Der Mensch hat dreierlei Wege klug zu handeln: erstens durch nachdenken, das ist der edelste, zweitens durch nachahmen, das ist der

Transkript

1 Der Mensch hat dreierlei Wege klug zu handeln: erstens durch nachdenken, das ist der edelste, zweitens durch nachahmen, das ist der leichteste, und drittens durch Erfahrung, das ist der bitterste. Eine chinesische Weisheit von Konfuzius besagt: Der Mensch hat dreierlei Wege klug zu handeln: erstens durch nachdenken, das ist der edelste, zweitens durch nachahmen, das ist der leichteste, und drittens durch Erfahrung, das ist der bitterste. Die Weisheit des Konfuzius umfasst auch das Wirtschaftsleben, und da geht es um Gewinn und Gewinnmaximierung. Langes Nachdenken und Sammeln von Erfahrungen kosten aber Zeit, und Zeit ist ja bekanntermaßen Geld. Um schnell an Geld zu kommen, ist Nachahmen der schnellste Weg, und für diesen Fall lässt uns Konfuzius auch nicht im Stich: Wer das Werk kopiert, ehrt den Meister! Gerade gestern ist die Internationale Funkausstellung in Berlin zu Ende gegangen und wieder einmal musste der Zoll Plagiate asiatischer Hersteller aus dem Verkehr ziehen. Aktuelle Fallzahlen des Zolls der gestern zu Ende gegangenen IFA liegen noch nicht vor. Im letzten Jahr wurden kistenweise 1

2 Prospekte und Elektrogeräte beschlagnahmt, ein Stand komplett geschlossen und 16 Strafanzeigen gestellt. Produkt- und Markenpiraterie ist eine Konsequenz von Konkurrenzausspähung und Wirtschaftsspionage. Während Wirtschaftsspionage die staatlich gelenkte und unterstützte von fremden Nachrichtendiensten ausgehende Ausforschung von Unternehmen ist, ist die Konkurrenzausspähung lediglich die illegale Beschaffung von Informationen vom Mitbewerber. Durch Wirtschaftsspionage und Konkurrenzausspähung können Informationen an andere Wirtschaftsunternehmen fließen, ohne dass diese den Forschungs- und Entwicklungsaufwand betrieben haben. Die Produkte lassen sich so viel billiger auf den Markt bringen, teilweise erscheinen die Plagiate noch bevor die Originale auf dem Markt etabliert sind. Die Investitionen in das Produkt sind verloren. Wer hat eigentlich Interesse am Knowhow deutscher Unternehmen? Woher kommen eigentlich die Spione, von wem werden sie geschickt? Neben Militär und Politik zählt die Wirtschaft schon immer zu den Bereichen, in denen spioniert wird. Deng Xiaoping sagte einmal: Lasst die Ausländer ihre Kühe auf unsere Weiden stellen melken werden wir sie. Der ehemalige chinesische Staatsführer wollte damit zu verstehen geben, dass alles getan werden muss, um die heimische Wirtschaft zu fördern. Ideen aus dem Ausland sind willkommen, solange sie gewinnbringend abgeschöpft und umgesetzt werden können. 2

3 Eine aktuelle Studie von Corporate Trust belegt, dass fast ein Viertel der befragten Unternehmen, von Spionage betroffen sind, ohne dass zwischen Wirtschafts- und Konkurrenzspionage unterschieden wird. Es trifft besonders den Mittelstand, die Folgen sind Rechtsstreitigkeiten, Imageschäden und Umsatzeinbußen. Das Ergebnis der Studie zeigt, dass nach wie vor von einer hohen Spionagetätigkeit durch die Nachrichtendienste Chinas und der GUS-Staaten auszugehen ist also die klassische Wirtschaftsspionage. Da verwundert es nicht, dass Mitarbeiter der Nachrichtendienste in China und auch in Russland sogar dazu verpflichtet sind, durch Spionagetätigkeit die heimische Wirtschaft zu stärken. Weiterhin belegt die Studie, dass die meisten Spionagefälle von eigenen Mitarbeitern ausgeführt oder unterstützt wurden. Im Wirtschaftsschutz der Verfassungsschutzbehörden hat der Begriff Innentäter eine andere Bedeutung als im Strafrecht. Die Täterschaft im Strafrecht setzt Vorsatz voraus, der Täter muss um das Unrecht der Tat wissen, die Konsequenzen wollen oder zumindest in Kauf nehmen. Der Innentäter im Fokus des Wirtschaftsschutzes führt meist nichts Böses im Schilde. Der Abfluss von Informationen ist 3

