»Heute kann man Hackerangriffe mit Garantie kaufen; misslingt ein Angriff, gibt es einen neuen. « 58_59 THINK:ACT // CYBERSICHERHEIT

Transkript

1 58_59 THINK:ACT // CYBERSICHERHEIT Hugh Njemanze, Chief Technical Officer und Vice President, Worldwide Research and Development, HP Enterprise Security Products»Heute kann man Hackerangriffe mit Garantie kaufen; misslingt ein Angriff, gibt es einen neuen. «HUGH NJEMANZE, HP ENTERPRISE SECURITY PRODUCTS

2 » Cybercrime lockt mit großem Geld «Cyberkriminalität ist zum Big Business geworden. Größer als der weltweite Drogenmarkt. Schuld daran sind auch mangelnde Sicherheitsvorkehrungen, sagt Hugh Njemanze, Chief Technical Officer von HP Enterprise Security Products. Hugh Njemanze ist der oberste Cyber-Sheriff bei Hewlett-Packard. Sein Geschäft ist diskret. Kundennamen darf er nicht nennen, aber sicher ist: Wenn Hacker auf große Unternehmen Angriffe starten, ist die Wahrscheinlichkeit groß, dass Njemanzes Telefon klingelt. In THINK:ACT erklärt der Chief Technology Officer von HP Enterprise Security Products, woher die Hacker kommen. Und wie Unternehmen sie abwehren. THINK:ACT: Einerseits machen Hacker und Cyberkriminalität immer dann Schlagzeilen, wenn ein Wurm oder Trojaner ein großes Ziel angreift. Andererseits glauben Sie, die Menschen wögen sich in falscher Sicherheit. Wie meinen Sie das? HUGH NJEMANZE: Die Menschen scheinen eine Wunderpille zu wollen, mit der sie ein paar Maßnahmen umsetzen können und sich dann nicht weiter kümmern müssen. Doch ein entschlossener Hacker findet immer eine Sicherheitslücke, wenn er es auf Sie abgesehen hat. Sie können Maßnahmen ergreifen, die viele Gelegenheitshacker abschrecken. Doch wenn jemand wirklich Zugang zu den Plänen für das Flugzeug haben will, das Sie entwerfen, dann hat er viele Möglichkeiten. Wenn er das System nicht knacken kann, versucht er es über die Menschen. Dazu kann er z. B. neue Mitarbeiter in Ihr Unternehmen einschleusen, Ihre Mitarbeiter physisch bedrohen oder bestechen. Schließlich haben wir es immer noch mit Menschen zu tun. Sie können Maßnahmen ergreifen, um ein solches Verhalten festzustellen bzw. Ihre Mitarbeiter für solche Gefahren schulen. Es wurden z. B. schon mal USB- Sticks auf einem Parkplatz verstreut. Wenn ein Mitarbeiter so einen Stick sieht, sagt er natürlich: Wow, kostenloser Speicherplatz! Und dann stellt sich heraus, dass diese Sticks Trojaner enthalten und über die Firmencomputer das gesamte System schädigen. Es gibt viel mehr Möglichkeiten als die Technik. Wer sagt Ihnen denn bei Mitarbeitern, dass keiner von ihnen angreifbar ist? Selbst wenn wir erkennen, wie angreifbar wir sind: Bei der Cybertechnik kennt man seine Gegner selten. Wer greift uns da eigentlich an? HN: Das hat sich mit der Zeit verändert. Alles fing mit den sogenannten Script Kiddies an, die online nach Exploits suchten und sie herunterluden. Das war nicht besonders technisch; sie spielten einfach nur mit dem, was sie in der Community fanden. Es ging vor allem darum zu prahlen, zu sagen Ich habe etwas gehackt, ich habe einen Code geknackt etc. Doch seit immer mehr Business und Commerce online abgewickelt wird, sind Leute mit finanziellen Interessen auf den Plan getreten. Heute zielen viele Cyberangriffe auf Profit oder den Diebstahl von geistigem Eigentum ab. Manche haben auch ideologische Ziele, z. B. Informationen an die Öffentlichkeit zu bringen. Wir haben hier also ein buntes Potpourri aus Motivationen und Akteuren, vom organisierten Verbrechen bis hin zu Nationalstaaten. >

3 60_61 THINK:ACT // CYBERSICHERHEIT» Wir tolerieren ein gewisses Maß an kriminellen Aktivitäten. Das Internet ist kein Ideal. Es spiegelt unsere guten und schlechten Seiten.«ERIC SCHMIDT, CHAIRMAN, GOOGLE

