Kundenservice: Tel +43.1.97000-100 • kundenservice@forum-media.at
OnlineBuch Datenschutz und IT-Sicherheit in der Praxis

© FM Forum Business Solutions GmbH
A-1200 Wien, Dresdner Straße 45
E-Mail: kundenservice@forum-media.at


drucken

DEMO
Neu Dokument-ID: 1030761

Wolfgang Mader | Praxiswissen | Fachbeitrag

1 Aktuelle und zukünftige Bedrohungen – Überblick

Mangelhaftes Patchmanagement

Die besten Prozesse, PDCA-Regelkreise, ernsthaftes Risikomanagement helfen nichts, wenn sich einzelne Mitarbeiter nicht daran halten.

So hatte Taiwan Semiconductor Manufacturing Company (TSMC), Produzent von Prozessoren für viele große Hersteller von Desktops und Smartphones, unter dem Ausbruch eines WannaCry-Ransomware Trojaners zu leiden. Ein neuer, leider völlig ungepatchter Rechner wurde in das Firmennetzwerk integriert und öffnete dem Verschlüsselungstrojaner damit Tür und Tor. Die Produktion stand in weiten Teilen ein gesamtes Wochenende still und der verursachte Schaden des Apple-Lieferanten betrug rund 170 Millionen Dollar – in Europa wäre hier wohl noch ein interessantes Bußgeld der Datenschutzbehörde hinzugekommen.

Einige Abhängigkeiten verschlimmern die Patch-Situation massiv:

  • Hohe Komplexität von Anwendungen
  • Containerlösungen mit nur teilweise aktualisierbaren Softwarekomponenten
  • Verweigerung von Sicherheitsupdates durch den Hersteller

Bei Microsoft Windows ist der jeweilige Treiber-Hersteller in der Pflicht, die erforderlichen Updates zu veröffentlichen, die durch den Endnutzer eingespielt werden müssen. Bei Linux werden Treiberupdates zwar mit dem Kernel upgedatet, aber in den letzten Jahren schleichen sich immer mehr Fehler (und dadurch Schwachstellen) vom Linux-kompatiblen Android Code ein, die umfangreich zu Schwachstellen geführt haben.

Es kommt oft zu Verzögerungen bei der Installation von Sicherheitsupdates durch Fachbereiche, da dies mit betrieblichen Prozessen (zB Marketingkampagnen) abgestimmt werden muss und ein Patchlauf auch immer die Chance eines Ausfalles, oder einer eingeschränkten Funktionalität mit sich bringt.

Oft sind gerade Geräte auch so lange im Einsatz, dass es keinen Hersteller mehr gibt, oder zumindest kein Support mehr angeboten wird.

Einige Softwareprodukte verzögern oder verhindern Sicherheitsupdates, weil die Kompatibilität von Patches noch nicht getestet wurde oder nie vorhanden sein wird und die Software damit nicht mehr korrekt arbeiten würde.

Trotz der Probleme gibt es keine Alternativen zu einem lückenlosen Patchmanagement. Was das für Ihren ungepatchten Heim-PC, die Internet-of-Things-Devices in ihrem Smart-Home, oder Android-Handys bedeutet, für die es einfach keine Patches gibt, sehen wir uns als nächstes an.

Botnetze

Durch die Nutzung von Botnetzen können Cyber-Kriminelle in großem Umfang auf fremde Computersysteme zugreifen, um persönliche Daten zu stehlen oder deren Ressourcen wie beispielsweise Rechenleistung oder Netzwerkbandbreite für kriminelle Zwecke zu missbrauchen.

Wer hier immer einen kriminellen Mastermind mit Universitätsabschluss dahinter vermutet, täuscht sich, denn für technische Laien oder Eilige, die nicht erst ein Botnetz aufbauen wollen, gibt es auch Botnet-as-a-Service. Mit Kosten von 1 Cent bis 10 Cent pro System ist es nur eine Frage der Planung, ob eine DDoS-Attacke gewinnbringend wird.

Die verwendete Schadsoftware auf der kompromittierten Clientseite ist normalerweise modular aufgebaut und verfügt über die Möglichkeit, online einzelne Funktionalitäten von dem steuernden Command-and-Control-Server (C&C-Server) nachzuladen. Somit kann der Mieter eines Botnetzes dynamisch seine Angriffstaktik ändern oder erweitern.

Haupteinsatzgebiete für Botnetze sind Informationsdiebstahl, Distributed-Denial-of-Service-Angriffe (DDoS-Angriffe), Spamkampagnen oder als Distributionskanal für Schadprogramme.

IoT-Botnetze

Dabei gibt es einige Devices, die förmlich prädestiniert sind, um für ein Botnetz rekrutiert zu werden. Sie sind manchmal zwei Meter groß, brummen leise und kühlen Ihre Milch. Mit der Verbreitung von internetfähiger Heimelektronik (Fernsehgeräte, Waschmaschinen, Heizungskontrolle, DVR, VoIP-Geräte, IP-Kameras und Media Center), die ohne normale Schutzmechanismen aktiviert werden, ohne jeden Plan von Sicherheitspatches betrieben, ist es kein Wunder, dass sich mittlerweile eigene Internet-of-Things-Botnetze gebildet haben.

