11.08.17 - Immer wieder machen Cyberangriffe Schlagzeilen, und die Sensibilisierung ist allgemein gestiegen. Doch noch immer schützen sich KMU zu wenig.
Immer wieder machen Cyberangriffe Schlagzeilen, und die Sensibilisierung ist allgemein gestiegen. Doch noch immer schützen sich KMU zu wenig. Mögliche Gründe dafür und wie sich das Vorgehen der Täter verändert hat, erläutert Max Klaus, stellvertretender Leiter der Melde- und Analysestelle Informationssicherung MELANI im Interview.
Es scheint, als steige die Rate bei der Internetkriminalität an. Stimmt dieser Eindruck?
Ja, dieser Eindruck ist korrekt. Da in der Schweiz keine Meldepflicht von Cyberangriffen besteht, kennen wir immer nur die Spitze des Eisbergs. Die Zunahme ist aber enorm. Schätzungen zufolge wird heute mehr Geld mit Internetkriminalität gemacht, als mit dem Drogenhandel.
Wir sehen eine starke Zunahme bei Angriffen in Verbindung mit Erpressungsversuchen. Die Daten werden verschlüsselt, und die Täter fordern für die Entschlüsselung Geld. Wir raten von einer Zahlung aber konsequent ab. Es gibt keine Garantie, dass die Angreifer den Schlüssel zur Wiederherstellung der Daten liefern. Vor Verschlüsselungstrojanern kann man sich mit einem regelmässigen Back-up der Daten schützen. Ausserdem sollten alle Updates sofort installiert werden. So verringert sich die Gefahr, Opfer eines Angriffs zu werden, deutlich.
Hat sich das Vorgehen der Täter verändert?
Das Vorgehen der Täter ist extrem unterschiedlich und hängt auch von der Motivation der Täterschaft ab. Wir kennen Angriffe, in denen allein die Herstellung des Virus mehrere Millionen US-Dollar gekostet hat.
Die Täter gehen immer professioneller vor. Konnte früher ein Phishing-E-Mail schon an der falschen Grammatik erkannt werden, wird es für Laien immer schwieriger zwischen gutartigen und bösartigen Mails zu unterscheiden. Auch die Optik und die Geschichte, die darin erzählt wird, werden immer glaubhafter. In letzter Zeit wird immer mehr mit persönlichen Angaben vorgegangen. Die Angreifer wählen in ihren Mails eine persönliche Anrede und nehmen sich häufig Zeit, eine glaubhafte Geschichte zu erfinden. In Sachen Sensibilisierung bin ich überzeugt, dass man nicht früh genug mit der Schulung anfangen kann. Schon Kinder sollten wissen, dass man nicht alles glauben darf, was per E-Mail kommuniziert wird, und dass man im Internet mit persönlichen Informationen vorsichtig sein muss.
Sind KMU stärker gefährdet?
KMU sind sogar gefährdeter als Grossbetriebe, da in KMU häufig die personellen und/oder finanziellen Ressourcen fehlen, um eine gute IT-Security zu betreiben. Eine Studie aus dem anglikanischen Sprachraum zeigte, dass Betriebe mit 10 bis 100 Mitarbeitenden am meisten gefährdet sind. Oft kaufen KMU ihre Laptops im Elektronikmarkt, ohne sich weitere Gedanken zur Sicherheit zu machen. Die Täter wägen Kosten und Nutzen eines Angriffs sehr gut ab und greifen in der Regel das schwächste Glied an. Schon einfache Schutzmassnahmen können also helfen, dass sich der Angreifer ein anderes Opfer sucht.
Woran liegt es aus Ihrer Sicht, dass KMU sich nicht besser schützen?
Die Herausforderung bei den KMU ist sicher, das nötige Geld und Know-how aufzubringen. Viele Unternehmen sind sich ausserdem dem Wert ihrer Daten nicht richtig bewusst. Ganz besonders sollten sich innovative Firmen gut schützen. Bereits der Verlust von «normalen» Kundendaten kann verheerend sein.
Eine Schwierigkeit bei der Sensibilisierung ist, dass Cyberangriffe nicht greifbar sind. Wird hingegen einer Schreinerei empfohlen einen Blitzableiter zu installieren oder wird jemandem geraten, die Haustüre abzuschliessen, ist das für alle leicht nachvollziehbar.
Sich richtig zu schützen, ist anspruchsvoll. Was empfehlen Sie Unternehmen, welche die IT auslagern oder Fachleute hinzuziehen?
Hier kann ich raten, den Vertrag genau anzuschauen, damit keine Missverständnisse aufkommen. Es sollte immer klar sein, was genau in der Leistung enthalten ist. Beispielsweise weiss ich von einem Fall, wo beide Parteien davon ausgingen, dass die andere den Back-up erstellt. Das Unternehmen wurde Opfer eines Angriffs und konnte dann leider auf keine Back-up-Daten zurückgreifen, was beinahe zum Konkurs des KMU geführt hätte.
Wo erhalten Sie Unterstützung?
Die Melde- und Analysestelle Informationssicherung MELANI bietet auf ihrer Website www.melani.admin.ch eine Reihe von Checklisten und Anleitungen, wie Sie Ihre privaten und geschäftlichen Computer noch besser schützen können. Ausserdem gibt es bei MELANI ein Meldeformular, wo Sie Vorfälle – auf Wunsch auch anonym – melden können.
Das Bundesamt für Polizei Fedpol betreibt ein Kooperationsmodell zwischen den 26 schweizerischen Kantonspolizeistellen und dem Bund. Diese Stelle unterstützt Sie bei der Einreichung von Strafanzeigen in Zusammenhang mit Cyberangriffen und bietet ebenfalls ein Meldeformular an (www.cybercrime.admin.ch). Zuständig für Strafanzeigen ist bei Privatpersonen die Kantonspolizei am Wohnsitz der Person. Unternehmen reichen eine Strafanzeige bei der Kantonspolizei am Hauptsitz des Unternehmens ein.