Meierhans meint: Das grösste Risiko ist ein erpressbarer Service-Provider

Von Dr. Daniel Meierhans

Die Webseite einer grossen Schweizer Zeitung infiziert die PCs der Besucher, einfache Progrämmchen, mit denen in einem öffentlichen WLAN der Facebook-Account von anderen Usern übernommen werden kann, oder der wahrscheinlich politisch motivierte, mehrstufige Angriff von Stuxnet auf industrielle Kontrollsysteme: Die Meldestelle MELANI listet für das vergangenen Jahr zahlreiche beunruhigende Sicherheits-Vorfälle auf.


Und seit Anfang Jahr sind einige nicht minder brisante Hacker­angriffe dazu gekommen: So wurden unter anderem dem amerikanischen IT-Sicherheitsunternehmen RSA Technologies über E-Mail-Social-Engineering-At­tacken Informationen über ihr Zweifaktoren-Authentifizierungssystem SecurID gestohlen. Dem Zertifikatsaussteller Comodo haben iranische Hacker als Rache für den wahrscheinlich amerikanisch-israelischen Stuxnet-Angriff auf das Atomprogramm des islamischen Staats Sicherheitszertifikate für Websites mit allen Schlüsselinformationen geklaut. Und schliesslich wurde Ende April auch das Playstation Network von Sony gehackt. Über 75 Millionen Konten inklusive der Kreditkartendaten sind betroffen.

Abwehr wird immer wirkungsloser

Das Internet scheint von Monat zu Monat unsicherer zu werden. Aber stimmt dies wirklich? Oder unterliegen wir hier genauso wie in der allgemeinen Kriminalitätswahrnehmung einer Täuschung, die in erster Linie durch die aggressivere und vor allem weltumspannende Berichterstattung der Medien hervorgerufen wird? Die Entwicklung einiger grundlegender Faktoren zeigt, dass die Internetsicherheit tatsächlich erodiert. Die Angreifer optimieren ihre Methoden heute genauso effizient wie die Industrie ihre Fertigungsprozesse. Auf der Verteidigungsseite bleibt derweil nicht nur der Risikofaktor Mensch mehr oder weniger konstant. Auch die technischen Security-Archi­tekturen sind angejahrt und je länger je überforderter. Mutierende Schad-Software führt Signatur-Scan­methoden ad absurdum und neuartige Angriffsvektoren, von denen noch keine Signatur bekannt ist, lassen sich so oder so nicht erkennen, weil aus reinem Computercode auch mit noch so intelligenten Methoden keine Funktionalität abgeleitet werden kann. Es bleibt nur noch die Beobachtung von auffälligem Verhalten, um Angreifer zu ent­decken. Wenn diese sich genügend clever tarnen, wird es schwierig. Zum Teil übernehmen sie inzwischen sogar Administrator­aufgaben und pflegen aktiv die attackierten Systeme, um sich besser verstecken zu können.

Gefährdet ist, wer erpressbar ist

Die Frage ist allerdings, inwiefern diese wachsende Unsicherheit den Schweizer Mittelstand betrifft. Und hier ist die Antwort nicht mehr so eindeutig. Die Angriffe sind in praktisch allen Fällen wirtschaftlich motiviert. Es werden Bank- und Kreditkarteninformationen geklaut, oder seit die Kreditkartenunternehmen den Missbrauch besser in den Griff bekommen haben, vermehrt auch Grossunternehmen erpresst, deren Business-Modell existenziell vom Internet abhängt. Gezielte Angriffe auf kleinere und mittlere Unternehmen sind demgegenüber äusserst selten, weil sie vergleichsweise wenig Ertrag versprechen und auch in den wenigsten Fällen verwertbare Geheimnisse hüten. Ihre in der Regel schlecht gewarteten Websites werden allenfalls wie im Fall der grossen Schweizer Zeitung zur Verteilung von Schadsoftware genutzt.
Sicherheit heisst für Schweizer KMU darum vor allem auch, sich nicht von einzelnen Internet-Service-Anbietern abhängig zu machen, auf die sich ein Angriff lohnt. Das Internet als Ganzes ist demgegenüber in der Praxis viel weniger gefährdet, als dies mit den heutigen Angriffsmöglichkeiten denkbar wäre. Der Grund ist ganz einfach: Niemand hat ein Interesse, die Kuh zu töten, die er melkt, wie ein Security-Insider die aktuelle Situation lapidar zusammenfasst.


Dr. Daniel Meierhans beschäftigt sich als Technologie- und Wissenschaftsjournalist mit dem ICT-Einsatz in Unternehmen. In seiner regelmässigen Kolumne wirft er einen kritischen Blick auf die Schwerpunkt-Themen des Swiss IT Magazine.
Daniel.Meierhans@Inhalte.ch