Cybercrime: Neue Maschen – alte Fehler

ARS Akademie

·

29.11.2022

Die Angriffsszenarien von Cyberkriminellen werden immer kreativer. Wie sich das Bild von Cybercrime in den letzten Jahren geändert hat und wie Unternehmen sich bestmöglich absichern? Wir haben mit unseren Experten Univ.-Lekt. Nicolas Nagel, LL.M., CIPP/E, CIPM, CIPT, FIP, CDPO, CIPP/C, CIPP/US und Mag. Rainer Hörmann gesprochen.

Cybercrime im Wandel der Zeit

Die Fälle häufen sich – auch in Österreich. Laut Bundeskriminalamt wurden hierzulande im vergangenen Jahr rund 46.100 Fälle von Cybercrime angezeigt. Die Dunkelziffer ist vermutlich höher. Oft wird Lösegeldforderungen nachgegeben, um gestohlene Daten zurückzubekommen, die sich später als Betrugsmasche entpuppen. Die Täter sind auf und davon, aber gesehen hat man sie ja sowieso nie. Einst und heute gegenübergestellt, hat sich die Welt der Cyberkriminalität stark gewandelt. Waren es früher einzelne Personen, stecken heute global agierende Organisationen dahinter. Langsame Internetverbindungen und eingeschränkte technische Möglichkeiten haben Cyberkriminalität vor 20 Jahren vielleicht noch erschwert. Heute hingegen sind den kriminellen Machenschaften aufgrund von KI und Krypto Assets kaum noch Grenzen gesetzt. Während Phishing Mails früher leicht zu erkennen waren, erscheinen sie heute so wahrheitsgetreu, dass ein falscher Klick schnell getan ist. Lesen Sie selbst, wie unsere Experten diese Entwicklungen einschätzen und womit in den kommenden Jahren noch zu rechnen ist.

Risikofaktoren im Unternehmen abwehren

Cybercrime hat in den letzten Jahren stark zugenommen. Ins Hacker-Visier rücken neben Privatpersonen immer mehr Unternehmen und Behörden, selbst vor Krankenhäusern und Vereinen machen die Täter nicht Halt. Tendenz weiter steigend. Ein falscher Klick und man tappt in die Falle: Die eigene Website ist nicht mehr erreichbar, Firmendaten werden abgesaugt, der Online-Shop ist gesperrt, Social-Media-Kanäle werden mit Falschinformationen gefüttert oder ganze IT-Infrastrukturen lahmgelegt.

So sorgte ein Cyberangriff im Herbst 2022 auf einen bekannten Lebensmittel- und Non-Food-Großhändler für Ausfälle der IT-Systeme. Die Folgen davon bekamen auch die Kunden zu spüren. Lange Schlangen an den Kassen. Als „normal“ geltende Kartenzahlungen konnten kaum abgewickelt werden. Erst nach einigen Tagen hatte der Großhändler die IT wieder im Griff. Kurz darauf wurde eine Cyber-Attacke auf eine Bonus-Karten-App bekannt. Mit gestohlenen Passwörtern gelang Hackern der Zugriff auf das Bonusprogramm der Kunden. Durch das kontinuierliche Monitoring des Unternehmens wurde der Fall zwar umgehend entlarvt und die Online-Transaktionen gestoppt, aber die schlechte Publicity war nicht mehr aufzuhalten. Der Schaden war angerichtet.

„Heute stellt sich weniger die Frage, ob, sondern wann man zum Angriffsziel eines Hackers wird.“

Wir haben Nicolas Nagel, Datenschutzexperte und Spezialist zum Thema Cybercrime, nach Tipps zur Absicherung für Unternehmen, den häufigsten Schwachstellen und Verbesserungspotenzial zur Abwehr gefragt.

„Am Wichtigsten in diesem Zusammenhang ist, sich nicht zu sicher zu fühlen. Kriminelle bevorzugen vor allem lukrative, mittelständische Unternehmen, die nicht aus der IT-Branche stammen, schnell wachsende Unternehmen mit großen Mengen an Daten, aber auch Kleinstunternehmen, deren Fokus nicht auf Datensicherheit liegt. Diese sogenannten „low hanging fruits“ bieten die Aussicht auf „schnelles Geld“ bzw. massenweise Daten. Schwachstellen sehe ich großteils in der fehlenden Außensicht der Unternehmen auf ihre eigene IT-Infrastruktur und damit einhergehende Risiken. Regelmäßige Penetrationstests bzw. externe Überprüfungen können hier eine Abhilfe bieten und Cybercrime abwehren“

Digitalisierung & Technologie als Förderer von Cybercrime

Durch den rasanten technischen Fortschritt verändern sich auch die Tatwerkzeuge der Hacker. Ihre Wege sind schwer nachzuverfolgen. Durchschnittlich führt nur jede dritte Anzeige zu einer Aufklärung. Kurz: Ermittlungen laufen oft ins Leere. Nicolas Nagel beobachtet schon länger, dass Cyberkriminelle in ersten Ansätzen KI-basierte Technologien nutzen, um intelligente Malware zu entwickeln. Dabei sieht er für Unternehmen vor allem in der mit Hilfe von künstlicher Intelligenz erstellten polymorphen Schadsoftware potenzielle Gefahr. Diese Software kann den Code und die Angriffsmuster automatisch verändern und sich so bis zur Unkenntlichkeit tarnen. Deepfakes für die Stimmen- und Videokopie (z. B. der CEOs) sind bereits in der „Erprobung“ und werden laut Nicolas Nagel auch in Zukunft weiterentwickelt und verstärkt auftreten.

