PlanetNTF

Thesenpapier deckt Defizite auf und formuliert Lösungen

Leitliniendokument mit konkreten Forderungen an die Politik

Im März diesen Jahres übergaben Vertreter des Bundesverbandes der IT-Anwender „VOICE“ und des Bundesverbandes IT-Sicherheit e.V. – TeleTrusT ihr gemeinsam erarbeitetes Manifest zur IT-Sicherheit an die Bundesregierung. Das an die Politik adressierte Leitliniendokument stellt Defizite und Problembereiche im Umfeld der IT-Sicherheit dar. Dabei zeigen die im Manifest formulierten Ziele und Absichten große Übereinstimmung mit der im November 2016 von der Bundesregierung beschlossenen Cyber-Sicherheitsstrategie für Deutschland.

Aber der Reihe nach. Bevor wir uns dem 20-seitigen Papier widmen, rufen wir uns noch einmal besagte Cyber-Sicherheitsstrategie in Erinnerung:

Status quo in Sachen IT-Sicherheit

Mit Fortschreiten der Digitalisierung nimmt die Anzahl und Qualität von Cyber-Attacken kontinuierlich zu. Auffällig dabei ist einerseits der hohe Professionalisierungsgrad der Angriffe: Hochentwickelte Schadprogramme nehmen gezielt nur unzureichend gesicherte IT-Landschaften ins Visier. Andererseits reichen die klassischen Abwehrmaßnahmen aus Antiviren-Programmen oder Zugangssicherung per Passwort und Benutzernamen längst nicht mehr aus.

Um angesichts dieser Tatsachen die Handlungsfähigkeit und Souveränität der Bundesrepublik zu gewährleisten, beschloss die Regierung im November 2016 ihre neue Cyber-Sicherheitsstrategie für Deutschland. Dabei lautet der Grundtenor für die Cyber-Sicherheitspolitik der Bundesregierung: Deutschland muss die Chancen und Potenziale der Digitalisierung voll ausschöpfen können und gleichzeitig auch die damit verbundenen Sicherheitsrisiken beherrschen.

Die Cyber-Sicherheitsstrategie für Deutschland

Das Strategiepapier wirbt für sicheres, selbstbestimmtes Verhalten der Bürger und stellt sich gegen die „digitale Sorgloskultur“. Staat und Wirtschaft sollen näher zusammenrücken, unterdessen die europäische und internationale Cyber-Sicherheitspolitik noch enger verflochten werden sollen.

Als konkrete Schritte benennt das Papier den Ausbau des nationalen Cyber-Abwehrzentrums (NCAZ), sodass es in Schadensfällen als Krisenzentrum arbeiten kann. Zudem soll der bereits 2011 eingerichtete nationale Cyber-Sicherheitsrat stärker eingebunden werden, um „Handlungsnotwendigkeiten“ zu identifizieren. Ergänzt werden diese Maßnahmen um die Aufstellung von „Mobile Incident Response Teams“ (MIRTs), die im Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie in der Bundeswehr zum Einsatz kommen.

Noch in diesem Jahr soll ein IT-Gütesiegel, betreut vom BSI, eingeführt werden, das Verbrauchern sichere IT-Produkte anzeigt. So sollen sie „bei der Kaufentscheidung für neue IT-Produkte und bei der Inanspruchnahme entsprechender Dienstleistungen schnell und einfach feststellen können, welche Angebote wie gut zum Schutz der IT und der Daten beitragen“. Außerdem sollen Bürger unter anderem zur Nutzung der Onlineausweisfunktion ihres Personalausweises animiert werden.

Die Bundesregierung ist zu dem Schluss gelangt, dass Sicherheit nach dem klassischen Benutzername-Passwort-Prinzip nicht mehr ausreicht. So soll beispielsweise die Nutzung von Verschlüsselungstechniken gefördert werden: „Die Bundesregierung wird die spezifischen Hemmnisse beim Einsatz von Verschlüsselungslösungen untersuchen und Initiativen zum Abbau dieser Hemmnisse fördern“, heißt es im Strategiepapier. Zudem wird die Regierung die stetige Weiterentwicklung der technischen Fähigkeiten von Strafverfolgungs- und Sicherheitsbehörden parallel zur technischen Entwicklung in Sachen Verschlüsselung forcieren.

Manifest IT-Sicherheit: Thesen und Problembereiche

Zurück zum Manifest IT-Sicherheit: VOICE und TeleTrust haben in ihrem Thesenpapier sechs Problemfelder identifiziert. Dem aber nicht genug. Gemeinsam haben die beiden Verbände daraus sechs Thesen erarbeitet. Konkrete Aufgaben in jeder These skizzieren, wie die jeweilige Herausforderung bewältigt werden könnte.

• These 1: Sicherheitsprobleme gefährden nachhaltige Digitalisierung

  Die IT-Sicherheitsprobleme werden jedes Jahr größer. Die IT-Architekturen von Endgeräten, Servern und Netzkomponenten sind nicht sicher genug konzipiert, um den Fähigkeiten von intelligenten Hackern standzuhalten. Für ihre erfolgreichen Angriffe machen sich Kriminelle auch die unzureichende Qualität von Software zu Nutze: Sie installieren Malware, stehlen Passwörter und Identitäten und spionieren Endgeräte aus.

• These 2: Zu wenige sichere und vertrauenswürdige IT-Lösungen

  Immer komplexer werdende Software und immer kompliziertere Zusammenhänge zwischen Protokollen, Diensten, IT-Geräten und globalen Infrastrukturen vergrößern die Angriffsfläche für Hacks derart, dass sogar „harmlose“ Geräte wie Kaffeemaschinen, Drucker oder Smartwatches als Einfalltore missbraucht werden. Hinzu kommt die Tatsache, dass der IT-Sicherheitsmarkt aus vielen kleinen Anbietern besteht, die nur Nischen abdecken. Da eine „Komplettlösung“ aus einer Hand eines nationalen Herstellers nicht existiert, hat dies zur Folge, dass Anwender für einen umfänglichen Schutz gegen allerhand Bedrohungen Nischenlösungen „übereinander stapeln“ müssen.

