Security-Theater mit Antivirus, Firewall & Co.
Wirkungslose IT-Sicherheitsmaßnahmen
04.07.2016
Florian Maier beschäftigt sich mit diversen Themen rund um Technologie und Management.
Virenschutz-Software, Firewalls, regelmäßige Passwort-Wechsel - und schon sind die IT-Systeme sicher. Oder? Wir haben uns mit zahlreichen Experten unterhalten und Erstaunliches in Erfahrung gebracht.
Kennen Sie den Begriff "Security Theatre"? Die ausufernden Sicherheitsmaßnahmen an US-Flughäfen haben diesen Begriff geprägt. Sie wissen schon, wenn man mal wieder das Boarding knapp verpasst, weil in der Schlange vor dem Ganzkörperscanner alte Menschen und Kinder einfach nicht wissen, welche Kleidungsstücke abzulegen sind um einen möglichst reibungslosen Ablauf zu gewährleisten.
IT-Security ohne Wirkung?
Der "Erfinder" des Begriffs ist allerdings kein Geringerer als IT-Security-Koryphäe Bruce Schneier. Kein Wunder, denn wie die Kollegen unseres Schwesterportals csoonline.com im Gespräch mit zahlreichen Experten für IT-Sicherheit herausgefunden haben, passt der Begriff "Security Theatre" nicht nur auf den Sicherheits-Enthusiasmus an US-Flughäfen, sondern auch auf einige Maßnahmen der IT-Security - darunter so traditionelle Abwehr-Methoden wie die Antivirus-Software oder die Firewall.
- Splash Screens
Viele scheinbar normale Online-Transaktionen werden heutzutage von reißerischen Splash-Screens begleitet. Meldungen wie 'Securely getting your account details' oder 'setting up a secure connection' sollen ein Gefühl von gesteigerter Sicherheit vermitteln. Tun sie vielleicht sogar in manchen Fällen. Sicherer wird die Transaktion dadurch eher nicht. - Antivirus Software
Antivirus-Software alleine reicht heutzutage nicht mehr aus, um Unternehmensnetzwerke zu schützen, da sie gegen aktuelle Bedrohungen wie Ransomware oft nur wenig ausrichten kann. Negative Auswirkungen haben die Virenschutz-Programme hingegen oft auf die Performance. - Perimeter Security
Firewalls und sonstige Perimeter-Security-Maßnahmen können ebenfalls theatralische Qualitäten aufweisen, denn sie alleine sind der wachsenden Bedrohungslage - insbesondere im Unternehmensumfeld - ebenfalls nicht gewachsen. - Alarm-Ermüdung
Permanente Security-Alerts führen häufig dazu, dass die IT-Abteilung aufgrund hoher Fehlalarmquoten in den Ignoranz-Modus schaltet. Ohnehin können nur circa fünf Prozent der Alerts wirklich tiefgehend untersucht werden. - Ignoranz
Investitionen in Sicherheitsmaßnahmen sind eine gute Sache. Allerdings sollten Unternehmen die Daten, die ihr Security-Equipment sammelt, auch auswerten und analysieren. Ein Haken auf der To-Do-Liste reicht nicht aus. - Passwort-wechsel-dich
Ein Passwort alleine genügt nicht. Insbesondere dann, wenn es sich dabei um bewährte Security-Fails wie "123456" handelt. Und welchen Sinn macht es eigentlich, dass man sein Kennwort alle 30 Tage ändern muss? - Security Training
Die Mitarbeiter simulierten Phishing-Attacken auszusetzen, ohne ihnen vorher entsprechende Schulungsmaßnahmen zuteil werden zu lassen hat in der Regel wenig Effekt. - Harte Worte
Viele Security-Anbieter preisen ihre Lösungen mit militanten PR-Botschaften an. Ob die dadurch noch sicherer werden? Schreien hat jedenfalls noch nie viel geholfen. - Mauer-Fetisch
Wenn die IT-Abteilung lieber mauert statt Lösungen zu suchen, trägt das nicht zur Sicherheit bei. - Sharing
Der Austausch von Daten über aufgedeckte Sicherheitslücken und erfolgte Angriffe ist grundsätzlich eine gute Sache. Dennoch hilft sie Unternehmen nicht dabei, die Angriffsvektoren in ihrem Netzwerk aufzudecken. - Schadens-PR
"Uns liegt die Sicherheit unserer Nutzer am Herzen" heißt es allzu oft, nachdem Unternehmen Opfer einer Hacker-Attacke geworden sind. Gegenfrage: Wie konnte es dann überhaupt erst dazu kommen?
