Ein Lagebericht zum Datenschutz: Wie sicher sind wir, wie können wir uns verbessern?

Die Melde- und Analysestelle Informationssicherung (MELANI) hat kürzlich zum 30. Mal ihren Halbjahresbericht abgeliefert. Darin finden sich unzählige Einzelheiten zu Spionage-Vorfällen, Phishing-Kampagnen, Zuwachs bestimmter Angriffsarten und allerlei Betrugsversuchen. Es geht um Schwachstellen und Präventivmassnahmen, nicht zuletzt gegen Datendiebstahl. Ausgangspunkt sind Personendaten im Internet, kurzum: Es ist gleichzeitig ein Lagebericht über den Datenschutz, mit dem wir uns heute wiederholt – unserem Leitartikel folgend – befassen.

MELANI und der Datenschutz

Die Meldestelle ist direkt vom Bundesrat beauftragt und befasst sich mit dem “Schutz kritischer Infrastrukturen”. Neben Transport und Verkehr, Energie und Gefahrstoffen steht die Informationstechnologie (IT) auf der Liste besagter kritischer Strukturen ganz weit oben. Generell handelt es sich um Einrichtungen, die eine hohe Bedeutung für das staatliche Gemeinwesen haben. Sprich: Bei einer Störung oder einem Ausfall dieser Strukturen sind wichtige gesellschaftliche Funktionen beeinträchtigt.

Am 30.01.2019 beschloss der Bundesrat, dass der Bereich noch weiter gestärkt werden soll: Auf MELANI wird ein “Kompetenzzentrum für Cybersicherheit” aufgebaut. Das Zentrum ist erste Anlaufstelle für alle Fragen zu Cyber-Risiken, also Gefahren, die uns beim Steuern durch die digitale Welt begegnen. Sowohl für Privatverbraucher als auch Firmen gibt es ein praktisches Meldeformular, sofern man einen Verdachtsfall kommunizieren will – der dann entsprechend weiterverfolgt wird.

Kernthemen sowohl von Lagebericht als auch Datenschutz

Der Bericht beschäftigt sich umfangreich mit Personendaten, oder vielmehr deren Verlust, wenn das Speichermedium von einem Angriff betroffen ist. Sowohl die Arten der Angriffe als auch potenzielle Folgen gestalten sich facettenreich. Wir fassen die Ergebnisse für Sie einmal übersichtlich zusammen. Am Ende stellen wir weitere Überlegungen an, was wir aus den Schilderungen lernen können (und sollten!). Zusätzlich werden wir in zukünftigen Beiträgen näher auf einige Unterpunkte eingehen.

Spionage und Erpressung

Diese zwei Methoden zählen zu den beliebtesten Mitteln von Cyberkriminellen. Bei beiden geht es letztendlich um Geld, genauso aber auch um den illegalen Datendiebstahl. Über verschiedene Wege, die im Nachgang weiter ausgeführt werden, sammeln Kriminelle auf nicht legitimen Weg vertrauliche Daten (Spionage), in manchen Fällen fordern sie horrende Zahlungen von den Opfern (Erpressung). Das waren die Fälle allein im zweiten Halbjahr 2019:

• Microsoft identifiziert Cyberattacken gegen Anti-Doping-Behörden sowie Sportorganisationen, sie stehen im Zusammenhang mit der Verschiebung der Olympischen Spiele.
• Eine Phishing-Kampagne, ebenfalls mit Olympia-Thematik, erreicht mindestens 170.000 Personen in Japan und den USA.
• Das IT-Sicherheitsunternehmen “ESET” meldet die Entdeckung einer Sicherheitslücke bei MSSQL.
• Zwei “Spear-Phishing”-Wellen gegen Stromanbieter in den USA finden statt.
• Mehrere “DDoS”-Attacken gegen Schweizer Onlinemedien ereignen sich, einige davon im Zuge einer Erpressung.
• MELANI erkennt insgesamt über 500 gehackte Webseiten in der Schweiz und informiert die Betreiber.
• Im September bedient sich ein Krimineller des “CEO Frauds” und imitiert mithilfe von Sprachsoftware sogar die Stimme des Geschäftsführers.
• MELANI erhält diverse Meldungen über falsche Handelsplattformen zu Kryptowährungen.
• In 50 Ländern sind fast 16 Millionen vertrauliche Patientendaten im Netz gelandet.
• Ein Kontaktmann des russischen Geheimdienstes wird gehackt, seine Daten werden in den Medien publiziert.
• Das Ticket- und Zahlsystem eines Schweizer Fussballclubs ist von Ransomware betroffen.
• In Frankreich muss ein Universitätsspital vorübergehend analog arbeiten, da das System ebenfalls von Ransomware befallen ist.
• Die Ransomware bekannt unter dem Namen “Ryuk” befällt fünf Betriebe der Erdöl- und Gasindustrie.
• Eine Hacker-Gruppe stiehlt 700 MB Daten von einer Sicherheitsfirma.
• Der Trojaner “Emotet” ist nach einer leichten Minderung gegen Jahresende hin wieder zunehmend aktiv.
• Im Echtzeit-Betriebssystem “VxWorks” wird eine markante Sicherheitslücke entdeckt.
• Die Abteilung für Cyberkriminalität der Kantonspolizei Zürich sperrt 450 Fake-Shops im Internet.
• 228 Geldwäscher werden verhaftet (Europol-Meldung). Nicht alle, aber einige stehen im Zusammenhang mit Geldwäsche über virtuelle Währungen.

