"Cybercrime ähnlich lukrativ wie Drogenmarkt"

„Es gibt zwei Typen von Unternehmen, die Computer verwenden. Opfer von Kriminalität, die wissen, dass sie Opfer von Kriminalität sind und solche, die keinen blassen Schimmer davon haben, dass sie es sind.“ Das Zitat stammt vom IT-Spezialisten James Routh aus dem Jahr 2007. Doch noch nie zuvor sei es so zutreffend gewesen wie jetzt, erklärt Wolfgang Neudorfer, Security-Experte bei T-Systems Österreich, beim Gespräch mit der futurezone auf der IT-Messe CeBIT in Hannover.

Digitale Kriminalität sei längst mit dem Drogenmarkt vergleichbar, fügt Neudorfer hinzu. „Geld ist dabei der Haupttreiber.“ Geld spielt freilich auch eine Rolle, wenn es um das Abgraben von Firmengeheimnissen geht. Tatsächlich wurde in den vergangenen zwei Jahren jedes zweite österreichische Unternehmen Opfer eines Spionageangriffs. 3,1 Prozent aller betroffenen Firmen erlitten Schäden von über einer Million Euro. Am häufigsten wurden dabei österreichische Unternehmen ausspioniert, die im Bereich der IT-Administration und IT-Service tätig sind, wie eine Studie der Sicherheitsberatungsfirma Corportate Trust in Zusammenarbeit mit Aon Risk Solutions, der Zurich Gruppe Deutschland und dem Objektsicherheitsspezialisten Securiton ergab.

2014 war Jahr der Schwachstellen

„2014 hat alles verändert. Noch nie zuvor gab es so viele Schwachstellen und digitale Angriffe“, sagt Neudorfer. Prominente, international bekannte Opfer seien etwa Sony, die US-Supermarktkette Target oder ein koreanisches Kreditkartenbüro gewesen, bei dem 40 Prozent der Kreditkartendaten abhandengekommen waren.

Laut einer Studie des Hasso-Plattner-Instituts, die auf der CeBIT vorgestellt wurde, sind im vergangenen Jahr 6500 Software-Schwachstellen öffentlich geworden. 2013 waren es deutlich weniger. „Beim Anwachsen der Komplexität gibt immer wieder auch Fehler“, erklärt Christoph Meinel, der Direktor des Hasso-Plattner-Instituts diese wachsenden Zahlen. Das sieht Neudorfer ähnlich. „Das Thema wird immer komplexer. Es ist nicht so, dass ein so großes Unternehmen wie Sony seine Daten ungeschützt im Netz liegen lässt“, sagt Neudorfer.

2015 nehmen Angriffe zu

Der IT-Experte rechnet nicht damit, dass die Angriffe 2015 weniger werden. Unternehmen empfiehlt Neudorfer, ihre IT-Security-Strategie zu überdenken. „Bisher haben Unternehmen 80 Prozent ihres Budgets für Sicherheit in Prävention investiert und jeweils zehn Prozent in die Erkennung und Reaktion auf Sicherheitsvorfälle“, meint Neudorfer. Diese Strategie sei 2015 aber nicht mehr zielführend. „Jedes Unternehmen muss 2015 davon ausgehen, Ziel von Angriffen zu sein.“

Deshalb müssen Unternehmen ihr Budget für IT-Security restrukturieren. „Prävention, Erkennung und Reaktion brauchen heutzutage gleich viel Aufmerksamkeit. Man muss Maßnahmen setzen, die überall wirksam sind und man braucht Mittel, um entsprechende Attacken zu erkennen“, sagt der IT-Experte. Genau hier will T-Systems ansetzen und mittelständischen Unternehmen seine Cyber Defense-Lösung verkaufen, bei er überwacht wird, ob und wie viele Angriffe stattfinden, oder nicht.

Überwachung der Angriffe

Ein Security Operation Manager überwacht dabei das System 24 Stunden lang sieben Tage die Woche. „In Österreich sind hier 15 Mitarbeiter von T-Systems im Einsatz, ein Mitarbeiter hat fünf bis acht Unternehmen gleichzeitig im Visier“, erzählt Neudorfer. Ein prominentes Unternehmen, das auf die Service-Leistung von T-Systems setzt, sei etwa der ORF, wie Neudorfer erwähnt. Für Kunden, die selbst über das Know-How im IT-Bereich verfügen, bietet T-Systems als Basis-Lösung die Monitoring-Plattform an, mit der die Kunden selbst feststellen können, wie es mit der Angriffslage im Unternehmen aussieht.

Mit der Lösung lasse sich auch überprüfen, ob die IT-Infrastruktur des Unternehmens Schwachstellen aufweist und durch aktuelle Software-Lücken gefährdet ist, die Angreifer ausnutzen könnten. Als Beispiel bringt Neudorfer hier Heartbleed.

Der Fehler im Programmcode des Sicherheitsprotokolls OpenSSL war zwar eigentlich ein trivialer, doch er barg für Systeme ein großes Sicherheitsrisiko mit sich. In Österreich gibt es noch immer einzelne Unternehmen, die ihre Systeme nicht vor diesem Risiko geschützt haben. Neudorfer ist überzeugt, dass die Zahl der Schwachstellen, die von Sicherheitsforschern entdeckt werden, 2015 noch zunehmen wird. „Es wird ein paar hässliche Schwachstellen geben“, gibt sich der Experte überzeugt.

Neue Herausforderungen

Sorgen machen dem Experten auch die Vernetzung von Geräten sowie Angriffe auf heikle Industrie-Bereiche sowie die Energieversorgung. „Das Sicherheitsniveau in der Industrie ist nicht so hoch wie im klassischen IT-Bereich“, sagt Neudorfer. Und bei der Vernetzung von Dingen würde die Umstellung von IPv4 auf IPv6 für neue Schwachstellen und neue Möglichkeiten für Angriffe sorgen. Unternehmen sollten sich laut Neudorfer darauf vorbereiten und die Bedrohungslage ernst nehmen.

Disclaimer: Redakteure der futurezone berichteten live von der CeBIT in Hannover. Die Reisekosten wurden von der futurezone GmbH selbst sowie von T-Systems übernommen.