Vorsicht: Datendiebe! Wie Cyberangriffe Unternehmen gefährden

04.11.2021 | Die Bedrohung der deutschen Wirtschaft durch Cyberattacken wächst. Datendiebstahl und das Lahmlegen der IT-Infrastruktur können für kleine und mittlere Unternehmen schnell existenziell werden. Doch IT-Sicherheit hat hier häufig noch einen geringen Stellenwert.

Die Mail von Microsoft kam Mittwochnacht, als niemand im Büro war. Der Softwareriese sah sich Anfang März dieses Jahres wegen mehrerer Schwachstellen gezwungen, kurzfristig neue Sicherheitsupdates für sein Produkt Exchange Server zu versenden. Denn Hacker hatten Lücken in der Software genutzt, um in die IT-Systeme seiner Nutzer zu gelangen. Die Cyberattacken trafen hierzulande besonders Tausende kleine und mittelständische Unternehmen schwer, weil ihre Systeme schon zuvor Schwachstellen aufgewiesen hatten, die bis dahin von vielen noch nicht behoben worden waren.

War der IT-Sicherheit im Tagesgeschäft zu wenig Beachtung geschenkt worden, rächte sich das nun. Das Problem des Cyberangriffs im Frühjahr: Die Angreifer konnten dank vorhandener Sicherheitslücken nicht nur auf die gesamte E-Mail-Kommunikation betroffener Unternehmen zugreifen, sondern über die verwundbaren Server-Systeme häufig auch ins komplette Unternehmensnetzwerk gelangen. Wer nicht rechtzeitig die neuen Microsoft-Sicherheitsupdates eingespielt hatte, musste unter Umständen feststellen, dass in seinem System von außen Dateien abgespeichert worden waren – mit dem Ziel, sich später zu entpacken und das Netzwerk dann mit Schadsoftware zu infizieren.

Auch wenn die Firewall eines Unternehmens diesen Vorgang zu verhindern wusste, blieb der Aufwand zur Schadensbegrenzung hoch: Die gesamte E-Mail-Kommunikation musste vorübergehend abgeschaltet, das angegriffene System vom restlichen Netzwerk isoliert und dann nach verdächtigen Aktionen gescannt werden. Unter Umständen hatte sich irgendwo versteckt im System eine latente Bedrohung der IT-Sicherheit eingenistet, die sich erst Monate später aktivieren und Schaden anrichten würde. In den meisten Fällen half nur, das gesamte System zu deinstallieren und neu aufzusetzen. Für betroffene Unternehmen bedeutete das neben Personal-, Zeit- und Kostenaufwand auch in vielen Bereichen eine vorübergehende Stilllegung der Betriebsabläufe und daraus resultierende Umsatzeinbußen.

Heimtücke Cyberangriffe: Im Würgegriff von Ransomware, Krypto-Trojanern & Co.

Haupttreiber des enormen Anstiegs seien Erpressungsvorfälle mit Hilfe eingeschleuster Schadsoftware, verbunden mit dem Ausfall von Informations- und Produktionssystemen sowie der Störung von Betriebsabläufen. Die so verursachten Schäden haben sich laut Bitkom im Vergleich zu den Vorjahren 2018/19 inzwischen mehr als vervierfacht – und bringen die IT-Sicherheit der Unternehmen damit immer öfter ins Wanken oder gar zu Fall. So wurde kurz vor Heiligabend 2020 die Funke Mediengruppe Opfer einer Cyberattacke, die das Essener Verlagshaus mit seinen bundesweiten Zeitungs- und Zeitschriftenredaktionen wochenlang lahmlegte. Die Hacker hatten eine Zeit genutzt, in der die meisten Unternehmen besonders anfällig für erfolgreiche Angriffe sind: viele Mitarbeitende sind im Urlaub, der Betrieb läuft mit Notbesetzung, die unter Hochdruck arbeitet – und manches dabei nicht rechtzeitig erkennt. Wie den fatalen Klick auf eine Phishing Mail mit toxischem Anhang. Denn dieser Klick verschafft den Akteuren hinter dem Cyberangriff Zugang ins Computernetzwerk des Unternehmens. Im Fall von Funke verschlüsselten sie danach die unternehmensinternen Datenbanken mit Hilfe einer sogenannten Ransomware. Diese Schadprogramme codieren die Daten für den Nutzer unauflöslich. Vier Tage nach Öffnen des schädlichen Mailanhangs, der übrigens auf einem Rechner ankam, der das jüngste Sicherheits-Update noch nicht durchgeführt hatte, ging deshalb nichts mehr für die mehr als 6.000 Mitarbeitenden an deutschlandweit sechs Standorten. Es häuften sich im Minutentakt Netzwerkprobleme, Systeme waren nicht mehr erreichbar, die Notebooks der Mitarbeitenden, die zu diesem Zeitpunkt weitestgehend im Homeoffice arbeiteten, verweigerten den Dienst. Ein Albtraum für ein Unternehmen, das darauf angewiesen ist, dass etliche Prozesse auf regionaler und überregionaler Ebene reibungslos ineinandergreifen. Faktisch war Funkes Firmennetz komplett kompromittiert. Und trotz regelmäßiger Backup-Sicherungen kamen dem Unternehmen netzwerkweit Daten von zwei Wochen abhanden.