Es gibt Schadprogramme, die eine komplette Steuerung der kompromittierten Devices ermöglichen. Oft verfügen die Steuerprogramme über Trojaner, die ihrerseits wieder das Heimnetzwerk angreifen und weitere Geräte „rekrutieren“.

2016 wurde das Mirai-Botnetz durch massive DDoS-Angriffe von bisher unbekannter Bandbreite bekannt. Ironischerweise wurde ein Sicherheitsblog von einer DDoS-Attacke mit ca 620 Gigabit pro Sekunde getroffen. Vom öffentlichen Quellcode abgeleitet, entstanden IoT-Reaper, Satori und Okiru.

Android

Im Vergleich zu den vergangenen Jahren übernehmen Botnetze immer mehr Android-Mobiltelefone und Tabletts (ca 25 Prozent).

Eine nähere Betrachtung der Botnetz-Familien zeigt, dass alle über die Funktionalität verfügen, Informationen wie International Mobile Equipment Identity (IMEI), International Mobile Subscriber Identity (IMSI) oder Standort abfließen zu lassen und auch weitere Schadprogramme nachzuladen. Ein Teil der Familien greift Daten zum Onlinebanking ab oder ist in der Lage, hochpreisige Premium-SMS zu verschicken.

Der größte Teil der Android-Infektionen lässt sich dabei auf schädliche Apps zurückführen, die von Drittanbietern entwickelt wurden. Viele Billig-Geräte werden bereits veraltet, ohne Chance auf Sicherheitsupdates, ausgeliefert. Der größte Anteil der infizierten Telefone (> 40 Prozent) läuft noch mit einer Version von Android 4, die bereits seit 2017 nicht mehr supportet wird.

Remote-Access-Trojaner (RAT)

Ein Remote Access Trojan (RAT) ist ein Malware-Programm, das eine Hintertür oder Backdoor für administrative Kontrolle auf dem Zielsystem öffnet.

Remote-Access-Trojaner bieten ähnliche Funktionen wie Fernwartungsprogramme. Vergleichbar mit Software wie Teamviewer oder VNC erlauben sie die Fernsteuerung von Maus und Tastatur, das Übertragen des Desktop-Inhalts, das Senden, Empfangen und Löschen von Dateien oder das Starten von Anwendungen. Die vom Hacker ausgeführten Aktionen und die zur Fernsteuerung benötigten Programme werden vor dem Besitzer des Gerätes verborgen. Zumeist starten RATs auf dem System einen Serverprozess, der Verbindung zu einem externen Server möglich macht, Programme nachlädt oder gesammelte Daten übermittelt. Die dazu benötigten Verbindungen werden über den installierten Serverprozess automatisch mit dem externen Server des Hackers hergestellt, eine vorhandene Firewall wird dabei umgangen.

RATs werden normalerweise über einen Weblink oder einen ein E-Mail-Anhang heruntergeladen. Sobald das Host-System übernommen wurde, versucht der Hacker, RATs auf andere Computer im Netzwerk zu verteilen.

Über RAT gesteuerte Systeme sind völlig ausgeliefert. Der Angreifer sieht alles, was der Benutzer auch sieht. Übliche Elemente eines Angriffes sind:

  • Aktivierung der Webcam und des Mikrofons auf dem System
  • Eingegebene Tastaturbefehle aufzeichnen
  • Zugriff auf vertrauliche Informationen wie zum Beispiel Kreditkartennummern und Sozialversicherungsnummern
  • Erstellen von Screenshots
  • Verbreitung von Viren und anderer Malware
  • Formatieren von Datenträgern
  • Löschen, Herunterladen oder das Ändern von Dateien
  • Vertrauliche E-Mails lesen und übermitteln
  • Dateien senden, empfangen, löschen oder verändern
  • Andere Malware nachladen und installieren
  • Das Host-System wird Teil eines BoT-Nets und greift andere Systeme an
  • Das Host-System wird für Krypto-Mining verwendet
  • Den Anwender erpressen
    • Durch Verschlüsselung von Dateien (Ransomware)
    • Durch Aufnahmen aus dem höchstpersönlichen Bereich

Das „Back Orifice Rootkit“ ist eines der bekanntesten Beispiele eines RATs. Eine Hacker-Gruppe, die als „Cult of the Dead Cow“ bekannt ist, hat Back Orifice entwickelt. Sie wollte damit auf die Sicherheitsprobleme bei Microsofts Betriebssystem Windows aufmerksam machen.

RATs sind schwer erkennbar, weil sie in der Prozessliste der laufenden Programme nicht dargestellt werden. Ungewöhnlich hoher Ressourcenverbrauch kann ein Indiz für einen Befall sein, vor allem wenn das Ziel der Attacke der Aufbau eines Bot-Netzes für Kryptomining ist.

