Ein Lagebericht zum Datenschutz: Wie sicher sind wir, wie können wir uns verbessern?

Die Melde- und Analysestelle Informationssicherung (MELANI) hat kürzlich zum 30. Mal ihren Halbjahresbericht abgeliefert. Darin finden sich unzählige Einzelheiten zu Spionage-Vorfällen, Phishing-Kampagnen, Zuwachs bestimmter Angriffsarten und allerlei Betrugsversuchen. Es geht um Schwachstellen und Präventivmassnahmen, nicht zuletzt gegen Datendiebstahl. Ausgangspunkt sind Personendaten im Internet, kurzum: gleichzeitig ein Lagebericht über den Datenschutz, mit dem wir uns heute wiederholt – unserem Leitartikel folgend – befassen.

MELANI und der Datenschutz

Die Meldestelle ist direkt vom Bundesrat beauftragt und befasst sich mit dem „Schutz kritischer Infrastrukturen“. Neben Transport und Verkehr, Energie und Gefahrstoffen steht die Informationstechnologie (IT) auf der Liste besagter kritischer Strukturen ganz weit oben. Generell handelt es sich um Einrichtungen mit hoher Bedeutung für das staatliche Gemeinwesen – bei einer Störung oder einem Ausfall dieser Strukturen sind wichtige gesellschaftliche Funktionen beeinträchtigt.

Am 30.01.2019 beschloss der Bundesrat, dass der Bereich noch weiter gestärkt werden soll: Auf MELANI wird ein „Kompetenzzentrum für Cybersicherheit“ aufgebaut. Das Zentrum ist erste Anlaufstelle für alle Fragen zu Cyber-Risiken – also Gefahren, die beim Steuern durch die digitale Welt begegnen. Sowohl für Privatverbraucher als auch Firmen gibt es ein praktisches Meldeformular, um einen Verdachtsfall zu kommunizieren – der dann entsprechend weiterverfolgt wird.

Kernthemen sowohl von Lagebericht als auch Datenschutz

Der Bericht beschäftigt sich umfangreich mit Personendaten – oder vielmehr deren Verlust, wenn das Speichermedium von einem Angriff betroffen ist. Die Angriffsarten und ihre möglichen Folgen sind facettenreich. Wir fassen die Ergebnisse übersichtlich zusammen. Am Ende stellen wir weitere Überlegungen an, was wir aus den Schilderungen lernen können (und sollten!). In zukünftigen Beiträgen gehen wir auf einige Unterpunkte näher ein.

Spionage und Erpressung

Diese zwei Methoden gehören zum Standardrepertoire von Cyberkriminellen. Bei beiden geht es letztlich um Geld – genauso aber auch um illegalen Datendiebstahl. Über verschiedene Wege sammeln Kriminelle auf nicht legitimem Weg vertrauliche Daten (Spionage); in manchen Fällen fordern sie horrende Zahlungen von den Opfern (Erpressung). Das waren die Fälle allein im zweiten Halbjahr 2019:

• Microsoft identifiziert Cyberattacken gegen Anti-Doping-Behörden sowie Sportorganisationen, sie stehen im Zusammenhang mit der Verschiebung der Olympischen Spiele.
• Eine Phishing-Kampagne, ebenfalls mit Olympia-Thematik, erreicht mindestens 170.000 Personen in Japan und den USA.
• Das IT-Sicherheitsunternehmen „ESET“ meldet die Entdeckung einer Sicherheitslücke bei MSSQL.
• Zwei „Spear-Phishing“-Wellen gegen Stromanbieter in den USA finden statt.
• Mehrere „DDoS“-Attacken gegen Schweizer Onlinemedien ereignen sich, einige davon im Zuge einer Erpressung.
• MELANI erkennt insgesamt über 500 gehackte Webseiten in der Schweiz und informiert die Betreiber.
• Im September bedient sich ein Krimineller des „CEO Frauds“ und imitiert mithilfe von Sprachsoftware sogar die Stimme des Geschäftsführers.
• MELANI erhält diverse Meldungen über falsche Handelsplattformen zu Kryptowährungen.
• In 50 Ländern sind fast 16 Millionen vertrauliche Patientendaten im Netz gelandet.
• Ein Kontaktmann des russischen Geheimdienstes wird gehackt, seine Daten werden in den Medien publiziert.
• Das Ticket- und Zahlsystem eines Schweizer Fussballclubs ist von Ransomware betroffen.
• In Frankreich muss ein Universitätsspital vorübergehend analog arbeiten, da das System ebenfalls von Ransomware befallen ist.
• Die Ransomware bekannt unter dem Namen „Ryuk“ befällt fünf Betriebe der Erdöl- und Gasindustrie.
• Eine Hacker-Gruppe stiehlt 700 MB Daten von einer Sicherheitsfirma.
• Der Trojaner „Emotet“ ist nach einer leichten Minderung gegen Jahresende hin wieder zunehmend aktiv.
• Im Echtzeit-Betriebssystem „VxWorks“ wird eine markante Sicherheitslücke entdeckt.
• Die Abteilung für Cyberkriminalität der Kantonspolizei Zürich sperrt 450 Fake-Shops im Internet.
• 228 Geldwäscher werden verhaftet (Europol-Meldung). Nicht alle, aber einige stehen im Zusammenhang mit Geldwäsche über virtuelle Währungen.

