Das Arsenal der Cyberkriminellen

Bei E-Mail-Spam und Phishing versuchen die Täter, Menschen mit echt aussehenden Benachrichtigungen aufs Glatteis zu führen, um sie zum Beispiel zur Herausgabe von Passwörtern oder Unternehmensgeheimnissen zu bewegen. Unter dem Begriff Malware werden sämtliche Schadprogramme zusammengefasst, die der Infektion eines Rechners dienen: um ihn etwa für das Mining von Kryptowährungen zu missbrauchen oder um Software zu installieren, die heimlich Informationen abfließen lässt. Landläufig fällt Malware unter den Sammelbegriff „Virus“ – genauso wie Ransomware.

Auch das sind Schadprogramme. Sie verschlüsseln Daten und fordern deren Besitzer auf, Lösegeld für die Entschlüsselung zu bezahlen. Ransomware ist unter Kriminellen derzeit besonders en vogue: Von 2020 auf 2021 hat sich laut dem IT-Sicherheitsanbieter Sonicwall die Zahl solcher Vorfälle innerhalb eines Jahres verdoppelt.

Bei DDoS-Angriffen schließlich – das Kürzel DDoS steht für Distributed Denial-of-Service – schicken die Täter in kurzer Zeit sehr viele Anfragen, die von zahlreichen Rechnern ausgehen, koordiniert an einen Internetserver – mit dem Ziel, ihn zu überlasten. Die Flut der Anfragen verhindert, dass der Server die Aufgaben erfüllt, die er eigentlich erledigen sollte.

Das BKA betont, dass Cyberkriminelle heutzutage global und arbeitsteilig organisiert sind. Es gibt digitale Marktplätze, auf denen man alles kaufen oder mieten kann. Eine Kostprobe: Spam gibt es für 0,1 bis 4 US-Dollar das Stück, Banking-Trojaner für 1000 bis 10.000 US-Dollar, DDoS-Angriffe für eine monatliche Gebühr in Höhe von 80 bis 1500 US-Dollar. Es gibt für die Angriffe spezialisierte Anbieter von besonders robusten Server-Infrastrukturen, die sich von Internet-Providern nicht ohne weiteres abschalten lassen. Zudem gibt es Entwickler von Malware, gerne als Auftragsarbeit. Zudem existieren Dienstleister, die diese Malware so verpacken, dass sie von Antivirenprogrammen nicht oder nur schwer zu erkennen sind. Andere Dienstleister haben sich darauf spezialisiert, die Malware ins Ziel zu bringen. Daneben gibt es – wie in der „klassischen“ Kriminalität – Eintreiber von Erpressungsgeld sowie Geldwäscher. Wer letztlich der Auftraggeber einer solchen Cybercrime-Service-Kaskade war, steht noch auf einem ganz anderen Blatt.

Bezahlen für den guten Ruf

Geld oder eine Rufschädigung sind wohl die Motive sehr vieler Cyberangriffe. Im Fall des Solarwinds-Hacks ging es um Spionage. Alles war von langer Hand vorbereitet. Die texanische Firma Solarwinds bietet eine Software an, „Orion“ genannt, mit der Unternehmen ihre IT-Infrastruktur verwalten und überwachen können. Auch wenn Solarwinds hierzulande weitgehend unbekannt ist, so ist die Firma doch kein kleiner Fisch: Zu Zeiten des Angriffs, der im September 2019 startete, machte sie fast 940 Millionen US-Dollar Jahresumsatz und beschäftigte 3200 Mitarbeiter. Die Täter infiltrierten zunächst unbemerkt die IT-Systeme von Solarwinds. Danach begannen sie, mehrere Monate lang zu testen, ob sie das Orion-Programm kompromittieren könnten.

Im Februar 2020 waren die Täter davon anscheinend überzeugt und schmuggelten in Orion eine getarnte Hintertür ein, die mit dem nächsten regulären Update bei den Solarwinds-Kunden installiert wurde. Im Verlauf des Jahres integrierten immer mehr Solarwinds-Kunden das verseuchte Update in gutem Glauben in ihre Systeme. Über die Hintertür luden die Angreifer dann weitere Schadsoftware nach. Erst Anfang Dezember 2020 fielen bei betroffenen Unternehmensnetzen erste Ungereimtheiten auf. Vier Wochen später war das Ausmaß des Cyberangriffs noch immer unklar.

Verbindungen nach Moskau?

Betroffen waren vor allem Einrichtungen in Nordamerika, aber auch in Europa, Asien und dem Mittleren Osten. Wie groß der Schaden tatsächlich war, wird vermutlich nie öffentlich werden. Jedenfalls war Solarwinds die optimale Schwachstelle: ein vertrauenswürdiger Anbieter, ein Unternehmen inmitten der IT-Lieferkette mit einer Software, die umfangreiche Befugnisse in den IT-Infrastrukturen der Kunden hatte, um ihre originären Aufgaben erfüllen zu können. Experten der US-Regierung und Sicherheitsforscher vermuten, dass die Angreifer Verbindungen zum russischen Auslandsgeheimdienst hatten.