Ransomware gelangt meist über eine manipulierte Internetseite, zu der ein Link aus einer Spam-Mail führt, auf den Rechner eines Mitarbeitenden. In einigen Fällen verschicken die Cyber-Kriminellen auch E-Mails mit einer angeblichen Mahnung oder einem Lieferschein im Anhang. Tatsächlich enthält die angehängte Datei aber den Schadcode. Wird der Link angeklickt oder der Anhang geöffnet, aktiviert dies den Download eines Installers. Häufig wird dann ein Neustart des Computers erzwungen. Dabei tauscht die Ransomware das übliche Startprogramm (Master Boot Record) gegen Malware aus, die in der Folge den Zugang zu Apps und Programmen unterbindet, den Bildschirm sperrt und Daten auf dem Rechner für den Nutzer unzugänglich macht. Das englische „ransom“ bedeutet Lösegeld. Die Hacker erpressen Unternehmen dann damit, Zugriff und Daten erst nach einer Lösegeldzahlung in Kryptowährung wieder freizugeben. Ob das Verlagshaus Lösegeldforderungen erhielt, darüber hüllen sich die Essener in Schweigen. Genauso wie der Kippenheimer Druckvorlagen-Hersteller Janoschka, der im Dezember 2018 Opfer einer Cyberattacke wurde, indem sich ein sogenannter Krypto-Trojaner ins System schlich. Was mit einem Virus begann, das vom Antiviren-Programm des Unternehmens erkannt wurde, wuchs sich zum Problem ungeahnter Größe aus. Denn das Ursprungsvirus war nur der Türöffner für den Krypto-Trojaner, auch als Erpresservirus bekannt, der nun Festplatten verschlüsselte und sich rasch im weltweiten Unternehmensnetzwerk ausbreitete. In der Folge musste das Unternehmen mehrere Tage offline gehen, zudem fiel der computergesteuerte Maschinenpark aus, die Produktion stand tagelang still.

Viele Krypto-Trojaner löschen sich selbst wieder, wenn sie ihre unheilvolle Aufgabe erledigt haben. Deshalb ist es für die IT-Sicherheit schwierig, den Cyberangriff sofort zu erkennen. Janoschka blieb, genauso wie Funke, nichts anderes übrig, als die gesamte IT-Infrastruktur neu aufzubauen, um seine IT-Sicherheit wiederherzustellen. Die Kippenheimer waren Opfer von „Emotet“ geworden, die laut Bundesamt für Sicherheit in der Informationstechnik (BSI) gefährlichste Ransomware der Welt. Die Wucht, mit der Ransomeware-Angriffe die deutsche Wirtschaft erschütterten, sei besorgniserregend, sagte Bitkom-Präsident Achim Berg jüngst angesichts der steigenden Zahlen von Cyberattacken. Daten werden von den Hackern inzwischen nicht nur verschlüsselt, sondern kopiert und ausgeleitet. Sie drohen dann damit, sie an Interessenten zu verkaufen oder zu veröffentlichen – und erhöhen damit den Druck auf das betroffene Unternehmen, der Lösegeldforderung nachzukommen. Die Zahl der Schadprogramme übersteigt inzwischen die Milliardengrenze, so das BSI in seinem jüngsten Lagebericht. Allein im Jahr 2020 seien etwa 320.000 neue Varianten pro Tag hinzugekommen. Die Cyber-Kriminellen interessiert dabei, unabhängig von der attackierten Unternehmensgröße, nur eines: Wie lässt sich maximaler Profit mit minimalem Aufwand aus der Cyberattacke generieren?