• These 3: Fehlende Transparenz und Vertrauen

  Staatlich motivierte Schwachstellen und Hintertüren in der IT sorgen für weniger Sicherheit und zerstören das Vertrauen in IT-Technologien und IT-Dienste. So werden IT-Produkte häufig bereits als „unsicher“ am Markt platziert und IT-Sicherheitsfeatures meist erst auf Nachfrage oder Druck von Anwendern angeboten beziehungsweise sind erst dann zu- oder abschaltbar. Es mangelt zudem an flächendeckender Verschlüsselung für die Übertragung und Speicherung digitaler Informationen. Hierfür jedoch müssen erst sichere und vertrauenswürdige Verschlüsselungsprodukte geschaffen werden, die einfach zu integrieren und zu nutzen sind.

• These 4: Unzureichende Umsetzung der Prinzipien Security-by-Design sowie Privacy-by-Design

  Die Qualität und die Prozesse rund um die Entwicklung von quelloffener Software bergen noch großes Verbesserungspotential bezüglich Sicherheit und Vertrauen in die IT. Jedoch wird dieses Verbesserungspotential für sichere und vertrauenswürdigere Software, insbesondere Open Source Software, noch nicht ausreichend gefördert, gefordert und genutzt. Dabei erlauben es Offene Systeme, IT-Architekturen und IT-Produkte, Sicherheit und Vertrauenswürdigkeit bei Bedarf jederzeit zu überprüfen.

• These 5: Mangelnde Selbständigkeit der europäischen IT-Sicherheitsinfrastruktur

  Europa mangelt es an einer eigenen IT-Sicherheitsinfrastruktur. Diese ist jedoch für eine eigene Souveränität sowie sichere und vertrauenswürdige IT-Lösungen unerlässlich.

• These 6: Steigende Bedrohung durch Cyber-War

  Cyber-War, Cyber-Sabotage und Cyber-Spionage durch andere Staaten oder terroristische Gruppen auf Kritische Infrastrukturen stellen eine steigende Gefahr für Unternehmen, aber auch die gesamte Gesellschaft, dar.

Manifest IT-Sicherheit: Gemeinsame Aufgabenstellungen

Der Grad an IT-Sicherheit und Vertrauenswürdigkeit ist in Deutschland derzeit nicht ausreichend. Es fehlt an Wissen, Verständnis, Einschätzungskompetenz, Technologien und Vorgehensweisen. Viele IT-Produkte erreichen nicht den nötigen Reifegrad hinsichtlich IT-Sicherheit, um ein grundlegendes Maß an Vertrauenswürdigkeit zu etablieren. Deshalb haben TeleTrust und VOICE Aufgaben zur Lösung der oben genannten Thesen und Problemfelder formuliert.

• Aufgabe 1: Gemeinsam intolerant gegenüber unsicheren IT-Lösungen!

  Die Verbände sind sich einig darüber, dass das Sicherheitsniveau eines IT-Produktes klar erkennbar, überprüfbar und mit dem anderer vergleichbar sein muss. Das Aushängeschild „IT Security made in Germany“ für IT-Sicherheit und Daten-schutz hat sich in diesem Zusammenhang zwar bereits erfolgreich etabliert. Kernaufgabe muss es jedoch werden, auch eine IT-Sicherheitssouveränität zu schaffen und zu fördern.

  Ein Großteil erfolgreicher Angriffe erfolgt über veraltete Software. Deshalb müssen die Hersteller in die Pflicht genommen werden Schwachstellen in Hard- und Software zu schließen. Gleichzeitig gilt es, bekannte Konzepte, auf denen die heutige Softwareentwicklung aufsetzt, im Hinblick auf IT-Sicherheitsaspekte zu überprüfen und, wenn notwendig, neu zu entwerfen. Aber damit nicht genug: Auch Anwender müssen die angebotenen Nachbesserungsmöglichkeiten schnellstens annehmen.

Zentrales E-Mail-Management mit der iQ.Suite

Mit der iQ.Suite von GBS umfassendes Lösungspaket zum E-Mail-Management, das alle notwendigen Bausteine auf dem Weg zur E-Mail-Compliance miteinander verbindet. Beginnend beim Viren- und Spamschutz, über Verschlüsselung und Haftungsausschluss bis hin zu rechtssicheren Archivierung decken wir alle Aspekte eines durchgängigen E-Mail-Managements ab.

• Aufgabe 2: Gemeinsam für wirkungsvolle IT-Sicherheit!

  Das Thesenpapier betont die notwendige Zusammenarbeit der Verbände mit IT-Marktführern, um eine optimale Integration von IT-Sicherheitslösungen in Hard- und Software umzusetzen und zu überprüfen. Die Einbeziehung von Anwendern ist jedoch nötig, um angemessene, wirkungsvolle, sichere und vertrauenswürdige IT-Lösungen zu schaffen. VOICE und TeleTrust erachten dabei die Erarbeitung und Festlegung einer gemeinsamen IT-Sicherheitsstrategie mit konkreten Zielen, wie der Sicherheit und Vertrauenswürdigkeit in der IT, als notwendig.

• Aufgabe 3: Gemeinsam digitale Werte sicher verschlüsseln!

  Transparenz und Vertrauen müssen vom Alleinstellungsmerkmal zum Standard-Ausstattungsmerkmal eines IT-Produktes werden – so lautet die grundlegende dritte Aufgabenstellung laut Thesenpapier. Und so soll sie gelöst werden: Verschlüsselung muss nicht nur häufiger aktiv zum Einsatz kommen, sie muss auch einfach in der Bedienung sowie in der Integration werden. Dafür müssen Hersteller und Anwender von Verschlüsselungslösungen enger zusammenarbeiten. Beide Seiten müssen einer staatlich motivierten Schwächung von Kryptografie oder den Wünschen nach Hintertüren gemeinsam eine Absage erteilen. Im gleichen Atemzug ist die konsequente Erstellung und Nutzung von IT-Technologien und -Diensten, die keine staatlich motivierten Schwachstellen und Hintertüren in IT-Lösungen beinhalten, Voraussetzung.

