IT-Sicherheit

Immer noch große Lücken im öffentlichen Sektor

| Autor / Redakteur: Carsten Maßloff* / Susanne Ehneß

Der „Einstieg“ erfolgt häufig über Social Engineering – zum ­Beispiel durch gekaperte, authentische eMail-Accounts
Der „Einstieg“ erfolgt häufig über Social Engineering – zum ­Beispiel durch gekaperte, authentische eMail-Accounts (Bild: © psdesign1/ Fotolia.com)

Von der kommunalen Verwaltung bis hin zum Krankenhaus: Sie ­alle befinden sich im Visier von Cyber-Kriminellen, die mit immer mehr Ressourcen und steigender Professionalität auf digitale Beutezüge gehen. Inwiefern es nach wie vor aber viele Opfer den Tätern zu leicht machen, erläutert Carsten Maßloff, Geschäftsführer der Ceyoniq Consulting GmbH, in seinem Gastbeitrag.

Es waren nur 490 Euro, die der unterfränkischen Stadt Dettelbach zu trauriger Berühmtheit verhalfen. Obwohl Cyber-Angriffe auf Kommunen und damit verbundene Erpressungsversuche leider längst an der Tagesordnung sind, sorgte die 7.000-Einwohner-Stadt nahe Würzburg im Frühjahr für besonderes Aufsehen. Denn: Dettelbach zahlte nicht nur, dieser Umstand geriet zudem an die Öffentlichkeit.

Lösegeld

Die Schadsoftware der Angreifer verschlüsselte die Daten auf den städtischen Servern. Was folgte, war ein typisches Szenario: Die ­Kriminellen forderten die Zahlung eines Lösegeldes, um die Systeme wieder nutzbar und die Daten zugänglich zu machen. 1,3 Bitcoin verlangten sie, umgerechnet knapp 500 Euro. In Dettelbach stufte man die Forderung im Vergleich zu den geschätzten Kosten eines vollständigen Datenverlustes als tolerabel ein.

Die Symbolwirkung aber war verheerend. Schließlich flossen hier Steuergelder in die Hände Krimineller, weil die Verwaltung und die Stadtwerke in Sachen Informationssicherheit offenkundig nicht sorgfältig gehandelt hatten. Gar von „Dilettantismus“ war in den Medien zu lesen. Deshalb wundert es nicht, dass oftmals unzureichend geschützte öffentliche Institutionen für diese Ransomware – Ransom ist das englische Wort für Lösegeld – anfällig sind.

Allein in Bayern, hieß es seinerzeit, sollen mehr als 60 Kommunen betroffen sein – doch nur die wenigsten kommunizieren dies.

Immer professioneller

Wie es genau zu der Kompromittierung der Systeme in Dettelbach gekommen ist, wissen wir heute nicht. Im Regelfall aber nutzen die Kriminellen eine Kombination verschiedener Methoden, um letztlich an ihr Ziel zu gelangen.

Bei einem ähnlichen Fall in einem Krankenhaus in Deutschland verschlüsselten die Angreifer Gesundheitsdaten wie Arztbriefe und Abrechnungen. Zunächst wurde hier, so der Verdacht, ein Link in einer eMail angeklickt. Diese Mails sind immer ausgefeilter – teilweise sogar personalisiert und mit einem authentisch wirkenden eMail-Verlauf versehen – und selbst von für das Thema sensibilisierten Mitarbeitern kaum zu erkennen.

Der „Einstieg“ erfolgt häufig über diese unter dem Fachbegriff ­Social Engineering bekannte Methode, die es in mannigfaltigen Ausprägungen gibt – von der Paket-Versandbenachrichtigung im Corporate Design von Logistikunternehmen bis hin zu gekaperten, authentischen eMail-Accounts. Anders als in früheren Fällen verfügte die Mail in unserem Beispiel übrigens über keinen Anhang mit Schadsoftware. Diese Vorgehensweise kommt vor allem bei ungezielten Angriffen zum Einsatz.

Über den Link in der Mail kam der Nutzer auf eine Website, auf der ein Drive-by-Exploit durchgeführt wurde. Diese Website ist im Regelfall – und im Vergleich zu früher – nicht mit einer verdächtigen URL versehen (URL-Filter greifen hier ergo nicht), sondern hat häufig ­einen ganz seriösen Background. Oftmals steckt in den Werbebannern auf dieser Seite – die beim Aufrufen standardmäßig geladen werden – kompromittierende Software. Die Infektion erfolgt quasi im Vorbeifahren (Drive-by).

Krankenhaus setzte auf Backup

Aber verfolgen wir den mutmaßlichen Weg der Ransomware in das Netz des besagten Krankenhauses weiter. Das gewünschte Opfer hat auf den Link geklickt und ist auf der kompromittierten Website gelandet. Nun muss noch der Sprung auf den Rechner des Opfers geschafft werden.

Hier bieten sich einige klassische Schwachstellen an, beispielsweise der Flash Player von Adobe oder Java, bei denen nicht die aktuellen Sicherheitsupdates aufgespielt wurden oder es überhaupt noch keine entsprechenden Patches gibt (in diesem Fall spricht man von einem Zero-Day-Exploit). Eine solche Situation kann im Extremfall zur Folge haben, dass die betroffenen Programme zumindest vorübergehend nicht mehr genutzt werden sollten. Daher gibt es beispielsweise Unternehmen, in denen die Nutzung des Flash Players grundsätzlich untersagt ist.

Das Krankenhaus ging übrigens nicht auf den Erpressungsversuch ein. Die Verantwortlichen griffen stattdessen auf ein Backup zurück, wodurch das System auf den Stand vor der Kompromittierung gebracht wurde. Nur die Arbeitsfortschritte der vorherigen zwölf Stunden gingen verloren.

In Dettelbach war ein solches physisch getrenntes Backup übrigens nicht vorhanden, was aber eine absolute Mindestanforderung ist. Was lernen wir aus diesen Fällen?

Bitte lesen Sie auf der nächsten Seite weiter.

Inhalt des Artikels:

Kommentar zu diesem Artikel abgeben

Schreiben Sie uns hier Ihre Meinung ...
(nicht registrierter User)

Kommentar abschicken
copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44500867 / System & Services)