„Solche Zuschreibungen sind sehr selten mit 100-prozentiger Gewissheit möglich“, sagt Haya Shulman, Professorin für Informatik an der Universität Frankfurt am Main und Leiterin der Forschungsabteilung Cybersecurity Analytics and Defences am Fraunhofer-Institut für Sichere Informationstechnologie SIT in Darmstadt. Zu verschlungen sind die Wege der Angriffe, und sie verlaufen über zu viele Zwischenstationen. „Wir können nur ermitteln, von welcher Internet-Infrastruktur der Angriff erfolgte und mit welchen Hacking-Tools“, sagt Shulman.

Es habe schon den Fall eines Cyberangriffs von vermeintlich iranischen Hackern auf Systeme in mindestens 35 Staaten gegeben. „Doch dahinter steckte eine russische Gruppe, keine iranische“, berichtet die Forscherin. Die russische Gruppe hatte die Werkzeuge einer iranischen Gruppe übernommen, sodass alles nach einem Angriff aus dem Mittleren Osten aussah. Nur durch Zufall stieß ein IT-Sicherheitsunternehmen bei der Aufarbeitung des Angriffs auf eine Software, die sich eindeutig der russischen Gruppe zuordnen ließ.

Angriffe schon im Ansatz erkennen

Haya Shulman forscht an Ansätzen, um Cyberangriffe bereits zu erkennen und zu stoppen, wenn sie noch keinen oder kaum Schaden angerichtet haben. Botnetze zum Beispiel erzeugen typische Verkehrsdaten im Internet, die Kommunikation einer Malware mit ihrer Zentrale ebenfalls. Doch gerade in der Frühphase eines Cyberangriffs treten an den betroffenen IT-Systemen Phänomene auf, die nur schwer von einem falsch konfigurierten Internetserver oder einem Versehen zu unterscheiden sind. Und egal, ob böse Absicht oder Versehen: Alles läuft anfangs innerhalb weniger Minuten ab. „Eine erfolgreiche Überwachung muss also sehr schnell die Spreu vom Weizen trennen“, sagt Shulman. „Das ist nicht einfach, angesichts der immensen Menge an Verkehrsdaten, die dabei zu analysieren ist.“ Da kommen rasch Terabyte zusammen, mindestens aber viele Gigabyte. Diese riesige Datenmenge muss teils in Echtzeit untersucht werden.

Es ist die berühmte Suche nach der Stecknadel im Heuhaufen. In die Analyse fließen daher noch weitere Informationen ein: Bösartige Angriffe erfolgen zum Beispiel tendenziell von Domains oder IP-Adressen, die häufig ihren Netzbereich oder Internetanbieter wechseln.

Analysen an vielen Stellen im Netz

„Jede einzelne Information, die auf einen Cyberangriff hinweist, kann fehlerbehaftet sein“, sagt Shulman. „Aber wenn viele Analysen zum gleichen Ergebnis kommen, haben wir es womöglich wirklich mit einem Angriff zu tun.“ Hilfreich ist dabei auch, wenn die Datengewinnung für die Analyse nicht nur an einer Stelle im Internet erfolgt, sondern an möglichst vielen Stellen gleichzeitig. Über das Geschehen in einer Stadt hat man ja auch einen besseren Überblick, wenn man sich nicht nur den Marktplatz anschaut.

Ist ein Cyberangriff erkannt, plädiert Shulman bei betroffenen Unternehmen, die zur kritischen Infrastruktur zählen, und bei staatlichen Einrichtungen für Gegenmaßnahmen. In Deutschland beginne dann sofort die Diskussion um Hackbacks – also die Taktik, den Angreifer über IT-Schwachstellen selbst anzugreifen. „Doch das meine ich nicht“, sagt die Sicherheitsforscherin aus Hessen. Vielmehr geht es ihr darum, dass die Betroffenen die Angriffe ins Leere laufen lassen können, etwa durch die Blockade des von bestimmten Adressen kommenden Internetverkehrs.

