Die Security-Gefahren im Jahr 2016

Ein Jahr der virtuellen Erpressungen steht uns 2016 bevor, wenn man den Security-Experten von Trend Micro glaubt. Dabei wird auch Hacktivismus eine der Sünden sein, derer sich Cyberkriminelle schuldig machen. Dabei werden sie ihre Angriffsmethoden, so die Sicherheitsforscher, systematisch ausweiten werden. Auch wenn das Bewusstsein bezüglich der Sicherheitsrisiken steigt, werden die Angriffe weiter zunehmen. Einen Grund hierfür sehen die Security-Experten in der allumfassenden Vernetzung nahezu aller technischer Geräte ("Smartifizierung"). Diese gehe so weit, dass solche Geräte selbst dann genutzt würden, wenn der User die realistische Gefahr eingeht, dass die Fehlfunktion eines smarten Geräts körperliche Schäden zur Folge haben kann.

Insgesamt machen die Sicherheitsexperten von Trend Micro für 2016 sieben Todsünden aus, mit denen die Cyberkriminellen die Anwender bedrohen werden. Etliche dieser Sünden sind bereits gute alte Bekannte und kamen auch in den letzten Jahren zum Einsatz. Die sieben Todsünden im Detail:

Erpressung

2016 wird das Jahr der Cyber-Erpressung. Die Psychologie wird hierbei eine weitaus größere Rolle spielen als die technischen Aspekte, denn aus Sicht der Kriminellen hat es sich bestens "bewährt", ihren Opfern Angst einzujagen. In den vergangenen zehn Jahren haben sie mithilfe von Software Lösegeld erpresst. Frühere Varianten sperrten den Bildschirm und forderten Geld, Varianten wie der in Deutschland vor allem als "BKA-Trojaner" bekannte "Polizeitrojaner" drohten mit Verhaftung und Strafzahlungen, und Crypto-Ransomware zielte auf den wertvollsten Teil des Systems: die Daten.

Im kommenden Jahr wird es neue Taktiken geben, die vor allem auf die Psyche der Opfer zielen. Endanwender werden davon ebenso betroffen sein wie Unternehmen, immer mehr Varianten werden auch explizit auf einzelne Opfer in Firmen zugeschnitten sein; dabei werden auch raffinierte Social-Engineering-Tricks zum Einsatz kommen. Der Erfolg von Betrugsmaschen, bei denen Mitarbeiter dazu gebracht werden, Geld auf ein Konto von Cyberkriminellen zu überweisen, wird stark ansteigen. Dazu wird die Kommunikation zwischen Geschäftspartnern abgefangen, wie es bereits bei "HawkEye", "Cuckoo Miner" und "Predator Pain" der Fall war.

Hacktivismus

Um ihre Ziele möglichst öffentlichkeitswirksam zu schädigen, werden Hacktivisten ihre Angriffsmethoden systematisch ausweiten. Die Auswirkungen der dadurch verursachten Datenverluste werden bekannte Unternehmen zu spüren bekommen - ähnlich wie es bei Sony oder dem Hacking Team der Fall war.

Nutzten Hacktivisten bisher in erster Linie Standardtaktiken wie die Verunstaltung von Websites oder DDoS-Angriffe (DDoS = Distributed Denial of Service), werden sie nun nach Methoden suchen, Datenlecks zu verursachen und auszunutzen. Angestachelt werden sie dabei vom Erfolg aktueller Angriffe, die belastende Informationen - wie beispielsweise fragwürdige Unternehmenspraktiken, klassifizierte Nachrichten oder verdächtige Transaktionen - offenlegen.

Das Internet der Dinge unter Beschuss

2016 wird mindestens eine Fehlfunktion eines smarten Geräts schwerwiegende, tödliche Folgen haben. Obwohl es 2015 bereits Vorfälle mit gehackten Babyfonen, Fernsehern und Autos gab und obwohl sich die Menschen über die Sicherheitsrisiken im Klaren sind, nimmt die Vernetzung nahezu aller technischer Errungenschaften ("Smartifizierung") weiter ungebremst zu. So wird die Zahl vernetzter Heimgeräte in den kommenden fünf Jahren jährlich um 67 Prozent ansteigen und 2019 fast zwei Milliarden erreichen - was einer deutlich höheren Wachstumsrate als bei Smartphones und Tablets entspricht.

Wegen der Vielzahl an Geräten, Plattformen, Betriebssystemen und Anwendungen sowie der bislang fehlenden gesetzlichen Bestimmungen ist ein groß angelegter Hacking-Angriff bisher nicht in Sicht. Viel größer ist die Gefahr, dass die Fehlfunktion eines smarten Geräts körperliche Schäden zur Folge hat: Je mehr Drohnen durch die Luft fliegen, je mehr Geräte im Gesundheitsbereich eingesetzt werden und je mehr (private und geschäftliche) Appliances gemeinsame Internetverbindungen nutzen, desto wahrscheinlicher werden Gerätedefekte, Hacking-Angriffe oder Missbrauch.

