Dieser Österreicher hackt sich in Google-Systeme

Anlässlich des kommenden Woche stattfindenden Safer Internet Days am 7. Februar hat Google einen Einblick in seine internen Sicherheitsmaßnahmen gegeben. Laut dem Suchmaschinenbetreiber sind die Themen zeitgemäßer denn je. Begriffe wie Phishing, Ransomware oder Cybersicherheit wurden 2022 so häufig gesucht wie nie zuvor, auch in Österreich. 

Um die unternehmenseigene Sicherheit zu kontrollieren, setzt Google auf sogenannte Red Teams. Sie sitzen in Zürich, New York City und an der US-Westküste und versuchen, in die Google-Systeme einzudringen. Geleitet werden sie von einem Österreicher aus Zürich aus, Daniel Fabian. “Red Teams können identifizieren, wie sich Angreifer*innen im Firmennetz bewegen und wie man ihnen das Leben schwer machen kann”, erklärt er im Rahmen eines Pressegesprächs. Der Begriff wurde in Zeiten des Kalten Krieges geprägt, wo die USA vergleichbare Angriffe bei der Landesverteidigung durchführten. Die Angreifer waren dabei immer das Red Team, die Verteidiger das Blue Team. 

Konkrete Angriffe

Die Art und Weise, wie die Red Teams in die Systeme eindringen, ist genauso unterschiedlich wie die Angriffsvektoren von echten Attacken. Es sei schwer, über konkrete Angriffe zu reden, sagt Fabian. Man würde damit ungewollt Einblicke in mögliche Schwachstellen geben. 

Ein paar Aktionen des Red Teams sind aber dennoch bekannt. So überlegte sich das Team vor einigen Jahren eine Phishing-Attacke auf Basis eines USB-Spielzeugs. Sogenannte “Plasma Globes” wurden an Mitarbeiter*innen versandt, bei denen irgendeine Form von Firmenjubiläum anstand. Dass das so war, wusste man dank öffentlicher Daten auf LinkedIn.

“Wir haben die Globes schön verpackt und per Post an die Büros verschickt”, erklärt Fabian. “Es gab dann auch viele, die sie ausgepackt und per USB an ihrer Computer angeschlossen haben”. Was die Mitarbeiter*innen nicht wussten: Die Globes waren mit einem Chip manipuliert, der eine Hintertür in ihre Rechner aufbaute. “Das ist der erste ‘Foothold’ den wir gebraucht haben, anschließend haben wir versucht auf interne Dokumente zuzugreifen”, erklärt Fabian.

Sich zu benehmen wissen

Auch, wenn die sogenannten Red Teams wie Angreifer*innen verhalten, müssen sie sich dennoch an gewisse Regeln halten, um keinen Schaden anzurichten. “Wir möchten keine neuen Sicherheitslücken herbeiführen”, so Fabian. Man wolle immer verstehen, was die Auswirkungen und Konsequenzen von Angriffen sind, so der Sicherheitsexperte. 

Natürlich greifen die Red Teams auch nie auf reale Kund*innendaten zu, sondern wenn dann auf Testaccounts, die zu diesem Zweck angelegt werden. Wenn zum Zwecke des Tests Daten extrahiert werden müssen, gibt es laut Fabian genaue Vorgaben, wie man mit ihnen umzugehen hat. 

Red Team, Red Cell und Orange Team

Neben den klassischen Red-Team-Angriffen, bei denen das Verhalten verschiedener Aktivist*innengruppen und Krimineller nachgestellt wird, gibt es noch das Vorgehen Red Cell. Dabei wird eine konkrete Gruppe, die eine Bedrohung für Google darstellt, ausgewählt und imitiert. “Wir versuchen dann, Techniken, Taktiken und Prozesse so genau wie möglich nachzustellen”, erklärt Fabian. Derartige Übungen sind sehr aufwändig, erfordern viel Vorbereitung und können bis zu einem halben Jahr dauern, sagt Fabian.

Im Rahmen sogenannter Orange Teams versuchen Google-Mitarbeiter*innen aus verschiedensten Teams Google zu hacken. Unterstützt wird das laut Fabian von Mentor*innen und Schiedsrichter*innen, damit nichts schief läuft. 

Was das bringt

Google erhofft sich natürlich durch dieses Tests, seine Fähigkeiten bei der Erkennung und Eindämmung digitaler Bedrohungen zu verbessern. Auch wolle man durch die Aufmerksamkeit auf Cybersicherheit und mögliche Folgen ein besseres Bewusstsein schaffen. 

Im Endeffekt sollen so sicherere Produkte für Anwender*innen entstehen, wie Fabian ausführt. So wurden dadurch etwa die “unphishbaren” physischen Security Keys entwickelt und die Phishing-Erkennung in Gmail optimiert. Auch wurden zahlreiche Sicherheitslücken entdeckt und geschlossen sowie Anstöße geliefert, existierende Sicherheitsmaßnahmen zu verbessern.