Die üblichen RAT-Rootkits werden von aktuellen Anti-Malware-Lösungen üblicherweise erkannt, ein Schutz gegen den Download und die Installation wäre also relativ einfach. Ist ein System einmal befallen, sollte es neu aufgesetzt werden, weil man nicht sagen kann, welche Komponenten wirklich betroffen sind.

Krypto-Mining

Die Schädigung des Besitzers eines für Krypto-Mining gekaperten Systems ist überschaubar, aber unangenehm. Normalerweise wird der Stromverbrauch des Gerätes sich massiv erhöhen, normales Arbeiten wird nur mehr sehr schwer möglich und der Lüfter wird ständig aktiv sein. Die gesammelte Rechenleistung aller Geräte in einem Bitcoin-Netz kann genutzt werden, um Zahlenkombinationen für Bitcoins zu berechnen.

Soziale Netzwerke

Immer wieder nutzen Kriminelle die Möglichkeiten der sozialen Netzwerke aus, um User auf Phishing- oder Malware-Webseiten zu locken. Die Server sehen aus wie die Einstiegsmaske des Lieblings-Netzwerks und die Zugangsdaten werden freiwillig eingegeben. Programm-Updates oder neue „Anti-Viren-Programme“, die angeboten werden, infizieren den Rechner schließlich mit Schadsoftware, um an Kontendaten zu gelangen oder den Rechner mit Schadprogrammen zu infizieren.

Viele der Gefahren in sozialen Netzwerken „leben“ von der Unwissenheit der Benutzer, wenn es um sichere Vorgangsweisen geht.

Die richtige Einstellung der Datenschutzvorkehrungen nimmt oft schon ein wenig Zeit in Anspruch. Dritthersteller-Applikationen, die Rechte auf das Profil des Benutzers haben, sollten bewusst eingetragen werden, die freigegebenen Rechte sollten auch einen Grund haben.

Alle großen Plattformen bieten mittlerweile eine Zwei-Faktor-Authentifizierung an, die einem gestohlenen Passwort den Schrecken nimmt, denn trotz abgefangenem Passwort erhält der Angreifer keinen Zugriff auf das Profil.

Ransomware

Schadsoftware, die dafür ausgerichtet ist, um die Zahlung eines Lösegeldes zu erpressen, nennt man „Ransomware“.

Prinzipiell gibt es dafür mehrere Ansätze:

  • Der Zugriff auf den betroffenen Rechner wird über einen „Screenlocker“ verhindert (oder zumindest der Eindruck erweckt). Eine Nachricht informiert darüber, dass der Rechner in x Stunden endgültig gelöscht werde, wenn nicht eine Anzahl von Bitcoins über eine Adresse im TOR-Netzwerk den Besitzer wechseln.
  • Die unangenehmere Variante ist die proaktive Verschlüsselung von Dateien durch den Trojaner. Das System funktioniert dabei lange weiter, da primär Word, Präsentationen oder E-Mails verschlüsselt werden. Eine weitere Funktion ist die rasante Weiterverbreitung in einem Netzwerk. Der Trojaner scannt alle verfügbaren Hosts und versucht mit den Benutzerberechtigungen, unter denen er installiert ist, zuzugreifen und die Verschlüsselung fortzusetzen.

Für den „Erstbefall“ eines Netzwerks gibt es verschiedene Ansätze:

  • Remote Access Trojaner (RAT) werden verwendet, um die Ransomware in ein Netzwerk zu bringen. Dabei ist das einzige von Verschlüsselung verschonte System oft das RAT-System, denn nach der Infektion des Netzwerks nutzt die Schadsoftware teilweise Schwachstellen im Betriebssystem, um als System-Prozess nicht entdeckt zu werden.
  • Schwachstellen in Browsern oder Plugins (Drive-By-Exploits), die durch den Aufruf einer bösartigen Web-Site teilweise ohne weitere Zustimmung durch den Nutzer ausgenutzt werden und zum Download führen.
  • „Brut-Force-Attacken“ gegen schwache Passwörter in öffentlich zugänglichen Web-Servern, und Austausch von bestehenden Dateien oder Programmen
  • E-Mail-Anhang oder Link im Mail von einer scheinbar bekannten E-Mail-Adresse

Wer auf die Erpressung eingeht, kann Glück haben und tatsächlich den Schlüssel zu seinen Daten erhalten.

Viele Ransomware-Angriffe sind aber gar nicht auf die Wiederherstellbarkeit ausgerichtet oder stellen gar keine Lösegeldforderung.

Wie bei den meisten Cyber-Gefahren kann man eine Ransomware-Attacke auch gezielt im Tor-Netzwerk beauftragen, oft auch nur in reiner Schädigungsabsicht.

Die Datenschutzbehörden hinterfragen bei Schwerpunkt-Prüfungen sehr oft, wie die Strategie eines Unternehmens in Bezug auf Ransomware aussieht (der Verlust von personenbezogenen Daten ist ein Datenschutzvorfall und meldepflichtig). Neben einer glaubhaften Abwehrstrategie mit Antimalware sind vor allem Shadow-Copies im Filesystem und ein mit normalen Benutzer-Mitteln nicht zu beschädigendes Backup-System und dementsprechend erfolgreiche Restore-Tests eine gute Antwort.

