Im Fadenkreuz von Cyber Crime und Cyber War

Gestern besuchten rund 160 Personen Infoguards Security Lounge 2013 zum Thema Cyber Crime & Cyber War in Steinhausen im Kanton Zug. Auf dem Programm standen verschiedene Referate von Sicherheitsexperten aus Wissenschaft, Verwaltung und Industrie. Das Highlight bildete ein Live Smartphone Hacking durch einen Infoguard-Mitarbeiter.

Die düsteren Gesichter des Cyber Wars

Als Einstimmung in die Thematik zeigte der Berliner Technologieforscher Sandro Gaycken die verschiedenen strategischen Gefahren des Cyber Wars und die Schwierigkeiten bei seiner Bekämpfung auf. Wie der Forscher erklärte, avancierte der Cyber War die letzten Jahre zu einem bedeutsamen Sicherheitsrisiko, als immer mehr kritische Infrastrukturen sich in die Abhängigkeit der IT und des Internets begaben. Heute sollen aus diesem Grund mehr als vierzig Staaten mehrere Millionen US-Dollar in Cyber Security investieren.

Cyber War kennt dem Techologieforscher zufolge viele Erscheinungsformen. Staaten oder Organisationen könnten zum Beispiel durch Info-Operationen zu Schaden kommen. Diese würden entweder darauf abzielen, der Reputation des Opfers zu schädigen oder Falschinformationen zu strategischen Zwecken zu streuen. Ebenso gefährlich sind Gaycken zufolge aber auch stille Erosionsstrategien. Bei diesen würden Infrastrukturen über grosse Zeiträume hinweg praktisch unbemerkt angegriffen. "Wenn der Schaden bemerkt wird, ist es meist zu spät. Auch kann gegen solche Angriffe kein grosses Geschütz aufgefahren werden, weil in den meisten Fällen die Urheberschaft nicht identifiziert werden kann", so Gaycken.

Im Bereich der Cyber-Kriminalität stellt Gaycken zufolge nicht nur die List der Angreifer ein zentrales Problem dar, sondern auch das Versagen von Markt, Politik und Wissenschaft angesichts der schnell wechselnden Gefahren. So interessiere sich der Markt zu wenig dafür, weil sich Investitionen nur im Falle eines konkreten Angriffs rentieren würden. In der Politik seien Entscheider hingegen oftmals zu wenig sachverständig und bei der Implementierung von neuen Lösungen ausgesprochen risikoavers.

KMUs stark gefährdet

Eine nationale Perspektive zum Thema bot Pascal Lamia, Leiter der Melde- und Analysestelle Informationssicherung (MELANI), mit seiner Keynote zur Strategie des Bundes im Bereich der Cyberrisiken. Lamia zufolge kennt auch die Schweiz immer mehr Fälle von Cyber-Kriminalität. Aus diesem Grund habe der Bundesrat Mitte Mai auch den Umsetzungsplan zum Schutz der Schweiz vor Cyber-Risiken gutgeheissen.

Lamia zeigte sich überzeugt, dass bei der Cyber-Kriminalität das Verhalten der potentiellen Opfer eine Schlüsselrolle spielt. Der massive Hacker-Angriff auf zahlreiche Schweizer Webseiten im Kontext der Minarett-Initiative habe gezeigt, dass nicht nur viele Webseiten und Server unzureichend geschützt sind, sondern auch viele Hoster und Websitebetreiber die neuen Gefahren unterschätzen. So sollen gewisse der Server, die 2009 gehackt worden sind, auch heute noch nicht gepatcht sein.

In der Schweiz sind gemäss Einschätzung von MELANI nicht etwa kritische Infrastrukturen wie Spitäler, Kraftwerke oder Banken am meisten gefährdet, sondern KMUs. Diese seien nicht nur schlecht geschützt, auch existiere bei vielen KMU-Verantwortlichen nicht das erforderliche Risikobewusstsein. Trotz der erheblichen Gefahr könnten KMUs gegenwärtig nicht gezwungen werden, bestimmte Sicherheitsregeln zu beachten, da keine entsprechende Gesetzesgrundlage vorliegen würde.

Ein "Stupidphone" für 2000 Franken

Für allgemeine Erheiterung sorgte an der Security Lounge das Live Smartphone Hacking von Oliver Münchov, Senior Security Consultant bei Infoguard. Münchov erklärte im Vorfeld seiner Hacking-Demonstration, dass immer mehr Malware für Android-Smartphones entwickelt werde. Alleine von Juni bis Dezember 2012 sei die Anzahl der schädlichen Apps von 30'000 auf 350'000 gestiegen. Viele dieser Apps hätten es zeitweilig in den Google Play Store geschafft und seien dort von ahnungslosen Smartphone-Nutzern heruntergeladen worden. Zwar habe es Google zwischenzeitlich geschafft, einen Grossteil der Malware zu entlarven, aber es sei nach wie vor möglich, ohne all zu viel Aufwand schädliche Apps in die beliebten Stores einzuschleusen.

Um die Tragweite des Risikos zu veranschaulichen, liess Münchov in China für rund 2000 Franken die Grundlage für eine solche "Malicous App" entwickeln. Diese baute er anschliessend zu einer vermeintlichen "Android Anti Theft"-App aus zur Ortung und Sperrung des eigenen Smartphones. Tatsächlich handelt es sich dabei aber um eine Spy App, die jedes Smartphone in ein hilfloses Stupidphone verwandelt. In einer Live-Hacking-Session demonstrierte Münchov schliesslich, wie sich mit seiner App problemlos SMS und Telefonate mitschneiden lassen oder ein gehacktes Telefon ferngesteuert werden kann. Damit holte er quasi die virtuelle Bedrohung in die reale Welt der Veranstaltung.