IT-Security Wettlauf von Cyber-Igel und Cyber-Hase

Die Motivation für Hacker-Angriffe – vom einfachen Spieltrieb bis zu professionellen, politischen und wirtschaftlichen Interessen – trifft in vollem Umfang auch auf öffentliche Institutionen zu. Jörg Prings und Marcus Hock von der Profi AG erklären die Hintergründe.

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

TXOne Networks

PROFI Engineering Systems AG

Wenn wir in der Vergangenheit an das Thema Hacker gedacht haben, sind uns in der Regel Szenarien eingefallen wie zum Beispiel Wirtschaftsspionage – manch einer wundert sich, in China Automobile zu finden, die europäischen ­optisch sehr ähnlich sind – oder natürlich die Versuche des Aus­spähens der Passwörter inklusive des Online-Banking-Zugriffs auf dem Rechner in den eigenen vier Wänden.

2013 enthüllte der ehemalige Geheimdienstmitarbeiter Edward Snowden die internationalen Überwachungsaktivitäten der National Security Agency (NSA), die seit spätestens 2007 in großem Umfang die Telekommunikation und dabei insbesondere das Internet verdachtsunabhängig überwacht haben soll.

Und heute im Jahr 2015? Die Digitalisierung unserer Arbeitswelt schreitet rasant voran, jeder ist mit jedem, alles mit allem vernetzt, Stichworte dazu sind Social Media Networks, B2B (business to business), B2C (business to consumer), Industrie 4.0, um nur einige so­genannte „Buzzwords“ zu nennen. Die Gründe für mehr oder weniger professionelle Angriffe auf Industrie und Wirtschaft liegen auf der Hand. Wo aber liegen die Interessen der Angreifer auf öffentliche Institutionen?

Attraktiver Public Sector

Die Frage nach den Gründen für Angriffe stellt sich jedoch erst an zweiter Stelle, die jüngste Vergangenheit lehrt uns, dass die ganze Bandbreite an Interessen – vom einfachen Spieltrieb bis zu professionellen, politischen und wirtschaftlichen Interessen – in vollem Umfang auch auf öffentliche Institutionen zutreffen:

• Computerviren im Bundestag – was war die Motivation der Angreifer?

• Zugriff auf die Server der Kfz-Zulassungsstellen in Hessen und Rheinland-Pfalz – was wollten die Angreifer damit erreichen?

Die Kernfrage ist doch, wie man sich vor Angriffen jeglicher Art schützen kann, was zu tun ist, um IT sicherer zu machen, als sie heute ist.

Dabei betrachte ich noch gar nicht den Handlungsbedarf im Rechtsraum, Stichwort dazu das IT-Sicherheitsgesetz (ITSiG) als Vorschlag der Bundesregierung, einen Mindeststandard für die IT-Sicherheit zu vereinbaren und eine Meldepflicht für IT-Störfälle ein­zuführen.

Ist IT heute trotz der unzähligen Sicherheitskonzepte und installierten Softwareprodukte nicht sicher genug? Dazu möchte ich ein einfaches Beispiel heranziehen: Als Mitarbeiter im Back Office einer Bank bearbeitet und prüft Herr ­Peter jeden Tag zahlreiche Kreditanträge. Eines Morgens hat er eine­ eMail von einer Person in seinem Postfach, die vorgibt, ihn neulich auf einer Veranstaltung in Berlin kennengelernt zu haben. Tatsächlich war er auch dort, nur an den Absender der Mail kann er sich nicht mehr erinnern, da Herr Peter an diesem Tag mit unzähligen Personen gesprochen hat. Trotzdem klickt er auf den beigefügten Link – plötzlich springt ein Pop-up-Fenster im Browser auf, das Herr Peter, ohne es weiter zu beachten, einfach wegklickt. Es war ein Sicherheitshinweis des Browsers. Damit nimmt das Übel seinen Lauf.

Was nun geschieht, kann sehr vielfältig sein: Zugang zum Netzwerk der Bank, damit die Möglichkeit Passwörter oder Daten auszuspähen. Viel wichtiger als die Beschreibung des möglichen Schadenszenarios ist die Analyse, wie der „Einbruch“ trotz IT-Sicherheitssysteme hat stattfinden können: die Unachtsamkeit oder Unaufmerksamkeit des Sachbearbeiters in diesem Beispielfall.

Bitte lesen Sie auf der nächsten Seite weiter.

(ID:43613918)