„Mittelfristig werden Quantencomputer die heutigen sicheren Verschlüsselungsalgorithmen gefährden und aller Voraussicht nach knacken.“

Sie sehen, der Ideenvielfalt von Cyberkriminellen sind keine Grenzen gesetzt und die Vorgehensweisen werden in Zukunft noch gefinkelter. Hack-Roboter, die das Netz nach instabilen Systemen durchsuchen und selbstständig angreifen. Deepfakes, die eine Täuschung durch manipulierte Bild-, Ton- und Videoaufnahmen mit Hilfe von künstlicher Intelligenz einfacher machen. Gefälschte QR-Codes, die mit dem „Vertrauens-Trick“ in Umlauf gebracht werden: User wissen nicht, was sich hinter dem QR-Code versteckt und was nach dem Scannen passiert. Kurz, die Technik macht leider vieles möglich.

Cyberversicherung für Unternehmen nutzen

Im Zuge der Digitalisierung hat sich der Spielraum für Ransomware-Attacken erweitert: Mehr Vernetzung bedeutet mehr Anfälligkeit. Unternehmen müssen sich für den Krisenfall wappnen, die Gefahr erkennen und den Stellenwert von Cyber Security erhöhen. Bedenken Sie den Domino-Effekt, den ein Cyberangriff auslösen kann. Fällt der erste Stein durch eine stillgelegte Website oder ein Computersystem, gehen Ihnen Kunden verloren. Werden anschließend Daten abgesaugt, folgen Reputationsschäden und Wiederherstellungskosten – der zweite Stein ist gefallen. Kommt auch der nächste Dominostein zum Erliegen und der Angriff wirkt sich negativ auf Kunden oder Lieferanten aus, folgen rechtliche Konsequenzen. Cyberversicherungen bieten dabei eine sinnvolle Vorsorgemaßnahme zur Abwehr von Risiken im Unternehmen.

Unser Experte Mag. Rainer Hörmann beschäftigt sich als Haftpflichtspartenleiter bei R+V Versicherung seit langem mit dem Thema Cybersicherheit. Er sieht darin in den kommenden Jahren eines der wichtigsten Themen für Unternehmen und Versicherungen:

„Allein in der Bundeshauptstadt Wien sind rund 80 %, und damit vier von fünf Betrieben, von Cyberkriminalität betroffen. Daher ist es gerade jetzt wichtig, eine Vorsorge zu treffen und das eigene Unternehmen mit einer entsprechenden Cyberpolizze abzusichern.“

Awareness Know-how ist die beste Verteidigung

Führungskräfte von heute sind gefordert, Cyberrisiken richtig einzuschätzen und Mitarbeiter für Ransomware – Erpressungstrojaner, Erpressungssoftware, Kryptotrojaner oder Verschlüsselungstrojaner ­– zu sensibilisieren. Weiterbildung und speziell Awareness-Seminare bieten dafür die optimale Lösung und sind ein wichtiger Bestandteil der IT-Sicherheitsstrategie eines Unternehmens.

Wir haben Nicolas Nagel gefragt, worauf der Fokus in seinen Schulungen liegt und was er Teilnehmenden für die Praxis mitgeben kann.

„Grundlegend gilt es zwischen Schulungen, die auf die Vermittlung von Wissen abzielen, und Awareness-Sessions, welche auf ein bestimmtes Thema oder Entwicklungen aufmerksam machen wollen, zu unterscheiden. Schulungen sollten dabei nach einem klaren Schulungsplan für die jeweiligen Mitarbeiterrollen durchgeführt werden. Awareness Sessions sollten jedoch in regelmäßigen, durchaus kurzen Abständen erfolgen und aktuelle Sicherheitsrisiken aufgreifen und verständlich den Mitarbeitern nahebringen. Ich selbst greife dabei gerne aktuelle Fälle aus dem Alltag auf, aber zeige auch Klassiker: Wie man ein Passwort „knackt“ und wie einfach dies eigentlich ist, wenn es die klassischen Fehler beinhaltet, oder aber ich versuche am Telefon sensible Daten jemand anderes zu erlangen (Stichwort „Phishing“).“

Fazit: Wissen ist der beste Schutzschild

Machen Sie Ihre Mitarbeitenden zu Ihrem IT-Verteidigungssystem und schaffen Sie durch den Aufbau einer Cybersicherheitskultur Bewusstsein für den Umgang mit Risiken. Nur ein ganzheitliches Verständnis für die Thematik bietet nachhaltig die Möglichkeit, Schwachstellen rechtzeitig zu erkennen, effizient gegenzusteuern und Cybercrime abzuwehren. Dabei kann auch der Abschluss einer Cyber- & Betrugsversicherung helfen. Am Schluss bleibt uns nur zu sagen: Entscheiden Sie selbst, ob Ihre Mitarbeitenden eine IT-Sicherheitslücke sind oder als Verteidigungszentrum für Ihr Unternehmen agieren.