CEO-Fraud

„CEO-Fraud“-Attacken sind Social-Engineering-Angriffe, bei denen mit dem Wissen um interne Strukturen eines Unternehmens meist per E-Mail gezielt Mitarbeiter der Finanzabteilungen kontaktiert und aufgefordert werden, Geld auf ein fremdes Konto zu überweisen. Dabei vermittelt der falsche „CEO“ meistens Dringlichkeit und Ungeduld und versucht, den Mitarbeiter zu Vorgangsweisen abseits der etablierten Prozesse zu bewegen. Oft wird auch auf die Vertraulichkeit der Sache verwiesen, damit der Mitarbeiter nicht zu schnell darüber redet.

Auslöser für eine CEO-Fraud-Attacke sind oft die Kontaktseiten auf der Unternehmenshomepage, wo alle offiziellen Vertreter des Unternehmens angeführt sind. Beiträge in Social-Media-Plattformen helfen, den Stil des CEOs nachzuahmen und dem Fraud-Mail mehr Glaubhaftigkeit zu geben. In den letzten Jahren war diese Taktik mehrfach erfolgreich und Schäden in Millionenhöhe sind dadurch entstanden.

Vorbeugend ist es wichtig, dass im Unternehmen klare Prozesse eingeführt sind und auch der CEO diese niemals ignoriert. Zumindest sollte persönliche Rücksprache für alle Sonderfälle vereinbart werden. Das Bewusstsein der Gefahr sollte in Schulungen den betroffenen Mitarbeitern vermittelt und überdies auf die Authentizität von E-Mails geachtet werden.

Die Kontaktseite des Unternehmens sollte sich auf das Notwendigste beschränken und nicht jeden Mitarbeiter aus dem Controlling auflisten.

Wenn eine Attacke erfolgreich erkannt wurde, kann man zumindest versuchen, einige Daten zu sammeln, solange der Angreifer noch im Netz erreichbar ist.

Angebotene Downloads von Webseiten (zB mit einer scheinbaren Überweisungs-Bestätigung) zeigen die IP-Adresse des Angreifers. Diese Daten sollten so schnell wie möglich den Behörden übergeben werden, damit eine unmittelbare Ermittlung beginnen kann.

Spectre, Meltdown – Angriff auf Hardware-Architekturen

Seit 2018 wurden vermehrt Angriffe auf die CPU-Architektur bekannt. Meltdown und Spectre sind Angriffsszenarien, die bei Ausnutzung architektonischer Eigenschaften von modernen CPUs das Auslesen von Speicherbereichen ermöglichen.

Das Angriffsszenario „Meltdown“ basiert auf der Fähigkeit, Anweisungen in anderer Reihenfolge (Out-of-order execution) ausführen zu können, ein Feature, das extreme Vorteile bei der Codeverarbeitung mit sich bringt. Wenn die CPU nun mit fehleranfälligem (oder bewusst schadhaften) Befehlen konfrontiert wird, wurde eine Aktion, zu der es nie kommen hätte dürfen, bereits ausgeführt, aber nie abgeschlossen. Solche Out-of-order-Befehle hinterlassen Spuren im Cache-Speicher der CPU, von wo sie auch wieder ausgelesen werden können.

Das Angriffsszenario „Spectre“ basiert auf der Sprungvorhersagefeature, die ebenfalls für Geschwindigkeitsoptimierung eingesetzt wird. Im Wesentlichen kann die CPU mit einer gewissen Wahrscheinlichkeit vorhersehen, dass Befehl B normalerweise auf Befehl A folgt. Wenn die Ressourcen es zulassen, kann also Befehl B durchgeführt werden, noch bevor Befehl A seine Ergebnisse geliefert hat.

Sollte das Ergebnis von Befehl A ergeben, dass doch Befehl C als nächstes folgt, wird B nicht weiterverfolgt. Diese Sequenzen sind trainierbar und führen zu Aktionssequenzen, die eine deutlich verbesserte Leistung bringen, die Ergebnisse von B sind aber weiterhin im Speicher verfügbar und auslesbar.

Solange sich das Problem im eigenen Server abspielt, ist alles nicht so schlimm. Allerdings sind Spectre und Meltdown (die sich laut TU-Graz fleißig fortgepflanzt haben und Anfang 2019 stolz auf eine Familie von 25 Angriffsszenarien blicken) CPU-Architektur-Mängel. Mit VMWare und HyperV laufen oft viele virtuelle Server, die sich den gleichen Speicher teilen. Ein Auslesen von Speicherbereichen über Servergrenzen hinweg ist also durchaus denkbar.

Für alle Plattformen gibt es Patches, die ein Ausnutzen von Spectre und Meltdown zumindest unwahrscheinlicher machen. So gut wie alle Patches haben gemein, dass ein massiver Einbruch bei der CPU-Power die Folge ist. Der Linux-Kernel-Patch der ersten Stunde musste wieder entfernt werden, weil die Performance damit so schlecht wurde.