Nur ein Fenster zur Sicherheit
Orlando Scott-Cowley, Security-Stratege bei Mimecast, zeigt sich irritiert davon, wie viele scheinbar normale Online-Transaktionen heutzutage von reißerischen Splash-Screens begleitet werden: "Es gibt einige Websites, die versuchen, ihren Nutzern nach dem Login mit schicken Fenster mit Meldungen wie 'Securely getting your account details' oder 'setting up a secure connection' ein Gefühl von gesteigerter Sicherheit zu vermitteln. Das ist ein Grund, sich zu schämen, denn was die Sicherheit angeht, sind solche Meldungen nichts weiter als Theater."
Wenn der Virenschutz verpufft
Für die meisten Menschen ist eine Virenschutz-Software eine grundlegende Voraussetzung für ein sicheres System. Ajit Sancheti, Mitbegründer und CEO von Preempt, ist allerdings davon überzeugt, dass Antivirus-Software größtenteils wirkungslos ist: "Eine solche Software richtet nur wenig gegen Malware und Ransomware aus, sorgt dafür aber bei den Usern für Unannehmlichkeiten - insbesondere was die Performance angeht", so Sancheti.
Barry Shteiman von Exabeam stimmt direkt mit ein: "Jedes Unternehmen gibt Unmengen für Antivirus- und Antimalware-Software aus. Mittlerweile ist es Standard, dass ein schickes Taskbar-Icon jedem Nutzer mitteilt 'Du bist geschützt'. Leider ist das aber einfach nicht wahr. Nahezu jede moderne Malware hat Anti-Antivirus-Tools an Bord, die diese Schutzmaßnahmen einfach umgehen - so als wären sie gar nicht da."
- 1986: Brain
Mehr als ein Jahrzehnt, bevor Napster für irgendjemanden ein Begriff war, wurde der erste Computervirus entwickelt - um Softwarepiraterie zu bekämpfen. Der Autor, der das Wort "Cyber" in die Welt setzte, war William Gibson - genannt "Brain". Basit und Amjad Alvi entwickelten und vermarkteten medizinische Software im pakistanischen Lahore. Sie interessierten sich für zwei Dinge. Zuerst wollten sie die Multitasking-Funktionalität der neuen DOS-Betriebssysteme (sogenannte "TSR"-Systeme) testen. Zweitens wollten sie sehen, ob es im Vergleich zu anderen Betriebssystemen wie Unix Sicherheitslücken in DOS gibt.<br /><br />Als sie bemerkten, dass DOS recht anfällig war, hatten sie die Idee, ein Stück Software zu schreiben, das überwacht, wie die Software und die Disketten sich bewegen. Brain verbreitete sich viral über 3,25-Zoll-Disketten und innerhalb weniger Wochen mussten die Alvis ihre Telefonnummern ändern. Das hat Ihnen allerdings wenig genützt, denn 25 Jahre nach der Entwicklung des ersten PC-Virus machte sich Mikko Hypponen von F-Secure im Frühjahr 2011 auf die Reise nach Lahore. Sein Ziel: die Adresse, die im Code zu finden war. Tatsächlich fand er die Alvi-Brüder dort vor und bekam die Gelegenheit, mit ihnen das erste Video-Interview über Brain zu führen. - 1987: Stoned
Erstellt durch einen Gymnasiasten in Neuseeland, wurde Stoned zunächst als harmlos angesehen. Zunächst machte er sich auch lediglich mit der Meldung "Your PC is now Stoned" bemerkbar. Doch als erster Virus, der den Bootsektor eines PCs infizierte, zeigte Stoned, dass Viren die Funktion eines Computers steuern können - und zwar von dem Moment an, in dem er eingeschaltet wird. Bob Dylan wäre stolz gewesen. - 1990: Form
Form wurde zu einem der meistverbreiteten Viren überhaupt. Am 18. eines jeden Monats entlockte er den PC-Lautsprechern ein klickendes Geräusch - jedes Mal, wenn eine Taste gedrückt wurde. Das war zwar durchaus ärgerlich, aber harmlos. - 1992: Michelangelo
