Bösewichten auf der Spur

„Generell unterscheidet man in der Kriminalistik zwischen Prävention, d.h. der Vermeidung von unerwünschten Handlungen, und der Forensik, die sich mit der Aufklärung dieser Handlungen beschäftigt“, beschreibt Florian Oelmaier, Prokurist und Leiter IT-Sicherheit & Computerkriminalität bei Corporate Trust, den Sachverhalt. Konkret versteht er unter IT-Forensik die Analyse von Spuren, die in PCs, Servern und Netzwerken aufgezeichnet wurden. Seiner Meinung nach wird diese Vorgehensweise nicht nur für die Aufklärung von Hackversuchen oder anderen Computerstraftaten verwendet, sondern auch für viele andere Arten von Delikten wie Wirtschaftsspionage, Betrug oder Kapitalverbrechen. Darüber hinaus geht es laut Ralph Noll, IT-Forensik-Experte bei der Wirtschaftsprüfungs- und Beratungsgesellschaft PwC, zunehmend auch um die Sicherung digitaler Beweise und Spuren auf mobilen Endgeräten.

So viel zur Begriffsdefinition. Wie deren breites Spektrum bereits vermuten lässt, existiert kaum das „eine“ System oder Produkt, welches man unternehmensweit einführt, um forensisch bestens aufgestellt zu sein. Vielmehr gestaltet sich die in der IT-Forensik eingesetzte Hard- und Software so vielfältig wie die IT selbst, betont Florian Oelmaier. Grundsätzlich können Anwender zwischen hochintegrierten Forensikprodukten (z.B. Encase oder FTK) sowie Best-of-Breed-Ansätzen wählen, in deren Rahmen viele kleine Spezialtools verwendet werden. Eine gute Sammlung von Tools der letzteren Kategorie bieten etwa die Backtrack-CD oder das SANS-Investigative-Forensic-Toolkit. „Desweiteren ist die schnelle und gerichtssichere Sicherstellung von Beweisen wichtig, die üblicherweise mit Hilfe einer Festplattenkopie erfolgt. Für diese Arbeit gibt es gute Hardware beispielsweise von Atola“, so Oelmaier weiter. Nicht zuletzt übernehmen sogenannte E-Discovery-Systeme die Beweissuche in E-Mails oder sonstigen Nutzerdaten. „Ausgereifte Analysesysteme nutzen dazu Data-Mining-Techniken oder verwenden Methoden aus dem Bereich der künstlichen Intelligenz“, berichtet Ralph Noll. Generell empfiehlt er den Anwendern, bei der Auswahl der Tools möglichst auf Lösungen zurückzugreifen, die auch von den Ermittlungsbehörden eingesetzt werden und damit in der Regel als gerichtsfest anzusehen sind.

Hinsichtlich geeigneter Forensik-Tools gibt Lukas Grunwald, CTO bei Greenbone Networks, jedoch zu bedenken: „Letztlich kommt es auf die Art und Weise an, wie der Ermittler sein Werkzeug einsetzt. Ein Beweismittelsicherungskasten ersetzt ja ebenfalls keinen ermittelnden Kommissar bei der Kriminalpolizei.“ Diese Aussage kann Hans-Peter Bauer, Vice President Central & Eastern Europe bei McAfee nur unterstreichen. Demzufolge sind die Besonderheiten der unterschiedlichen Forensiklösungen irrelevant. Wichtiger seien vielmehr die Fähigkeiten der Ermittler. „Denn Fehler bei der Ermittlung können dazu führen, dass der Nachweis kompromittiert ist oder die Quelle des Angriffs nicht exakt bestimmt wird, so dass man nicht genau sagen kann, ob die Organisation immer noch gefährdet ist“, so Bauer.

Die just aufgeführten Systeme und Tools nützen jedoch allesamt nichts, wenn Mitarbeiter im akuten Angriffsfall falsch reagieren und damit wichtige Beweise unwissentlich verändern. Deshalb sollte man laut Florian Oelmaier folgendes beherzigen: „Nach Angriffen sollten sämtliche Aktionen, die mögliche Spuren vernichten, unterlassen werden.“ Zu oft sei die IT-Abteilung versucht, abgestürzte Systeme wiederherzustellen oder zu rebooten. Wie bei jedem Tatort ist die Spurensicherung in einer möglichst unveränderten Tatumgebung jedoch das Allerwichtigste. „Diese Arbeit sollte nur von Personen mit Erfahrung auf dem Gebiet der IT-Forensik erledigt werden, d.h. entweder von einer anerkannten Spezialfirma oder der Polizei“, so Oelmaier weiter. Denn selbst wenn jeder in seiner Jugend gerne Räuber und Gendarm gespielt hat, kennt sich nicht jeder IT-Experte mit forensischen Methoden aus.