  Zudem fordern beide Verbände eine klare Positionierung der EU-Länder und der EU hinsichtlich des Schutzes der digitalen Werte. Darüber hinaus sollten sie dafür sorgen, dass mehr sichere und vertrauenswürdige IT-Technologien und IT-Dienste entwickelt und genutzt werden.

• Aufgabe 4: Security-by-Design und Privacy-by-Design Software müssen Anforderungen an Sicherheit erfüllen!

  Security-by-Design und Privacy-by-Design Software vermeiden hohe nachträgliche Sicherheitsassessments, weshalb zukünftige Vorhaben diese Anforderungen erfüllen müssen. Derweil muss Open Source Software bezüglich der IT-Sicherheitsaspekte nachhaltig überprüft werden. Beide Verbände sehen hierfür den gemeinsamen Aufbau eines Fonds als notwendig: Über ihn können finanzielle Mittel für die Verbesserung der Softwarequalität von wichtigen Open Source-Komponenten zur Verfügung gestellt werden. Ziel müsse es sein, sichere und vertrauenswürdige IT-Technologien schnell in die Fläche von wichtigen und zukunftsorientierten Anwendungsbereichen zu bekommen.

• Aufgabe 5: Ausbau, Sicherung und Förderung des technologischen Stands in Europa!

  TeleTrust und VOICE fordern die EU auf, kurz- bis mittelfristige Maßnahmen zu ergreifen, um die Souveränität im Bereich IT- Sicherheit für wichtige IT-Infrastrukturen aufzubauen und zu sichern. Hierfür schlagen die Verbände vor, dem Attribut „IT-Sicherheitsinfrastruktur in Europa“ einen besonderen Wert beizumessen. Gleichzeitig sollen Aufsichtsräte und Beiräte deutscher sowie europäischer Unternehmen in ihren Strategien die Anforderungen an IT-Sicherheit sowohl für Produkte als auch für Dienstleistungen und Anwendungen hinterfragen und bewerten.

• Aufgabe 6: Regelmäßige Kontrolle potenziell gefährlicher IT-Lösungen!

  Sofern eine IT-Lösung das Potenzial aufweist, negative Auswirkung auf die kritischen Infrastrukturen auszuüben, liegt die Aufgabe nach Meinung beider Verbände darin, diese sorgfältig zu prüfen und regelmäßig zu kontrollieren. Zum Erreichen einer höheren Sicherheit und Robustheit fordern TeleTrust und VOICE dabei eine Zusammenarbeit aller Interessengruppen.

  Darüber hinaus sollte auch in Prävention, Detektion und Reaktion investiert werden. Notwendig seien Notfallpläne für ein Worst-Case Szenario, die Entwicklung von Krisenstabsübungen sowie die Bildung von Eingreiftruppen.

IT-Security Trends: Hacker im El Dorado

Der Präsident des Bundesamtes für Verfassungsschutz vergleicht Hacker-Angriffe mit gelenkten Mittelstreckenraketen. Zahlen und Fakten zum Thema IT- Sicherheit finden Sie in diesem Beitrag in unserer übersichtlichen Infografik „Cyberattacken“.

Fazit

TeleTrust und VOICE e.V. stellen in ihrem Manifest ganz konkrete Forderungen an Politik und IT-Anbieter. Werden die bestehenden Sicherheitsmängel in Hardware, Software und Betriebssystemen nicht von Grund auf beseitigt, sehen beide Industrieverbände große Gefahren auf eine sich zunehmend vernetzende Wirtschaft zukommen. Hart ins Gericht gehen sie insbesondere mit dem geringen Reifegrad von Systemen und deren Widerstandsfähigkeit gegen Angriffe. Kritik üben TeleTrust und VOICE auch an der fehlenden Standardisierung vorhandener Sicherheitslösungen.

Europäische Hersteller werden aufgefordert, vermehrt eigenes Know-how rund um die IT-Sicherheit aufzubauen und alle IT-Produkte so zu designen, dass Sicherheit und Datenschutz von Beginn an berücksichtigt werden. Zudem fordern die Verbände IT-Anbieter auf, Lösungen anzubieten, die das Prinzip Security-by-Design befolgen. Alles andere würde sonst IT-Anwendungsunternehmen in ernsthafte Schwierigkeiten bringen, ihren Teil zur Cyber-Sicherheit beizutragen.

Der Beitrag Manifest IT-Sicherheit identifiziert sechs Problemfelder erschien zuerst auf GBS - Der Blog rund um Security, Collaboration & Co.

Digitaler Enkeltrick ergaunert Millionen

Abzocke mit Unternehmen

Der so genannte Enkeltrick geht in die nächste Runde. Die Opfer sind längst nicht mehr nur Senioren, die um ihr Erspartes gebracht werden. Die Täter rufen auch nicht mehr an. Jetzt kommen sie aus dem World Wide Web. Cyberkriminelle haben eine neue, lukrative „Zielgruppe“ entdeckt: Unternehmen. Die Betrüger geben sich als Führungsperson oder gar als Geschäftsführer aus und ergaunern Geld – zu überweisen auf falsche Bankkonten.

Per E-Mail und mit Hilfe gefälschter Dokumente und Identitäten fordern Trickbetrüger Mitarbeiter auf, Geld auf Konten im Ausland zu überweisen. Ein Trick, der offenbar gut funktioniert: Die Verluste, die CEOs weltweit seit Januar 2015 durch die neue Betrugsmasche einstecken mussten, schätzt das IC3, eine amerikanische Arbeitsgruppe, die sich im Auftrag des FBI mit Cyberkriminalität beschäftigt und Beschwerden über Internetkriminialität erfasst, auf stolze 3.1 Milliarden US-Dollar. 22.143 Unternehmen aus 100 Ländern seien betroffen. Die Beute floss in der Mehrzahl der Fälle auf Bankkonten in China und Hong Kong. Wie geschickt die Täter arbeiten, wie schnell Mitarbeiter zu Opfern werden und auf die Betrüger hereinfallen können und wie Sie sich schützen können, erfahren Sie in unserem heutigen Beitrag.