Michelangelo wurde dazu genutzt, alle Daten auf einer Festplatte zu bestimmten Terminen zu überschreiben. Als eine Variante von Stoned - nur deutlich bösartiger - war Michelangelo wohl der erste Computervirus, der es auf internationaler Ebene in die Nachrichten geschafft hat. - 1992: VCL
Das Virus Creation Laboratory (VCL) machte es kinderleicht, ein bösartiges kleines Programm zu basteln – durch die Automatisierung der Virenerstellung über eine einfache grafische Schnittstelle. - 1993: Monkey
Monkey - ebenfalls ein entfernter Verwandter von Stoned - integrierte sich heimlich in Dateien und verbreitete sich anschließend nahtlos. Damit war Monkey ein früher Vorfahre des Rootkits: Ein selbstverbergendes Programm, das den Bootvorgang per Diskette verhindern konnte. Wenn es nicht korrekt entfernt wurde, verhinderte Monkey gar jegliche Art des Bootens. - 1995: Concept
Als erster Virus, der Microsoft Word-Dateien infizierte, wurde Concept zu einem der häufigsten Computer-Schädlinge. Schließlich war er in der Lage, jedes Betriebssystem, das Word ausführen konnte, zu infizieren. Achja und: Wurde die Datei geteilt, wurde auch der Virus geteilt. - 1999: Happy99
Happy99 war der erste E-Mail-Virus. Er begrüßte User mit den Worten "Happy New Year 1999" und verbreitete die frohe Botschaft per E-Mail auch gleich an alle Kontakte im Adressbuch. Wie die frühen PC-Viren richtete Happy99 keinen wirklichen Schaden an, schaffte es aber dennoch, sich auf Millionen von PCs auf der ganzen Welt auszubreiten. - 1999: Melissa
Angeblich benannt nach einer exotischen Tänzerin, stellte Melissa eine Kombination aus klassischem Virus und E-Mail-Virus dar. Er (beziehungsweise sie) infizierte eine Word-Datei, verschickte sich dann selbst per E-Mail an alle Kontakte im Adressbuch und wurde so zum ersten Virus, der innerhalb weniger Stunden zu weltweiter Verbreitung brachte.<br />Melissa kombinierte das "Spaß-Motiv" der frühen Virenautoren mit der Zerstörungskraft der neuen Ära: Der Virus integrierte unter anderem Kommentare von "The Simpsons" in Dokumente der Benutzer, konnte aber auch vertrauliche Informationen verschicken, ohne dass Betroffene dies bemerkten. Nicht lange nach Melissa wurden Makroviren praktisch eliminiert, indem Microsoft die Arbeitsweise der Visual-Basic-Makro-Sprache in Office-Anwendungen änderte. - 2000: Loveletter
Dieser Loveletter hat Millionen von Herzen gebrochen und gilt noch heute als einer der größten Ausbrüche aller Zeiten. Loveletter verbreitete sich via E-Mail-Anhang und überschrieb viele wichtige Dateien auf infizierten PCs. Gleichzeitig ist es einer der erfolgreichsten Social-Engineering-Attacken überhaupt. Millionen von Internet-Nutzern fielen dem Versprechen von der großen Liebe zum Opfer und öffneten den infizierten E-Mail-Anhang. Der geschätzte, weltweite Gesamtschaden betrug Schätzungen zufolge 5,5 Milliarden Dollar. - 2001: Code Red
Der erste Wurm, der sich ohne jegliche Benutzerinteraktion innerhalb von Minuten verbreitete, trug den Namen Code Red. Er führte verschiedene Aktionen in einem Monatszyklus aus: An den Tagen eins bis 19 verbreitete er sich - von Tag 20 bis 27 startete er Denial-of-Service-Attacken auf diverse Webseiten - beispielsweise die des Weißen Hauses. Von Tag 28 bis zum Ende des Monats war übrigens auch bei Code Red Siesta angesagt. - 2003: Slammer
