IT-Sicherheit Immer noch große Lücken im öffentlichen Sektor

Von der kommunalen Verwaltung bis hin zum Krankenhaus: Sie ­alle befinden sich im Visier von Cyber-Kriminellen, die mit immer mehr Ressourcen und steigender Professionalität auf digitale Beutezüge gehen. Inwiefern es nach wie vor aber viele Opfer den Tätern zu leicht machen, erläutert Carsten Maßloff, Geschäftsführer der Ceyoniq Consulting GmbH, in seinem Gastbeitrag.

Anbieter zum Thema

Arvato Systems

Cohesity GmbH

SoSafe GmbH

Ceyoniq Technology GmbH

Es waren nur 490 Euro, die der unterfränkischen Stadt Dettelbach zu trauriger Berühmtheit verhalfen. Obwohl Cyber-Angriffe auf Kommunen und damit verbundene Erpressungsversuche leider längst an der Tagesordnung sind, sorgte die 7.000-Einwohner-Stadt nahe Würzburg im Frühjahr für besonderes Aufsehen. Denn: Dettelbach zahlte nicht nur, dieser Umstand geriet zudem an die Öffentlichkeit.

Die Schadsoftware der Angreifer verschlüsselte die Daten auf den städtischen Servern. Was folgte, war ein typisches Szenario: Die ­Kriminellen forderten die Zahlung eines Lösegeldes, um die Systeme wieder nutzbar und die Daten zugänglich zu machen. 1,3 Bitcoin verlangten sie, umgerechnet knapp 500 Euro. In Dettelbach stufte man die Forderung im Vergleich zu den geschätzten Kosten eines vollständigen Datenverlustes als tolerabel ein.

Die Symbolwirkung aber war verheerend. Schließlich flossen hier Steuergelder in die Hände Krimineller, weil die Verwaltung und die Stadtwerke in Sachen Informationssicherheit offenkundig nicht sorgfältig gehandelt hatten. Gar von „Dilettantismus“ war in den Medien zu lesen. Deshalb wundert es nicht, dass oftmals unzureichend geschützte öffentliche Institutionen für diese Ransomware – Ransom ist das englische Wort für Lösegeld – anfällig sind.

Allein in Bayern, hieß es seinerzeit, sollen mehr als 60 Kommunen betroffen sein – doch nur die wenigsten kommunizieren dies.

Immer professioneller

Wie es genau zu der Kompromittierung der Systeme in Dettelbach gekommen ist, wissen wir heute nicht. Im Regelfall aber nutzen die Kriminellen eine Kombination verschiedener Methoden, um letztlich an ihr Ziel zu gelangen.

Bei einem ähnlichen Fall in einem Krankenhaus in Deutschland verschlüsselten die Angreifer Gesundheitsdaten wie Arztbriefe und Abrechnungen. Zunächst wurde hier, so der Verdacht, ein Link in einer eMail angeklickt. Diese Mails sind immer ausgefeilter – teilweise sogar personalisiert und mit einem authentisch wirkenden eMail-Verlauf versehen – und selbst von für das Thema sensibilisierten Mitarbeitern kaum zu erkennen.

Der „Einstieg“ erfolgt häufig über diese unter dem Fachbegriff ­Social Engineering bekannte Methode, die es in mannigfaltigen Ausprägungen gibt – von der Paket-Versandbenachrichtigung im Corporate Design von Logistikunternehmen bis hin zu gekaperten, authentischen eMail-Accounts. Anders als in früheren Fällen verfügte die Mail in unserem Beispiel übrigens über keinen Anhang mit Schadsoftware. Diese Vorgehensweise kommt vor allem bei ungezielten Angriffen zum Einsatz.

Über den Link in der Mail kam der Nutzer auf eine Website, auf der ein Drive-by-Exploit durchgeführt wurde. Diese Website ist im Regelfall – und im Vergleich zu früher – nicht mit einer verdächtigen URL versehen (URL-Filter greifen hier ergo nicht), sondern hat häufig ­einen ganz seriösen Background. Oftmals steckt in den Werbebannern auf dieser Seite – die beim Aufrufen standardmäßig geladen werden – kompromittierende Software. Die Infektion erfolgt quasi im Vorbeifahren (Drive-by).

Krankenhaus setzte auf Backup

Aber verfolgen wir den mutmaßlichen Weg der Ransomware in das Netz des besagten Krankenhauses weiter. Das gewünschte Opfer hat auf den Link geklickt und ist auf der kompromittierten Website gelandet. Nun muss noch der Sprung auf den Rechner des Opfers geschafft werden.

Hier bieten sich einige klassische Schwachstellen an, beispielsweise der Flash Player von Adobe oder Java, bei denen nicht die aktuellen Sicherheitsupdates aufgespielt wurden oder es überhaupt noch keine entsprechenden Patches gibt (in diesem Fall spricht man von einem Zero-Day-Exploit). Eine solche Situation kann im Extremfall zur Folge haben, dass die betroffenen Programme zumindest vorübergehend nicht mehr genutzt werden sollten. Daher gibt es beispielsweise Unternehmen, in denen die Nutzung des Flash Players grundsätzlich untersagt ist.