4 vielmehr Folge von Unwissenheit, Unerfahrenheit, Naivität, Harmoniebedürftigkeit, Gleichgültigkeit. Die Hektik des Alltags darf auch nicht vergessen werden. Diese Eigenschaften und Umstände können von Angreifern ausgenutzt werden. Der Beschäftigte wird dann zum Werkzeug eines fremden Nachrichtendienstes und gibt Informationen zum Schaden des Unternehmens preis. Die Möglichkeiten, über einen Mitarbeiter eines Unternehmens an wertvolles Knowhow zu kommen, sind vielfältig. Methoden der Wirtschaftsspionage Offene Beschaffung Auswertung von Veröffentlichungen, Internet und Datenbanken Besuch von öffentlichen Veranstaltungen Teilnahme an Studiengängen oder wissenschaftlichen Projekten Social Engineering Senatsverwaltung für Inneres und Sport Abteilung II Berliner Verfassungsschutz Wirtschaftsspionage 03/09/12 Seite 4 Zu Anfang steht immer die offene Informationsbeschaffung, für die man noch keinen Mitarbeiter braucht. Diese reicht von der Auswertung von Veröffentlichungen im Internet über den Besuch öffentlicher Veranstaltungen wie Messen, Kongresse und Symposien bis hin zur Teilnahme an wissenschaftlichen Projekten. Aus öffentlich zugänglichen Quellen lassen sich heutzutage legal Informationen beschaffen, die früher nur über nachrichtendienstliche Tätigkeit zu gewinnen waren. Hierbei ist entscheidend, wie viel Informationen das Unternehmen über sich preiszugeben bereit ist, und das ist oft erstaunlich viel. Viele Unternehmen treten im Internet sehr detailliert auf, wichtige Mitarbeiter werden mit Namen, Funktion und Foto präsentiert, es gibt Informationen über die Produktpalette und 4

5 über aktuelle Entwicklungen. Dazu kommen noch Werbung, Fachpublikationen und Messeauftritte. Mit diesen Informationen ist zumindest eine gute Basis vorhanden, um eine stets vorhandene Sicherheitslücke zu nutzen: Den Menschen! Das Internet bietet zahlreiche Möglichkeiten des Informationsgewinns und ist für einen Angreifer eine hervorragende Ergänzung zum sog. social Engineering. Wenige Menschen machen sich darüber Gedanken, welche Informationen sie über sich online verteilen. Sie stellen Fotos, Videos und andere Informationen auf privaten Webseiten der Weltöffentlichkeit zur Verfügung oder hinterlassen Informationen in Diskussionsforen. Sehr nützlich für einen Social Engineer sind aber auch persönliche Blogs und Personenprofile in Karriere- und Freundschaftsnetzwerken, in denen viele Menschen Informationen über sich auf dem Silbertablett servieren. Diese Informationen können bei einem Angriff zum Erschleichen des Vertrauens bei Kollegen verwendet werden. Methoden der Wirtschaftsspionage Soziale Netzwerke - Robin Sage Senatsverwaltung für Inneres und Sport Abteilung II Berliner Verfassungsschutz Wirtschaftsspionage 20/08/12 Seite 5 Das Internet kann aber auch als Informationsköder genutzt werden. Dafür steht der Name Robin Sage. Es handelt sich um eine Kunstfigur, geschaffen vom New Yorker IT-Experten Thomas Ryan, die er bei Facebook, LinkedIn und Twitter zum virtuellen Leben erweckte. Er erfand einen abenteuerlichen 5