2019 haben alle namhaften Hersteller Prozessor-Architekturen angekündigt, die gegen diese Angriffsszenarien immun sein sollen. Allerdings ist nicht zu erwarten, dass Hosting-Unternehmen unmittelbar alle betroffenen Server austauschen werden, die in ihren Büchern sind.

Sie sollten bei der Neuausschreibung Ihres Rechenzentrum-Hostings also durchaus die Frage stellen, wie der Schutz vor Spectre und Meltdown-Varianten abgebildet ist und welche CPU-Versionen zum Einsatz kommen.

DDoS-Angriffe

Jedes Jahr gibt es Berichte über neue Bandbreitenrekorde bei Distributed-Denial-of-Service-Angriffen und die Zahlen gehen dabei mittlerweile bis 5 Tbit/s. Über Stunden oder Tage können Kriminelle mit Bot-Netzen beliebiger Größe IT-Infrastruktur angreifen, den Internetzugang überlasten und damit vom Netz nehmen. Beinahe alle Internet-Provider haben mittlerweile Services im Angebot, um diese Angriffe zu „erden“, umzuleiten und den Schaden für das Unternehmen zu begrenzen.

Die Bandbreite allein ist jedoch nicht der einzige Faktor für das Ausmaß eines Angriffs. Bei komplexer Struktur mit Web Application Firewall oder SSL-Inspection sind Session-Anzahl und Paket-Anzahl mit relativ geringer Bandbreite auslastbar.

Es ist daher unvermeidbar, solche Angriffe zu simulieren, um die Systeme so auszulegen, dass der eingerichtete DDoS-Schutz von einem WAF-Service (das einen Bruchteil kostet) ad absurdum geführt wird.

KI-gestützte Angriffe, Deepfakes und Social Engineering

Generative KI verändert Social Engineering nicht grundlegend, senkt aber die Einstiegshürde und erhöht Geschwindigkeit, Qualität und Personalisierung der Angriffe. Phishing-Mails, gefälschte Chatnachrichten, Übersetzungen, Bewerbungen, Supportanfragen oder Zahlungsfreigaben wirken dadurch sprachlich sauberer und besser auf interne Rollen zugeschnitten.

Besonders relevant sind Deepfakes in Stimme und Video. Angreifer können damit Anweisungen von Geschäftsführung, Vorgesetzten oder Projektleitern glaubwürdig simulieren. Damit wird der klassische CEO-Fraud verschärft, weil nicht nur eine E-Mail, sondern auch ein scheinbarer Anruf oder eine Videosequenz zur Bestätigung eingesetzt werden kann.

Vorbeugend reichen Awareness-Maßnahmen allein nicht aus. Kritische Zahlungen, Stammdatenänderungen, Herausgaben von Zugangsdaten und Ausnahmen von Prozessen müssen über unabhängige Kommunikationskanäle bestätigt werden. Die Freigabe darf nicht nur davon abhängen, ob eine Nachricht sprachlich plausibel wirkt.

Angriffe auf Identitäten, Sitzungen und MFA-Verfahren

Viele Angriffe zielen nicht mehr primär auf das Endgerät, sondern auf Identitäten. Gestohlene Passwörter, Session-Cookies, OAuth-Freigaben, API-Schlüssel und Zugriffstoken ermöglichen Zugriff auf Cloud-Dienste, ohne dass am Arbeitsplatzrechner Malware installiert sein muss.

Auch Multi-Faktor-Authentifizierung ist kein vollständiger Schutz, wenn Angreifer Anmeldeprozesse über gefälschte Zwischenstellen mitlesen, Benutzer mit wiederholten Freigabeanfragen unter Druck setzen oder bereits gültige Sitzungen übernehmen. MFA bleibt notwendig, muss aber durch Phishing-resistente Verfahren, privilegiertes Zugriffsmanagement, Conditional Access und Protokollauswertung ergänzt werden.

Für Unternehmen bedeutet das, dass Identitäten wie ein eigener Sicherheitsperimeter behandelt werden müssen. Rollen, Berechtigungen, Admin-Konten, Dienstkonten und externe Benutzer müssen laufend überprüft und bei Verdachtsfällen schnell entzogen werden können.

Cloud-, SaaS- und Mandantenkompromittierungen

Zentrale Geschäftsprozesse laufen zunehmend in Cloud- und SaaS-Diensten, etwa in Microsoft 365, Google Workspace, Kollaborationsplattformen, CRM- oder ERP-Systemen. Ein erfolgreicher Angriff auf den Tenant, auf Administratoren oder auf schlecht konfigurierte Freigaben kann umfangreiche Datenbestände offenlegen, ohne dass ein klassischer Server im Unternehmen kompromittiert wird.

Typische Schwachstellen sind zu breite Freigaben, dauerhaft gültige Tokens, fehlende Protokollierung, unkontrollierte Drittanbieter-Apps, Schatten-IT und die Nutzung von KI-Diensten ohne geprüfte Konfiguration. Datenschutzrechtlich kritisch ist dabei, dass personenbezogene Daten sehr schnell über viele Dienste, Länder und Auftragsverarbeiterketten verteilt werden können.

