  • Namenlose Hacker – wer wirklich hinter Cyberattacken steckt, ist fast unmöglich herauszufinden.
    Namenlose Hacker – wer wirklich hinter Cyberattacken steckt, ist fast unmöglich herauszufinden. | Bild: iStock
INFORMATIK ⋅ Um herauszufinden, wie gut sie gegen Cyberangriffe geschützt sind, lassen sich Firmen von professionellen Hackern überfallen. Dabei zeigt sich immer wieder: Die grösste Schwachstelle ist der Mensch.

Michael Baumann

wissen@luzernerzeitung.ch

Es gibt ein iPhone zu gewinnen, lesen Tausende Angestellte des Departements für Verteidigung, Bevölkerungsschutz und Sport (VBS) in einer E-Mail von ihrem eigenen Arbeitgeber. Darin ein Link, der zum Gewinnspiel führt. Da ist doch etwas faul, denken sich die meisten. Es könnte sich um ein sogenanntes Phishing-E-Mail handeln, mit dem Kriminelle versuchen, an vertrauliche Daten oder Passwörter der ahnungslosen Empfänger zu gelangen. Oder Schadsoftware auf ihre Computer zu schleusen.

Bei näherer Betrachtung sind tatsächlich ein paar Dinge in der E-Mail verdächtig. Etwa der Absender, der auf den ersten Blick zwar seriös aussieht, so als stamme er aus der Bundesverwaltung. Bei genauem Hinsehen aber entpuppt sich die Adresse als gefälscht. Dennoch klicken etwa 150 Angeschriebene auf den Link. Zum Glück ohne böse Folgen, denn in diesem Fall stecken hinter der Aktion nicht kriminelle Hacker, sondern die Organisationseinheit Cyber Defence der Schweizer Armee.

Diese testet jedes Jahr, wie gut das VBS gegen Schadsoftware, Hackerangriffe und Betrugsversuche durch Phishing gewappnet ist. Dabei zeigt sich immer wieder: «Der Mensch ist und bleibt eine Schwachstelle», sagt Thomas Bögli, stellvertretender Leiter der Cyber Defence. «Durch die regelmässigen Tests wollen wir unsere Leute trainieren.» Das zeigt seine Wirkung: Der Anteil der Mitarbeiter, die auf die gestellten Betrugsversuche hereinfallen, ist in den letzten Jahren stetig gesunken.

Ausgefeilte Attacken

Mit ähnlichen Mitteln prüft auch die Swisscom die Skepsis ihrer Angestellten gegenüber verdächtigen E-Mails – und zwar monatlich. Doch trotz dieser regelmässigen Trockenübungen fallen jeweils zwischen 15 und 20 Prozent der Angeschriebenen darauf herein. «Insbesondere wenn die Leute ein verlockendes Angebot erhalten und unter Zeitdruck gesetzt werden, hat ein Betrugsversuch grosse Chancen», sagt Lorenz Inglin, Leiter der Cyberabwehr bei der Swisscom. Etwa, wenn die E-Mail den ersten 100 Teilnehmern einen Gewinn verspricht.

Inglin versucht mit seinem Team immer wieder, die Schutzmassnahmen der Swisscom von aussen her zu durchbrechen. Auf diese Weise spürt er allfällige Sicherheitslücken auf und hilft, die Abwehr zu verstärken. Doch nicht nur die Firmen, auch die Hacker verbessern sich laufend. «Es ist ein regelrechtes Wettrüsten», sagt Lorenz Inglin. Zudem nehmen die Angriffe der Cyberkriminellen auf die Swisscom und ihre Kunden zu. ­Mittlerweile sperrt das Team von Inglin mehrere tausend bösartige Websites pro Monat, auf die Kunden durch Phishing-E-Mails gelockt werden sollen.

«Die kriminellen Strategien, mit denen Hacker angreifen, werden immer ausgeklügelter», sagt auch Ilia Kolochenko. Er ist CEO der Genfer IT-Sicherheitsfirma High-Tech Bridge, die im Auftrag anderer Organisationen – darunter beispielsweise die internationale Online-Tauschbörse Ebay – deren Apps und Websites auf Herz und Nieren prüft. «Meist verläuft ein Angriff von Hackern gegen eine Firma gleich auf mehreren Ebenen.» Das könne beispielsweise so ablaufen: Zuerst hacken sich Cyberkriminelle in die Website des Unternehmens und deponieren dort in einem abgelegenen Winkel Schadsoftware. Danach überlisten sie einen Angestellten, ihren Zwecken zu dienen. Dazu recherchieren sie zuerst über ihn im Internet, etwa auf Facebook. So erfahren sie Details über sein Umfeld und können die Identität eines seiner Freunde annehmen. In dessen Namen erstellen sie eine neue E-Mail-Adresse und schreiben damit der Zielperson: Hey, ich habe gesehen, dass ihr eine spannende Stelle ausgeschrieben habt. Denkst du, das wäre etwas für mich? Dazu ein Link – natürlich nicht auf die Stellenausschreibung, sondern auf die zuvor deponierte Schadsoftware.