6 Lebenslauf und garnierte diesen mit Bildern einer schönen jungen Frau: Mit ihren zarten 25 Jahren hatte Robin Sage schon einiges erreicht: Als Absolventin einer Elite-Hochschule arbeitet sie als Analystin für Cybersicherheit bei der US-Marine und kann nebenbei auf zehn Jahre Erfahrung als Profi-Hackerin zurückblicken. Spätestens hier hätte der Besucher des Profils skeptisch werden müssen. Doch wahrscheinlich waren sie einfach zu sehr von den Fotos der hochintelligenten Überfliegerin abgelenkt: Zu allem Überfluss sieht Robin Sage richtig gut aus! Mit dieser fiktiven Schönheit sollte gezeigt werden, wie leicht soziale Netzwerke zum Sicherheitsrisiko werden können. Und der Beweis ist gelungen: Innerhalb eines Monats sammelte Robin Sage 300 zum Teil hochrangige Kontakte, vorrangig aus Militär und Wirtschaft, und manche erwiesen sich als ausgesprochen nützlich. Sie erhielt vertrauliche Informationen zu -Adressen und Kontodaten, sie konnte Fotoalben einsehen und Beziehungsgeflechte entschlüsseln. Über das Fotoalbum eines US-Soldaten konnte sie dessen exakte eigentlich geheime-standortkoordinaten in Afghanistan ermitteln. Am Ende ihrer kurzen virtuellen Karriere erhielt sie sogar Jobangebote von Google und dem Rüstungskonzern Lockheed Martin. Festzuhalten bleibt, dass Mitarbeiter so manipuliert werden können, dass sie Informationen preisgeben und damit zum Innentäter im Sinne des Wirtschaftsschutzes werden. Nachrichtendienste wissen, wie man Menschen manipuliert. 6

7 Methoden der Wirtschaftsspionage Verdeckte Beschaffung Einsatz von Agenten/ Non Professionals Überwachung der Telekommunikation Eindringen in Informationssystemen Senatsverwaltung für Inneres und Sport Abteilung II Berliner Verfassungsschutz Wirtschaftsspionage 20/08/12 Seite 6 Fremde Nachrichtendienste können aber auch Innentäter einschleusen, z.b. durch Platzierung qualifizierter Praktikanten, Studenten, Doktoranden und Wissenschaftler in Forschungsund Entwicklungsbereichen von Universitäten, wissenschaftlichen Einrichtungen und Industriebetrieben. Der Praktikant oder Doktorand im Unternehmen bekommt in der Regel nur ein Zubrot zu seinem Lebensunterhalt. Im Gegenzug bewegt er sich frei im Unternehmen und hat oft umfangreiche Zugriffs- Zutritts- und Zugangsberechtigungen. Er wird sich in der Regel über 100 Euro mehr im Portemonnaie freuen. So auch in einem Berliner Fall im Jahr 2009, indem zwei chinesische Praktikanten in einem Berliner Ingenieurbüro umfangreiches Datenmaterial auf externe Festplatten kopiert haben. Die nicht gesperrten USB-Ports waren sehr hilfreich. Das Unternehmen hatte den Praktikanten unbeschränkten Zugang auf das gesamte Firmennetzwerk eingeräumt. Einer der Praktikanten musste sich vor Gericht verantworten. Dieser räumte natürlich nicht ein, im Auftrag Informationen beschafft zu haben, sondern gab an, aus Eigennutz gehandelt zu haben. Da ihm andere Tatumstände nicht nachzuweisen waren, wurde der Angeklagte wegen Verrats von Geschäftsgeheimnissen zu einer Geldstrafe verurteilt. Zugunsten des Angeklagten wurde berücksichtigt, dass ihm die 7