Wesentliche Gegenmaßnahmen sind saubere Mandantenkonfiguration, restriktive externe Freigaben, Protokollierung, Data Loss Prevention, regelmäßige Rechteprüfungen und klare Vorgaben für Cloud-Apps und KI-Werkzeuge.

Software-Lieferketten und Open-Source-Abhängigkeiten

Angriffe auf Software-Lieferketten treffen Unternehmen über Komponenten, die sie selbst nicht entwickelt haben. Dazu zählen Open-Source-Bibliotheken, Paketmanager, Container-Images, CI/CD-Pipelines, Build-Systeme, Softwareupdates und Dienstleister mit Fernwartungszugriff.

Besonders gefährlich sind manipulierte Updates, Dependency Confusion, Typosquatting, kompromittierte Entwicklerkonten oder bösartige Pakete, die in der Softwareentwicklung unbemerkt nachgeladen werden. Ein einzelnes kompromittiertes Paket kann viele Unternehmen gleichzeitig treffen.

Für die Praxis gewinnen Software Bill of Materials, Signierung von Builds, Herkunftsnachweise, getrennte Build-Umgebungen, geringere Rechte für Pipelines und ein kontrolliertes Patch- und Freigabeverfahren an Bedeutung.

Schwachstellen in Edge-Systemen und schnelle Ausnutzung

Internetnahe Systeme wie VPN-Gateways, Firewalls, Remote-Access-Lösungen, Mail-Gateways, Web-Gateways und Managed-File-Transfer-Systeme sind besonders attraktive Ziele. Sie stehen direkt im Internet, sind oft hoch privilegiert und werden für den Zugang zu internen Netzen verwendet.

Sobald Schwachstellen öffentlich werden, werden sie häufig sehr rasch automatisiert gesucht und ausgenutzt. Das klassische Patchmanagement bleibt daher zentral, muss aber für exponierte Systeme durch vollständige Asset-Übersicht, Notfall-Patchfenster, Härtung und kontinuierliches Monitoring ergänzt werden.

API-, Schnittstellen- und Integrationsangriffe

APIs verbinden Webshops, Apps, Portale, Partner, Cloud-Dienste und interne Fachsysteme. Fehlerhafte Authentisierung, fehlende Autorisierung, zu umfangreiche Datenantworten, fehlende Ratenbegrenzung und unsichere Webhooks können dazu führen, dass Daten massenhaft ausgelesen oder Prozesse manipuliert werden.

Besonders kritisch sind nicht-menschliche Identitäten, also Service Accounts, API-Schlüssel, Zertifikate und technische Benutzer. Diese Zugänge sind oft langlebig, schlecht dokumentiert und besitzen mehr Rechte als notwendig.

APIs sollten daher wie eigene Produkte behandelt werden, mit Inventar, Authentisierung, Autorisierung, Protokollierung, Tests gegen Missbrauch und einem geordneten Ablauf für Schlüsselwechsel.

Cybercrime-as-a-Service und Initial Access Broker

Die Arbeitsteilung in der Cyberkriminalität nimmt zu. Manche Gruppen beschaffen nur den ersten Zugang, etwa über gestohlene Zugangsdaten, VPN-Konten, Session-Tokens oder kompromittierte Dienstleister. Dieser Zugang wird anschließend an andere Täter verkauft, die Spionage, Datendiebstahl oder Ransomware ausführen.

Dadurch kann zwischen Erstkompromittierung und sichtbarem Schaden viel Zeit vergehen. Unternehmen müssen daher Anzeichen für ungewöhnliche Anmeldungen, neue Geräte, verdächtige OAuth-Freigaben, ungewöhnliche Datenabflüsse und privilegierte Aktionen früh erkennen.

Datenexfiltration, Mehrfacherpressung und Angriffe auf Backups

Ransomware ist nicht mehr nur Verschlüsselung. Viele Angreifer stehlen Daten zuerst und drohen anschließend mit Veröffentlichung, Kontaktaufnahme zu Kunden, Meldung an Behörden oder zusätzlichem Druck auf Geschäftspartner. Die Erpressung kann daher auch dann wirken, wenn Backups technisch funktionieren.

Zusätzlich werden Backup-Systeme, Virtualisierungsplattformen, Administrationswerkzeuge und Wiederherstellungsumgebungen gezielt angegriffen. Besonders kritisch sind Systeme, auf die normale Administratoren oder kompromittierte Domänenkonten direkt schreiben oder löschen können.

Ein belastbares Konzept benötigt unveränderbare oder offline getrennte Backups, getrennte Administrationskonten, Wiederherstellungstests, Notfallkommunikation und einen Ablauf zur Bewertung, ob personenbezogene Daten betroffen sind.

OT, Industrieanlagen und cyberphysische Systeme

Der Begriff „Operational Technology“ umfasst Produktionsanlagen, Gebäudeleittechnik, Energieversorgung, Wasser, Logistik, medizinische Geräte und andere Systeme, die physische Prozesse steuern. Diese Systeme laufen oft lange, lassen sich nur schwer patchen und wurden ursprünglich nicht für eine dauerhaft vernetzte Umgebung gebaut.