Spear Phishing als digitale Grundlage

Die Methode, mit gefälschten Identitäten und E-Mails Geld zu ergaunern, kommt Ihnen bekannt vor? Tatsächlich bedienen sich die Trickbetrüger bei der Chef-Masche einer Angriffsmethodik, die dem Spear-Phishing ähnelt. Mit Hilfe einer erzeugten Textnachricht erwecken sie den Anschein von Vertrauens- und Glaubwürdigkeit und fordern zu einer Handlung auf, deren dringende Ausführung mit einer glaubhaften Argumentation begründet wird.

Wie beim normalen Phishing auch, versuchen Cyberkriminelle beim Spear Phishing über E-Mails an vertrauliche Daten zu kommen. Der Unterschied liegt jedoch an der besonders heimtückischen Art der Angriffsmethode: Die E-Mails erwecken den Anschein, von einem Mitarbeiter aus dem eigenen Unternehmen, in der Regel sogar von einer besonders vertrauenswürdigen Person, zu stammen. Aus Sicht der Betrüger ist diese Strategie logisch: Wer den Absender einer Mail nicht kennt, gibt in der Regel auch keine Informationen an diesen heraus oder klickt Anhänge und Links. Wenn aber der (vermeintliche) Vorgesetzte zu einer Handlung auffordert, ist das schon etwas anderes. Der Unterschied zum Spear Phishing liegt beim Cheftrick nun lediglich darin, dass es hier nicht um Datenklau, sondern um Geld geht.

Digitaler Enkeltrick: So funktioniert er

Der angebliche Finanzchef schreibt eine dringende E-Mail an den zuständigen Buchhalter des Unternehmens: Für einen bedeutenden Geschäftsabschluss muss schnellstens Geld angewiesen werden. Die Zeit ist knapp, denn Mitbewerber schlafen nicht und könnten jederzeit Wind von dem Geschäft bekommen und ihrerseits zum Gegenschlag ansetzen. Unbedingte Geheimhaltung ist deshalb immens wichtig. Zuvor haben die Betrüger, unter falschem Namen versteht sich, ein Konto eingerichtet – irgendwo in Osteuropa oder Hongkong. Auslandskonten, gerade bei international tätigen Unternehmen, sind keine Seltenheit, warum also sollte unser Buchhalter Verdacht schöpfen? Zumal die Anweisung unmittelbar aus der Chefetage kommt. Sobald das Geld überwiesen ist, leiten die Betrüger es sofort weiter, immer wieder, bis sich die Spur in der Karibik oder sonst wo verliert. Bis unser Buchhalter den Fehler bemerkt, sind die Täter längst über alle Berge, die gefälschte E-Mail Adresse deaktiviert und die angegebene Handynummer führt ins Leere.

Ein digitaler Enkeltrick in Unternehmen könnte sich auch wie folgt abspielen: Der (vermeitliche) CEO eines deutschen Unternehmens meldet sich beim CEO oder CFO der ausländischen Tochtergesellschaft. Angeblich sei er gerade im Ausland unterwegs, momentan zwar nur Mobil oder per Mail erreichbar, und benötige für einen wichtigen Geschäftsabschluss, beispielsweise eine Akquisition, Geld. Dieses soll schnell, beispielsweise in ein osteuropäisches Land, überwiesen werden. Seine Argumente klingen logisch und diverse Tricks des Betrügers tun ihr Übriges, jegliche Zweifel an der Glaubwürdigkeit seines Anliegens im Keim zu ersticken. War der Betrüger erfolgreich, versucht er weitere Zahlungen anzufordern – nicht zwangsweise bei der gleichen Tochtergesellschaft, denn existieren mehrere Tochterfirmen, werden auch die um dringende Überweisung „gebeten“.

250 Betrugsversuche in Deutschland

Dass unsere beiden Beispiele keinesfalls Einzelfälle oder lediglich unserer Phantasie entsprungen sind, beweisen die Zahlen: Das Landeskriminalamt NRW warnte vor Kurzem ausdrücklich vor der Chef-Masche. Nach Angabe der Behörde haben die Betrugsversuche seit Ende 2015 stark zugenommen, der Schaden beläuft sich auf mehrere Millionen Euro. Immerhin gelang es den Ermittlern gemeinsam mit verschiedenen Banken, seit 2015 20 Millionen Euro zurück zu gewinnen.

Wie die „Welt“ im August unter Berufung auf Holger Kriegeskorte, Leiter des Sachgebietes Wirtschaftskriminalität beim Bundeskriminalamt, berichtet, wurden seit 2013 250 Betrugsversuche mit der Chef-Masche bekannt. Davon waren 68 erfolgreich, die ergaunerte Beute belief sich auf 110 Millionen Euro. Unrühmliche Bekanntheit erlangte in diesem Zusammenhang beispielsweise erst kürzlich der Nürnberger Kabelspezialist Leoni. Betrüger erleichterten das Unternehmen um satte 40 Millionen Euro. Beim prominentesten österreichischen Opfer, dem Luftfahrtzulieferer FACC, belief sich der Schaden durch Überweisungen an Betrüger sogar auf 50 Millionen Euro.

Zu Insiderwissen durch digitale Spuren

Nur durch Insiderwissen können die Trickbetrüger das erforderliche Vertrauen gewinnen und ihre Opfer erfolgreich täuschen. Zugegeben: Es braucht schon lange Vorbereitungszeiten, in denen die Täter ganz genau Unternehmensstrukturen und -abläufe recherchieren und der Erwerb detaillierter Kenntnisse über Personen, beispielsweise durch Beobachtung der Social Media Profile von Führungskräften und CEOs. Aber genau so gelangen die Trickbetrüger letztlich an die Informationen, um sich ihre falsche Identitäten zusammenzubasteln.