8 Firma das Kopieren durch fehlende Sicherheitsvorkehrungen leicht gemacht habe. Erst wenn Informationsbeschaffungsmethoden über einen Innentäter nicht mehr ausreichen, wird die Informatik bemüht. Durch die Ausnutzung von Sicherheitslücken, sog. Phishing- Angriffe, Trojaner, Viren und Würmern kann ein Unternehmensnetzwerk um seine sensiblen Informationen erleichtert werden. Nicht durchgesetzte Netztrennungen zwischen dem Forschungs-und Entwicklungsnetz und dem Internet erleichtern dem Angreifer seine Aufgabe ungemein. Externe Personen, wie Putzkräfte, Handwerker oder sogar Kunden helfen, den einen oder anderen sogenannten Keylogger zu platzieren. Dabei handelt es sich um eine Hardoder Software, die dazu verwendet wird, die Eingaben des Benutzers mit zu protokollieren oder zu überwachen. Der Angreifer kann damit an vertrauliche Daten etwa Kennwörter oder PIN - gelangen. Ein solches daumennagelgroßes Gerät kann in Sekundenschnelle an einen Computer angebracht werden. Ich möchte Ihnen keinen technisch überladenen Vortrag halten. Ich will einfach aufzeigen, dass Angriffe von außen in unterschiedlichster Art und Weise erfolgen können und an der IT-Sicherheit fortwährend gearbeitet werden muss. Die beste Firewall nützt Ihrem Unternehmen aber nichts, wenn Ihre Mitarbeiter unbedarft per USB-Stick oder beim Öffnen von beliebigen -Anhängen Viren und Trojaner ins Unternehmen einschleusen. Und damit sind wir wieder beim Innentäter angelangt und beim Risikofaktor Mensch. 8

9 Ich habe einige Risiken und Methoden angesprochen, die das Produkt vor Erreichen der Marktreife gefährden können. Einen abschließenden Gefahrenkatalog zum Abfluss von Knowhow kann ich Ihnen nicht an die Hand geben. Zum einen reicht meine Redezeit nicht aus, um alle uns bekannten Methoden anzusprechen. Zum anderen sind fremde Nachrichtendienste erfindungsreich und präsentieren immer wieder neue Ideen, um an das begehrte Knowhow zu erlangen. Es bringt nichts, vor diesem Hintergrund den Kopf in den Sand zu stecken und in Sicherheit nicht mehr zu investieren, weil andere ja sowieso über kurz oder lang das bekommen, was sie wollen. Mit einem auf Ihr Unternehmen abgestimmtes Schutzkonzept, dass auch die Mitarbeiter mit ein bezieht, wirken Sie dem Abfluss von Knowhow effektiv entgegen. Schutzmöglichkeiten Vier-Schritt-Strategie Informationsinventur Alle Bereiche mit einbeziehen! Kronjuwelen identifizieren! Risiko- und Schwachstellenanalyse Welche Maßnahmen sind sinnvoll? Welche Hilfe kann in Anspruch genommen werden? Umsetzung der Maßnahmen Erstellung eines betrieblichen Maßnahmenkatalogs Regelmäßige Evaluierung Mitarbeiter mitnehmen Schaffung von Security Awareness Vorbildfunktion der Vorgesetzten Senatsverwaltung für Inneres und Sport Abteilung II Berliner Verfassungsschutz Wirtschaftsspionage 20/08/12 Seite 7 Empfehlenswert ist nach unserer Erfahrung die sog. Vier- Schritt-Strategie als Schutzkonzept. Im ersten Schritt gilt es, festzustellen, in welchem Ausmaß und in welchen Bereichen die Gefahr von Knowhow-Abfluss besteht. Es ist immer davon auszugehen, dass ein Unternehmen auf verschiedenen Ebenen wie Entwicklung, Planung, Produktion, Marketing und Vertrieb über vorteilhaftes Wissen verfügt, dass sich ein fremder Nachrichtendienst gerne aneignen würde. 9