Nachlässige Unternehmen

Weniger als die Hälfte der Unternehmen wird bis Ende 2016 auf Cybersicherheit spezialisierte Experten beschäftigen. Zwar werden einige von ihnen erkennen, dass es Mitarbeiter braucht, deren Fokus einzig und allein auf der Integrität von Daten innerhalb und außerhalb des Unternehmens liegt. Ob es sich dabei um einen dedizierten "Data Protection Officer" oder einen "Chief Risk Officer" handelt oder die Aufgaben vom "Chief Information Security Officer" übernommen werden, hängt von Faktoren wie der Größe des Unternehmens oder dem Budget ab.

Auch jüngste Entwicklungen wie das Urteil des Europäischen Gerichtshofs zur Safe-Harbor-Regelung mit den USA oder die kommende EU-Datenschutzrichtlinie fordern ein höheres Maß an Datenschutz; die gerade angesprochenen Sicherheitsbeauftragten werden bei der Einhaltung der Regeln der jeweiligen Länder, in denen Unternehmensdaten gespeichert werden, eine tragende Rolle spielen. Dennoch haben in diesem Punkt nicht alle Unternehmen ihre Hausaufgaben gemacht.

Schädliche Online-Werbung

2015 war von einer hohen Anzahl an Malvertising-Angriffen geprägt. In der ersten Jahreshälfte wurden dazu vor allem Exploit-Kits eingesetzt: Waren im September rund 3.000 renommierte japanische Websites Opfer einer massiven Kampagne, bei der die Daten von fast einer halben Million Benutzer entwendet wurden, entdeckte Trend Micro im Februar einen Zero-Day-Exploit in "Adobe Flash", der für entsprechende Angriffe genutzt wurde.

Zwar werden auch 2016 bösartige Anzeigen ihre Opfer finden, doch scheint es hier zum ersten Mal eine Verbesserung zu geben: Weil immer mehr Anwender Online-Werbeblocker nutzen - allein in den USA ist es fast jeder Zweite (48 Prozent), weltweit stieg dieser Wert um 41 Prozent an -, werden Online-Werbetreibende ihre Anzeigenstrategien ändern. Die zunehmende Verbreitung von Werbeblockern zwingt Cyberkriminelle dazu, neue Angriffswege zu suchen, was wiederum zu weniger schädlichen Werbeeinblendungen führen wird.

Mobile Schädlinge

Die Zahl mobiler Schädlinge wird auf 20 Millionen anwachsen - Mitte 2014 lag diese Zahl noch bei zwei Millionen -, wovon in erster Linie China betroffen sein wird. Bei drei von vier Apps dort handelt es sich um Malware, während Google einen Bericht veröffentlicht hat, wonach weniger als ein Prozent der Apps im "Google Play Store" potenziell gefährlich sind.

Forschungen von Trend Micro belegen, dass diese scheinbar widersprüchlichen Angaben korrekt sind: 13 Prozent der Apps in den chinesischen Märkten sind bösartig, während Google Play nur 0,16 Prozent bösartige Apps registriert hat. So ist "Google Play" in China verfügbar, erreicht aber nur 21 Millionen der geschätzten 800 Millionen mobilen Benutzer. Angesichts dessen kann das exponentielle Wachstum mobiler Malware auf prognostizierte 20 Millionen bis Ende 2016 kaum aufgehalten werden.

Doch auch in anderen Ländern, in denen die Benutzer in der Regel auf offizielle App-Stores zurückgreifen, droht Gefahr, denn weltweit werden neue mobile Zahlungsmöglichkeiten im Visier stehen: Cyberkriminelle werden Tests unter realen Bedingungen durchführen, um Daten aus Zahlungstechnologien wie kontaktlosen RFID-Kreditkarten und mobilen Geldbörsen wie "Apple Pay" und "Google Wallet" zu entwenden.

Cyber-Straftaten

Um den Straftaten der Cyberkriminellen wirksam begegnen zu können, muss es im Bereich der Gesetzgebung in den kommenden zwölf Monaten konkrete Veränderungen - hin zu globalen Anstrengungen - geben. Diese sollten zu einer schnelleren Gesetzgebung, mehr Verhaftungen oder Verurteilungen und erfolgreicheren Strafverfahren führen. Diese Entwicklung deutete sich bereits durch einige Festnahmen und Verurteilungen an, darunter zwei Fälle aus dem September: Zum einen der russische Strippenzieher hinter der CITADEL-Malware, zum anderen ein russischer Cyberkrimineller, der sich zu Angriffen auf Zahlungsanbieter schuldig bekannte.