Der Name des CEOs lässt sich einfach herausbekommen – ein Blick in das Impressum genügt. Seine Unterschrift? Da hilft der Geschäftsbericht beispielsweise weiter. LinkedIn und Xing verraten eine Menge über Position, Werdegang und Titel von Entscheidern und Verantwortlichen eines Unternehmens. Und nicht zuletzt liefern private Social Media Accounts die notwendige Informationen darüber, wann es sich lohnt zuzuschlagen: Das bedenkenlos gepostete Urlaubsfoto ist doch der beste Zeitpunkt, die Abwesenheit des Chefs auszunutzen…

Der Erfinder des Enkeltricks

Als Erfinder des Enkeltricks gilt Arkadiusz Lakatosz. Am Telefon gab er sich bei seinen Opfern, hauptsächlich Senioren, als ein in Not geratener Verwandter aus, der dringend Bargeld benötige. Sobald ein Opfer einwilligte, das Geld zu besorgen, schickte er Komplizen, die die Beute bei den älteren Herrschaften abholten. Die Masche machte ihn und seine Komplizen reich: Im Laufe der vergangenen zwei Jahrzehnte wurde der Roma mit geringer Schulbildung zum Multimillionär. Lakatosz und seine Mittäter wurden 2014 verhaftet, derzeit läuft der Prozess in Polen.

Mix aus Aufklärung, organisatorischen und technischen Maßnahmen schützt

Aber kommen wir zurück zum digitalen Enkeltrick. „98 Prozent der Fälle beginnen mit einer E-Mail, in der ein Mitarbeiter angeblich von seinem Chef unter strengster Vertraulichkeit angewiesen wird, eine große Summe – meist knapp unter einer Million Euro – an ein bestimmtes Konto zu transferieren“, sagte Uwe Jacob, Direktor des Landeskriminalamtes NRW, bei einer Pressekonferenz im Juli dieses Jahres zum Thema Millionenschäden durch „Enkeltrick 4.0“.

Und genau hier liegt das Problem: Es ist Gang und Gäbe, Aufgaben bzw. Aufträge auch innerhalb des Unternehmens per E-Mail zu erteilen. Was können Sie also tun, um sich vor einer solchen Betrugsmasche zu schützen? Das Wichtigste ist natürlich Aufklärung und Sensibilisierung im Unternehmen. Jeder Mitarbeiter, insbesondere Entscheider, sollten wissen, dass es derartige Betrugsmaschen gibt. Wer aufmerksam ist und auch einmal kritisch hinterfragt, ob es denn überhaupt sein kann, dass der Chef per E-Mail fordert, eine größere Summe Geld zu überweisen – gerade wenn das Konto sich im Ausland befindet – macht alles richtig. Im Zweifelsfalle: Rufen Sie Ihren Finanzvorstand oder Chef an, und klären Sie die Kontodaten ab.

Klassisches Indiz: Rechtschreib- und Grammatikfehler

Aufmerksamkeit fängt aber auch schon direkt bei der E-Mail an. Betrügerische E-Mails lassen sich oftmals an Fehlern erkennen: Kennen Sie die E-Mail Adresse des Absenders und ist es die gleiche, die Ihr Chef oder Finanzvorstand sonst auch immer benutzt? Ein klassisches Indiz für gefälschte Mails sind zudem Rechtschreib- oder Grammatikfehler. Und selbst wenn ein Chef vielleicht nicht jeden Mitarbeiter seines Unternehmens persönlich kennen kann: Den Namen seines Buchhalters oder Chefs der Finanzabteilung kennt er garantiert – und wird ihn in seiner E-Mail auch persönlich ansprechen! Und grundsätzlich gilt: Werden Sie aufgefordert dringend zu handeln, Ihnen eine Frist gesetzt – womöglich mit persönlicher Konsequenz gedroht – werden Sie stutzig!

Auch technische Maßnahmen können verhindern, auf Betrüger-Mails hereinzufallen: Mit E-Mail Signaturen und Zertifikaten können Sie beispielsweise sicherstellen, dass eine Mail echt ist – also auch sicherstellen, dass der Absender derjenige ist, für den er sich ausgibt! Ergreifen Sie obendrein organisatorische Maßnahmen und regeln Sie ganz genau, wer welche Befugnisse hat: Wer im Unternehmen darf Überweisungen ausführen, wer darf überhaupt Transaktionen genehmigen? Regeln Sie auch ganz klar Vertretungen bei Abwesenheiten. Interne Kontrollmechanismen, wie ein Vier-Augen-Prinzip, insbesondere bei Überweisungen ab einer bestimmten Größenordnung, können ein zusätzliches Mittel der Wahl sein.

Fazit

Digitaler Enkeltrick oder auch Cheftrick kostet Unternehmen Millionen und die Masche hat zugenommen. Die Größe der Firma spielt keine Rolle: Nicht nur Mittelständler, auch große Unternehmen mit ausländischen Tochtergesellschaften sind beliebte Opfer organisierter Verbrecherbanden. Prävention, gleich ob technischer oder organisatorischer Art gepaart mit Menschenverstand, ist für Unternehmen die einzige Möglichkeit, um sich vor den Kriminellen zu schützen. Hat der Cheftrick dann doch funktioniert, hilft nur noch Schnelligkeit. Informieren Sie umgehend Ihre Hausbank, so dass die Transaktion eingefroren werden kann, und benachrichtigen Sie die Polizei.

Phishing-Mails: Wenn Daten ins Betrügernetz gehen

Mit professionellen Phishing-Mails finden Betrüger immer öfter einen Weg, um an vertrauliche Daten wie Passwörter, Zugangsdaten oder Kreditkartennummern zu kommen. Dabei sind diese Mails kaum noch von echten E-Mails zu unterscheiden. In unserem Beitrag verraten wir Ihnen 10 wichtige Tipps, wie Sie dennoch Phishing-Mails erkennen können.

Der Beitrag Raffinierter Chefbetrug: Digitaler Enkeltrick erschien zuerst auf GBS - Der Blog rund um Security, Collaboration & Co.

Krimineller Einfallsreichtum mit Phishing-Mails

10 Top Tipps: Erkennen Sie Phishing-Mails und schützen Sie Ihre Daten

Abholbenachrichtigungen für ein Paket in einer fremden Packstation, das Sie eigentlich gar nicht bestellt haben, eine E-Mail der Hausbank, die über eine Kontosperrung informiert und zur Freischaltung Ihre Bankdaten einfordert, der Gutschein des Online-Händlers, den Sie sich nur über dessen Webseite herunterladen können, wenn Sie sich im Shop einloggen: Sicher würden Sie misstrauisch werden, wenn sich E-Mails mit derartigen Betreffs oder Inhalten in Ihrem Postfach befinden. Denn natürlich haben auch Sie schon einmal von Phishing-Mails gehört.