Ein Angriff kann daher nicht nur Daten betreffen, sondern auch Produktion, Sicherheit, Lieferfähigkeit und Gesundheit. Risiken entstehen durch veraltete Betriebssysteme, flache Netzwerke, ungesicherte Fernwartung, unklare Zuständigkeiten zwischen IT und Technik sowie fehlende Notfallübungen.

Wichtige Maßnahmen sind Segmentierung, Inventarisierung, abgesicherte Fernwartung, klare Verantwortlichkeiten, Ersatzteil- und Wiederanlaufplanung sowie Übungen, die technische und organisatorische Auswirkungen gemeinsam betrachten.

Mobile Endgeräte, QR-Phishing und Passkey-Abhängigkeiten

Mobilgeräte sind heute Arbeitsmittel, Authenticator, Kommunikationskanal und Zugriffspunkt auf Cloud-Dienste in einem. Angriffe erfolgen nicht nur über schädliche Apps, sondern auch über SMS, Messenger, QR-Codes, gefälschte Paketbenachrichtigungen, Kalenderfreigaben und mobile Browser-Sitzungen.

QR-Phishing, auch „Quishing“ genannt, verlagert den Angriff vom abgesicherten Unternehmensgerät auf das private oder mobile Gerät. Dort greifen E-Mail-Filter, Browser-Härtung oder Unternehmensprotokollierung oft schlechter.

Passkeys können Passwort-Phishing deutlich erschweren, schaffen aber neue Abhängigkeiten von Gerätesicherheit, Synchronisationsdiensten und Wiederherstellungsprozessen. Unternehmen müssen deshalb festlegen, welche Geräte und Identitätsanbieter für geschäftliche Passkeys zulässig sind.

Zukünftige Bedrohungen

Post-Quanten-Kryptografie

Die Sicherheitsgarantien der heute eingesetzten kryptografischen Mechanismen würden sich schnell in Luft auflösen, wenn es bereits einen Quanten-Computer und geeignete Algorithmen geben würde, um die theoretischen Chancen dieser Technologie auszunutzen.

Schon seit den 1990er-Jahren sind Quantenalgorithmen bekannt, die das Sicherheitsniveau der klassischen Verfahren ungefähr halbieren (Grover-Algorithmus für symmetrische Kryptoverfahren) bzw diese Verfahren vollständig brechen (Shor-Algorithmus für asymmetrische Kryptoverfahren).

Eine Lösung für dieses Problem der Zukunft bietet die so genannte Post-Quanten-Kryptografie. Darunter versteht man Verfahren, die auf mathematischen Problemen beruhen, die vermutlich auch mit einem Quantencomputer nicht einfach zu lösen sein werden. Einen Beweis für die Quantencomputerresistenz dieser Verfahren gibt es allerdings nicht, zumal wir einer Technologie, die wir kaum verstehen, Konzepte entgegenhalten, die nicht erprobbar sind.

Autonomes Fahren

Mit den laufenden Versuchen von selbstfahrenden autonomen Fahrzeugen eröffnet sich auch das Feld der IT-Sicherheit für dieses Thema.

Es wäre illusorisch zu glauben, dass derart komplexe Funktionen nicht auch laufend mit Fehlern behaftet sein werden, mit Auswirkungen, die nicht nur kommerziell schwierig und unangenehm, sondern tödlich enden können. Viele Schwachstellen und Sicherheitslücken werden auch künftig erst entdeckt, wenn das Fahrzeug schon unterwegs ist. Neben den primären abgas-, verbrauchs- und mechaniklastigen Prüfszenarien, denen Automobilhersteller heute ausgesetzt sind, müssen IT-relevante Untersuchungen regelmäßig durchgeführt werden. Ein Servicetermin wird „patchen“ bedeuten und Schutzmechanismen gegen die absichtliche Gefährdung von Passanten durch einen „Rootkit-Exploit“ müssen unüberwindbar sein.

Der Support von Fahrzeugtypen durch den Hersteller, der für alle entstehenden Probleme auch haften muss, darf nicht einfach irgendwann enden. Schon beim Kauf des Fahrzeugs muss klar sein, wie lange das Fahrzeug im supporteten Einsatz sein kann.

Die Behörden schließlich müssen jede technische Neuerung im Fahrzeug überprüfen können, was ein völlig neues Skillset in diesen Stellen bedeuten wird.

Sicherheit von KI-Systemen und KI-Agenten

KI-Systeme werden zunehmend in Geschäftsprozesse eingebunden. Sie lesen interne Dokumente, beantworten Kundenanfragen, schreiben Code oder lösen Aktionen in anderen Systemen aus. Sobald ein KI-System Werkzeuge verwenden darf, wird aus einem reinen Auskunftssystem ein technischer Akteur mit eigenen Risiken.

