Cybercrime lukrativer als Drogenbusiness?

Die Analyse, welche Guillaume Lovet, Threat Response Manager bei Fortinet, vor kurzem veröffentlicht hat, ist beängstigend. Er hat die Aktivitäten von Cyberkriminellen als Geschäftsmodell untersucht und herausgefunden, dass die kriminellen Aktivitäten im Cyberspace massiv zunehmen und extrem lukrativ sind. Das ist eigentlich nichts Neues: Schon Ende 2005 hat Valerie McNiven, Computer-Crime-Beraterin der US-Regierung, beiläufig gegenüber einem Journalisten erwähnt, dass der Schaden in den USA, der aus Cybercrime resultiert, im letzten Jahr grösser war als der Erlös aus dem Verkauf von Drogen. Dies wurde dann auch breit in der Presse und ohne grosses Hinterfragen veröffentlicht, obwohl es sich dabei nur um Schätzungen handelte. Schlussendlich wurde diese Aussage dann auch bald in Frage gestellt. Doch selbst wenn nur ein Bruchteil davon der Realität entspricht, ist es immer noch massiv. Wir sprechen hier sicherlich von Geschäften in Milliardenhöhe.



Lovet stützt seine Aussagen aber nicht auf Aussagen der US-Regierung, sondern hat die Geschäftsmodelle von Cyberkriminellen selber analysiert und dafür intensiv in einschlägigen IRC-Foren recherchiert. Diese stellen denn auch den eigentlichen Marktplatz für Internetkriminelle dar. Hier wird mit allem gehandelt, was für betrügerische Machenschaften eingesetzt werden kann. Sehr interessant an Lovets Veröffentlichung ist, dass er konkrete Zahlen präsentiert. Beispielsweise die Kosten für ganze Botnetze, Kreditkartensätze, gehackte Websites, um Phishing-Seiten aufzuschalten, und anderes mehr. Ein kompletter Kreditkartensatz, bestehend aus Kartennummer, Ablaufdatum, Security Code, Name und Adresse, ist für gerade mal 2 bis 5 US-Dollar zu haben.

Mit diesen Kreditkarten wird dann teure Ware in Internetshops bestellt. Geliefert wird sie an sogenannte «Drops»: Das sind Mittelmänner in Ländern, wo es keine Gesetze für die digitale Welt gibt. Diese senden sie nach dem Erhalt an den eigentlichen kriminellen Auftraggeber zurück und kassieren dafür Kommissionen. Der Käufer der Kreditkartensätze verkauft dann die Ware in Online-Auktionen. Als Zahlungsmittel für die Kommissionen an den «Drop» kommen virtuelle Währungen wie E-Gold zum Einsatz. Das Handeln mit solchen Währungen ist denn auch völlig anonym. Raten Sie mal, wo sich solche Firmen, welche virtuelle Währungen anbieten, befinden – ebenfalls in Ländern ohne Gesetze für den Cyberspace. Hier scheinen kleine Inseln mit wenig Gesetzen und viel Sonne sehr beliebt zu sein.



Die Berechnungen von Lovet zeigen klar auf, wie extrem lukrativ der Handel mit gestohlenen Kreditkarten (Carding), das Verteilen von Ad-/Spyware (Planting) und das Ausrauben von Online-Banking-Accounts (Phishing) ist. In diesen Geschäften locken teilweise satte Gewinne, wie sie wohl nur im Drogen- und Waffenhandel oder Ähnlichem erreicht werden. Da liegt auch der Schluss sehr nahe, dass heute das organisierte Verbrechen, wie zum Beispiel die Mafia, im Cybercrime-Geschäft aktiv ist. Der effektive Beweis steht aber noch aus. Es gibt denn auch etliche Stimmen, die behaupten, dass herkömmliche kriminelle Organisationen das Geschäft nicht kontrollieren, da sie schlichtweg nicht dafür organisiert sind. Zu länderspezifisch und zu hierarchisch seien diese. Dies steht im Widerspruch zum Internet, das über anarchischen Charakter verfügt und keine Landesgrenzen kennt.



Wer sich die Cybercrime-Businessmodelle und deren involvierte Akteure anschaut, erkennt aber schnell, dass immer wieder aus Ländern operiert wird, die keine oder nur sehr schwache Gesetze gegen Internetverbrechen haben. Dazu kommt sicherlich auch eine mangelnde internationale Kooperation in der Durchsetzung der nationalen Cybercrime-Gesetze. Das sind nach wie vor die zwei Hauptprobleme.