Die Rolle von Bund und Kantonen
Die Gefahren und Dimensionen der Cyberkriminalität sind in der Schweiz längst erkannt, auch auf Bundesebene. Allerdings streiten sich Bund und Kantone seit Jahren um Zuständigkeiten. Das verhindert oder bremst zumindest wirksame Gegenmassnahmen – von Prävention, über Überwachung bis zur Strafverfolgung. Neben dem Zuständigkeitsgerangel fehlt es an Geld (?) und vor allem an technisch versierten Spezialisten. Deshalb steht die Schweiz nicht eben an der Spitze in Bezug auf Strategien und Massnahmen gegen die Cyberkriminalität. Wünschbar ist, dass ein hochentwickeltes Land wie die Schweiz, Hackern und Cyberkriminellen geschlossen und wirkungsvoll die Stirn bieten kann. Gemeinsam mit der Wirtschaft.
Die Rolle der Wirtschaft
Grundsätzlich bleibt die Wirtschaft im eigenen Interesse zuständig und am Ball rund um die verschiedenen Ausprägungen der Cyberkriminalität. Diese Verantwortung wird auch wahrgenommen, in verschiedenen Bereichen und auf unterschiedlichen Ebenen. Gemeinsame und koordinierte Strategien, in Abstimmung mit dem Bund, sind jedoch notwendig, um eine gewissermassen übergeordnete Allianz und "Firewall" zu installieren. Eine ideelle und konzeptionelle Firewall im Sinne von Früherkennung neuer Risiken, Informationsaustausch, Ausbildung sowie laufend erweiterter Best Practice Guidelines für den Umgang mit Infrastruktur und Systemen. Hier liegt Potenzial, um Unternehmen, Berater und Softwarehersteller zu unterstützen und zu stärken.
Die Rolle des schwächsten Gliedes in der Kette
Hacker und Cyberkriminelle suchen und finden die schwächste Stelle in einem System. Und die liegt oft im Faktor Mensch. Das kann ein User am PC, ein Entwickler von Software, ein IT-Verantwortlicher oder ein Entscheider sein, der die Mittel für Ausbildung, personelle Ressourcen oder die Sicherheit von technischen Umgebungen nicht im notwendigen Umfang zur Verfügung stellt. Zwei aktuelle Beispiele zum Thema:
Attacken auf Banken
Auch gefährlich genial konzipierte Malware kann nur dann Schaden anrichten, wenn die Durchlässigkeit eines Systems Türen öffnet. So geschehen im Februar 2016, als die Zentralbank von Bangladesch durch eine Hackerattacke und eingeschleuste Malware um 81 Millionen Dollar beraubt worden ist. Ermöglicht durch schlecht gesicherte Systeme und gestohlene Login-Daten auf Seiten der Bank.
Abwehr und Massnahmen
SWIFT hat im Umfeld dieser Attacke ein umfangreiches Programm für erhöhte Kundensicherheit gestartet, um die Sicherheit der globalen Finanzgemeinschaft zu stärken.
Im Zusammenhang mit neuen Attacken auf Banken erhöht SWIFT dem Vernehmen nach aktuell den Druck und fordert Mitglieder auf, notwendige Software zu installieren und die Sicherheitsvorkehrungen zu erhöhen (Quelle: Nachrichtenagentur Reuters).
Schwachstellen
Die Empfehlungen und Massnahmen von SWIFT greifen allerdings nur dann, wenn sie von Banken weltweit auch umgesetzt werden. Zumal nicht die Systeme von SWIFT an sich betroffen sind, vielmehr die Umgebungen einzelner Banken von Hackern attackiert werden, welche sich damit Zugriff auf das SWIFT-Netz verschaffen wollen. Offensichtlich vermehrt mit Erfolg. Das funktioniert wie bei einem im Prinzip sehr gut gesicherten Haus: Wer den Schlüssel oder die Zutrittscodes hat, kommt eben rein, auch als ungebetener Gast. Die Ursachen für diesen Erfolg sind durchlässige oder schlecht gewartete Systeme und der Faktor Mensch.
Attacken auf Unternehmen und Zahlungs-Software
Die Schadsoftware Dridex hat Offline-Zahlungs-Softwarelösungen im Visier. Der Trojaner hat die Namen zahlreicher Software-Hersteller in seiner Konfigurationsdatei gespeichert, die im Fokus stehen. Wie MELANI bereits Ende Juli berichtet hat, sind mindestens 23 Softwarelösungen von A wie Abacus über C wie Crealogix und M wie Mammut bis T wie Trinity betroffen (MELANI: Liste der betroffenen Anwendung).