Für Ralph Noll liegt der Schlüssel zur Aufklärung ebenfalls im schnellen Handeln. „Im besten Fall verfügt das Unternehmen über einen Notfallplan, in dem alle notwendigen Schritte und Zuständigkeiten vorher definiert wurden“, so Noll. Hierbei kommt es insbesondere darauf an, schnell alle Daten zu sichern, die digitale Spuren enthalten könnten und später der Aufklärung des Sachverhalts dienen. Lorenz Kuhlee, Consultant for Network Security bei Verizon, rät ebenfalls dazu, bereits im Vorfeld einen Forensikplan aufzustellen und umzusetzen.

Ein solcher Plan sollte darüber informieren, wo sich kritische Daten innerhalb des Unternehmens befinden und nach welchen Mustern sie bewegt werden. „Ohne das Wissen, in welchen Bereichen Risiken und Potential für mögliche Angriffe liegen, ist kein Sicherheitsprogramm vollständig“, erklärt Kuhlee. Nicht zuletzt sollten die Verantwortlichen bedenken, dass sich das Thema Sicherheit ständig weiterentwickelt und die entsprechenden Pläne in regelmäßigen
Abständen überprüft werden müssen.

Generell stellt nach einem konkreten Angriff die Verfügbarkeit der betroffenen Daten und Systeme eine Problem dar, wie Hans-Peter Bauer von McAfee bemerkt: „Für eine forensische Analyse muss man das physikalische System offline schalten und vom Standort entfernen. Der gegenwärtige Trend hin zur Virtualisierung und zum Cloud Computing kompliziert dies noch zusätzlich.“ Erschwerend wirke sich aus, dass viele Cloud-Anbieter nicht in Ermittlungen involviert werden möchten.

Auch erstellen die Anbieter unterschiedliche Log-Arten. „Dies macht die Aufgabe der Forensiker nicht nur sehr mühsam, sondern stellt sie auch vor die Frage, ob bestimmte Log-Arten überhaupt vor Gericht verwertbar sind“, so Bauer. Neben dem Cloud Computing machen die zunehmend disparater werdenden Netzwerke es ebenfalls deutlich schwieriger, forensische Untersuchungen durchzuführen. „Von daher sollte eine automatisierte und kontinuierliche Überwachung der Logdateien eines IT-Netzwerkes als „Sicherheitsnetz“ fungieren und die Nachvollziehbarkeit scheinbar nicht zusammenhängender Ereignisse garantieren“, betont Ralph Kreter, Director Central Europe and Middle East bei dem Anbieter Logrhythm.

Dein Freund und Helfer

Wie soeben aufgezeigt sind nach einem Angriff auf die Unternehmens-IT schnelle, aber nicht planlose Reaktionen gefragt. Überdies können auch staatliche Institutionen Unternehmen bei ihrer Verbrechersuche unterstützen. So besitzen etwa die Landeskriminalämter und das Bundesamt für Sicherheit in der Informationstechnik (BSI) eigene IT-Forensikabteilungen. „Auftragsgemäß engagiert sich das BSI hauptsächlich bei Angriffen auf staatliche Einrichtungen, während die IT-Forensiker der Kriminalämter im Falle einer Anzeige auf Anfrage der jeweiligen Ermittler arbeiten“, erklärt Florian Oelmaier von Corporate Trust.
Allerdings stellt sich für Unternehmen zunächst die Frage, ob überhaupt bzw. wann genau Anzeige erstattet werden soll. „Leider sehen die meisten Opfer von Datenverletzungen keinen Anlass, Strafverfolgungsbehörden einzuschalten. Ihrer Auffassung nach, kommen die „Bösen“ ohnehin ungestraft davon. Daher sei es besser, nach einem Vorfall einfach die Lücke zu schließen und es dabei zu belassen“, berichtet Lorenz Kuhlee von Verizon. Einen Trend, den Hans-Peter Bauer teilweise bestätigt: „Zwar arbeiten viele Organisationen mit Behörden zusammen, da sie wollen, dass die Angreifer zur Rechenschaft gezogen werden. Es gibt aber auch solche, die die Öffentlichkeit meiden oder sogar von Cyberkriminellen erpresst werden und sich deshalb nicht an behördliche Einrichtungen wenden.“

„Hinzu kommt, dass Polizei und Staatsanwaltschaft keine Geheimhaltung des Falles garantieren können. Da eine Rufschädigung oft sehr schwer wiegt, werden meist eigene Voraufklärungen beauftragt, um sicher zu stellen, dass eine Strafverfolgung auch im Firmeninte­resse sinnvoll ist“, betont Oelmaier. Speziell für den Bereich der Wirtschaftsspionage verweist er auf den Bundesnachrichtendienst (BND) als gute Anlaufstelle, da mit diesem Stillschweigen vereinbart werden könne. Anbieter wie Verizon ermutigen ihre Kunden generell, mit den Strafverfolgungsbehörden zusammenzu­arbeiten. Denn wenn die Bösewichte geschnappt ­werden, findet die Strafverfolgungsbehörde meist ­Hinweise auf Dutzende weiterer Verbrechen“, erklärt Lorenz ­Kuhlee. Anhand solcher Daten könnten häufig Opfer alarmiert werden, die sich der Datenverletzungen gar nicht ­bewusst waren. Um eine effektive Zusammenarbeit mit den Behörden zu gewährleisten, lohnen sich laut Ralph Noll von PwC überdies stets interne Projektteams, die zur Aufklärung des Sachverhaltes gebildet wurden und die Ermittlungsbehörden in ihrer Arbeit unterstützen.