10 Wenn sie die Risikofeststellung abgeschlossen haben, sollte ein umfassendes Bild darüber gewonnen werden, auf welchen Ebenen sich das Unternehmen vor Knowhow-Abfluss schützen kann. Gewinnen Sie Informationen darüber, welche Maßnahmen angesetzt werden können, welche Ratgeber können sie hinzuziehen? Welche Sicherungsmaßnahmen kommen überhaupt in Frage? Als dritten Schritt sind die Mitarbeiter mit einzubeziehen. Die Erstellung eines betrieblichen Maßnahmenkataloges, der einer regelmäßigen Evaluierung unterliegen muss, ist eine unabdingbare Voraussetzung. Damit zeigt das Unternehmen, dass Prävention aktiv betrieben werden soll und zur Unternehmenskultur gehört. In der Folge muss es darum gehen, die Belegschaft mitzunehmen. Die Mitarbeiter müssen wissen, was die Kronjuwelen des Unternehmens sind, was nach außen dringen darf und was auf gar keinen Fall. Wenn keiner so recht weiß, was denn schützenswert ist, ist jedes Sicherheitskonzept nutzlos. Danach können Sie den Mitarbeitern das Konzept zum Schutz des Knowhows vorstellen und so transparent machen. Erst mit diesen Grundinformationen macht eine Mitarbeitersensibilisierung Sinn. Eine Mitarbeitersensibilisierung ist der Grundstein der Unternehmenssicherheit, sie ist nicht zu vernachlässigen und sollte folgendes beinhalten: - Vermittlung von Wertestandards des Unternehmens. Dazu gehören z.b. Vorbildfunktionen von Vorgesetzten, Einstellungskriterien, Mitarbeiterförderung. 10

11 - Eine genaue Festlegung der Verantwortlichkeiten, z.b. die Einsetzung von Sicherheitsverantwortlichen in verschiedenen Unternehmensbereichen. Jeder Mitarbeiter muss wissen, an wen er sich in Sicherheitsfragen wenden kann! - Als sehr sinnvoll haben sich Leitfäden für den gewünschten Umgang mit Informationen erwiesen. Je besser Mitarbeiter informiert sind, umso sicherer sind Informationen bei Mitarbeitern aufgehoben. - Bieten Sie den Mitarbeitern Schulungen zu bestimmten Themen an, z.b. zu Social Networking oder den Methoden des Social Engineering. Eine Investition in die Mitarbeiter ist gleichzeitig eine Investition ist die Unternehmenssicherheit und damit in den Produktschutz. An dieser Stelle mache ich Ihnen ein Angebot: Wenn Sie ein solches Schutzkonzept erstellen wollen, Sie aber vorher noch eine umfassende Beratung möchten, dann wenden Sie sich gerne an uns! Wir beraten Sie zu allen Fragen des Wirtschaftsschutzes, wir bieten Schulungen für Ihre Mitarbeiter an, wir sind behilflich bei einer Risikofeststellung. Dieses Angebot ist kostenlos! Aber nicht umsonst! Auch in Verdachtsfällen bieten wir Ihnen unsere Unterstützung an. Ihre Anliegen behandeln wir vertraulich. Während die Polizei grundsätzlich verpflichtet ist, bei Verdacht einer Straftat von Amts wegen einzuschreiten, können Verfassungsschutzbehörden auf eine Anzeige verzichten. 11

12 Zusammenfassend möchte ich Ihnen mit auf den Weg geben, dass ein Produkt mehr ist als ein marktreifer und käuflicher Gegenstand. Das Produkt beginnt mit der Idee! Vielen Dank für Ihre Aufmerksamkeit Telefon: 030/ Fax: 030/ Senatsverwaltung für Inneres und Sport Abteilung II Berliner Verfassungsschutz Wirtschaftsspionage 20/08/12 Seite 9 Ich danke Ihnen für Ihre Aufmerksamkeit und freue mich auf die folgenden Referate und Gespräche! Wenn Sie noch Anmerkungen oder Fragen haben, stehe ich Ihnen gern zur Verfügung! 12