Netzwerk-Würmer benötigen nur ein paar Zeilen Code und eine Schwachstelle - schon können sie für ernste Probleme sorgen. Slammer brachte auf diese Weise das Geldautomaten-Netz der Bank of America und die Notrufdienste in Seattle zum Absturz. Sogar das Flugverkehrskontrollsystem war nicht gegen den agilen Bösewicht immun. - 2003: Fizzer
Fizzer war der erste Virus, der gezielt entwickelt wurde, um Geld zu verdienen. In Gestalt eines infizierten E-Mail-Anhangs kam er auf die Rechner seiner Opfer. Wurde die Datei geöffnet, übernahm Fizzer den Rechner und benutzte diesen, um Spam zu versenden. - 2003: Cabir
Cabir war der erste Handy-Virus der IT-Geschichte und hatte es gezielt auf Nokia-Telefone mit Symbian OS abgesehen. Cabir wurde über Bluetooth verbreitet und bewies, dass der technologische Fortschritt alleine kein wirksames Mittel gegen Hacker und Cyberkriminelle ist. - 2003: SDBot
SDBot war ein Trojanisches Pferd, das die üblichen Sicherheitsmaßnahmen eines PCs umging, um heimlich die Kontrolle zu übernehmen. Er erstellte eine Backdoor, die es dem Autor unter anderem ermöglichte, Passwörter und Registrierungscodes von Spielen wie "Half-Life" und "Need for Speed 2" auszuspionieren. - 2003: Sobig
Sobig war eine Optimierung von Fizzer. Die Besonderheit: Einige Versionen warteten zunächst ein paar Tage nach der Infektion eines Rechners, bevor die betroffenen Rechner als E-Mail-Proxy-Server benutzt wurden. Das Ergebnis? Eine massive Spam-Attacke. Alleine AOL musste mehr als 20 Millionen infizierte Nachrichten pro Tag abfangen. - 2004: Sasser
Sasser verschaffte sich über gefährdete Netzwerk-Ports Zugang zum System, verlangsamte dieses dramatisch oder brachte gleich ganze Netzwerke zum Absturz – von Australien über Hongkong bis nach Großbritannien. - 2005: Haxdoor
Haxdoor war ein weiterer Trojaner, der nach Passwörtern und anderen privaten Daten schnüffelte. Spätere Varianten hatten zudem Rootkit-Fähigkeiten. Im Vergleich zu früheren Viren setzte Haxdoor weitaus komplexere Methoden ein, um seine Existenz auf dem System zu verschleiern. Ein modernes Rootkit kann einen Computer in einen Zombie-Computer verwandeln, der ohne das Wissen des Benutzers fremdgesteuert werden kann - unter Umständen jahrelang. - 2005: Sony DRM Rootkit
Im Jahr 2005 hatte eine der größten Plattenfirmen der Welt die gleiche Idee, die schon die Alvi-Brüder im Jahr 1986 hatten: Ein Virus sollte Piraterie verhindern. Auf den betroffenen Audio-CDs war nicht nur eine Musik-Player-Software, sondern auch ein Rootkit enthalten. Dieses kontrollierte, wie der Besitzer auf die Audio-Tracks der Disc zugreift. Das Ergebnis: ein medialer Shitstorm und eine Sammelklage. Letzterer konnte sich Sony nur durch großzügige Vergleichszahlungen und kostenlose Downloads außergerichtlich erwehren. - 2007: Storm Worm
Laut Machiavelli ist es besser, gefürchtet als geliebt zu werden. Sieben Jahre nach Loveletter, machte sich der Schädling Storm Worm unsere kollektive Angst vor Wetterkapriolen zu Nutze. Dazu benutzte er eine E-Mail mit der Betreffzeile "230 Tote durch Sturm in Europa". Sobald der Dateianhang geöffnet wurde, zwangen eine Trojaner- Backdoor und ein Rootkit den betroffenen Rechner, sich einem Botnetz anzuschließen. Botnetze sind Armeen von Zombie-Computern, die verwendet werden können, um unter anderem Tonnen von Spam zu verbreiten. Storm Worm kaperte zehn Millionen Rechner. - 2008: Mebroot
Mebroot war ein Rootkit, dass gezielt konstruiert wurde, um die gerade aufkommenden Rootkit-Detektoren auszutricksen. Dabei war der Schädling so fortschrittlich, dass er einen Diagnosebericht an den Virenschreiber sendete, sobald er einen PC zum Absturz gebracht hatte. - 2008: Conficker
