Steht Deutschland ein Cyberwar bevor?

Eine Frage, die in vollem Umfang nicht leicht zu beantworten ist. Fest steht: Seit Beginn des Russland-Ukraine-Kriegs hat sich das Ziel vieler aufsehenerregender Cyberangriffe von reinem Interesse an einem finanziellen Gewinn dahingehend gewandelt, so viel Störung und Schaden wie möglich zu verursachen – das zeigt u.a. der aktuelle Barracuda-Ransomware-Report. Auch die Menge der Ransomware-Bedrohungen wird immer unüberschaubarer; im ersten Halbjahr 2022 wurden laut Report mehr als 1,2 Millionen pro Monat entdeckt. Ziele sind u.a. Bildungseinrichtungen, das Gesundheits- und Finanzwesen oder Kommunen – die Angriffe auf Kritische Infrastrukturen (KRITIS) haben sich im Vergleich zum Vorjahr laut Studie vervierfacht.

Unternehmen erhöhen Budgets

Eine Umfrage von Otorio zeigt eine entsprechende Reaktion in Unternehmen: Diese erhöhen ihre Budgets u.a. für mehr OT-Cybersicherheit. Mehr als die Hälfte der Befragten plant eine Steigerung um mehr als 50 Prozent. Weitere 92 Prozent wollen um mindestens zehn Prozent erhöhen. Doch ist das ausreichend? Die Gefahr für Unternehmen jeder Art, ob klein oder groß, ist jedenfalls realer als je zuvor. Das stellt auch Kay Ernst, Regional Director DACH bei Otorio, fest: „Im Jahr 2022 waren bereits mehrere deutsche Energieunternehmen von Cyberangriffen betroffen.“

„Die Bedrohungslage im Bereich der Informationstechnik hat seit Jahren stetig zugenommen“, ergänzt Dr. Gerhard Schabhüser, Vizepräsident des Bundesamts für Sicherheit in der Informationstechnik (BSI). „In unserem jährlichen Lagebericht haben wir ein angespanntes bis kritisches Niveau konstatiert.“ Der russische Angriffskrieg habe nun die Bedrohung noch weiter anwachsen lassen. „Das bedeutet, dass gerade Unternehmen und Einrichtungen über alle Branchen und Verwaltungsebenen hinweg jederzeit mit einem Cyberangriff rechnen müssen.“

Malware as a Service

Andreas Lüning, Mitgründer und Vorstand der G Data Cyber Defense AG, schätzt die Bedrohung durch Cyberangriffe für Unternehmen grundsätzlich als „unverändert hoch“ ein, betont aber auch, dass der sichtbare Teil durch Ransomware-Angriffe und Lösegeldzahlungen – neben anderen Angriffsarten wie Industriespionage oder Distributed-Denial-of-Service-Attacken (DDoS) – zugenommen hat. Hinzu komme, dass Cyberkriminelle ihre Angriffsversuche professionalisieren und dabei verstärkt arbeitsteilig agieren. Dabei setzten sie vermehrt Malware-Suiten ein, die verschiedene Arten von Schad-Software wie etwa Keylogger, Information-Stealer und Ransomware miteinander kombinieren. „Dafür müssen die Angreifer noch nicht einmal selbst die Software entwickeln, sondern bauen die Einzelteile lediglich zusammen. Die Bausteine erwerben sie dafür als Malware as a Service in Untergrundforen“, erklärt der IT-Experte. „Die weltweiten Kosten durch Schäden infolge von Ransomware-Angriffen lagen im vergangenen Jahr bei 16,9 Mrd. Euro. Innerhalb von sechs Jahren ist die Summe um unfassbare 81.000 Prozent gestiegen.“ Nicht mitgerechnet sind dabei alle Fälle, bei denen Opfer keine Anzeige erstattet und das Lösegeld stillschweigend gezahlt haben – es gibt also eine große Dunkelziffer.

Im Fokus der Angreifer stehen häufig auch die bereits erwähnten Kritische Infrastrukturen – etwa das Gesundheitssystem. Lüning betont, dass es mit Abstand am häufigsten von Cyberangriffen betroffen ist. Allein im Jahr 2020 seien 134 Meldungen dazu beim BSI eingegangen – zum Glück sind aber noch keine Patienten gestorben. „Solche Angriffe finden laufend statt, der überwiegende Teil davon wird aber abgewehrt“, weiß der Experte. Ein möglicher Grund dafür: Unternehmen, die unter die Verordnung zum Schutz von KRITIS fallen, müssen ein umfangreiches Sicherheitskonzept haben.

