Panama Papers: Sicherheitslücken aufgezeigt

Kaum wurde das Datenleck im Zuge der Veröffentlichungen der „Panama Papers“ bekannt, betonte die betroffene Rechtsanwaltskanzlei Mossack Fonseca, selbst Opfer illegaler Machenschaft geworden sein – nämlich der unrechtmäßigen Entwendung hochsensibler Mandantendaten. Sicherheitsfirmen wie Radar Services, ein Anbieter für IT-Sicherheits-Monitoring, weisen in diesem Zusammenhang darauf hin, dass weltweit immer mehr Kanzleien mit offensichtlichen Sicherheitslücken zu kämpfen haben.

Laut dem Anbieter zeigen die „Panama Papers“ die Auswirkungen von Sicherheitslücken auf Kanzleien und ihren Klienten. Von daher sollten die Verantwortlichen den Stellenwert von IT-Sicherheit neu überdenken. Denn Daten können stets unbemerkt und recht zügig geklaut werden. „2,6 Terabyte Daten passen auf eine externe USB-Festplatte und können so am schnellsten entwendet werden. Sie unautorisiert von außerhalb des Unternehmens über die IT-Netzwerke zu entwenden, dauert – ohne dabei entdeckt zu werden – vermutlich mehrere Wochen“, beschreibt Christian Polster, Chief Security Officer bei Radar Services.

Einem aktuellen Bericht von Wired zufolge hat man bei Mossack Fonseca hinsichtlich der IT-Sicherheit mehr als geschlampt. Soll sollen die Logins für den Web-Client von Outlook das letzte Mal 2009 und für das Online-Kundenportal 2013 erfahren haben. Desweiteren basiere das auf dem Open-Source-CMS Drupal basierende Kundenportal ebenfalls auf einer veralteten Version mit "mindestens 25 bekannten Schwachstellen".

Die Feinde im Inneren

Generell zeigt die Entwendung einer so großen Datenmenge wie bei Mossack Fonseca die Kernbereiche notwendiger IT-Sicherheitsvorkehrungen von Anwaltskanzleien auf: Sie müssen sich sowohl auf „Feinde im Inneren“ (Insider Threats) als auch auf externe Netzwerkzugriffe professionell organisierter Hacker konzentrieren.
 
Letztere formieren sich laut dem Sicherheitsspezialisten verstärkt seit 2015: In Untergrundforen wird nach spezialisierten Programmierern gesucht, um große Rechtsanwaltskanzleien zu attackieren. Der Wert der Daten, seien es unveröffentlichte Unternehmensergebnisse, Informationen über bevorstehende Firmenübernahmen oder -verschmelzungen, Geschäftsgeheimnisse oder eben auch Informationen zu sensiblen Offshore-Aktivitäten, zieht Aufmerksamkeit auf sich. Ende März 2016 bekannt gewordene Angriffe auf mehrere US-Top-Kanzleien, die regelmäßig Wallstreet-Banken und Fortune-500-Unternehmen vertreten (u.a. Cravath Swaine & Moore und Weil Gotshal & Manges), lösten Untersuchungen des FBI aus, erläutert Radar Services weiter.
 
Insider Threats, d.h. mutwillige oder unbewusst herbeigeführte Schäden, die von den Mitarbeitern eines Unternehmens ausgehen, seien ebenfalls relevant: Um Fälle bearbeiten zu können, haben Anwälte und ihre Mitarbeiterteams oft sehr weitreichende Zugriffe auf besonders heikle Daten ihrer Kunden – und dies mittlerweile von PCs, Laptops, Tablets und Mobiltelefonen aus.

Ein Set an IT-Sicherheitsmaßnahmen

Aufgrund solcher Bedrohungsszenarien können das proaktive Aufspüren von Sicherheitslücken und das zeitnahe Erkennen von internen oder externen Angriffen sinnvoll sein:
 
1. Kontinuierliche Schwachstellenanalysen von innen und außen:
Jeden Tag entstehen neue Angriffsarten und damit neue Sicherheitslücken oder Schwachstellen in der IT einer Organisation. Das kontinuierliche Aufspüren ist Voraussetzung, um z.B. eine unsichere Verschlüsselung aufzudecken.
 
2. Ständige Überwachung aller Einfallstore für Schadsoftware und aller Kommunikationskanäle über Kanzleigrenzen hinweg:
Zu denken ist hierbei an die Analyse von Anhängen grundsätzlich aller eingehenden E-Mails und aller Web-Downloads in „abgeschotteten“ Umgebungen (sogenannte Sandboxen) und damit das Verhindern des Eindringens von Schadsoftware in eine Organisation – einem besonders oft genutzten Werkzeug, um unautorisierten Zugang zu einem IT-Netzwerk zu erlangen. Zudem muss die Übertragung von Daten eines Angreifers aus der Organisation heraus zu externen Zielen im Internet erkannt werden. Dies fällt bei einem Security Monitoring aller Systeme, des Datenverkehrs und der Zugriffe auf sensible Systeme und Dateien auf. Der Datentransfer von internen zu externen IPs, zu denen keine Geschäftsbeziehung besteht, muss umgehend festgestellt und analysiert werden.
 
3. Laufende Analyse und Korrelation von Logs einzelner Systeme:
Angreifer versuchen ihre Bewegungen im Netzwerk so normal wie möglich aussehen zu lassen. Dennoch könnten z.B. Logins von einem Benutzer auf mehreren Systemen von unterschiedlichen IPs zur gleichen Zeit verdächtig sein. Alle Logs von Servern, Netzwerkgeräten, Applikationen und anderen zentralen Einrichtungen müssen daher zentral analysiert und mit den Erkenntnissen aus Intrusion-Detection-Systemen korreliert werden. Durch Netzwerkdaten- sowie Loganalyse wird zudem überwacht, welche großen Datenmengen im Unternehmen, z.B. von Netzlaufwerken auf Laptops oder direkt auf USB-Festplatten oder USB-Sticks, kopiert werden.

Bildquelle: Thinkstock/iStock