Conficker verbreitete sich rasend schnell auf Millionen von Computern weltweit. Er nutzte sowohl Schwachstellen in Windows, als auch schwache Passwörter. Kombiniert mit einigen fortschrittlichen Techniken, konnte Conficker weitere Malware installieren. Eine - besonders fiese - Folge: die Benutzer wurden durch den Virus vom Besuch der Website der meisten Anbieter von Security-Software gehindert. Mehr als zwei Jahre nachdem Conficker erstmals gesichtet wurde, waren immer noch täglich mehr Rechner infiziert. - 2010: 3D Anti Terrorist
Dieses "trojanisierte" Game zielte auf Windows-Telefone ab und wurde über Freeware-Websites verteilt. Einmal installiert, startete der Trojaner Anrufe zu besonders teuren Sondernummern und bescherte den Nutzern überaus saftige Rechnungen. Diese Strategie bei Apps ist immer noch neu - wird sich aber vermutlich zu einer der gängigsten Methoden entwickeln, mit denen Hacker und Cyberkriminelle künftig mobile Endgeräte angreifen. - 2010: Stuxnet
Wie schon gesehen, haben Computer-Viren schon seit Jahrzehnten Auswirkungen auf die reale Welt - doch im Jahr 2010 hat ein Virus auch den Lauf der Geschichte verändert: Stuxnet. Als ungewöhnlich großer Windows-Wurm (Stuxnet ist mehr als 1000 Prozent größer als der typische Computerwurm) verbreitete sich Stuxnet wahrscheinlich über USB-Geräte. Der Wurm infizierte ein System, versteckte sich mit einem Rootkit und erkannte dann, ob der infizierte Computer sich mit dem Automatisierungssystem Siemens Simatic verbindet. Wenn Stuxnet eine Verbindung feststellte, veränderte er die Befehle, die der Windows-Rechner an die PLC/SPS-programmierbaren Logik-Controller sendet - also die Boxen zur Steuerung der Maschinen.<br /><br /> Läuft er auf PLC/SPS, sucht er nach einer bestimmten Fabrikumgebung. Wenn diese nicht gefunden wird, bleibt Stuxnet inaktiv. Nach Schätzungen der F-Secure Labs, kostete die Umsetzung von Stuxnet mehr als zehn Mannjahre Arbeit. Immerhin zeigt das, dass ein Virus, der offensichtlich eine Zentrifuge zur Urananreicherung manipulieren kann, nicht im Handumdrehen von Jedermann erschaffen werden kann. Die Komplexität von Stuxnet und die Tatsache, dass der Einsatz dieses Virus nicht auf finanziellen Interessen beruhte, legt den Verdacht nahe, dass Stuxnet im Auftrag einer Regierung entwickelt wurde.
Löchrige Firewalls in Zeiten der Dauer-Attacke
Dass Firewalls und sonstige Maßnahmen zur Absicherung des Netzwerkrands ebenfalls theatralische Qualitäten aufweisen, entspricht der Überzeugung von Garry McCracken, Vice President Technology bei WinMagic: "Jeder hat so etwas in Betrieb, aber um die IT-Systeme von Unternehmen zu schützen reicht das längst nicht mehr aus. Die meisten großen Unternehmen werden nahezu durchgängig angegriffen - es braucht also neue Strategien und Technologien. Unternehmen sollten davon ausgehen, dass in ihr Netzwerk eingedrungen wird, oder bereits wurde, die Bedrohung identifizieren, die Auswirkungen reduzieren und so schnell wieder in den Normalzustand zurückkehren."
Anstatt immer mehr Geld und Ressourcen in Perimeter-Security-Maßnahmen zu investieren, gibt McCracken Unternehmen daher den Tipp, dieAuswirkungen eines Angriffes so klein wie möglich zu halten und/oder alle 10 Minuten ein Backup zu erstellen, um stets auf einen aktuellen Wiederherstellungspunkt zugreifen zu können. Das sei wesentlich effizienter.
