Warum sich Hackerangriffe häufen

Meldungen über Cyberangriffe haben sich in den vergangenen Wochen gehäuft. Weltweit fielen Zehntausende E-Mail-Server von Firmen, Behörden und Bildungseinrichtungen Hackerattacken zum Opfer. Erst kürzlich wurde etwa die  EU-Kommission angegriffen – etwa einen Monat davor verschafften sich Angreifer Zugang auf Systeme der Europäischen Bankenaufsicht. Auch in Österreich wurden Unternehmen und Organisationen Ziel von Cyberattacken, darunter die Kunstuniversität in Linz. 

Grund dafür dürfte in vielen Fällen die Anfang März bekannt gewordene Sicherheitslücke in Microsofts Exchange Server Software gewesen sein. Weltweit waren davon mehr als 250.000, in Österreich rund 7.500 Systeme betroffen.

Zeit und Vorbereitung

Durch die Lücke können sich Angreifer Zugriff auf die Netzwerk-Infrastruktur von Unternehmen verschaffen, die Systeme mit erpresserischer Software lahmlegen oder Daten stehlen. Zwar sei laut Wolfgang Rosenkranz, Leiter des österreichischen Computer Emergency Response Team (CERT), momentan noch schwer zu sagen, ob Hackerangriffe in Österreich konkret durch diese Sicherheitslücke zugenommen haben. „Tatsache ist aber, dass viele Angriffe stattgefunden haben, um diese Lücke auszunützen“ sagt er. Angreifer wollen so schnell wie möglich einen Fuß in die Tür eines Systems bekommen. Dazu installieren sie eine Art Einfallstor – sogenannte „Webshells“. “Um die Tür offen zu halten und sich danach in die Systeme einzunisten, wenn genug Zeit bleibt“, sagt Rosenkranz.

Laut Joe Pichlmayr, CEO der IT-Sicherheitsfirma Ikarus, sei das in etwa so, als hätte man aufgrund einer Lücke, die der Baumeister beim Hausbau übersehen hat, die Chance, sich in ein Haus einzuschleichen, dort ein Fenster zu öffnen und so später jederzeit wieder unbemerkt in das Haus einzusteigen. Dadurch könne man in Ruhe überlegen, wann und mit welcher Absicht man wiederkommt. „Jemanden konkret effizient anzugreifen, braucht Zeit, Vorbereitung und gewisse Vorsichtsmaßnahmen, um sich möglichst unerkannt erfolgreich im Zielsystem festzusetzen. Wer hier ohne Rücksicht auf Verluste angreift, wird meist rasch entdeckt.“ 

Langsame Erholung

Welche Angriffe noch stattfinden werden, wird sich also erst  zeigen. Das Gros der Unternehmen, in der solche Webshells entdeckt wurden, sei jedenfalls noch nicht über diese angegriffen worden, weiß Pichlmayr. Microsoft hat zwar relativ rasch einen Patch, also eine Möglichkeit, die Lücke zu stopfen, bereitgestellt. Verwundbare Systeme gibt es aber nach wie vor. Und zwar solche, bei denen die Software-Aktualisierung noch nicht eingespielt wurde, sowie Systeme, bei denen immer noch Webshells vorhanden sind.

„Die Zahl der verwundbaren Systeme geht derzeit nur langsam runter“, sagt Rosenkranz. So waren etwa Ende März 254 Exchange-Server ungepatcht  – nun sind noch 183 Systeme verwundbar. „Das klingt nicht nach sehr viel, aber eigentlich sollten wir bei Null sein. Das kann aber noch länger dauern“, sagt er.

Webshells suchen

Ist jemand von einem Angriff betroffen, lohnt es sich, nach der Aktualisierung des Systems zu überprüfen, ob Webshells installiert sind. Ist dies der Fall, müssen sie entfernt werden. „Aber auch das ist keine Garantie, dass man sicher ist, denn die Angreifer könnten sich schon lange festgesetzt haben“, sagt der CERT-Experte. Viele Unternehmen holen sich dann externe Unterstützung, um nach Schadsoftware zu suchen, welche die Angreifer schon über diese offenen Türen installiert haben. 

Generell haben Cyberangriffe den beiden Sicherheitsexperten zufolge mit der steigenden Digitalisierung, die in der Krise massiv an Bedeutung und Geschwindigkeit gewonnen hat, zugenommen. „Mir macht aber weniger die Anzahl der Angriffe Sorge, sondern die steigende Professionalisierung, mit der sie erfolgen“, sagt Rosenkranz. Früher hätten Angreifer nur den Rechner verschlüsselt und gehofft, dass für die Entschlüsselung gezahlt wird. Das wurde in den vergangenen Jahren massiv professionalisiert.

„Man hat zuerst bevorzugt große Unternehmen angegriffen, weil man dort mehr verlangen kann. Heute ist es so, dass wenn jemand nicht bereit ist, zu zahlen, die Daten auch noch gestohlen und zu Geld gemacht werden“, so der Fachmann. Die meisten Anwender, vor allem kleine und mittlere Unternehmen, seien auf solche Angriffe nicht wirklich vorbereitet.