Keine 100-prozentige Sicherheit

Betreiber sind zudem dazu verpflichtet, IT-Sicherheitsvorfälle dem BSI zu melden, sodass das Bundesamt einen Überblick über die Situation hat. „Allerdings gilt auch für KRITIS-Betreiber, dass es 100-prozentige Sicherheit nicht gibt“, betont Schabhüser. Umso wichtiger sei es, präventive und reaktive Maßnahmen konsequent umzusetzen und dauerhaft zu prüfen. Das könne entscheidend sein, um die Auswirkungen eines erfolgreichen Cyberangriffs zu mindern und das Unternehmen einsatzfähig zu halten. „Bei kleineren KRITIS-Betreibern, die nicht reguliert sind, haben wir hingegen ein deutlich heterogeneres Bild. Das IT-Sicherheitsniveau lässt sich dort nicht pauschal bewerten.“ Einen Auslöser für die Häufigkeit der Cyberangriffe sieht Schabhüser darin, dass eine umfassende Professionalisierung aufseiten der Angreifer beobachtet werden kann. „Es ist eine regelrechte Lieferkette für Cyberangriffe entstanden. Die Ursache ist ein sehr lukratives Geschäftsmodell, insbesondere mit Ransomware-Angriffen. Dazu kommt unser digitaler Alltag, der sich immer weiter und tiefer vernetzt“, berichtet der BSI-Vizepräsident.

„Cyberkriminelle nutzen nach wie vor jegliche Schwäche in der IT-Sicherheit gnadenlos aus. Kritische Sicherheitslücken, fehlende Updates oder Phishing-Angriffe auf arglose Angestellte stehen meist am Anfang einer erfolgreichen Attacke“, hebt auch Lüning hervor. Seiner Meinung nach spielt auch die Corona-Pandemie eine Rolle. Immer mehr Mitarbeiter erledigen ihre Aufgaben aus dem Homeoffice, arbeiten remote oder hybrid – ein durch die Krise entsprechend hastiger Umzug in die eigenen vier Wände tut sein Übriges, um die IT-Security von Unternehmen auf die Probe zu stellen.

Verheerende Folgen

Das größte Risiko für industrielle OT-Industrial-Internet-of-Things-Netzwerke (IIoT) sind Ransomware-Angriffe, weiß Otorio-Experte Ernst. „Durch die Abhängigkeiten in der Lieferkette haben sich die Angriffsflächen von Industrieherstellern und KRITIS-Organisationen auch auf ihre Zulieferer ausgeweitet“, betont er. Die Folgen eines solchen Angriffs können verheerend sein. Immer wieder stehen kleine und mittlere Unternehmen (KMU) und Konzerne wegen eines Hackerangriffs vor dem Aus. „Auch deswegen gilt: Cybersicherheit ist Chefsache. Sie ist eine Daueraufgabe, die konsequent umgesetzt werden muss“, betont Schabhüser.

Lüning berichtet, dass eine gemeinsame Studie des VDMA und VSMA die durchschnittlichen Kosten einer Cyberattacke in Deutschland im Jahr 2020 mit 265.000 Euro beziffert. „Neben dem wirtschaftlichen Schaden erleiden Firmen auch einen Imageverlust, wenn etwa das Unternehmen aktiv, aber verspätet den Abfluss von personenbezogenen Daten bekannt macht“, erklärt er. Daher müssten sich Verantwortliche auch mit der Frage auseinandersetzen, was sie im Fall einer Cyberattacke tun können. Idealerweise haben sie dafür einen IT-Notfallplan entwickelt und spielen diesen konsequent durch. Dabei sollten Fragen im Fokus stehen wie „Welche Prioritäten gibt es bei der Wiederherstellung?“ oder „Sind die Backups aktuell und lassen sich diese problemlos einspielen?“.

Präventiv statt zu spät

„Neben den genannten Ransomware-Angriffen sind auch sogenannte DDoS-Angriffe eine Bedrohung für Unternehmen“, berichtet Schabhüser. Das BSI beobachte auch hier eine Weiterentwicklung der Angriffsmethoden. Ziel dieser Angriffe sei es, Unternehmensprozesse durch eine Überlastung von IT-Systemen zu stören und zum Erliegen zu bringen. „Das kann beispielsweise für Online-Händler erhebliche Umsatzeinbußen mit sich bringen oder IT-gestützte Dienstleistungen stören.“ Auch dabei gelte, dass es funktionierende Schutzmaßnahmen gegen diese Art Angriffe gebe. „Unternehmen müssen sich frühzeitig um präventive Maßnahmen kümmern und entsprechende Dienstleister engagieren.“

Das unterstreicht auch Ernst: „Wenn ein Unternehmen auf einen Sicherheitsvorfall erst reagiert, nachdem ein Angriff bereits stattgefunden hat, ist es zu spät. Aus demselben Grund haben Automobilhersteller automatische Brems- und Spurhalteassistenten entwickelt: Sie wollen, dass die Technologie dazu beiträgt, Autounfälle proaktiv zu verhindern, indem sie Risiken in Echtzeit identifiziert.“ In den Fahrzeugen kämen seitdem Assistenzsysteme zum Einsatz, um die Wahrscheinlichkeit eines Unfalls proaktiv zu minimieren. Otorio verfolge bei der industriellen Cybersicherheit einen ähnlichen Ansatz.