Das Problem: Es lässt sich nicht vermeiden, dass auch Unbeteiligte mit IP-Adressen aus demselben Adressbereich unter dieser Maßnahme leiden. „Man muss also immer abwägen, wieviel Kollateralschaden man in Kauf nimmt, um zum Beispiel die IT eines Krankenhauses oder eines Wasserversorgers vor einem Cyberangriff zu schützen“, verdeutlicht Shulman das Dilemma. „Rechtlich ist diese Form von Abwehr in Deutschland bislang umstritten, in den USA dagegen findet sie statt – oft in Zusammenarbeit von Ermittlungsbehörden und IT-Unternehmen.“

Neue Sicherheitskonzepte

Neben der frühen Erkennung und Abwehr von Cyberangriffen forschen Wissenschaftler auch an ganz neuen – grundlegenderen – Ansätzen, um die IT-Welt sicherer zu machen. Der Bochumer Max-Planck-Direktor Christof Paar nennt als Beispiele die Stichworte beweisbare Sicherheit, Post-Quantum-Kryptografie, Rechnen auf verschlüsselten Daten und Hardwaresicherheit. „Beweisbare Sicherheit ist ein altes Ziel der Informatik“, sagt Paar. Dabei versucht man, mathematisch zu zeigen, dass ein bestimmter Programmcode keine Fehler und keine Hintertüren hat.“

Kommunikationsprotokolle oder Softwarebibliotheken – Sammlungen häufig genutzter Befehle – wären Kandidaten dafür, vielleicht sogar der sogenannte Mikrokernel: jener Teil einiger Betriebssysteme, der nur die grundlegendsten Funktionen enthält. Allerdings: Gelungen sind solche Beweise bislang immer nur für vergleichsweise kleine Teile eines Programms.

Die Post-Quantum-Kryptografie befasst sich mit dem Problem, dass durch künftige Quanten-Algorithmen eine ganze Klasse von Verschlüsselungsverfahren nicht mehr sicher sein wird. Dann sind neue Verfahren gefragt. Das US-amerikanische National Institute of Standards – eine Bundesbehörde, die sich Standardisierungsfragen widmet – hat dazu einen Wettbewerb ausgeschrieben, an dem auch Paars Institut zusammen mit der Ruhr-Universität teilnimmt.

Die Bedeutung der Verschlüsselung

Eine andere sehr wichtige Grundlagentechnik ist das Rechnen auf verschlüsselten Daten. Diese Methode ist gerade im Hinblick auf die Cloud – dem Speichern von Daten über das Internet – interessant. „Will man heute verschlüsselte Daten aus der Cloud nutzen, muss man sie zunächst herunterladen und entschlüsseln, bevor man mit ihnen rechnen kann“, erklärt Paar. „Das bietet zusätzliche Angriffsflächen. Besser wäre es, wenn man direkt mit den verschlüsselten Daten rechnen könnte.“ Doch hierzu müssten die Daten auf völlig andere Weise verschlüsselt werden – sodass ihre Struktur erhalten bleibt. Für eine Berechnung würde man dann zum Beispiel nicht den ganzen Datensatz eines Kunden entschlüsseln, um etwa sein Alter zu verwenden, sondern direkt die verschlüsselte Version der Altersangabe. Diese sogenannte voll-homomorphe Kryptografie funktioniert in der Theorie, ist in der Praxis aber nur schwer einsetzbar. „Dennoch verfolgt die IT-Forschung dieses Ziel mit einigem Aufwand“, sagt Paar.

Im Grunde basieren alle bisherigen Ansätze, wie sich ein Mehr an IT-Sicherheit durch Programmcode erreichen lässt, auf einer wichtigen Annahme: dass die Mikrochips sicher sind, auf denen die Software läuft. Leider ist das nicht immer der Fall. Zumindest im Labor zeigten Forschungsteams bereits, dass sich auch auf Chips bei der Fertigung zum Beispiel Trojaner einbauen lassen. „Um diesem Problem beizukommen, schlägt die Forschung zwei Richtungen ein“, sagt Christof Paar. Einerseits wird untersucht, ob sich Chips prinzipiell so gestalten lassen, dass sie leichter verifizierbar sind. Andererseits geht es um die Frage, ob sich Software so gestalten lässt, dass sie robust funktioniert, selbst wenn es zum Beispiel einen Trojaner im Chip gibt. Allerdings: „Ob das gelingt, ist derzeit bei beiden Stoßrichtungen unklar“, sagt der Wissenschaftler.

Mit einfachen, kurzfristigen Lösungen, die das Problem der Cyberangriffe beseitigen, ist also nicht zu rechnen. Umso wichtiger ist es, dass Gesellschaften, Unternehmen, Behörden und Politik ihren Teil dazu beitragen, IT-Systeme sicherer zu machen. Die technische Basis dafür ist vorhanden, betont Christof Paar. Denn trotz aller Gefahren seien „heutige Systeme weitaus sicherer als noch vor zehn Jahren“. Auf der anderen Seite ist der Haken, dass inzwischen alles ans Internet angeschlossen ist: zum Beispiel PCs, Smartphones, Häuser und Produktionsanlagen. Hinzu kommt, dass heute mehr Menschen als vor einem Jahrzehnt auf das Internet angewiesen sind. Und dabei steht die Digitalisierung noch ziemlich am Anfang.