Cyberversicherungen und bessere Mitarbeiterausbildung gegen Cyberattacken

Gemäss Selbsteinschätzung sind Cybervorfälle das grösste Geschäftsrisiko für Unternehmen weltweit. Das gilt auch für die Schweiz. Die Nachfrage nach Cyberversicherungen steigt; gleichzeitig nehmen aber auch die Schadenfälle zu. Deshalb geht man bei den Versicherern davon aus, dass Cyberversicherungen nicht mehr lange ein Dasein als Nischenprodukt fristen werden.

Die zehn grössten Geschäftsrisiken in der Schweiz (zum Vergrössern anklicken).
                                                         Quelle: Alliant Global Corporate & Specialty

Durch die zunehmende Vernetzung der Wirtschaft sind Unternehmen immer anfälliger für Cyberattacken. Die Berichte über spektakuläre Hackerangriffe und Datendiebstähle häufen sich. Unternehmen drohen Schäden in Millionenhöhe, Imageverluste und sogar eine existenzgefährdendere Betriebsunterbrechung, wenn Internetkriminelle Daten stehlen, Schadprogramme in Netzwerke einschleusen oder Server mit ihren Attacken lahmlegen. Diese Entwicklung spiegelt sich auch im Allianz-Risk-Barometer wider, für das mehr als 2'700 Risikoexperten weltweit befragt wurden. Auch in der Schweiz stehen Cyberrisiken erstmals auf dem ersten Rang - vor der Sorge über unerwartete Betriebsunterbrechungen und rechtlichen Veränderungen im Wirtschaftsumfeld wie zum Beispiel Handelskriege oder zunehmenden Protektionismus. Die Angst vor Naturkatastrophen nimmt dagegen weiter ab und rangiert nur noch auf Platz 9.

"Cyberangriffe können immer und überall erfolgen. Unternehmen jeder Grösse tun gut daran, sich gegen die neuen Risiken zu schützen. Die Allianz Suisse verzeichnet zweistellige Wachstumsraten bei Cyberversicherungen. Gleichzeitig steigt auch die Zahl der Schadenfälle. Dennoch sind Cyberversicherungen in der Schweiz derzeit noch ein Nischenprodukt. Das wird sich in den kommenden Jahren sicherlich ändern." (Carlos Casian, Allianz Suisse)

Unternehmen können grosse Verluste nach Betriebsunterbrechungen erleiden, wenn kritische Daten, Systeme oder Technologien nicht verfügbar sind - entweder durch eine technische Panne oder nach einem Cyber-Angriff. Viele Vorfälle seien das Ergebnis einer Unaufmerksamkeit von Mitarbeitern. Das Risiko Mensch könne nur mit gezielten Mitarbeiterschulungen gesenkt werden, sagen die Experten. Hier bestehe bei den Unternehmen noch viel Handlungsbedarf.

Hacken leicht gemacht: Ewige Passwörter, abgestandene Daten und Ghost Users

Das Hacken von Unternehmungen und das Stehlen von Daten ist oft nur zu einfach. Illoyale Mitarbeiter oder  frustrierte ehemalige Angestellte können mit ihren Zugangsrechten riesige Schäden anzurichten. Umso wichtiger wäre der systematische Schutz von sensiblen Daten innerhalb von Unternehmen. Damit steht aber noch vieles im Argen. Exzessive Zugriffsrechte, veraltete Konten und ungenutzte Daten sind  kurz vor dem Inkrafttreten der DSGVO in vielen Unternehmen ein grosses Problem.

Das Risiko steigt, wenn zuviele Mitarbeiter Zugriff auf sensible Daten haben.
                                                                                                        Bild Pixabay

Ein neuer Report des Datensicherheitsspezialisten Varonis zeigt, dass in zu vielen Unternehmen zu viele Mitarbeiter Zugriff auf sensible Daten haben. Durchschnittlich sind 21 Prozent der Folder eines Unternehmens für jeden Mitarbeiter zugänglich, in 41 Prozent der Unternehmen haben sämtliche Mitarbeiter Zugriff auf mindestens 1000 sensible Dateien. Dazu gehören personenbezogene Daten, Kreditkarten- oder auch medizinische Informationen. Bei 58 Prozent der untersuchten Firmen unterliegen mehr als 100‘000 Ordner keiner Zugriffsbeschränkung. Bei 34 Prozent der Benutzerkonten handelt es sich um sogenannte “Ghost Users“, also veraltete, nicht mehr benötigte, aber nicht deaktivierte Nutzerkonten. Beinahe in jedem zweiten Unternehmen verfügen mehr als 1000 Benutzer über zeitlich unbegrenzt gültige Passwörter!
Die zitierten Zahlen basieren auf Risikobewertungen für 130 bestehende und potenzielle Kunden von Varonis aus den unterschiedlichsten Branchen. Insgesamt wurden hierfür 6,2 Milliarden Dateien in 459 Millionen Foldern analysiert. Dabei deckt der Bericht verschiedene Probleme auf, welche die Gefährdung durch Datenschutzverletzungen, Insider-Bedrohungen und Ransomware-Angriffe deutlich vergrössern:

• Zu weitreichende Zugriffsgruppen, die zu vielen Mitarbeitern den Zugang zu sensiblen Daten ermöglichen,
• mangelhaft verwaltete sensible und ungenutzte Daten (stale data), die verschiedenen Datenschutzvorschriften unterliegen,
• Inkonsistente und fehlerhafte Berechtigungen, die Sicherheitslücken für Eindringlinge öffnen,
• veraltete, nicht mehr benötigte, aber nicht deaktivierte Nutzerkonten (ghost users)
• und Benutzerkennwörter, die zeitlich unbegrenzt gültig sind.