Das Krankenhaus ging übrigens nicht auf den Erpressungsversuch ein. Die Verantwortlichen griffen stattdessen auf ein Backup zurück, wodurch das System auf den Stand vor der Kompromittierung gebracht wurde. Nur die Arbeitsfortschritte der vorherigen zwölf Stunden gingen verloren.

In Dettelbach war ein solches physisch getrenntes Backup übrigens nicht vorhanden, was aber eine absolute Mindestanforderung ist. Was lernen wir aus diesen Fällen?

Auf dem neuesten Stand

So banal es klingt, aber Betriebssysteme, Firewalls oder Virensoftware müssen immer auf dem neuesten Stand sein. Hierdurch kann die Sicherheit signifikant erhöht werden. Zugleich sehen wir die Entwicklung, dass die Zahl der Schadprogrammvarianten rasant steigt. Dies hat beispielsweise zur Folge, dass der klassische signaturbasierte Ansatz der Antivirensoftware immer weniger Schutz bietet, weil neue Varianten schneller erzeugt als erkannt werden.

Diese Programme funktionieren nach dem Blacklist-Prinzip – wer aber nicht auf der schwarzen Liste steht, wird auch nicht als Gefahr erkannt. Die Arbeit mit Positiv­listen, die sich auf Software oder Verzeichnisse konzentrieren, ist eine denkbare Alternative, die ebenfalls ihre Grenzen hat.

Programmierfehler ­ermöglichen Zugriff

Es muss aber nicht immer der „klassische“ Angriff sein, der über Schadprogramme jedweder Couleur initiiert wird. Ein ebenfalls beliebtes Ziel von Cyber-Kriminellen sind Internetpräsenzen und Kundenportale, wie sie inzwischen selbst von vielen kleinen Energieversorgern oder Stadtverwaltungen genutzt werden.

Die sich hier bietenden Sicherheitslücken basieren häufig auf Programmierfehlern. Bei den so genannten SQL-Injections geben die Angreifer Befehle in die Eingabefelder beispielsweise von Kundenportalen ein und erhalten so Zugriff auf die dahinterliegende SQL-Datenbank, sofern nicht entsprechende Absicherungen vorgenommen wurden.

So können beispielsweise große Datenmengen wie etwa Kundendaten und Passwörter entwendet und später im kriminellen Umfeld monetarisiert werden.

In den beschriebenen Fällen und Szenarien zeigt sich: Die klassischen Abwehrmaßnahmen wirken nur noch begrenzt, denn die Cyber-­Kriminellen verfügen über immer größeres Fachwissen und Ressourcen. Die „Branche“ professionalisiert sich sukzessive, und einzelne Akteure bieten ihre Dienstleistungen Organisationen an, die normalerweise nicht über die erforderlichen Fähigkeiten verfügen.

Angesichts dieser zunehmenden Bedrohung stellt sich eher die Frage, wann und nicht ob es zu einem Angriff kommt. Grundsätzlich gilt: Informationssicherheit muss als Gesamtkonzept verstanden werden, in das die Mitarbeiter integriert und für Gefahren sensibilisiert werden. Aber die Hausaufgaben müssen auch von technischer Seite erledigt werden. Nur mit den passenden technischen und organisatorischen Maßnahmen können die erkannten (und bewerteten) Risiken behandelt werden.

IT-Sicherheit ist ­Gesamtaufgabe

Den Grundstein dafür legt ein sogenanntes Informationssicherheitsmanagementsystem (kurz: ISMS). Denn Nutzer, die eine IT-Sicherheit gewährleisten wollen, brauchen systematische Prozesse. Ein ISMS hilft dabei, die Risiken zu erkennen, zu bewerten und die geeigneten Maßnahmen zu er­greifen.

Außerdem sollten Mitarbeiter regelmäßig geschult werden, denn Informationssicherheit zieht sich durch die gesamte Organisation.

Eine wirksame Methode zur Überprüfung der eigenen Infrastruktur sind Penetrationstests. Mit automatisierten Schwachstellen-­Scannern und manuellen Attacken prüfen dabei zertifizierte „ethische“ Hacker verschiedenste Angriffsszenarien. Die gefundenen Schwachstellen werden protokolliert und später in einem umfangreichen Bericht dargelegt.

Der Autor: Carsten Maßloff

Neben der Identifikation von Sicherheitslücken kann auch der Fremdzugriff auf die Systeme simuliert werden, um einen möglichen Schaden im Ernstfall ermessen zu können. Auf diesem Wege wird das Sicherheitsniveau einer Organisation realistisch bewertet und es können ganz konkrete Schutzmaßnahmen empfohlen werden.

In Dettelbach hat sich der Rauch einige Monate nach der Attacke wieder verzogen, die Computer laufen wieder weitgehend rund. Die Zahlung des Lösegeldes brachte übrigens nicht den gewünschten Effekt, Daten gingen durch Fehlfunktionen im bestehenden EDV-System sowie Fehlentscheidungen bei der Rücksicherung verloren. Immerhin: Dettelbach sollte als mahnendes Beispiel gesehen werden, die erforderlichen Maßnahmen im Bereich der IT-Sicherheit kurzfristig und mit Nachdruck umzusetzen.

Erfolgreiche Hackerangriffe

Bildergalerie mit 40 Bildern

* Carsten Maßloff, Geschäftsführer des auf IT-Sicherheit spezialisierten Beratungsunternehmens Ceyoniq Consulting GmbH

(ID:44501998)