Hacker nutzen Zulieferer als Einfallstor

Der Angriff erinnert verdächtig an die Attacken auf das iranische Atomprogramm mit Hilfe des Computerwurms Stuxnet vor einigen Jahren: 2014 infizierten Cyberkriminelle die Treibersoftware eines deutschen Maschinenbauers mit Schadsoftware. Kunden, die die Maschinen betrieben und die dazugehörige Software auf den neuesten Stand brachten, luden sich den Schadcode ins System.

Die Aktion war kein Einzelfall, sagt Steve Durbin vom Information SecuritySecurity Forum, einer Nicht-Regierungsorganisation, die sich mit IT-Sicherheit beschäftigt. Angriffe auf Lieferanten als verlängerte Werkbank nehmen zu. "Die Zulieferer werden mehr und mehr zum Ziel - als Weg in große Unternehmen." Alles zu Security auf CIO.de

Das Problem ist die wachsende Vernetzung der Wirtschaft: Wenn Firmen inzwischen mit gemeinsamen Bestellsystemen oder anderer Software arbeiten, kann das ein Einfallstor für Hacker sein. "Das Argument, ich bin zu klein, ist enkräftet", sagt Marc Fliehe, IT-Sicherheitsexperte beim Branchenverband Bitkom. Kleine Ingenieurbüros seien attraktive Angriffsziele, um beispielsweise in die Systeme von Autoherstellern zu gelangen und dort zu spionieren.

"Gefährdung entsteht immer dort, wo Werte vorhanden sind", heißt es beim Bundesamt für Sicherheit in der Informationstechnik (BSI) - also auch bei kleinen, innovativen Firmen.

Nach Daten der Sicherheitsfirma Symantec zielen rund 27 Prozent der Angriffe auf kleine und mittelgroße Firmen mit weniger als 250 Mitarbeitern. Gut die Hälfte der Attacken haben Großunternehmen mit mehr als 2500 Beschäftigten im Visier. "Dieser Anteil war in den vergangenen Jahren weitgehend stabil" sagt Symantec-Virenjäger Candid Wueest. Aber: "Im Moment sprechen nur wenige über Angriffe, jeder muss seine Fehler selbst machen."

Sind - anders als beim jüngsten Hacker-Angriff auf Sony Pictures - keine Kundendaten oder private Informationen von Mitarbeitern betroffen, werden die Vorfälle in der Regel nicht öffentlich. Bei der vom BSI und dem IT-Branchenverband Bitkom ins Leben gerufenen Allianz für Cybersicherheit, wo Firmen Hackerangriffe freiwillig bekannt geben, haben sich bislang rund 1000 Firmen angemeldet. Aber lediglich 160 Vorfälle wurden in zwei Jahren gemeldet. Die Bundesregierung plant nun ein IT-Sicherheitsgesetz, in dem eine Meldepflicht zumindest für Vorfälle vorgesehen ist, die kritische Infrastrukturen wie Versorger oder Telekomunternehmen betreffen.

Doch während viele Firmen Probleme verschweigen, zählt das BSI täglich weitere Attacken. "Die Angriffe werden immer ausgefeilter", beobachtet Steve Durbin. Besondere Kopfschmerzen macht Sicherheitsexperten die aktuell im Umlauf befindliche Schadsoftware "Regin", die die grundlegenden Konzepte gängiger Antivirenprogramme aushebelte. Hinzu kommt, dass Hacker-Gruppen finanziell gut ausgestattet sind und deshalb auch mehr Zeit in einen Angriff investieren können. Haben sie sich einmal Zugang zum System verschafft, verhalten sie sich zunächst möglich ruhig, um die größtmögliche Beute zu ergattern.

Nach wie vor sind gezielte Attacken ein beliebtes Angriffsmittel. Auf persönliche Interessen zugeschnittene und mit Spähsoftware gespickte E-Mails werden an Zielpersonen geschickt, die Zugriff zu relevanten Informationen haben. Für die Ziele interessante Seiten werden mit Schadsoftware gespickt. Die wiederum installiert sich nur, wenn die IP-Adresse des Opfers relevant für die Hacker ist.

"Häufig ist menschliches Versagen ein Problem", sagt Wueest. Passwörter werden für mehrere Accounts verwendet. Angemessene Sicherheitsmaßnahmen würden in vielen Unternehmen nicht konsequent umgesetzt, heißt es beim BSI. So gaben in einer Umfrage der Allianz für Cyber-Sicherheit mehr als die Hälfte der befragten Unternehmen an, dass ihre Maßnahmen zum Schutz vor Cyber-Angriffen aktuell nicht ausreichten.

Auf der anderen Seite haben vor allem kleinere Firmen häufig nicht immer die Möglichkeiten, den Vorfällen so eingehend mit forensischen Mitteln nachzugehen, wie es zum Beispiel Sony nach der jüngsten Attacke tut.

Große Sicherheitsfirmen wie Symantec, aber auch die Deutsche Telekom oder Hewlett-Packard (HPHP) richten deshalb Beobachtungszentren ein, in denen sie Vorfälle beobachten. HP eröffnet am Dienstag in Böblingen sein erstes Cyberabwehrzentrum in Deutschland. Dort sollen Informationen über Angriffe gesammelt und Firmen geschult werden. Alles zu HP auf CIO.de

Das Problem der Zulieferer gehen inzwischen ihre Kunden selbst an, sagt Durbin. "Wir sehen, dass das Bewusstsein dafür wächst", sagt er. Einige Konzerne führten Untersuchungen bei ihren Zulieferern durch, in der Hoffnung, Einfallstore zu schließen. (dpa/rs)