Wie sich die Bedrohungsszenarien in der IT verändert haben

Der Computerwurm Stuxnet hat im letzten Jahr eine neue Dimension der Cyberkriminalität eröffnet: Das Schadprogramm fraß sich in unzählige Computer und zielte vermutlich hauptsächlich auf die Steuerungsanlagen der iranischen Urananreicherungsanlage in Natanz oder des Kernkraftwerks Buschehr. Stuxnet ist damit fast in jeder Hinsicht ein neues Szenario der Computerkriminalität. Mit Duqu ist schon der erste Nachfolger auf den Plan getreten.

Bei Stuxnet war einerseits das Angriffsziel relativ neu. Bislang blieben Industrieanlagen und deren Steuerungs-IT weitgehend von Angriffen verschont. Völlig neu sind auf alle Fälle der Aufwand und die Ausgefeiltheit, den eine bis heute unbekannte Gruppe betrieb, um einen solchen Angriff zu starten. Experten gehen davon aus, dass etwa 40 Personen an Stuxnet gearbeitet haben. Der finanzielle Aufwand beläuft sich ihrer Ansicht auf mehrere Millionen.

Sicherlich ist Stuxnet eine Ausnahme. Es ging den Tätern nicht darum, Informationen zu bekommen und daraus wirtschaftlichen Nutzen zu ziehen. Der Wurm zielte allein darauf, Industrieanlagen lahm zu legen. Dennoch stellt diese Angriffsart für viele Unternehmen künftige eine Bedrohung dar. „Stuxnet hat gezeigt, das nicht nur Office-IT oder IT-Infrastruktur Angriffsziele sein können“, sagt Thomas Hemker, Sicherheitsstratege bei Symantec. „Wir erwarten, dass die Attacken zukünftig auf kritische Infrastrukturen abzielen, wie Smart Grids oder Steuerungssysteme der Industrie.“

Das bedeutet: Alle Firmen sind gefährdet, die beispielsweise von der Storm- und Wasserversorgung existentiell abhängig sind. Und welches Unternehmen ist das nicht? Außerdem stellt es die Hersteller von Netzwerk-Infrastruktur und Industrieanlagen vor eine neue Herausforderung. Sie müssen sich und ihre Produkte davor schützen.

Individuelle Angriffe bei maximaler Verbreitung

Thomas Hemker, Sicherheitsstratege bei Symantec (Bild: Symantec).

Doch das ist noch nicht alles: Der Angriff unterstreicht nochmal, dass der Trend dahin geht, dass sich Hacker ihre Opfer immer gezielter aussuchen. „Malware hat nicht mehr den herkömmlichen Schadecode, der breit streut“, sagt Hemker. „Im letzten Jahre hat eine Schadcodevariante im Durchschnitt nur 15 Rechner angegriffen. Diese Zahl wird vermutlich noch weiter sinken, so dass eine Variante bald vielleicht nur noch fünf Rechner befällt.“ Im Gegensatz dazu nimmt die Verbreitung der Malware weiter zu.

In den Symantec Sicherheitslaboren treffen täglich zirka 1,8 Millionen unterschiedliche neue Schadprogramme ein. Die meisten über das Web. Die Würmer und Trojaner der jüngsten Generation registrieren eine neue IP-Adresse und können sich selbst so modifizieren, dass die Routine von bestehenden Antiviren-Programmen nicht mehr greift und sie das System befallen können. Bevor sie das tun, suchen sie nach lohnenswerten Informationen wie Kreditkarten- oder Kontonummern.

Das perfide daran: Der Nutzer braucht eine Webseite nur aufzurufen, um den Schadcode möglicherweise zu aktivieren. Das gilt auch für vertrauliche Webseiten. Mit anderen Worten: Die Angriffe werden immer individueller, bei einem Höchstmaß an Verbreitung.

Sicherheitskonzept überdenken

Diese neue Situation kollidiert mit eine anderen Entwicklung. Spätestens seit dem iPad spricht alle Welt von „Consumerization„. Das heißt: Jeder Mitarbeiter – bis hoch zum Vorstand – möchte gerne mit dem Endgerät seiner Wahl arbeiten. Die meisten davon sind mobil einsetzbar. Die komplette IT-Landschaft hat sich dadurch mittlerweile verändert. Die Entwicklung ist kaum aufzuhalten und verlangt eine Umdenken in Bezug auf IT-Sicherheit.

Das haben die wenigsten Unternehmen bislang erkannt. Zum einen fehlt es generell an einem Sicherheitsbewusstsein für mobile Endgeräte. Wie eine aktuelle Studie des BMWi/NEG-Verbundprojekts „Sichere E-Geschäftesprozesse in KMU und Handwerk“ zeigt, schützt nur jedes fünfte Unternehmen Smartphones und Tablets mit einem Virenschutzprogramm. Damit gehen 80 Prozent der Unternehmen ein erhebliches Sicherheitsrisiko ein.

Was sich zudem weniger verändert hat, sind die Sicherheitskonzepte der Unternehmen. „Die meisten haben sich bislang nur darüber Gedanken gemacht, wie sie ihre Geräte schützen können“, sagt Hemker. „Diese Strategie ist jedoch mit den jüngsten Entwicklungen überfordert.“ Beispiel: Die klassische Firewall. Sie geht vornehmlich davon aus, dass es eine Innen- und eine Außenansicht eines Unternehmens gibt. Cloud Computing, die Zusammenarbeit mit Kunden und Lieferanten sowie zunehmende Mobilität, führen diese Sichtweise ad absurdum.

Das Unternehmen ist dadurch nicht mehr klar mit einer Innen- und Außenansicht fassbar. Es kann theoretisch an jedem beliebigen Ort der Welt sein. Im Mittelpunkt müsse, so Hemker, deshalb mehr den je die Frage stehen, was zu schützen sei – und zwar unabhängig davon, welches Endgerät die Informationen verarbeitet. Und auch das ist ein neues Szenario.