Von Bitcoin-Diebstahl bis zu virtueller Spionage Diese neuen Gefahren birgt das Metaverse

Anbieter zum Thema

Neumüller Elektronik GmbH

Specops Software GmbH

Eye Security GmbH

Die Cyberabwehr im Metaverse wird eine weit größere Herausforderung darstellen als der Schutz heutiger Netzwerke und Geräte. Denn die Angriffsfläche besteht aus vielen verschiedenen, verbundenen Systemen – und die Möglichkeiten für Angreifer, sich Zugang zu verschaffen, sind fast unbegrenzt. Neben den bekannten Risiken durch Phishing, Ransomware und Datenklau könnten Hacker zum Beispiel Daten modifizieren, Avatare imitieren, gefälschte Informationen in vernetzte Endgeräte einspeisen oder geistige Eigentumsrechte verletzen.

Weil das Metaverse Schnittstellen zwischen der realen und der virtuellen Welt bietet, reichen die Risiken von Bitcoin-Diebstahl und virtuellem Vandalismus bis zu schwerwiegenden Straftaten wie Spionage und sogar Körperverletzung. Kriminelle können Schaden anrichten, indem sie in haptische Handschuhe, VR-Anzüge und Headsets eindringen und deren Bedienung übernehmen. Damit hätten Hackerangriffen weitaus gravierendere Folgen.

Robuste Cybersicherheit muss deshalb von Anfang an in die Infrastruktur eingebunden werden. Andernfalls ist das Metaverse zum Scheitern verurteilt. Um es adäquat zu schützen, ist es wichtig, sich die größten Schwachstellen und Risiken vor Augen zu führen.

Exponentiell größere Angriffsflächen

Das Metaverse soll für Milliarden von Nutzern über jeden Webbrowser, jedes mobile Endgerät oder AR/VR-System zugänglich sein. Menschen werden dort miteinander agieren wie in der realen Welt. Die Angriffsfläche ist die Menge aller potenziellen Interaktionspunkte zwischen Angreifer und Ziel, einschließlich Hardware, Software und den zugehörigen Kommunikationskanälen.

Das beinhaltet alle physischen Geräte, die den Zugang zum Metaverse ermöglichen, wie AR/VR-Headsets, Steuerungen und Sensoren, aber auch IoT-Geräte. Zur Software-Angriffsfläche gehören Programme und Anwendungen, die auf AR/VR-Hardware oder anderen Teilen der Infrastruktur ausgeführt werden und es Nutzern erlauben, mit dem Metaverse zu interagieren. Und schließlich können die Kommunikationskanäle Ziel von Angriffen werden: denkbar sind beinahe unzählige Verbindungen zwischen Nutzern, virtuellen Objekten und physischen Apparaten unter Verwendung von Computercode, Text, Sprache, Video und Berührung.

Neue Herausforderungen für das Identitätsmanagement

Das Identitätsmanagement im Metaverse ist kompliziert, weil die Identität eines Nutzers sich nicht auf seinen Avatar beschränkt. Sie kann auch private Schlüssel für Kryptowährungen und andere digitale Vermögenswerte, Bankdaten, soziale Informationen und Schnappschüsse seiner digitalen Lebensgeschichte beinhalten. Geht eines dieser Elemente verloren oder wird es modifiziert, kann das dazu führen, dass das Opfer seine Identität verliert.

Es gibt mehrere Möglichkeiten, wie Angreifer sich im Metaverse als jemand anders ausgeben können. Zum Beispiel könnten sie die von AR/VR-Geräten gesammelten Verhaltens- und biometrischen Daten ihres Opfers nutzen, um einen gefälschten Avatar zu erstellen, der sich identisch zum Original verhält und von der echten Person nicht zu unterscheiden ist. Eine andere Methode nutzt Bluetooth-Schwachstellen aus, um fremde Wearables in eine bestehende Bluetooth-Kopplung einzufügen. Mit dem gefälschten Avatar könnten Kriminelle andere Nutzer täuschen, sich Zugang zu weiteren Diensten verschaffen, Betrug und andere Verbrechen begehen – und der ursprüngliche Avatar-Besitzer riskiert, dafür zur Rechenschaft gezogen zu werden.

Datenschutz und Datensicherheit

Internetnutzer neigen dazu, aus Bequemlichkeit bei der Sicherheit Abstriche zu machen. Das weit verbreitete Passwort-Recycling ist nur ein Beispiel dafür. Im Metaverse wird es wesentlich mehr Benutzerinteraktionen und Informationsaustausch geben. Datenschutzmaßnahmen müssen deshalb unauffällig und zuverlässig im Hintergrund funktionieren, ohne die Benutzererfahrung zu beeinträchtigen.