Was aber, wenn die E-Mail eines vermeintlichen Bewerbers – zwar allgemein formuliert aber dennoch grammatikalisch korrekt – in Ihrem Postfach landet, noch dazu mit einem Verweis auf Bewerbungsunterlagen, die sich in dem Cloud-Speicherdienst Dropbox befinden. Würden Sie auch dahinter eine Phishing-Attacke vermuten? Sie sehen: Phishing-Attacken werden immer ausgeklügelter!

In diesem Blogartikel beleuchten wir das Thema Phishing einmal genauer, wie es funktioniert, welche Motive hinter Phishing stecken und wie Sie sich schützen können.

Was ist Phishing

Phishing ist ein Kunstwort, das sich aus den Worten „Passwort“ und „fishing“ zusammensetzt. Wie beim echten Fischen gibt es einen Angler (Angreifer), einen Köder (Nachricht) und einen Fisch (Opfer). Beim Phishing versuchen Hacker auf betrügerische Art persönliche Daten abzufischen. Bevorzugt sind Benutzernamen und Passwort von Online-Diensten. Besonders haben Hacker es aber auch auf Bankzugänge abgesehen.

Ein Phishing-Angriff beginnt meist mit einer gefälschten E-Mail. Durch Vortäuschen eines vertrauenswürdigen Absenders oder legitimen Anliegens werden Mitarbeiter dazu verleitet, schadhafte E-Mail-Anhänge zu öffnen oder Links von gefälschten bzw. präparierten Internetseiten anzuklicken. Diese enthalten meist sogenannte Skripte, mit denen Sicherheitslücken im Internetbrowser ausgenutzt werden. Auf diese Weise kann dann Malware auf dem eigenen Rechner oder im gesamten Firmennetzwerk installiert werden, über die sich ein Computer aus der Ferne steuern lässt.

Um an die persönlichen Daten ihrer Opfer zu gelangen, versuchen die Angreifer, entweder Kunden von Geldinstituten und Online-Diensten auf gefälschte Internetseiten zu locken, oder sie verschicken E-Mails mit gefährlichen „zip“- oder „cab“-Dateien. Wer diese Anhänge öffnet, riskiert, dass sein Computer ausgespäht wird und die Daten an die Betrüger übermittelt werden.

Phishing ist nicht gleich Phishing

Unterschieden wird beim Phishing nach Vorgehensweise und Zielgruppe. Spear Phishing bezeichnet das gezielte Phishing, das sich an einen ganz bestimmten Personenkreis wendet: Fachverantwortliche, leitende Angestellte, Geschäftsführer. Die Angreifer tarnen ihre Mails dabei sehr gut, beispielsweise als Nachricht vom Administrator, und versuchen sich auf diese Art persönliche oder unternehmensrelevante Daten zu ergaunern. Da diese Art des Phishings eine lange Vorbereitungszeit bedarf, handelt es sich bei den Tätern meist um Industriespione. Landen Opfer, obwohl sie die korrekte Internetadresse im Browser eingegeben haben, auf einer gefälschten Homepage, sind sie Opfer von so genanntem Pharming, bei dem DNS-Anfragen von Internetseiten gefälscht werden. Eine weitere Form des Phishing ist Vishing (Voice Phishing), also Phishing per Telefon.

Gezieltes Phishing mit künstlicher ID

Und gerade erst haben Sicherheitsforscher ein Maschinenlern-System programmiert, das in der Lage ist, echt wirkende Twitter-Nachrichten zu verfassen und damit auf Beiträge mit dem Hashtag #Pokemon zu reagieren. Auf diese Weise wollten die Forscher zeigen, wie einfach sich Nutzer sozialer Medien von Software, die natürliche Sprache versteht, täuschen lassen. Ungefähr ein Drittel der angesprochenen Personen klickte auf einen von der Software verschickten Link, der in diesem Fall glücklicherweise harmlos war.

Nach Informationen von John Seymour, leitendem Datenwissenschaftler bei der Sicherheitsfirma ZeroFOX, die für das Experiment verantwortlich zeigte, war die Erfolgsquote deutlich höher als die üblichen 5 bis 10 Prozent bei normalen „Phishing“-Nachrichten, die Nutzer dazu bringen sollen, auf Links zu klicken, hinter denen sich Malware verbirgt.

Die Motive und Täter

Finanzielle Motive stehen meist im Vordergrund der Täter. Angreifer können aber auch die persönlichen Daten von Nutzern oder ausgewählten Personen in Unternehmen in ihren Besitz bringen, um dem gesamten Unternehmen erheblich zu schaden. In diesen Fällen werden Phishing-Attacken eingesetzt, um Betriebsgeheimnisse, Forschungsergebnisse oder geschäftskritische Informationen zu stehlen. Ganze Branchen könnten durch die Bekanntgabe von gefährlichen Informationen einen Imageschaden und Produktionsausfälle erleiden.

Entsprechend der Zielgruppe – Verbraucher oder Unternehmen – lassen sich somit Rückschlüsse auf die Täter ziehen: Handelt es sich um gewöhnliche Kriminelle oder um andere Firmen, die sich Wettbewerbsvorteile verschaffen wollen. Manchmal sind die Drahtzieher auch andere Staaten, so wie beispielsweise 2013, als der britische Geheimdienst mit manipulierten Kopien von Seiten auf LinkedIn versuchte, sich Zugang zu den Rechnern von Mitarbeitern des belgischen Telekommunikationskonzerns Belgacom zu verschaffen.

