Sicherheitsrisiko QR-Code

MOB: Herr Machat, Ivanti hat eine Breitenstudie zur Nutzung von QR-Codes veröffentlicht. Welche sind die Kernaussagen?
Peter Machat: Wir haben die Studie europaweit in zwei Wellen erhoben – im September 2020 und im Februar 2021. Sie dokumentiert drei wesentliche Entwicklungen: Zum einen den enormen Anstieg in der Nutzung von QR-Codes. Zum anderen die wachsende Sorglosigkeit der Bevölkerung beim Umgang mit den Codes – und vor allem eine Tendenz, dass QR-Codes stärker auch in sensiblen Bereichen wie Payment eingesetzt werden. Knapp die Hälfte der Befragten aus Deutschland hat bereits QR-Codes für Zahlungen verwendet. Im Vergleich zu den Ergebnissen vom September bedeutet dies einen Anstieg von zwölf Prozent. Damit liegen deutsche Verbraucher deutlich vor Anwendern aus Großbritannien (38 Prozent) und Frankreich (41 Prozent). Das zeigt, wie rasant sich das Phänomen hierzulande verbreitet. 36 Prozent berichten, dass sie in den vergangenen Monaten einen QR-Code gescannt haben, der eine unerwartete Aktion auslöste oder der sie auf eine verdächtige Website geführt hat.

MOB: Warum ist das Sicherheitsbewusstsein der Nutzer so gering ausgeprägt?
Machat: Das ist eine Mischung aus Unkenntnis und Selbstüberschätzung. Zum Beispiel glaubt die Hälfte aller Deutschen, einen bösartige QR-Code erkennen zu können. Tatsächlich lassen sich diese Codes kaum vom Nutzer als sicher oder unsicher klassifizieren. Die grafische Verschlüsselung ist Teil des Problems. Die verschlüsselten Angaben eines Codes werden direkt in eine Webadresse übersetzt und kämpfen damit mit denselben, inhärenten Schwachstellen einer regulären URL-Adresse. Selbst wenn ein QR-Code-Scanner diese URL anzeigt, ist sie durch das kleine Display eines Mobilgeräts denkbar schlecht zu lesen.

MOB: Welcher Angriffsmethoden bedienen sich Kriminelle bei QR-Codes?
Machat: Die Möglichkeiten, QR-Codes für kriminelle Aktivitäten einzusetzen, reichen von der Verlinkung auf bösartige Webseiten, über die unbemerkte Installation von Schadcode bis hin zur Initiierung von Zahlungen nach dem Scan. Sie können E-Mails versenden, Textnachrichten verschicken oder einen Social-Media-Account dazu bringen, einem vordefinierten Konto zu folgen. Hacker nutzen QR-Codes primär, um illegal Informationen zu erhalten, Konten zu kapern und Daten zu stehlen.

MOB: Inwiefern ist das arglose Scannen von QR-Codes für Unternehmen relevant?
Machat: Unternehmen haben pandemiebedingt vielen Mitarbeitern die Möglichkeit geschaffen, Berufliches über private Mobilgeräte zu erledigen. Nun treffen zwei Faktoren zusammen: auf der einen Seite das mangelnde Sicherheitsbewusstsein der Mitarbeiter und auf der anderen Seite die beschränkten Kenntnisse der Security-Teams zur Bedrohungslage durch QR-Codes und zu wirksamen Abwehrmaßnahmen. Scannen Mitarbeiter Codes in ihrer täglichen Interaktion für geschäftliche oder private Aktivitäten, setzen sie sich und ihr Unternehmen einem Risiko aus. Unternehmen können sich nicht darauf verlassen, dass ihre Benutzer ausschließlich Codes aus gesicherter Quelle erfassen.

Nach einer Studie von Aberdeen haben Angriffe auf mobile Endgeräte eine deutlich höhere Erfolgsquote als solche auf Endpunkte – ein Muster, das sich tendenziell verschärft. Auch nimmt die Anzahl von Phishing-Angriffen auf mobile Geräte kontinuierlich zu. Mit erheblichen Folgen für Unternehmen: Eine aktuelle Studie von Ivanti hat ermittelt, dass fast drei Viertel aller befragten Unternehmen im vergangenen Jahr Opfer eines Phishing-Angriffs wurden, wobei alleine 40 Prozent im vergangenen Monat einen solchen Angriff erlebt haben.

MOB: Wie lässt sich eine sichere Nutzung von QR-Codes bei hybrider Nutzung von Mobilgeräten ermöglichen?
Machat: Grundvoraussetzung ist der Einsatz einer umfassenden Mobile-Threat-Defense-Technologie. Sie umfasst einen geräteinternen und Cloud-basierten Phishing-Schutz zur Absicherung des gesamten internetbasierten Datenverkehrs über iOS- und Android-Geräte. Idealerweise basiert ein solcher Schutz auf einer Zero-Sign-On-Strategie. Dabei werden mehrere Attribute ausgewertet, bevor ein Zugriff auf Unternehmensressourcen gewährt wird – und das, ohne ein Passwort abzufragen. Dies gelingt per Multi-Faktor-Authentifizierung, die u.a. biometrische Nachweise umfasst.

Daneben greift eine weitere Verteidigungslinie. Sie isoliert alle Apps und Anwendungen, die auf Unternehmensdaten zugreifen – miteingeschlossen ist der Zugriff auf Webressourcen. Dies funktioniert beispielsweise, indem Apps für die berufliche Nutzung in isolierten Containern gehalten werden. Sie sind mit einem Zertifikat abgeschirmt und ermöglichen eine verschlüsselte Verarbeitung und Speicherung der Daten. Außerdem sollte eine gesicherte VPN-Verbindung Standard sein. Essenziell für die Gefahrenabwehr sind zudem gezielte Anti-Phishing-Mechanismen. Es bietet sich eine Mischung aus einem deterministischen und einem Machine-Learning-basierten Ansatz an. Die deterministische Variante gleicht jeden Link automatisch mit der kontinuierlich aktualisierten Datenbank bekannter Phishing-URLs ab. Via Machine-Learning-Algorithmen erfolgt zudem der Scan von bis dato unbekannten Phishing-Websites.

MOB: Welche Maßnahmen zur Schaffung einer Sicherheitskultur sind nötig und wie ist es um sie tatsächlich bestellt?
Machat: Neben dem Einsatz von Technologie gilt es, die Nutzer für die Gefahrenlage zu schulen und zu sensibilisieren. Deshalb müssen in erster Linie IT-Teams sich entsprechendes Wissen aneignen und dies in ihre Sicherheitsstrategie integrieren. Unternehmensweit nehmen sie dann eine wichtige Position ein, um über Risiken aufzuklären, Schadensszenarien zu skizzieren und den richtigen Umgang mit QR-Codes zu schulen. Aber auch an dieser Stelle ist noch Aufbauarbeit zu leisten. Wir haben jüngst IT-Verantwortliche dazu befragt. Nahezu alle bieten Mitarbeitern Cybersecurity-Schulungen an – allerdings mit mäßigem Erfolg: Nicht einmal ein Drittel der Befragten konnte bestätigen, dass ein Großteil der Mitarbeiter diese Schulungen auch absolviert hat. Fazit: Cybersecurity-Schulungen dürfen keine optionale Komponente sein!

Bildquelle: Ivanti