Angesichts der jüngsten Datenschutzverletzungen zum Beispiel bei Uber und Netflix, sowie der nahenden DSGVO, seien die Ergebnisse des Datenrisiko-Reports erschreckend, erklärt Thomas Ehrlich von Varonis. Daten sind das bevorzugte Ziel von Cyberkriminellen, weil sie das wertvollste Asset der Unternehmen sind. Dennoch vernachlässigen zahlreiche Unternehmen das Management und die Kontrolle der Zugriffsrechte und setzen sich damit Insider-Bedrohungen, Ransomware-Angriffen und dem Risiko von Datendiebstählen aus.

Hackerangriffe: Denn wir wissen nicht, wer es tut

Der Hackerangriff auf die IT-Infrastruktur der deutschen Regierung wäre ein weiteres Kapitel im Buch, das über die digitale Datenunsicherheit geschrieben werden könnte. Interessant ist aber nicht nur der Angriff selber, sondern auch die Berichterstattung darüber. Denn wer die Übeltäter sind, weiss in Wirklichkeit fast niemand. Wohl deshalb nehmen die meisten Medien jegliche Art von Hinweisen (am liebsten aus anonymen Quellen) dankbar auf und verbreiten sie möglichst schnell weiter.

Wir wissen nicht, wer es war - und wir werden es wohl auch nie erfahren.
                                                                                      Bild Creative Commons

Im Zweifel werden es schon die Russen sein, vermuten die zahlreichen “Experten“, welche derartige Fälle von Cyber-Spionage oder Cyber-Kriminalität kommentieren. Das ist auch im aktuellsten Fall nicht anders, wie verschiedene Zeitungen berichten:

“Eine unter dem Namen Snake bekannte russische Hackergruppe soll hinter dem Angriff auf das Datennetzwerk des Bundes stehen. Das berichten die Deutsche Presse-Agentur und Spiegel Online. Demnach soll die Gruppe versucht haben, an deutsche Regierungsinterna zu gelangen. Die Gruppe ist auch unter den Namen Turla und Uroburos bekannt und soll seit 2007 aktiv sein. Experten zufolge sei der Code, den die Gruppe für den Hack benutzte, weiter entwickelt als Codes von anderen russischen Hackern wie APT28. Diese Gruppe stand zunächst im Verdacht, für den Angriff auf das Netz des Bundes verantwortlich zu sein.“

Mit anderen Worten: Es war nicht die eine, sondern wahrscheinlich die andere russische Hackergruppe, die im Moment den behördlichen Computersystemen übel mitspielt. Wieso wir das wissen? Der Spiegel hat es berichtet. Und die Russen haben es dementiert - dann stimmt es wahrscheinlich erst recht:

“Wir nehmen mit Bedauern zur Kenntnis, dass alle Hackerangriffe in der Welt mit russischen Hackern in Verbindung gebracht werden", sagte Kreml-Sprecher Dmitri Peskow. Dafür gebe es aber "keine greifbaren Beweise.“

Die gibt es tatsächlich nicht, und obwohl es im gegenwärtigen politischen Klima naheliegend ist, zuerst einmal Russland zu verdächtigen, gibt es durchaus echte Experten die nicht Sergei oder Vladimir zum Vornamen heissen, die zur Vorsicht mahnen, wenn es um schnelle Schuldzuweisungen geht. Die NZZ zitiert Sandro Gaycken, der zu Themen wie Cyperkrieg an der European School of Management and Technology in Berlin forscht, und findet, solche Angriffe seien gar nicht überraschend:

“Gaycken sieht solche Zuschreibungen kritisch, wenn sie auch plausibel sein mögen. Angeführt werde etwa, dass die Angriffe zum Teil über russische Computer liefen oder während Bürozeiten, die auf die Zeitzone für Moskau passten. Dies seien aber schwache Indizien, sagt er. Man dürfe nicht vergessen, dass die Geheimdienste einander auch imitierten, um falsche Spuren zu legen…“

Ob Russen oder Geheimdienste oder nicht, immerhin dürfen die Bürger davon ausgehen, dass nicht jeder Idiot es schafft, in die Computer der Regierung einzudringen. “Technisch anspruchsvoll und von langer Hand geplant“ sei der Hackerangriff gewesen, sagt der deutsche Innenminister Thomas de Maizière.

Genau das haben die amerikanischen Parteifreunde von Hillary Clinton auch behauptet, als Wikileaks im Jahr 2016 plötzlich den E-Mail-Verkehr der Wahlkämpfer öffentlich machte - was zur Niederlage von Kandidatin Clinton beitrug. Auch hier wurden natürlich hochqualifizierte Russen als Übeltäter angeführt, obwohl Wikileaks dies konsequent dementierte. In Wirklichkeit war es ganz einfach: Social Engineering war der Schlüssel. Ein gefälschtes E-Mail an den Wahlkampfleiter reichte aus, um sein Google-Passwort in Erfahrung zu bringen - der Rest ist Geschichte.