Mails unter falschem Namen: Media Markt, Sparkassen, Dropbox und Amazon betroffen

Dass Phishing-Angriffe an der Tagesordnung sind, zeigen die jüngst in Umlauf gebrachten gefälschten Media Markt E-Mails: Kriminelle haben unter dem Namen der Elektronik-Fachmarktkette mit Schadsoftware präparierte Rechnungen versendet. Wer sie öffnet, fängt sich einen Erpresser-Trojaner ein. Sein Unwesen treibt auch ein neuer Banking-Trojaner: Kriminelle tarnen ihre Attacke auf Konten von Sparkassen-Kunden als vermeintliche Fehlüberweisung vom Finanzamt. Sie werden per Mail aufgefordert, eine Rückbuchung durchzuführen – nur landet das Geld statt bei der Steuerbehörde auf dem Konto der Betrüger.

Und wenn eine E-Mail eines vermeintlichen Bewerbers in Ihrem Postfach landet, die zwar allgemein formuliert aber grammatikalisch korrekt ist und dazu noch einen Verweis auf Bewerbungsunterlagen enthält, die sich vermeintlich in dem Cloud-Speicherdienst Dropbox befinden, könnten Sie Opfer einer neuen Masche von Cyberkriminellen werden. Diese verteilen ihre „Schöpfungen“ via Dropbox-Link.

Im Visier sind aktuell auch wieder Kunden des Online-Vesandhändlers Amazon: Gefälschte E-Mails mit Links zu Webseiten, welche der Empfänger aufgrund ‚merkwürdiger Aktivitäten‘ aufrufen soll, sind im Umlauf. Nach Bestätigung der Nutzerdaten, könne das Konto wieder wie gewohnt verwendet werden. Bei den verlinkten Seiten handelt es sich jedoch um Fälschungen, mit deren Hilfe sensible Nutzerdaten abgegriffen werden sollen. Sobald Nutzer ihre Daten dort eintragen, werden sie direkt und unverschlüsselt an die Datendiebe versendet.

Dass Phishing-Attacken längst nicht nur auf E-Mails beschränkt sind, zeigt die Entdeckung von GBS Technologiepartner Kaspersky Lab im Juli: Der Antivirus-Softwarehersteller entdeckte Phishing-Angriffe auf Facebook, von dem binnen zwei Tagen rund 10.000 Facebook-User weltweit betroffen waren. Der Angriff erfolgte über die Benachrichtigung, von einem Facebook-Freund in einem Kommentar erwähnt worden zu sein. Die User sollten auf die Facebook-Benachrichtung klicken, wodurch ein Trojaner auf den Computer des Benutzers geladen wurde, der eine bösartige Google Chrome-Erweiterung installierte. Durch den Aufruf des Facebook-Accounts über den kompromittierten Browser übernahmen die Angreifer in einem zweiten Schritt das Facebook-Konto und konnten unter anderem Datenschutzeinstellungen ändern, Daten entwenden und den Virus weiter verbreiten.

Erkennen Sie Phishing-Angriffe

Auch wenn Phishing-Mails inzwischen deutlich professioneller geworden und nicht mehr so schnell als solche zu enttarnen sind, gibt es doch eindeutige Indizien. Wir geben Ihnen 10 Top Tipps, wie Sie Phishing-Mails erkennen können.

1. Die Betreffzeile

Häufig zielen schon die Betreffs von Phishing Mails darauf ab, dem Empfänger Angst zu machen – die Betreffzeilen lauten dann zum Beispiel „Ihre Rechtsanwalt Aufforderung“ oder „Inkasso Aufforderung“. Kunden von Online-Shops, die gefälschte Mails erhalten, lesen oft „Ihr Benutzerkonto wurde eingefroren“ oder „Betrugsversuch: Ihre Beihilfe ist erforderlich“. Schwieriger wird es, wenn im Betreff Bezug auf offene Rechnungen genommen werden – dann soll der Empfänger dazu bewegt werden, einen Anhang zu öffnen. Überlegen Sie bitte ganz genau, ob Sie eine Geschäftsbeziehung zum Absender haben, fragen Sie notfalls Ihre Kollegen. Immer wieder tauchen auch Betrüger-Mails auf, die versuchen, Opfer zu Tätern zu machen: Unter einer echten E-Mail-Adresse eines Unbescholtenen werden fingierte Rechnungen und Mahnungen an Dritte verschickt!

2. Fehlender Name

Von einer verallgemeinernden Anrede gleich auf eine Phishing-Mail zu schließen, ist zwar Unfug. Wenn aber Ihre vermeintliche Bank oder Ihr angeblicher Geschäftspartner Sie in E-Mails mit „Sehr geehrter Kunde“ oder „sehr geehrter Nutzer“ anredet, sollten Sie Vorsicht walten lassen. Beide werden Sie stets mit Ihrem Namen ansprechen! Leider werden Phishing-Täter aber immer raffinierter und finden inzwischen schon den Namen ihrer Opfer heraus.

3. Dringender Handlungsbedarf

Werden Sie per E-Mail dazu aufgefordert, ganz dringend und innerhalb einer bestimmten (kurzen) Frist zu handeln, werden Sie misstrauisch! Vor allem, wenn damit auch noch eine Drohung verbunden ist, beispielsweise die Sperrung eines Online-Zugangs oder der Kreditkarte, handelt es sich höchstwahrscheinlich um einen Phishing-Versuch.

4. Aufforderung zur Dateneingabe

Geschäftspartner, Banken oder seriöse Online-Shops werden Sie nie dazu auffordern Passwörter, Kreditkartennummer, PIN oder TAN preiszugeben, beispielsweise innerhalb eines Formulars der E-Mail oder am Telefon. Werden solche Daten abgefragt, handelt es sich höchstwahrscheinlich um einen Betrugsversuch.

5. Aufforderung zur Öffnung einer Datei

Seien Sie bei E-Mails mit Dateianhängen grundsätzlich skeptisch – erst Recht, wenn Sie unangekündigt von Ihnen unbekannten Absendern kommen und mit der Aufforderung zum Öffnen (gegebenenfalls unter Androhung von Konsequenzen bei Unterlassen) verbunden sind. In den Anhängen können sich Schadprogramme verbergen, die ausgeführt werden, sobald die beigefügte Datei geöffnet wird.