Kleiner Klick, grosser Schaden

Der Angestellte erwartet nichts Böses auf der firmeneigenen Webseite. So reicht ein Klick, und die Schadsoftware installiert sich auf seinem Computer. Von dort aus verbreitet sie sich weiter im Firmennetzwerk und treibt ihr Unwesen. Beispielsweise verschlüsselt sie wichtige Daten des Unternehmens. Jetzt kommt die Forderung der Hacker: Überweist uns Geld, und wir geben euch das Passwort, um wieder an die Daten zu gelangen.

«Das ist ein gigantisches Business», sagt Sicherheitsexperte Kolochenko. Oft seien mehrere Gruppen von Hackern daran beteiligt, die sich an verschiedenen Orten auf der Welt befinden. «Deshalb ist es fast unmöglich, die Hacker zu identifizieren und zu bestrafen.» Das Geschäft gleiche einer Zwiebel mit verschiedenen Schichten, erklärt Kolochenko. Die einen hacken einfach möglichst viele Firmen oder Privatpersonen. Sie sammeln Daten – Passwörter, Kreditkartennummern, private Fotos – und verkaufen diese weiter an andere Kriminelle. Diese wiederum erpressen dann die betroffenen Firmen oder Menschen.

Was also kann man tun, damit es nicht so weit kommt? «Leider sind die bösartigen Mails mittlerweile so gut gemacht, dass sie nur schwer zu erkennen sind», sagt Inglin von der Swisscom. Das gelte sogar für versierte Computerbenutzer. Sicher ist aber: Wenn man dazu aufgefordert wird, auf einen Link zu klicken oder einen Anhang zu öffnen, um persönliche Daten, Finanzinformationen oder Passwörter anzugeben, werde es gefährlich, so Inglin. «Dann sollten die Alarmglocken schrillen.»

Meist gelesene Artikel

Auf den frostig kalten Morgen folgt ein warmer und sonnenreicher Tag.
WETTER

Auf frostigen Morgen folgt Wärme und viel Sonnenschein

Regisseurin Petra Volpe und Schauspielerin Marie Leuenberger vor der New Yorker Premiere des Films "Die göttliche Ordnung".
TRIBECA FILM FESTIVAL

Standing Ovation für Schweizer Film in den USA

Ein Automobilist hat am Sonntag im Uetlibergtunnel in einem Selbstunfall das Leben verloren. (Archivbild)
UNFALL

Tödlicher Unfall im Uetlibergtunnel

Schweizer attestieren dem Tessin eine hohe Attraktivität als Reiseziel. Im eigenen Land Ferien zu machen ist beliebt, da die Schweiz als sicher eingestuft wird.
UMFRAGE

Angst beeinflusst Reiseverhalten der Schweizer

Er liegt nach der ersten Runde der französischen Präsidentschaftswahlen vorn: Emmanuel Macron will nun die Stichwahl gegen Marine Le Pen vom Front National für sich entscheiden. (Archivbild)
FRANKREICH

Macron holt die meisten Stimmen

Die US-Fluggesellschaft American Airlines kommt nicht aus den Schlagzeilen heraus: Erneut kam es in einer Maschine der Gesellschaft zu einem Zwischenfall, bei dem ein Fluggast unfreundlich behandelt wurde. (Symbolbild)
LUFTVERKEHR

Wieder Streit in Flugzeug: American Airlines ebenfalls mit Skandal

Robert De Niro, Burt Reynolds (Mitte) und Chevy Chase zeigen sich anlässlich des Tribeca Film Festivals in New York.
NEUES AUS HOLLYWOOD

Burt Reynolds zeigt sich bei Filmpremiere

Frankreich wählt am heutigen Sonntag unter strengsten Sicherheitsvorkehrungen sein neues Staatsoberhaupt. Rund 50'000 Polizisten und Soldaten sollen für einen sicheren Wahlablauf sorgen. Im Bild: Anhänger des konservativen Kandidaten François Fillon während einer Wahlveranstaltung in Paris. (Archiv)
FRANKREICH

Le Pen und Macron kämpfen ums Präsidentenamt

Die Hünenbergerin Chanelle Wyrsch singt im Duett mit Alexander Jahnke in der Liveshow.
HÜNENBERG

Chanelle Wyrsch steht im «DSDS»-Halbfinal

Wurde nur 56 Jahre alt: die amerikanische Schauspielerin Erin Moran. (Archivbild)
USA

"Daktari"-Schauspielerin Erin Moran ist tot

Zur klassischen Ansicht wechseln