Daten werden unter anderem über soziale Medien, Online-Spiele, VR- und AR-Anwendungen gesammelt, aber auch durch Sensoren, Kameras und andere Geräte. Sie können auf vielfältige Weise gespeichert sein; auf Servern, in Datenbanken, auf Edge-, Fog- oder Cloud-Computing-Plattformen, auf Computern, Smartphones, Tablets, AR/VR-Headsets und anderen Endgeräten. Das ergibt zahlreiche Möglichkeiten für Hacker, auf diese Daten zuzugreifen und sie für kriminelle Zwecke zu missbrauchen.

Datenschutz und Datensicherheit sind zwei der kritischsten Themen, die nicht vernachlässigt werden dürfen. Private Nutzerinformationen einschließlich medizinischer und finanzieller Daten, Standortdaten, physiologischer Signale, biometrischer Daten, Lifestyle-Informationen und vieles mehr sind während der Datenerfassung, -verarbeitung, -übertragung und -speicherung bei der Navigation und Interaktion im Metaverse gefährdet.

Dieses Risiko bleibt auch nach Verlassen des Metaverse bestehen. Kriminelle könnten die von Wearables und Nutzern oder Avataren erzeugten Daten manipulieren, klonen, umleiten oder stehlen, etwa um Avatare, digitale Vermögenswerte, aber auch physische Endpunkte zu kompromittieren. Gefälschte Daten wiederum – ob Text, Bild, Video, Audio oder andere Formate – können Betrugs- und Erpressungsversuchen, Social Engineering sowie der Verbreitung von Fake News dienen.

Eindringen in virtuelle Welten

Ein Spezialfall ist der Datenklau über komplexe VR-Systeme, die für die Interaktion mit dem Avatar umfassende Benutzerprofile erstellen: mit mehreren Dimensionen und hoher Granularität für Gesichtsausdrücke, Augen-/Handbewegungen, Sprache, biometrische Merkmale und sogar Gehirnwellenmuster. Fortschrittliche Mensch-Computer-Schnittstellen erlauben die Echtzeitanalyse der Verhaltensdynamik und die 3D-Positionsverfolgung. Bewegungssensoren und eingebaute Kameras können die Bewegung von Augen und Kopf verfolgen, sich alle Objekte und Personen in einem Raum merken und deren Positionen mit Submillimeter-Präzision überwachen.

Hacker, die in ein solches Setup eindringen, können umfassende Informationen über ihr Opfer und seine Umgebung sammeln und diese für Angriffe in der realen Welt verwenden. Ein noch relativ simples Beispiel ist dabei das Verfolgen von Augen- und Fingerbewegungen bei der Eingabe von Passwörtern.

Stalking im Metaverse

Das Verhalten, die Vorlieben und Aktivitäten von Avataren spiegeln oft die Eigenschaften ihrer Besitzer wider. Zeichnet ein Angreifer den digitalen Fußabdruck eines Avatars auf, verletzt er damit nicht nur die Privatsphäre seines Opfers. In einem virtuellen Stalking- oder Spionageangriff könnte er dem Avatar folgen und die digitalen Aktivitäten des Nutzers erfassen, um spätere Social-Engineering-Angriffe zu erleichtern oder die Daten an Dritte weiterzuverkaufen.

Ein neuer Ansatz für die Cybersicherheit

Kurz, der Einfallsreichtum der Angreifer hat keine Grenzen; das Metaverse mit seinen Unmengen an Daten und vernetzten Systemen wird ihnen eine noch größere Spielwiese bieten. Nutzer sind meist nicht in der Lage, Bedrohungen in Echtzeit zu erkennen, und bestehende Cybersicherheitslösungen haben schon bisher beim Schutz vor Viren- oder Ransomware-Angriffen immer wieder versagt. Diese Lücken müssen künftig mit nicht-traditionellen Lösungen geschlossen werden, etwa durch den Einsatz von hardwarebasierten Sicherheitslösungen mit künstlicher Intelligenz (KI).

Solche Lösungen erkennen unbefugte Lese-, Schreib-, Lösch- und Bearbeitungsversuche auf Servern, Endgeräten, AR/VR-Ausrüstung und Speichermedien und schützen Daten sowohl in Bewegung als auch im Ruhezustand. Je nach den Sicherheitseinstellungen werden die gefährdeten Daten sofort gelöscht oder für jeden Nutzer unzugänglich gemacht, egal ob autorisiert oder nicht. So lassen sich Versuche, Daten zu exfiltrieren, vereiteln und Angriffe verhindern.

Wo Nutzer und Software eine Bedrohung nicht aufhalten können, bildet ein solcher Hardwareschutz die letzte Verteidigungslinie. Denn je mehr Angriffsmöglichkeiten es gibt, desto vielschichtiger muss die Abwehr sein.

Über den Autor: Thomas Schwab ist Business Development Manager für X-PHY. Er hat viel Erfahrung im Halbleitervertrieb gesammelt und unter anderem als Applikationsingenieur im Bereich Microcontroller und Speicher gearbeitet. Seit vier Jahren kümmert er sich um die Betreuung der Kunden (technisch und kommerziell) im Bereich Speichersysteme bei Neumüller Elektronik GmbH, dem Distributor des X-PHY in Deutschland.

(ID:48967969)