Wesentliche Angriffsmuster sind Prompt Injection, Manipulation von Wissensquellen, Preisgabe vertraulicher Informationen, Diebstahl von Modellen, Missbrauch von Plugins und zu weitgehende Handlungsbefugnisse. Besonders kritisch sind Systeme, die ungeprüfte externe Inhalte verarbeiten und danach interne Aktionen ausführen.

Für den sicheren Einsatz sind klare Grenzen nötig: Trennung vertrauenswürdiger und nicht vertrauenswürdiger Inhalte, geringe Rechte, menschliche Freigaben für kritische Aktionen, Protokollierung, Tests gegen Missbrauch und ein Verfahren für Fehlfunktionen.

Quantenmigration und „Harvest now, decrypt later“

Die Post-Quanten-Kryptografie ist nicht nur ein Zukunftsthema. Angreifer können verschlüsselte Daten bereits heute sammeln und später entschlüsseln, wenn geeignete Quantencomputer und Angriffsmöglichkeiten verfügbar sind. Dieses Risiko ist vor allem bei langfristig schutzbedürftigen Daten relevant, etwa bei Gesundheitsdaten, Betriebsgeheimnissen, staatlichen Informationen oder langfristigen Verträgen.

Da erste standardisierte Post-Quanten-Verfahren verfügbar sind, verschiebt sich die Aufgabe von reiner Beobachtung hin zur Migrationsplanung. Unternehmen benötigen eine Übersicht über kryptografische Verfahren, Zertifikate, Protokolle, VPNs, Signaturen, Archive und Produkte, die später austauschbar sein müssen.

Praktisch wichtig ist Crypto-Agility, also die Fähigkeit, Verschlüsselungsverfahren ohne vollständigen Systemneubau auszutauschen.

Mangelnde digitale Souveränität, Konzentrationsrisiken und Ausfälle zentraler Dienste

Viele Organisationen hängen von wenigen globalen Cloud-, Identitäts-, DNS-, CDN-, E-Mail-, Code-Hosting- oder Sicherheitsdienstleistern ab. Ein Ausfall, eine Fehlkonfiguration, eine politische Einschränkung oder eine Kompromittierung eines solchen Dienstes kann viele Kunden gleichzeitig betreffen.

Dieses Risiko liegt nicht nur im Angriff, sondern auch in fehlenden Ausweichmöglichkeiten. Kritische Prozesse sollten daher darauf geprüft werden, ob sie bei Ausfall eines zentralen Providers, eines Identitätsdienstes oder eines Cloud-Tenants weitergeführt werden können.

Gegenmaßnahmen sind Exit-Pläne, technische und vertragliche Portabilität, lokale Notbetriebsverfahren, alternative Kommunikationswege, getestete Wiederanlaufpläne und eine realistische Bewertung von Anbieterabhängigkeiten.

Desinformation, hybride Angriffe und physische Auswirkungen auf digitale Infrastruktur

Cyberangriffe werden häufiger mit Informationsoperationen, politischem Druck, DDoS-Aktionen, Datenleaks oder gefälschten Medieninhalten kombiniert. Ziel ist nicht nur technischer Schaden, sondern Vertrauensverlust, Reputationsschaden und die Störung von Entscheidungsprozessen.

Für Unternehmen und Behörden wird daher Krisenkommunikation Teil der IT-Sicherheit. Es muss geklärt sein, wer bei Datenleaks, Deepfakes, gefälschten Pressemitteilungen oder Angriffen auf Kundenportale kommuniziert und welche Informationen verifiziert sind.

Zusätzlich wirken physische Ereignisse stärker auf digitale Infrastruktur. Extremwetter, Energieausfälle, Kabelschäden, Brände oder regionale Störungen können Rechenzentren, Glasfaserstrecken, Mobilfunkstandorte und Lieferketten treffen. Resilienz bedeutet daher auch, technische Abhängigkeiten von Strom, Kühlung, Standort und Telekommunikation zu bewerten.

Fachkräftemangel, Sicherheitskomplexität und Fehlkonfigurationen

Ein wesentliches Zukunftsrisiko entsteht nicht durch eine einzelne Angriffstechnik, sondern durch steigende Komplexität. Cloud, OT, KI, mobile Arbeit, externe Dienstleister, Softwareentwicklung und Datenschutzanforderungen müssen gleichzeitig beherrscht werden.

Wenn qualifiziertes Personal fehlt, werden Systeme verspätet gepatcht, Protokolle nicht ausgewertet, Fehlkonfigurationen übersehen und Notfallübungen verschoben. Dadurch steigt die Wirkung bereits bekannter Angriffsmuster.

Unternehmen sollten Cybersecurity daher nicht nur als Tool-Frage behandeln, sondern als Betriebsfähigkeit. Rollen, Verantwortlichkeiten, Schulungen, Vertretungen und Entscheidungswege müssen so gestaltet sein, dass Sicherheitsaufgaben auch unter Zeitdruck funktionieren.

Quellen

FM Forum Business Solutions GmbH auf linkedin FM Forum Business Solutions GmbH bei XING

© 2026 FM Forum Business Solutions GmbH