4 Woher stammen die wichtigsten Hackergruppen? HN: Hacker gibt es überall. Doch ein Großteil der kriminellen Aktivitäten konzentriert sich auf Länder wie Russland, China und Brasilien und die traditionellen Hotspots des organisierten Verbrechens. Sie sagten, die Hacker würden immer professioneller. Wie werden sie denn besser? HN: Es werden jetzt viel mehr Dienstleistungen online angeboten. So kann man z. B. Hackerangriffe mit Garantie kaufen; misslingt ein Angriff, gibt es einen neuen. Alles, was man für eine Schattenwirtschaft braucht, ist bereits vorhanden. Das Ökosystem besteht aus Menschen im Zentrum, die die Dinge steuern, und vielen unschuldigen Maschinen, die für die Angriffe benutzt werden. Und aus Menschen, die nicht unbedingt unschuldig sind, aber mit den Angriffen nichts zu tun haben. Sie werden benutzt, um Geld zu waschen, indem sie z. B. Geldautomaten mit gefälschten Kreditkarten benutzen. Es handelt sich hier um ein großes und weitreichendes Netzwerk, das weiter wächst, weil sich hier Geld machen lässt. Wenn ich richtig informiert bin, dann organisieren und vernetzen sich die Cyberkriminellen weltweit immer besser. Wie sieht es mit ihrem technischen Können aus? HN: Sie sind ziemlich zentralisiert. Man braucht ein paar engagierte Leute mit guten finanziellen Ressourcen, die viel Energie darauf verwenden, etwas zu knacken. Sie entwickeln die sogenannten Exploits, mit deren Hilfe sich Kriminelle Zugang zu mehr oder weniger sicheren Computersystemen verschaffen können. Und dann verkaufen sie sie. Das ist eine ganz normale Wirtschaftskette. Wenn man etwas kreiert, womit man US- Dollar stehlen kann, dann könnte man mehr Geld damit machen, wenn man es für US-Dollar an hundert Leute verkauft und diese US-Dollar stehlen lässt. Es gibt immer mehr Gefahren und Gegner im Cyberkrieg. Die sogenannten Hacktivisten scheinen etwas Neues zu sein. Was macht sie so anders? HN: Hacktivisten sind nicht an Geld interessiert. Ihre Motive sind vor allem politisch. Sie kämpfen aus verschiedenen ideologischen Gründen gegen das Big Business bzw. den Kapitalismus als Ganzes oder die Nationalstaaten. Sie benutzen weitgehend dieselben Angriffstechniken. Doch da sie andere Beweggründe haben, ist auch das Kräfteverhältnis anders. Hacktivisten finden, dass sie einer gerechten Sache dienen; deshalb sind sie mitunter beharrlicher und riskieren für den Erfolg eher, gefasst zu werden. Im aktuellen Cyber Security Risks Report, den Sie mit verlegt haben, heißt es, 2011 habe sich etwas verändert. Warum? Inwiefern? HN: Da das Identifizieren von Cyberlöchern und Sicherheitslücken heute immer stärker mit einem finanziellen Wert verbunden ist, sind die Menschen weniger bereit, die von ihnen ausgespähten Sicherheitslücken preiszugeben. Sie wissen, dass sie dafür Geld verlangen können. Es gibt die Bösen, die bereit sind, für solche Sicherheitslücken zu zahlen, aber auch die Guten wie uns. Unterm Strich hat sich das zu einer Ware entwickelt, ein bisschen wie Wasser. Gäbe es ein Unternehmen, das für Wasser Geld verlangte, dann würde es versuchen, den Zugang zu kostenlosem Wasser zu begrenzen. Das Gleiche beobachten wir bei den Sicherheitslücken war wahrscheinlich das Jahr, in dem die meisten Sicherheitslücken veröffentlicht wurden. Jetzt wird immer noch viel mitgeteilt, aber vieles, was leicht herauszufinden war, wurde bereits geknackt, und man braucht nun bessere Ressourcen und Qualifikationen, um auch die restlichen Löcher auszuspähen. Daher wollen die Menschen, die das machen, auch besser bezahlt werden. Sicherheitslücken als Ware das klingt furchter re gend. Ist das ein Wettlauf, der niemals endet? Oder werden die Guten am Ende siegen? HN: Das würde ich mit einer Gegenfrage beantworten: Warum gibt es immer noch Banküberfälle? Die gibt es doch schon ewig; man hätte sie schon vor Jahren stoppen müssen. Es ist wohl unrealistisch, eine Patentlösung zu erwarten. Dafür gibt es viele Gründe, aber für einen der wichtigsten halte ich den folgenden: Wir tolerieren ein gewisses Maß an krimineller Aktivität. Doch wir tolerieren nicht, dass dieses Maß überschritten wird. Es kommt darauf an, wie viel Sie zu investieren bereit sind. Wenn Sie in New York leben, können Sie oben an Ihrer Tür einen Riegel anbringen, dann einen weiteren, der in den Fußboden geht und drei Riegel zum Drehen. Wenn Sie Ihr Apartment verlassen, verschließen Sie also fünf Riegel. Doch in einer Kleinstadt würde sich niemand auf so etwas einlassen. Bei der Cyberkriminalität ist es ähnlich. Banken nehmen gewisse Verluste in Kauf. Doch wenn diese sie mehr kosten als die Sicherheitsvorkehrungen, die diese Verluste verhindern sollen, sind sie bereit, in die Sicherheit zu investieren. Wenn die Kunden das Vertrauen in die Banken verlieren, dann sind die Banken bereit, viel mehr zu investieren, um im Geschäft zu bleiben. Es ist alles relativ. Da gibt es große Unternehmen, die sich sagen, es werde ihnen schon nichts passieren, also stecken sie kein Geld in die Sicherheit. Sie wirft ja schließlich keinen Gewinn ab. Vor allem dann nicht, wenn nichts passiert; dann ist das Geld einfach weg. Das ist dasselbe Gefühl, das die Menschen bei Versicherungen haben. Doch wenn diese Unternehmen erst einmal angegriffen wurden, kommen sie sofort zu uns und investieren schnell in alle Sicherheitsmaßnahmen, die es gibt. Rational ist das nicht, aber so ist der Mensch. Was wäre denn ein rationaler Ansatz? Wenigstens die größten Sicherheitslücken zu stopfen? HN: Ein Großteil der Angriffe hat heute Sicherheitslücken zum Ziel, die seit Jahren bekannt sind. Woran es mangelt, ist die Sorgfaltspflicht der potenziellen Opfer. Irgendwann haben sie das Gefühl, es habe sowieso keinen Zweck, etwas zu unternehmen, weil sie so oder so Opfer eines Hackerangriffs werden können, wenn die Hacker nur hartnäckig genug sind. Und so denken sie >»Als ich in der Privatwirtschaft anfing, umfasste Risikomanagement nur die Versicherungen eines Unternehmens.«DICK PARRY, HEAD OF GLOBAL SECURITY, NOVARTIS»Wenn man die CIA und das FBI hacken kann, geht das auch bei Sony. Wie kann ich Ihnen bei tausenden von Sites sagen, es werde keine weiteren Sicherheitslücken mehr geben?«howard STRINGER, CHAIRMAN OF THE BOARD, SONY

