Anatomie einer Cyberattacke

Mangelndes Bewusstsein für IT-Sicherheit, für sichere Passwörter oder fehlendes technisches Know-how machen es den Angreifern leicht, IT-Systeme zu infiltrieren. So ist es nicht überraschend, dass immer noch viele Unternehmen einer Cyberattacke zum Opfer fallen. Ein Grund: Sie berücksichtigen leider noch zu oft nicht einmal die einfachsten Cybersecurity-Basics.

Die Crux mit der Sicherheit

Warum tun sich KMUs so schwer mit der Abwehr von Cyberattacken? Wer das ausschliesslich mit fehlendem Know-how begründet, denkt zu kurz. Eine oft gehörte Antwort lautet: «Mein Unternehmen ist für Kriminelle kein attraktives Ziel.» Es scheint leider so, dass viele Geschäftsführer oder Manager die Sicherheit des eigenen Unternehmens nicht ernst nehmen. Aber Cybercrime ist ein Massengeschäft. Angreifer suchen sich das leichteste Ziel unter vielen. Und so sind genau diejenigen KMUs, die glauben, dass sie nicht im Fokus stünden, eine leichte Beute für Cyberkriminelle. Immer wieder machen Unternehmen leicht zu vermeidende Fehler: So befindet sich die Antiviren-Lösung noch im Auslieferungszustand ohne automatische Updates, Logdateien der Firewall bleiben ungelesen oder das Patch-Management nervt und wird abgeschaltet.

Cyberkriminelle agieren trickreich, um in Unternehmensnetzwerke einzudringen. Und sollten sie auf hohe technische Hürden stossen, suchen sie den Umweg über die Angestellten, um ihr Ziel zu erreichen.

Anatomie eines Einbruchs

Wie bei einem Wohnungseinbruch folgen die meisten Cyberattacken einem festen Muster. Zunächst spähen die Angreifer ihre Opfer aus und sammeln Informationen. Dazu analysieren sie die Netzwerkinfrastruktur und suchen gezielt nach offenen Ports oder Access Points. Gleichzeitig sammeln sie mit professionellen Analysetools Informationen zu aktiven Maschinen, Betriebssystemen und Services. So erfahren sie den aktuellen Patch-Status oder finden möglicherweise Lücken wie ein ungepatchtes Citrix-System oder einen noch aktiven Windows-7-Rechner. Auch Social-Media-Accounts werten die Kriminellen aus, um einen Angriffsweg in das fremde Netz zu finden. Die gefundenen Schwachstellen nutzen die Angreifer aus und schleusen den Schadcode direkt in das Zielsystem oder verschicken E-Mails mit Malware an Mitarbeitende des Opfers.

Dies alles passiert unbemerkt – ebenso wie die nächsten Schritte, in denen die Cyberkriminellen sukzessive die Kontrolle übernehmen. Dazu verbreiten sie die digitale Infektion immer weiter im Netzwerk und etablieren einen Rückkanal zu einem Command-and-Control-Server, mit dem sie ständig Informationen austauschen. Die Angreifer laden automatisiert einerseits neuen Schadcode nach, andererseits exfiltrieren sie die Daten aus dem Unternehmen und bereiten damit auch weitere Attacken gegen andere Unternehmen vor. Erst dann setzen sie zum finalen Schlag an und verschlüsseln das System beziehungsweise die wichtigsten Dateien. Dann werden die Bildschirme im Unternehmen schwarz und eine Lösegeldforderung erscheint. Die Erfahrungen zeigen, dass seit der Erstinfektion rund 180 Tage vergehen, bis ein Schaden sichtbar ist. Allerdings beschleunigen Cyberkriminelle das Tempo – mit neuen Methoden und Tools vergehen in einigen Fällen zwischen Erstangriff und Verschlüsselung nur noch zehn Tage.

Diejenigen KMUs, die glauben, dass sie nicht im Fokus stünden, sind eine leichte Beute für Cyberkriminelle.

Übrigens: Ein besonderes Augenmerk richten die Angreifer auf die Back-ups beziehungsweise auf die Zerstörung aktueller Back-ups. Denn mit zerstörten Back-ups fehlt Firmen die letzte Verteidigung gegen die Angreifer. Die einzige Hoffnung ist dann, das geforderte Lösegeld zu zahlen. Unternehmen, die ihre Back-ups vom Netzwerk separiert haben, handeln weitsichtig und sind deutlich besser vor Cyberattacken geschützt. Allerdings nur dann, wenn sie die Back-ups erst nach einer grundlegenden Neueinrichtung des Systems inklusive einer detaillierten Analyse wieder einspielen.

Unsicherheitsfaktor Mensch

Cyberkriminelle agieren trickreich, um in Unternehmensnetzwerke einzudringen. Und sollten sie auf hohe technische Hürden stossen, suchen sie den Umweg über die Angestellten, um ihr Ziel zu erreichen. Social Engineering heisst diese Methode. Angreifer nutzen bewusst menschliche Verhaltensmuster wie Mitleid oder Hilfsbereitschaft aus oder setzen Unternehmenshierarchien oder Autoritäten als Hebel ein. Aber auch vor psychologischen Tricks machen sie keinen Halt, um sich Zutritt zum Netzwerk zu verschaffen. Mitarbeitende, die sich aktueller Cyberrisiken bewusst sind, handeln weitsichtig und helfen, Angriffe abzuwehren.

Drum schütze sich, wer kann

Wenn Sie sich als Unternehmen dem Thema IT-Sicherheit verweigern, handeln Sie fahrlässig und gefährden die Existenz des Unternehmens. Dabei können Sie das Risiko von Cyberattacken durch zahlreiche Massnahmen deutlich reduzieren:

• Der aktuelle Status der technologischen IT-Schutzmassnahmen lässt sich aus einer eingehenden Bestandsaufnahme ableiten. Bereits hier lassen sich viele Lücken aufdecken und mit wenig Aufwand schliessen.

• Auch ein Notfallplan ist erforderlich, um im Worst Case handlungsfähig zu bleiben. Alle Angestellten sollten etwa die Telefonnummer der internen IT kennen, um diese im Verdachtsfall umgehend zu informieren.

• Idealerweise führen Unternehmen regelmässig Notfallübungen durch, um die Wirksamkeit des Plans zu prüfen oder Anpassungen vorzunehmen.

• Selbstverständlich gehören Firewall und Endpoint Protection zur grundlegenden Absicherung.

• Zudem sind eine Back-up-Strategie sowie regelmässige Tests, ob die Back-ups auch funktionsfähig sind, entscheidend.

• Passwörter sind ebenfalls ein wichtiger Baustein für die IT-Sicherheit. Lange und komplexe Passwort-Phrasen sind besonders sicher. Dort, wo es möglich ist, sollten Unternehmen hier auf eine Mehrfaktor-Anmeldung setzen.

• Schulungen für Mitarbeitende über Cybergefahren gehören ebenfalls in das Massnahmenbündel. So lässt sich das Bewusstsein der Angestellten für die IT-Sicherheit schärfen, sodass sie künftig umsichtiger handeln.

Auch im Jahr 2021 haben Firmen und Behörden Nachholbedarf bei der IT-Sicherheit. Und jedem kann nur ans Herz gelegt werden, allerspätestens jetzt in die eigene IT-Sicherheit zu investieren. Denn es ist längst nicht mehr die Frage, ob ein Angriff aufs eigene Unternehmen geschieht, sondern vielmehr, wann es passiert.