Die häufigsten Hacking-Methoden bei Supply-Chain-Angriffen Supply-Chain-Angriffe und die Rolle von Security Awareness

Anbieter zum Thema

SoSafe GmbH

Fsas Technologies GmbH

Cyberkriminelle entwickeln laufend neue Methoden und Taktiken für Cyberangriffe. Um diese Attacken erkennen und abwehren zu können, sollten Unternehmen daher stets über neue Entwicklungen informiert sein. Ein Trend, der schon seit einiger Zeit zu beobachten ist, ist die Zunahme von Supply-Chain-Angriffen.

Bereits seit 2020 häufen sich gezielte Angriffe auf Lieferketten. Bei dieser Art von Angriffen suchen Hackergruppen nach Schwachstellen in der Lieferkette eines Unternehmens, wie zum Beispiel bei Dienstleistungsunternehmen mit niedrigen Sicherheitsstandards. Über vermeintlich schwache Glieder in der Lieferketten können so zum Teil gleich mehrere Unternehmen attackiert werden – mit zum Teil weitreichenden Folgen. Wenn Unternehmen sich davor schützen wollen, müssen sie wissen, welche Art von Angriffen sie zu erwarten haben. Die folgenden Methoden sind derzeit am weitesten verbreitet.

Malware-Infektionen

Die meisten Angriffe auf Lieferketten beginnen mit einer Malware-Infektion. Cyberkriminelle schleusen heimlich bösartige Software in die Systeme eines Unternehmens ein, die sich dann langsam in der gesamten Lieferkette ausbreitet. Es gibt verschiedene Arten von Malware, die sich unterschiedliche Prozesse zunutze machen. Spyware zum Beispiel überwacht die Aktivitäten der Mitarbeitenden und schöpft deren vertrauliche Anmeldedaten ab. Mit Ransomware sammeln und verschlüsseln Cyberkriminelle Daten, die sie nur gegen Lösegeld wieder freigeben. Backdoors, die beispielsweise über Trojaner eingeschleust werden, ermöglichen die Fernsteuerung von Programmen. Solche Malware-Infektionen nutzen dabei generell technische Sicherheitslücken und andere Schwachstellen in der Lieferkette aus.

Schwachstellen in Software

Keine Software ist perfekt. Entwicklerinnen und Entwickler testen ihre Produkte zwar in der Regel ausgiebig, aber eine absolute Sicherheitsgarantie gibt es nicht. Denn Cyberkriminelle suchen gezielt nach Sicherheitslücken. Oft brauchen sie nur eine vorübergehende Software-Schwachstelle, die sie für Zero-Day-Exploits nutzen können – beispielsweise um Updates zu manipulieren und auszuspielen. Ein Beispiel dafür haben wir im Januar vergangenen Jahres gesehen, als der Authentifizierungsdienst Okta von der Hackergruppe Lapsus$ angegriffen wurde. Den Angreifenden gelang es, eine Schwachstelle bei Sitel, einem der Dienstleister von Okta, auszunutzen. Sie verwendeten eine für die Fernwartung gedachte Software, um sich in den Laptop eines Mitarbeitenden einzuloggen, und gaben sich erst zwei Monate später der Öffentlichkeit zu erkennen. Dies zeigt deutlich, wie lange Hacker in Systemen unentdeckt bleiben können und wie schnell – und weitreichend – sich Malware in Lieferketten verbreiten kann.

Social Engineering

Nicht nur die Technik, sondern auch der Mensch wird von Cyberkriminellen ständig auf die Probe gestellt. Beim Social Engineering nutzen Hackergruppen beispielsweise Vertrauen und Angst aus, um die Opfer dazu zu bringen sensible Informationen preiszugeben, Sicherheitsfunktionen zu deaktivieren oder Malware zu installieren. Es gibt verschiedene Arten von Social-Engineering-Angriffen, darunter Phishing oder auch Smishing. Beim Phishing werden Menschen mit gefälschten E-Mails dazu aufgefordert, beispielsweise Handlungen im Sinne der Angreifenden durchzuführen. Beim Smishing, also gefälschten SMS- oder anderen Textnachrichten, sind Menschen oft noch unvorsichtiger und reagieren schneller als auf E-Mails. Im vergangenen Juli versuchten Cyberkriminelle zum Beispiel, Christine Lagarde, die Präsidentin der Europäischen Zentralbank, dazu zu bringen, ihren Bestätigungscode für WhatsApp preiszugeben. Dazu verwendeten sie die echte Handynummer der ehemaligen Bundeskanzlerin Angela Merkel – bislang ist unbekannt, wie die Cyberkriminellen in deren Besitz gekommen sind. Lagarde wurde misstrauisch und rief Merkel an, um sich nach der Nachricht zu erkundigen – die Gefahr war gebannt.

Brute-Force-Angriffe

Cyberkriminelle nutzen auch so genannte „Brute-Force“-Angriffe, um an sensible Informationen wie interne Anmeldedaten heranzukommen. Diese Angriffe basieren auf dem Trial-and-Error-Prinzip, wobei Cyberkriminelle mit Hilfe von Tools automatisiert verschiedene Zeichenkombinationen ausprobieren, um das Passwort eines Mitarbeitenden herauszufinden. Sobald sie es erfolgreich erraten haben, können sie die Systeme des Unternehmens leicht mit Malware infizieren.

Die Rolle der Sensibilisierung

Die Vielfalt der Angriffe zeigt, dass Sicherheitsverletzungen und Schwachstellen schwerwiegende Folgen für Unternehmen haben können. Trotz — oder vielleicht gerade wegen — der zahlreichen technischen Sicherheitssysteme, die heute im Einsatz sind, versuchen Cyberkriminelle häufiger und hartnäckiger, über Menschen auf Systeme zuzugreifen. Während die technische Verteidigung immer anders aufgestellt ist, funktioniert der Mensch immer gleich. Denn Menschen sind für eines immer anfällig: emotionale Manipulation.

Um das Risiko von Cyberangriffen zu verringern, ist es unerlässlich, die Mitarbeitenden stärker in holistische Cybersicherheitsstrategien einzubinden. So kann sichergestellt werden, dass jedes Mitglied einer Organisation für solche Angriffe sensibilisiert ist und die Methoden der Angreifenden kennt. Eine einfache Erklärung auf Papier oder eine Schulung reicht jedoch nicht aus, denn passives Wissen wird selten angewandt und kann schwer zu merken sein. Aktives Wissen kann dagegen in der realen Welt in die Praxis umgesetzt werden und sich in sicherem Verhalten niederschlagen. Dies können Unternehmen mit modernen Schulungen zum Sicherheitsbewusstsein, praktischen Übungen und realistischen Simulationen erreichen. Im Mittelpunkt sollten dabei immer die Bedürfnisse der Lernenden stehen. Die Nutzung von Verhaltenswissenschaft und Lernpsychologie ist von entscheidender Bedeutung. Gamification zum Beispiel ist hocheffektiv und kann nach Untersuchungen von SoSafe die Nutzeraktivierung um 54 Prozent steigern.

Wenn Mitarbeitende durch Simulationen lernen, was im Notfall zu tun ist, wissen sie, wie sie im Ernstfall reagieren sollten. Das Risiko von Cyberangriffen kann durch solche systematischen und individuellen Schulungsmaßnahmen um bis zu 90 Prozent gesenkt werden. Das macht die Sensibilisierung zu einem wichtigen Schritt in Richtung Cybersicherheit für die gesamte Organisation.

Über den Autor: Dr. Niklas Hellemann ist CEO von SoSafe.

(ID:49433339)