Vielleicht beschäftigen sich derzeit noch nicht viele Unternehmen mit der IT-Forensik. Aufgrund der wachsenden Zahl an Cyberangriffen wird deren Bedeutung für Behörden und Unternehmen allerdings kontinuierlich steigen. Hinsichtlich der genutzten Technologien könnte es dabei in Zukunft zu einem stetigen Wandel kommen. Denn hier ist enorm viel Dynamik im Spiel, wie Lorenz Kuhlee betont: „Ständig werden neue Programme (Closed Source), neue Cybercrime-Taktiken und -Methoden entwickelt, die für die Forensikexperten eine fortwährende Herausforderung darstellen.“ Daneben sollten vor allem die Unternehmen daran denken, dass ihre Sicherheitsstrategien regelmäßig überprüft werden. Damit können Schwachstellen beseitigt werden, noch bevor eine Datenverletzung stattfindet – und nicht erst danach.

Nicht zuletzt verweist Lukas Grunwald von Greenbone Networks darauf nicht nur nach belastenden Indizien zu suchen. Zu häufig werden seiner Ansicht nach bei Untersuchungen entlastende Hinweise übersehen. Ein Beispiel: Ein Mitarbeiter werde verhaftet, da kinderpornographisches Material auf seinem System gefunden wurde. „Dabei übersahen die Ermittler jedoch, dass der Rechner des mutmaßlichen Täters Ziel einer Trojanerinfektion gewesen war, in deren Folge ihm die Bilder als verdeckte Maßnahme untergejubelt wurden“, sagt Grunwald.

Definition: IT-Forensik

Unter dem Begriff „IT-Forensik“ werden alle Maßnahmen zur Sicherung digitaler Spuren in IT-Systemen im Hinblick auf verdächtige oder überraschende Ereignisse zusammengefasst. Dabei beinhalten diese Maßnahmen in erster Linie die Erfassung, Analyse und Auswertung der betroffenen Systeme. Mit diesem Vorgehen verfolgt die IT-Forensik die Aufgabe, systematisch kriminelle Handlungen in Zusammenhang mit IT-Systemen zu identifizieren, nach Möglichkeit auszuschließen, zu analysieren sowie gegebenenfalls zu rekonstruieren, um den Tatbestand sowie die Identität möglicher Täter festzustellen.

Quelle: Ralph Kreter, Director Central Europe and Middle East bei Logrhythm

Auf frischer Tat ertappt

Ein Beispiel für die Aufklärung mit IT-Forensik ist die „Opera-tion Night Dragon“, bei der Cyberkriminelle im Jahr 2011 Öl- und andere Energiekonzerne ausspioniert haben. Dabei sind die Hacker in Webserver eingedrungen, haben Desktops kompromittiert, Sicherungen mit gestohlenen Administratorpasswörtern umgangen und mit Fernwartungstools Informationen gestohlen. Gemeinsam mit weiteren Sicherheitsfirmen und mithilfe der Forensik enttarnte McAfee damals die Methode und konnte im Anschluss entsprechenden Schutz dagegen anbieten.
Im Internet: www.mcafee.com

Schnell reagieren

Welche Schritte sollte ein Unternehmen bei dem Verdacht auf einen Hackerangriff, Datendiebstahl oder -missbrauch auf jeden Fall einleiten?

1. In erster Linie gilt es, Ruhe zu bewahren und nicht zu versuchen, eigenständig Schritte einzuleiten. Durch unbedachtes Vorgehen können wichtige Beweise vernichtet werden.
2. Unternehmen sollten Logs und Backups soweit wie möglich sichern. Dabei ist es wichtig, diese aus der Rotation der Datensicherung zu nehmen, so dass unbeschädigte und nicht betroffene Daten erhalten bleiben.
3. Die Rechner sollten auf keinen Fall ausgeschaltet, sondern lediglich in den Ruhezustand versetzt werden.
4. Unternehmen sollten sich umgehend an einen Experten wenden oder die hausinterne zuständige Dienststelle zu Rate ziehen.

Quelle: Lukas Grunwald, CTO bei Greenbone Networks

Bildquelle: iStockphoto.com/eddiesimages