5 62_63 THINK:ACT // CYBERSICHERHEIT Ich riskiere es einfach. Aber da gibt es einen Unterschied: Autoschlösser halten Diebe nicht davon ab, in Ihr Auto zu steigen. Aber wenn sie zusätzlich das Lenkradschloss sehen, denken sie vielleicht Das kostet mich fünf Minuten und gehen zum nächsten Auto. Es geht also nicht um absolute Sicherheit, sondern um das, was man tun kann, um nicht das leichteste Opfer zu sein. CEOs kennen sich normalerweise bei der Inter net - sicherheit nicht so genau aus. Was wäre eine gute Strategie, um sie von ihrer Notwendigkeit zu überzeugen? HN: Wenn es Vorschriften gibt, die den CEO für Dinge, die dem Unternehmen passieren, persönlich haftbar machen, entwickelt er ein größeres Interesse an den Sicherheitsmaßnahmen. Und dann wird der Chief Information Security Officer (CISO) zu den Vorstandssitzungen eingeladen und gefragt: Sind wir sicher? Kommen wir unserer Sorgfaltspflicht nach? Tun wir unser Möglichstes? Für die verschiedenen Branchen und öffentliche Einrichtungen gibt es verschiedene Sicherheitsvorschriften. Unter den Branchenexperten sind auch Skeptiker, die sagen, jeder Dollar, den man für die Einhaltung der Vorschriften ausgebe, sei ein Dollar weniger für die Sicherheit. Oft gehe es nur darum, Rechenschaft über die Einhaltung dieser Vorschriften abzulegen, statt etwas zu verhindern. Denn eine Sicherheitskamera halte ja auch niemanden davon ab, eine Fensterscheibe einzuschlagen. Doch die Umsetzung der Vorschriften legt häufig die Messlatte für die Sicherheit höher. Sie gibt vor allem Unternehmen, die bisher kein Sicherheitssystem hatten, einen Grund, eines zu installieren. Und was ist mit Cloud Computing? Beschert es den Unternehmen noch mehr Sicherheitsprobleme, wenn sie ihre Daten vom Firmenserver einem Diensteanbieter anvertrauen? HN: HP ist der Meinung, dass Cloud Computing sicherer sein kann als die firmeneigenen Datenzentren. Denn dort muss ja jede Firma ihr eigenes Sicherheitssystem aufbauen. Es gibt so viele Sicherheitsansätze wie Firmen, und viele sind nicht narrensicher. Mithilfe von Cloud Computing können wir ein standardisiertes Sicherheitsprofil schaffen. So kann man gewährleisten, dass alle Anwendungen auf Viren, Malware etc. gescannt werden. HP bietet Public und Private Clouds an, und es ist unser Ziel, die Sicherheit zu einem großen Wettbewerbsvorteil zu machen. Dahinter steckt die Idee, dass der Kunde in der Cloud alle Sicherheitsmaßnahmen bekommen kann, ohne einen Finger zu rühren. Bei so vielen Skandalen läuft Ihr Geschäft bestimmt bestens, oder? HN: Ich sage es ja ungern, aber es läuft besser denn je. <» Neben der Technik gibt es noch andere Schwachstellen. Wer sagt Ihnen denn, dass Ihre Mit arbeiter nicht angreifbar sind? «