- 2016: HSBC
Die britische Bank HSBC fällt einem DDoS-Angriff zum Opfer - Kunden können ihren Online-Account geschlagene 48 Stunden nicht erreichen. Und das zwei Tage vor Abgabefrist der Steuererklärung. - 2015: Microsoft Xbox Live
Das kostenpflichtige Gaming-Network Xbox Live von Microsoft soll in der Weihnachtswoche mittels DDoS angegriffen werden - diese Drohung wird im Dezember 2015 bekannt. Die Angreifer wollen damit angeblich auf weiterhin bestehende Sicherheitslücken in Microsoft-Diensten hinweisen. Auch Sonys Konkurrenzangebot, das Playstation Network, solle attackiert werden. - 2015: Carphone Warehouse
Der britische Telekommunikationsanbieter Carphone Warehouse fällt einer DDoS-Attacke zum Opfer. Und als wäre das nicht schon genug, werden zusätzlich auch noch Millionen Kundendaten von den Angreifern kopiert. - 2014: 300 Gbps
300 Gigabit pro Sekunde: In diesem Ausmaß hat es noch nie einen DDoS-Angriff gegeben. Mithilfe von 100.000 ungepatchten Servern greift ein Botnet ein nicht näher bekanntes Rechenzentrum an. - 2014: 400 Gbps
Nur ein halbes Jahr später geht es noch heftiger: Mit einem NTP-basierten (Network Time Protocol) DDoS-Angriff wird eine Internetanbieter attackiert. - 2013: chinesisches Internet
Teile des Chinesischen Internets sind von einer der größten DDoS-Attacken bisher lahmgelegt. Und das, obwohl die Regierung des Reichs der Mitte eines der weltbesten Security-Systeme samt entsprechend ausgebildetem Personal aufweisen kann. - 2013: Spamhaus
Sie kämpft gegen unerwünschte E-Mails, doch jetzt ist die Organisation Spamhaus selbst Ziel eines Angriffs mit massenhaften Abfragen geworden. Die Attacke beeinträchtigte sogar den regulären Datenverkehr im Netz. - 2013: Dispatch International
Die Website der Wochenzeitung "Dispatch International" wird massiv angegriffen. Aufgrund des Angriffs erscheint die Zeitung verspätet. - 2012: 50Hertz
Die Internet-Infrastruktur des Stromnetzbetreibers 50Hertz wird von Unbekannten angegriffen. Aus einem Botnetz heraus werden Websites und Mail-Infrastruktur des Hochspannungsstromnetz-Betreibers per DDoS-Attacke unter Beschuss genommen. Alle extern erreichbaren Services fallen vorübergehend aus. - 2012: Pizza.de / Lieferando
UDP-Flooding und DDoS-Attacken sorgen für den Zusammenbruch der Websites von pizza.de und lieferando.de. Nach der Uplink-Ausfilterung beginnt eine zweite Angriffswelle. Es folgt eine Razzia beim Konkurrenten lieferheld.de - ohne Ergenis. Die Betroffenen loben 100.000 für die Ergreifung der Verantwortlichen aus. - 2012: UPC
Die Internet-Präsenz des österreichischen TK-Unternehmens UPC ist vermutlich aufgrund von DDoS-Attacken und SQL-Injection vorübergehend nicht erreichbar. Als Angreifer wurden Anonymous-Hacker aus Österreich vermutet, die auf diese Weise ihre Kritik an der geplanten Vorratsdatenspeicherung äußern wollen.
Die Nadel im Security-Alert-Haufen
Nathan Burke, Vice President of Marketing beim Incident-Response-Spezialisten Hexadite, weiß, dass zu viele Informationen über potenzielle Bedrohungen schnell zu Überforderung führen kann: "MehrereSecurity-Lösungenzu installieren, die gemeinsam eine Unzahl von Alerts generieren, dann aber nichts gegen die Bedrohungen tun, ist Security-Theater par excellence", so der Spezialist. "Es sind in der Regel einfach viel zu viele Alerts, die einfach nicht manuell bearbeitet werden können. Das führt dazu, dass einigeSecurity-TeamsSecurity-Teams zwar konstant Alarmglocken hören, aber nur allerhöchstens fünf Prozent der Vorfälle, die die Alerts ausgelöst haben, auch genau unter die Lupe nehmen können." Alles zu Security auf CIO.de
Das sieht auch Philip Lieberman, President von Lieberman Software so: "Die meisten Unternehmen ignorieren die Alarmmeldungen wegen der hohen Fehlalarm-Quote schlicht. Und niemand ergreift sofortige Gegenmaßnahmen, weil er negative Reaktionen der User fürchtet."