IT-Sicherheit Attacken im Cyberspace richten sich nicht nur gegen grosse Unternehmen; betroffen sind auch KMU. Der Bieler Versicherungsbroker Biennassur hat darum Experten eingeladen, um seine Kunden zu sensibilisieren – denn der Schaden ist rasch immens.
Montag, 14. März. Ein konzertierter Cyberangriff legt Webseiten von Grossunternehmen lahm. SBB, Interdiscount, Digitec und weitere Firmen sind betroffen. Das zeigt: Niemand ist sicher vor Angriffen auf IT-Systeme. Der 14. März wird darum als «schwarzer Montag» bezeichnet.
Opfer von solchen Angriffen sind aber nicht nur Konzerne und grosse Unternehmen. Die Kriminellen haben auch KMU im Visier, und sei es nur, um über sie Zugang in die Systeme ihrer Auftraggeber zu erlangen. Doch bei KMU ist das Risikobewusstsein oft gering. Um dieses zu wecken und Unternehmen in der Region zu sensibilisieren, hat der Versicherungsbroker Biennassur am Dienstagabend zu einer Informationsveranstaltung geladen.
Während in der Vergangenheit ein Postkutschenraub oder zumindest ein Banküberfall nötig war, um ohne ehrliche Arbeit an Geld zu kommen, genügt heute ein Laptop mit der entsprechenden Software, um an tausende potenzielle Opfer heranzukommen, stellt Max Klaus klar. Er ist stellvertretender Leiter der Melde- und Analysestelle Informationssicherung des Bundes (Melani). Die Bevölkerung ist zwar zunehmend vernetzt, das Gefahrenbewusstsein hat aber nicht Schritt gehalten.
Cyber-Angriffe werden in verschiedene Kategorien unterteilt. Beim «Defacement» («Entstellung») geht es um das Abändern einer Internet-Seite, die einem nicht gehört. Dieses erfolgt oft nicht primär aus Geldmotiven, sondern etwa aus politischen Gründen, hat für die Betroffenen aber nicht minder unangenehme Folgen. So wurden etwa in der heissen Phase des Wahlkampfs zur Minarett-Inititative innert drei Wochen 3000 Seiten gehackt.
Am «schwarzen Montag» erfolgte dagegen ein DDoS-Angriff («Distributed Denial of Service»). Dabei werden Webseiten lahmgelegt, ihre Funktion kommt zum Erliegen. Oft geht einem solchen Angriff ein Erpressungsversuch voraus. Klaus rät, in keinem Fall Lösegeld zu zahlen, denn: «Es gibt keine Garantie, dass der Angriff danach aufhört. Zudem stärkt man so die Angreifer.» In der breiten Öffentlichkeit einigermassen bekannt dürften Phishing-Angriffe sein. Dabei wird versucht, einem User Zugangsdaten zu entlocken. Darum ist bei allen Mails, die eine Aktion verlangen, Vorsicht geboten. «Eine seriöse Schweizer Bank fragt nie per Mail nach Benutzerangaben », sagt Klaus. Sehr perfid und für KMU von Relevanz ist sogenannte «President Scam»: Hierbei geben sich die Angreifer täuschend echt als CEO aus und erteilen den Auftrag zu einer vertraulichen Zahlung. Ein KMU im Kanton Fribourg hat so eine Million Franken verloren. Die Beispiele zeigen: Technische Massnahmen sind nötig, reichen aber nicht aus. «Angegriffen wird das schwächste Glied», so Max Klaus, «und das ist der Mensch.» Organisatorische Massnahmen sind deshalb unabdingbar.
Dass es um die IT-Sicherheit in der Region nicht immer zum besten bestellt ist, weiss Pascal Schmid, CEO der Netrics Hosting AG. Webseiten, die mit veralteten Systemen betrieben werden; veraltete Webserver; unsichere Passwörter oder die selben für mehrere Zugänge; fehlende Übersicht über die Zugangsberechtigungen und daraus folgender Missbrauch Vieles hat Schmid als Chef des IT-Dienstleisters schon erlebt. Er empfiehlt darum moderne Infrastruktur in Hard- und Software, regelmässige Updates und Datensicherungen, beständiges Ändern der Passwörter. Hinzugekaufte technische Mittel können den Schutz erhöhen: Eine «Smartwall» fungiert sozusagen als zweite Firewall. Doch Pascal Schmid warnt: «Hundertprozentigen Schutz gibt es nicht.» Und: Je grösser der Schutz, desto höher sind die Kosten dafür.
Für ein KMU kann die Nutzung ihres Netzwerks zum Versand von Spam-Mails auch dann problematisch sein, wenn es selber keinen direkten Schaden davonträgt. Seine Server werden dann nämlich automatisch auf schwarze Listen gesetzt und der Mailversand ist nicht mehr möglich. Bis die Server wieder von diesen Listen entfernt sind, können gut und gerne mehrere Tage ins Land gehen.
Selten sind solche Probleme beileibe nicht: Missbrauch zum Spam-Versand kommt bei den Netrics-Kunden etwa einmal pro Monat vor, DDoS-Attacken seien in den letzten beiden Wochen mehrmals erfolgt, so Pascal Schmid. Vom Angriff durch den Trojaner «Locky» waren in den letzten zwei Wochen zwölf Kunden betroffen. Auch Angriffe aus ideologischer Motivation sind schon vorgekommen – auf der Netrics-Kundenliste steht beispielsweise der Fastfood-Riese McDonald’s.
Oft haben Hacker ein erschreckend leichtes Spiel: 95 Prozent der Fälle sind auf menschliches Versagen zurückzuführen, 90 Prozent der erfolgreichen Phishing-Attacken kommen mit gerade mal zehn E-Mails zum Ziel. KMU werden überdies als Eingangstor zu Angriffen auf grosse Firmen benutzt: Als der US-Detailhändler Target Corporation attackiert wurde, erfolgte der Zugriff über einen Zulieferer, nämlich den Klimaanlagen-Installateur, weiss Christian La Fontaine von der Zurich Versicherung.
Doch wo ein Schaden droht, ist auch eine Versicherung: Seit drei Jahren sind in der Schweiz zur Cyberkriminalität Versicherungsprodukte erhältlich. Diese sind modular aufgebaut und decken sowohl Eigenschäden als auch die Haftpflicht ab. Daten aus den USA zeigen: Die durchschnittliche Schadenszahlung beträgt 0,7 Millionen US-Dollar, betroffen sind am meisten nicht die grössten Unternehmen, sondern jene mit einem Umsatz unter 50 Millionen US-Dollar.
Die Präsentationen der Referenten unter www.bielertagblatt.ch/cybercrime