Human Firewall

Auch die Mitarbeiter einer Firma müssen über Sicherheitsrisiken informiert sein – um etwa gegen das Problem „Phishing“ gewappnet zu sein. „Phishing ist und bleibt das Einfallstor Nummer eins für Cyberkriminelle ins Unternehmen“, hebt Lüning hervor. Daher müssen KMU und Konzerne ihre Security-Konzepte auch an diese Problematik anpassen. „Allerdings sind Awareness-Schulungen ein Marathon und kein Sprint. Ein Rundbrief im Unternehmen, der die wichtigsten Anzeichen einer Phishing-Mail aufzählt, verhindert keinen Phishing-Versuch“, ist sich der IT-Experte sicher. „Wer seine Belegschaft zur ‚Human Firewall‘ machen will, setzt auf moderne, webbasierte E-Learnings. Diese bieten gute Geschichten und spielerische Elemente mit dem Ziel, den Lerntransfer zu maximieren.“ Ein Rahmen mit einer Geschichte sorge für positive Emotionen und Motivation. Allerdings: „Aus meiner Sicht fehlt in vielen Unternehmen noch die Bereitschaft, Budget dafür bereitzustellen und Mitarbeiter langfristig fortzubilden.“

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2022. Bestellen Sie ein kostenfreies Probe-Abo.

Und diese Budgets werden dringend benötigt. Nicht nur, dass sich die Cyberangriffe mehren – mancherorts ist inzwischen gar von einem globalen Cyberkrieg die Rede, vor allem in Verbindung mit dem russischen Angriffskrieg in der Ukraine. „Traditionell wurden Kriege zwischen Nationalstaaten auf drei Hauptschauplätzen ausgetragen: in der Luft, zur See und am Boden. Heute ist die Cyberkriegsführung zu einem weiteren Einsatzgebiet geworden“, erläutert Ernst. Kein Wunder, wie der Experte klarmacht: „Cyberangriffe sind deutlich günstiger, können zu jeder Tages- und Nachtzeit zuschlagen und haben Auswirkungen auf die Sicherheit der Lieferketten deutscher Unternehmen, der Regierung und der Bevölkerung.“

In Anbetracht dessen bewertet das BSI fortwährend die Lage mit Bezug zur Informationssicherheit in Deutschland. „Nach wie vor stellen wir dabei eine erhöhte Bedrohungslage fest“, betont Schabhüser. In den vergangenen Monaten sei es durch Cyberangriffe zu Kollateralschäden auch in Deutschland gekommen, etwa als die satellitengestützte Fernwartung von Windenergieanlagen ausgefallen sei. Auch habe es Cyberattacken auf KRITIS-Betreiber gegeben und es seien wiederholt DDoS-Angriffe auch auf Ziele in Deutschland beobachtet worden. „Diese konnten in aller Regel abgewehrt werden oder hatten nur geringfügige Auswirkungen.“ Als Cybersicherheitsbehörde des Bundes hat das BSI seine Zielgruppen, darunter die Bundesverwaltung, Betreiber Kritischer Infrastrukturen und weitere Organisationen und Unternehmen, wiederholt sensibilisiert sowie gezielt informiert und ruft weiterhin zu einer erhöhten Wachsamkeit und Reaktionsbereitschaft auf.

Eine Frage der Dimension

Lüning bewertet die Situation etwas anders: „Ein Cyberkrieg hat andere Dimensionen als Cyberkriminalität, gegen die wir heute kämpfen.“ Dafür müssten zunächst die Angreifer viel Geld, viel Vorbereitungszeit und auch entsprechendes Personal einsetzen. „Aber ehrlich gesagt kann ich für Deutschland und auch Europa keine unmittelbare Gefahr erkennen“, sagt er. „Wir haben es aus meiner Sicht vielmehr mit einem Informationskrieg zu tun, also der gezielten Nutzung und Manipulation von gesteuerten Informationen. Dies führt insgesamt zu einer politischen und gesellschaftlichen Destabilisierung der Lage.“ Dieser Informationskrieg tobe nicht erst seit dem Angriff auf die Ukraine. „Aber ich tue mich schwer, von einem digitalen Krieg zu sprechen. Das ist eigentlich ein Szenario, das insbesondere Medien heraufbeschwören – wobei wir nicht vergessen sollten, dass ein Cyberkrieg im Gegensatz zu einer Bombe keine Bilder für die Medien erzeugt.“

Bildquelle: Getty Images / iStock / Getty Images Plus