Attacken auf den Datenschutz

Vielleicht haben Sie anhand der vorherigen Liste schon einen ersten Eindruck, auf welche Weise die unterschiedlichen Angriffe daherkommen. Das erste Ziel der Kriminellen ist wie gesagt die Spionage, zeitgleich ist sie der erste Schritt innerhalb einer möglichen “Angriffskette”. Wenn sie auch verschieden aussehen, so unterscheiden sich die Schritte eher selten in ihren Folgen und Auswirkungen.

DDoS-Angriffe

Die Abkürzung steht für “Distributed Denial of Service”. Eins zu eins übersetzt bedeutet es soviel wie “verteilte Verweigerung des Dienstes”. Die möglichen Folgen sind damit schon beinahe klar: Der Angreifer will das System des Opfers lahmlegen. Die Attacken können natürlich im Zusammenhang mit einer Erpressung stehen – müssen es jedoch nicht zwangsläufig. Finanzielle Schäden sind auch ohne Lösegeld-Forderungen in der Regel das Ergebnis. Systemwiederherstellung, Fehlerbehebung und Co. kosten viel Geld. Umsatzeinbussen sind ein weiterer Aspekt eines Systemausfalls, je nachdem, wie stark das Angebot des Betreibers auf digitaler Verarbeitung basiert.

Defacements

Bewegen wir uns weiter in der Welt der Anglifizismen. Defacement steht für “Verunstaltung” oder “Entstellung”. Vielleicht ahnen Sie es schon, bei dieser Methode sind besonders Internetseiten das Ziel. Es dreht sich allerdings nicht bloss um die optische Verunstaltung einer Homepage, sondern vielmehr um die gezielte Platzierung schädlicher Skripts. In einer gehackte Website lassen sich wunderbar Funktionen integrieren, die entweder Sicherheitslücken im eigenen Betriebssystem ausnutzen oder aber Schadsoftware weiter-verteilen.

Drive-By

Vorbeifahren oder eher “gefahren von”? Ja, so ungefähr, denn beides kann zutreffen. Es gibt sogenannte Drive-By Downloads, nebenbei auch Drive-By Malware und somit auch Drive-By Infektionen. Der Begriff steht innerhalb der Informationssicherheit für eine Technik, mit der üblicherweise Daten kompromittiert werden. Heisst soviel wie: Ein Download von einem gefälschten Anbieter, ein unechter Link, der tatsächlich auf etwas anderes verzweigt, falsche Werbung, Fake-News oder eben auch bereits gehackte Webseiten. Bei allen Fällen glaubt das spätere Opfer an die Echtheit und Glaubwürdigkeit des Mediums. Statt des erwarteten Ergebnisses erhält man jedoch Malware.

Appelle an den Datenschutz

MELANI spart nicht an Empfehlungen und Tipps für den Verbraucher. Hinter jedem Kapitel finden sich ganze Blöcke mit relevanten Ratschlägen. Wir lesen von Grössen wie Microsoft, öffentlichen Dienstleistern wie Stromanbietern und Millionen von internationalen Daten. Die echten (erschreckenden) Zahlen verstecken sich leider viel zu oft im Fliesstext. Leser des durchaus wissenswerten Lageberichts könnten also verleitet sein, nun zu denken, “Das kann mir nicht passieren!” und nehmen sich Folge-Tipps gar nicht mehr zu Herzen.

Wer gut aufgepasst hat, sieht aber auch: Wir sind in der Schweiz mit dem Datenschutz zwar gut aufgestellt, doch auch bei uns gibt es Handlungsbedarf. Reicht die letzte Revision unseres Datenschutzgesetzes aus oder führt sie letztendlich nur zu Spannungen innerhalb der Firmenstruktur? Warum gehen Opfer von Cyberkriminalität nach wie vor sehr sparsam mit Meldungen um? Warum steht die Angst vor “Public Shaming” über dem Willen, in gewisse Sicherheitsstandards zu investieren?

Wussten Sie zum Beispiel, dass die eidgenössische Elektrizitätskommission letztes Jahr bekannt gab, dass in den Sicherheitsmassnahmen unserer Elektrizitätsversorgung noch Optimierungspotenzial besteht? Und wussten Sie, dass auch Schweizer Markennamen von Drive-By Phishing-Kampagnen betroffen waren? Bei den oben in den Stichpunkten genannten Patientendaten gab es zwar keinen Hinweis, dass darin auch Schweizer enthalten waren, allerdings waren einige der betroffenen Server hierzulande ansässig.

Lesen Sie weiter…

Haben Sie ein anständiges Business Continuity Management (BCM)? Wie sieht es mit dem Life-Cycle und Patch-Management in Ihrem Unternehmens aus? Das – und noch viel mehr – erfahren Sie in unseren nächsten Blog-Beiträgen zum “Rundumblick Datenschutz”.