Der Trojaner Dridex wird in der Regel über E-Mail-Anhänge von MS Office Dokumenten eingeschleust. Ist der PC infiziert, sucht Dridex explizit nach Offline-Zahlungs-Software bekannter Hersteller, welche in der Schweiz breit eingesetzt werden. Primär von Unternehmen, die über Multibank-Verbindungen eine grosse Zahl von Transaktionen abwickeln. Wird der Trojaner fündig, kann weitere Schadsoftware aus dem Internet nachgeladen werden, welche dann die Erfassung betrügerischer Zahlungen möglich macht.
Abwehr und Massnahmen
MELANI empfiehlt folgenden Massnahmen (Zitat aus Newsletter):
- Verwenden Sie für offline Zahlungs-Software und eBanking einen dedizierten Computer, auf welchem Sie nicht im Internet surfen oder Emails empfangen.
- Verwenden Sie für die Visierung von Zahlungen eine Kollektivunterschrift über einen Zweitkanal (z.B. eBanking). Erkundigen Sie sich bei Ihrer Bank über entsprechende Möglichkeiten.
- Falls Sie einen Hardware-Token (z.B. Smart Card, USB-Dongle) verwenden, entfernen Sie diesen nach Gebrauch der Zahlungs-Software.
- Speichern Sie Zugangsdaten (Vertragsnummer, Passwort, etc.) für eBanking und Zahlungs-Software nicht auf dem Computer bzw. in der Software.
- Erkundigen Sie sich beim Hersteller Ihrer Zahlungs-Software über zusätzliche Sicherheitsmassnahmen und aktivieren Sie die automatischen Softwareupdates.
- Melden Sie verdächtige Zahlungen umgehend Ihrer Bank.
Im Kern sind das Empfehlungen, die seit jeher publiziert und wiederholt werden. Konsequent eingehalten und umgesetzt, erhöht sich der Schutz beträchtlich. Banken und Softwarehersteller agieren ebenfalls an vorderster Front und treffen ihrerseits notwendige Massnahmen, um erkannte Gefahren und Betrugsmuster zu blockieren.
Schwachstellen
Der Trojaner wird über einen User eingeschleust, der einen infizierten Anhang öffnet. Im weiteren Verlauf wird der Trojaner aktiv, um autonom betrügerische Zahlungen zu erfassen – das klappt vor allem dann, wenn der User bekannte Regeln nicht einhält und zu sorglos mit der Zahlungs-Software umgeht. Auch beim Trojaner Dridex steht der Faktor Mensch im Zentrum.
Fazit
Die Chancen für Hacker bleiben immer intakt, weil bestehende und neue Angriffsvektoren eine Rolle spielen. Gefahren und Risiken lassen sich jedoch wirksam minimieren, wenn drei Gruppen aktiv zusammenarbeiten:
Bund und Kantone
Zuständig für übergeordnete Strategien, Informationen, Investitionen in Ausbildung und Spezialisten, Koordinationsaufgaben – immer in Abstimmung mit anderen Ländern. Da besteht noch sehr viel Nachholbedarf und wertvolle Zeit geht verloren, weil aktuell immer noch über Zuständigkeiten diskutiert wird. Gefragt sind jedoch konkrete Strategien und Massnahmen.
Wirtschaft
Banken, System-Anbieter, Software-Hersteller, Berater und ein beträchtlicher Teil von Unternehmen investieren massiv in Ausbildung, Technologie, Sicherheit und Systeme. In den Bereichen Sensibilisierung, Prävention, Erkennung und Abwehr. Der Teil der Wirtschaft, der hinterherhinkt, kann und muss zum Aufholen motiviert werden.
Anwender
Die absolut zentrale Gruppe, weil User unvorsichtig sein können und Menschen einfach Fehler machen. Und damit Lücken und Schleusen für Hacker öffnen können. Die blosse Einsicht nützt noch wenig, hier sind neue und zusätzliche Konzepte gefragt, die in Richtung Bewusstsein, Sensibilisierung und Ausbildung zielen. Konzepte, die aus den Reihen der ersten beiden Gruppen kommen müssen. Mit grossen Erfolgschancen dann, wenn Bund, Kantone und Wirtschaft mit hoher Kompetenz und klarer Aufgabenverteilung am selben Strick ziehen.
Tages-Anzeiger: "Phishing hat nichts mit Angeln zu tun"
MELANI: "Offline Zahlungs-Software im Visier von Hackern – Schweizer Unternehmen betroffen"
Reuters: "SWIFT discloses more cyber thefts, pressures banks on security"