6. Verdächtige Dateianhang-Formate

Doch auch wenn Sie nicht explizit zum Öffnen eines Anhangs aufgefordert werden, so genügt oft der bloße Blick auf das Dateiformat, um die Spreu vom Weizen zu trennen. Vermeiden Sie tunlichst das Öffnen von ausführbaren Dateien, wie zum Beispiel .exe Dateien und machen Sie einen Bogen um Office Dokumente, da diese in Zeiten von Kryptotrojanern und Co. verstärkt als Träger von Schadcode eingesetzt werden.

7. Grammatik- und Orthografie-Fehler

Phishing E-Mails sind häufig in fehlerhaftem Deutsch geschrieben, weil sie nicht von einem Muttersprachler verfasst wurden, sondern mit einem Übersetzungsdienst automatisiert aus einer anderen Sprache übersetzt worden sind. Zeichensatzfehler, wie kyrillische Buchstaben oder fehlende Umlaute sind weitere Hinweise, dass es sich um eine Phishing-Mail handeln kann.

8. Gesunder Menschenverstand

So schützen Sie sich: Gesundes Misstrauen ist eine Sache. Das Problem beim Phishing: Auch die Angreifer machen ihre Hausaufgaben, entwickeln beständig neue Köder, um doch erfolgreich an sensible Daten zu gelangen. Man kann die Bedrohung mit einer Grippe vergleichen: Auch sie entwickelt sich laufend weiter und ändert ihre Angriffsarten.

9. Prüfen Sie Links

Enthält der Link einen Schreibfehler, handelt es sich mit hoher Wahrscheinlichkeit um einen Angriffsversuch. Am besten rufen Sie Webseiten ohnehin nur über manuelle Eingabe der URL in einem separaten Browser-Fenster auf, niemals über Links in E-Mails. Passwörter und Nutzernamen sollten Sie in eigenem Interesse nur über verschlüsselte Webseiten eingeben. Loggen Sie sich niemals bei Online-Diensten über öffentliche WLAN-Netze ein, beispielsweise am Flughafen oder im Café. Diese können von Betrügern aufgebaut worden sein, um auf falsche Webseiten umzuleiten.

10. Blick in Mail-Header

Zugegeben, Phishing-Mails werden immer professioneller und sind sehr gut gemacht: Eine vertrauenswürdige Absenderadresse – vielleicht sogar vom eigenen Arbeitgeber oder einem guten Freund – fließendes Deutsch und auch der Link im Test lässt keine Zweifel an der Echtheit aufkommen. Aber dennoch muss die Mail nicht echt sein, denn insbesondere die Absenderangaben lassen sich fälschen. Welche Person die E-Mail also tatsächlich verschickt hat, lässt sich, sofern sie nicht digital signiert wurde, fast nie feststellen. Ein Blick in den Mail-Header räumt zumindest sämtliche Zweifel über die Herkunft der Mail aus: Hier befindet sich die IP-Adresse des Absenders – und die ist fälschungssicher. Den genauen Standort des Endgeräts kann zwar nur der Provider ermitteln, Sie können aber immerhin feststellen, ob die E-Mail Ihres Geschäftspartners aus Karlsruhe tatsächlich dort abgeschickt wurde oder von einem Rechner aus Nigeria stammt.

Schutz der E-Mail-Kommunikation

Bei aller Vorsicht: Ein wichtiger Schritt ist auch die Ergreifung gezielter technischer Abwehrmaßnahmen, wie beispielsweise das Erkennen und Entfernen verdächtiger Office-Inhalte, so genannter Makros, aus E-Mails. In Kombination mit spezieller Phishing-Erkennungstechnologie und einem mehrstufigen Spamschutz ergibt sich ein gutes Sicherheitsniveau. Unsere Lösung iQ.Suite bietet umfassende Sicherheit durch den parallelen Einsatz mehrerer marktführender Anti-Virus Scan-Engines. Eine neue Anti-Phishing-Technologie erlaubt es sogar, verdächtige URLs in E-Mails zu erkennen und zu blockieren. Dabei kommt eine fortschrittliche Cloud-Technologie zum Einsatz, welche die Reputation von Webseiten bewertet. Auf diese Weise können schädliche Webseiten-Adressen in E-Mails zuverlässig erkannt und entsprechende E-Mails geblockt werden.

Fazit

Phishing E-Mails sind bei Cyberkriminellen sehr beliebt, um an Informationen zu kommen und werden aus diesem Grund auch häufig versendet. Dass Schutz vor Phishing-Attacken wichtig ist, zeigt nicht erst der im Juni veröffentlichte Quartalsbericht der Anti-Phishing Working Group (APWG), nach dem allein im ersten Quartal 2016 die Zahl der Phishing-Webseiten um 250 Prozent im Vergleich zum Ende letzten Jahres gestiegen ist. Da Phishing-Mails obendrein immer professioneller werden und häufig gar nicht mehr so leicht als solche zu erkennen sind, reichen Mitarbeiter-Schulungen und ein wacher Geist allein kaum noch aus. Vielmehr muss ein leistungsfähiger Schutz sensibler Unternehmensdaten in der E-Mail-Kommunikation gewährleistet sein.

Lesen Sie zum Thema Phishing auch in der nächsten Woche im GBS Blog. Dann berichten wir über den Enkeltrick im digitalen Zeitalter: Trickbetrüger geben sich als Geschäftsführer aus und fordern per E-Mail und mit Hilfe gefälschter Dokumente und Identitäten Mitarbeiter auf, Geld auf Konten im Ausland zu überweisen. Ein Trick, der offenbar gut funktioniert.

Sicherheit im Internet: Gefährdungslage ändert sich

Die aktuelle IT-Sicherheitslage gibt Grund zur Sorge. Cyberattacken, allen voran Phishing Angriffe, sind auf dem Vormarsch. Denn Hacker haben erkannt, dass sich mit digitalen Daten gutes Geld machen lässt. Unsere Einschätzung zur Bedrohungslage und worauf Sie achten sollten, lesen Sie in diesem Artikel.

Der Beitrag Phishing-Mails: Wenn Daten ins Betrügernetz gehen erschien zuerst auf GBS - Der Blog rund um Security, Collaboration & Co.