Attacken auf den Datenschutz

Anhand der vorherigen Liste entsteht vielleicht ein erster Eindruck, auf welche Weise die unterschiedlichen Angriffe daherkommen. Das erste Ziel der Kriminellen ist wie gesagt die Spionage – zeitgleich ist sie der erste Schritt innerhalb einer möglichen „Angriffskette“. Auch wenn die Angriffe verschieden aussehen: In ihren Folgen und Auswirkungen unterscheiden sie sich eher selten.

DDoS-Angriffe

Die Abkürzung steht für „Distributed Denial of Service“ – eins zu eins übersetzt: „verteilte Verweigerung des Dienstes“. Die möglichen Folgen sind damit schon beinahe klar: Der Angreifer will das System des Opfers lahmlegen. Solche Attacken können im Zusammenhang mit einer Erpressung stehen – müssen es aber nicht. Finanzielle Schäden entstehen auch ohne Lösegeld-Forderungen: Systemwiederherstellung und Fehlerbehebung kosten viel. Umsatzeinbussen kommen je nachdem hinzu, wie stark das Angebot eines Betreibers auf digitaler Verarbeitung basiert.

Defacements

Defacement steht für „Verunstaltung“ oder „Entstellung“. Bei dieser Methode sind besonders Internetseiten das Ziel – es geht dabei nicht bloss um die optische Verunstaltung einer Homepage, sondern um die gezielte Platzierung schädlicher Skripts. In einer gehackten Website lassen sich Funktionen integrieren, die entweder Sicherheitslücken im eigenen Betriebssystem ausnutzen oder Schadsoftware weiterverteilen.

Drive-By

Vorbeifahren oder eher „gefahren von“? Beides kann zutreffen. Es gibt sogenannte Drive-By Downloads, nebenbei auch Drive-By Malware und Drive-By Infektionen. Der Begriff steht innerhalb der Informationssicherheit für eine Technik, mit der üblicherweise Daten kompromittiert werden: Ein Download von einem gefälschten Anbieter, ein unechter Link, der auf etwas anderes verzweigt, falsche Werbung, Fake-News – oder bereits gehackte Webseiten. In allen Fällen glaubt das spätere Opfer an die Echtheit des Mediums. Statt des erwarteten Ergebnisses landet Malware auf dem Gerät.

Appelle an den Datenschutz

MELANI spart nicht an Empfehlungen für Verbraucher. Hinter jedem Kapitel finden sich ganze Blöcke mit relevanten Ratschlägen. Die Rede ist von Grössen wie Microsoft, öffentlichen Dienstleistern wie Stromanbietern und Millionen internationaler Datensätze. Die echten – erschreckenden – Zahlen verstecken sich leider viel zu oft im Fliesstext. Wer den Lagebericht nur querliest, könnte verleitet sein zu denken: „Das kann mir nicht passieren!“ – und nimmt sich die Folge-Tipps gar nicht mehr zu Herzen.

Wer gut aufgepasst hat, sieht aber auch: Wir sind in der Schweiz mit dem Datenschutz zwar gut aufgestellt, doch auch bei uns gibt es Handlungsbedarf. Reicht die letzte Revision unseres Datenschutzgesetzes aus – oder führt sie letztlich nur zu Spannungen innerhalb der Firmenstruktur? Warum gehen Opfer von Cyberkriminalität nach wie vor sehr sparsam mit Meldungen um? Warum steht die Angst vor „Public Shaming“ über dem Willen, in Sicherheitsstandards zu investieren?

Wusstest du zum Beispiel, dass die eidgenössische Elektrizitätskommission letztes Jahr bekannt gab, dass in den Sicherheitsmassnahmen unserer Elektrizitätsversorgung noch Optimierungspotenzial besteht? Und wusstest du, dass auch Schweizer Markennamen von Drive-By Phishing-Kampagnen betroffen waren? Bei den oben in den Stichpunkten genannten Patientendaten gab es zwar keinen Hinweis, dass darin auch Schweizer enthalten waren – allerdings waren einige der betroffenen Server hierzulande ansässig.

Lesen Sie weiter…

Hast du ein anständiges Business Continuity Management (BCM)? Wie sieht es mit dem Life-Cycle und Patch-Management in deinem Unternehmen aus? Das – und noch viel mehr – erfährst du in unseren nächsten Blog-Beiträgen zum „Rundumblick Datenschutz“.