6 Schlüssel zur Sicherheit Es muss nicht Cyberkriminalität im großen Stil sein. Leichtsinnigkeit und Gutgläubigkeit können ebenso Millionenschäden verursachen Quelle: G-Data BOOM DER SCHADPROGRAMME SICHERHEITSLÜCKEN SCHLIESSEN! 1 Passwort ändern: Je sinnloser, desto besser. Dennoch ist in internationalen Unternehmen Password1 der meist verwendete Zugangscode. Auf Platz zwei: welcome. 2 Diskretion wahren: So bequem es auch ist, überall erreichbar zu sein: die Stimme drosseln. Interna lauthals am Handy zu diskutieren ist im Zugabteil oder der Business-Lounge tabu. 3 Verdeckt arbeiten: Keine Schulterblicke im öffentlichen Raum riskieren. 4 USB-Sticks misstrauen: Achtung, Spähsoftware! USB-Sticks nicht ausleihen. Unbekannte Sticks nicht in den Laptop stecken. 5 Kopierer säubern: Bevor ein Gerät zur Reparatur gebracht oder ein Leasinggerät zurückgegeben wird, Chip oder Farbband entfernen, auf dem die Kopien abgespeichert werden. URSPRUNG UND OPFER DER CYBERKRIMINALITÄT CYBERCRIME WELTWEIT 73% USA 83% Mexiko 22% 6% Deutschland 80% 76% 3% Brasilien/Indien Südafrika 4% 84% 85% 11% 6% Quelle: Symantec China 1 Jeden Tag werden mehr als eine Million Menschen weltweit Opfer der Cyberkriminalität. 2 Auf 388 Milliarden US-Dollar summiert sich weltweit der monetäre Schaden größer als der globale Schwarzmarkt für Marihuana, Kokain und Heroin (288 Milliarden US-Dollar). 3 Insgesamt 69 Prozent der erwachsenen Online-User haben bereits einmal Erfahrungen mit Cybercrime gesammelt. 4 Die Angriffe zielen zu 89 Prozent auf persönliche Daten, etwa Kreditkarteninformationen oder Kundendaten. 5 Immer öfter werden soziale Netzwerke und Smartphones ausspioniert. So viele Erwachsene wurden Opfer von Cyberkriminalität (in Prozent) Aus diesen Ländern kommt Schadsoftware (weltweiter Anteil in Prozent)»In sozialen Netzwerken lauern viele Gefahren. Die Menschen vertrauen den Links, die ihre Freunde schicken.«david FREER, VICE PRESIDENT ASIEN/PAZIFIK UND JAPAN, NORTON»Online-Kriminalität ist inzwischen profitabler als illegale Drogen, und die Täter orientieren sich an der Mafia.«PAUL TWOMEY, EX-PRÄSIDENT UND EX-CEO, ICANN