Zwischenruf Nr. 3

--- 22.04.2021 ---

Der Blindflug der Unternehmen im Cyberkrieg

Die Zahl der Cyberangriffe steigt so rasant, dass viele Unternehmen auf einen Mehrfronten-Kampf mit mehreren Banden nicht vorbereitet sind. Das Problem ist hausgemacht: Um Kosten zu sparen, verzichten die Opfer auf die vollständige Aufklärung aller Attacken auf ihre IT-Systeme.

Studien über die aktuelle Bedrohungslage im Cyberraum kommen eigentlich immer zu dem gleichen Ergebnis: Die Zahl der erfolgreichen Cyberangriffe steigt stetig an. Eine Trendwende ist trotz zusätzlicher Investitionen in die IT-Sicherheit nicht in Sicht. Die in dieser Woche publizierten Ergebnisse einer Umfrage des Spezialversicherers Hiscox reihen sich da nahtlos in die schier endlose Kette ähnlicher Security-Reports ein.

Eher am Rande warnen die Autoren des Hiscox-Reports vor einer neuen Bedrohung, die in den Briefings des Bundesamtes für Sicherheit in der Informationstechnik (BSI) überhaupt noch keine Rolle spielt: Unternehmen, die nur einen einzigen Hackerangriff erlebt haben, sind nur noch eine kleine Minderheit. Die Mehrzahl räumt inzwischen ein, dass ihr Unternehmen von mehreren Hackergruppen erfolgreich unter Beschuss genommen wurde — entweder gleichzeitig oder zeitversetzt.

Die Unternehmen sind auf diese neue Form der Bedrohung überhaupt nicht vorbereitet. Dabei zeichnet sich schon länger ab, dass Cyberbanden bei ihren Opfern einen Mehrfronten-Kampf eröffnen. Bei rund einem Dutzend in Deutschland aktiven hochprofessionellen Angreifergruppen, die meist eng mit ausländischen Geheimdiensten zusammenarbeiten, ist es sehr wahrscheinlich, dass mehrere Gruppen besonders innovative Unternehmen ins Visier nehmen und die IT-Systeme mit ihren Spionageprogrammen verseuchen. Solche geschickt getarnten Angriffe bleiben über viele Monate und mitunter sogar Jahre unentdeckt. Genug Zeit für andere Angreifergruppen, ebenfalls dort einzudringen. Viele Unternehmen entdecken das erst, wenn auch noch die organisierte Kriminalität ihre IT-Systeme kapert und hohe Lösegelder zur Freigabe aller Daten fordert.

Diese offene Flanke ist Teil eines verantwortungslosen Missmanagements. Das Problem ist hausgemacht: Auch im Notfall stocken Vorstände und Geschäftsführer nicht das IT-Budget auf und verzichten auf eine vollständige Aufklärung des Cyberangriffs. Diese Erfahrung machen die von IT-Sicherheitsfirmen wie G Data in Bochum und Syss in Tübingen aufgebauten Spezialeinheiten, die Unternehmen bei besonders schweren Cyberangriffen zu Hilfe eilen. Ihre Notfall-Einsätze sind gefragt, mehr aber auch nicht. Danach dürfen sie wieder abrücken.

Dabei ist das IT-System nur von dem Schadprogrammen befreit, das den Alarm ausgelöst hat. Erst eine vollständige Gefahrenanalyse würde eine intensive Fahndung nach weiteren gefährlichen Eindringlingen auslösen, die sich schon länger in den IT-Systemen verstecken. Nur: Solch eine Jagd mit dem Einsatz neuester forensischen Methoden bei der Spurensuche ist den meisten Führungskräften zu teuer. Sie verzichten lieber auf vollständige Transparenz und machen im Blindflug weiter.

 

„Der Glaube an das Gute der Digitalisierung geht verloren, wenn wir durch zu viele Sicherheitsrisiken die Kontrolle über diese Technologie verlieren.“

Über mich

Was mich bewegt

Digitalisierung, datenschutz, IT-Sicherheit

Die Diskussionen über die Digitalwelt in Europa sind gespickt mit Halbwissen und Widersprüchen. Weite Teile von Politik und Wirtschaft erkennen zwar, dass die Wettbewerbsfähigkeit unseres Landes von einer möglichst schnellen Digitalisierung abhängt. Nur getan haben die Verantwortlichen dafür viel zu wenig. Die meisten schauen zu, wie die digitalen Supermächte USA und China ihren Vorsprung ausbauen. Und klammern sich dabei an ein Gottvertrauen in alles Gute dieser technologischen Revolution. Die vielen Sicherheitsrisiken aber werden ignoriert und ausgeblendet — weit mehr als in jedem anderen gesellschaftlichen Bereich.

Über das Ergebnis ärgern wir uns jeden Tag: Ein eher stümperhaft zusammengestückeltes Internet, das — wäre es ein Auto oder ein Wohnhaus — wegen gravierender Mängel überhaupt keine Zulassung der Aufsichtsbehörden bekommen würde. Dabei braucht die jetzt entstehende Gigabit-Gesellschaft ein stabiles Fundament aus hochwertigen Netzen, Software und Hardware ohne Qualitätsmängel und Schwachstellen. Nur verlaufen bisher die meisten Initiativen im Sande. Die politisch Verantwortlichen vertrauen lieber der Selbsthilfe und wälzen die Lösung des Problems auf eher schlecht ausgebildete Computernutzer ab.

Dass diese Strategie nicht die erhofften Erfolge bringt, beweisen die Zahlen: Jedes Jahr wachsen die Bedrohung und die Schäden durch von Geheimdiensten gesteuerte Hacker-Banden, die unsere IT-Systeme lahmlegen und ausspionieren. Mehr noch: Sogar IT-Konzerne schrecken nicht davor zurück, unsere Privatsphäre zu verletzen. Als eines von 60 Opfern der Spitzelaffäre bei der Deutschen Telekom habe ich es selbst erlebt und Lehren daraus gezogen: Ich will weiter über das Thema Cybersecurity aufklären und in Zukunft Spannendes und Erhellendes auf dieser Website berichten. Deswegen publiziere ich hier auch unter meinem Spitznamen CyberBerke, der mir aufgrund meiner umfangreichen journalistischen Arbeit zu diesen Themen schon vor einigen Jahren zugeschrieben wurde.

Wer ich bin

Journalist, Volkswirt, Boulespieler

Mein Name ist Jürgen Berke. Ich bin 63 Jahre alt und schreibe seit mehr als 30 Jahren für die WirtschaftsWoche über alle Themen rund um Digitalisierung. Inzwischen gleite ich in den Ruhestand und schaffe mir mit dieser Web-Seite meine eigene Plattform, auf der ich Ergebnisse meiner Recherchen und meine Einschätzungen zu aktuellen Entwicklungen publizieren werde. Als Volkswirt sozialwissenschaftlicher Richtung schaue ich mir gerne die technologischen und gesellschaftlichen Auswirkungen einer zunehmenden Vernetzung aller Lebensbereiche an.

Privat geht es bei mir noch sehr analog zu. Ich radele meist abseits viel befahrener Straßen ohne Elektromotor durchs Land und freue mich über jede alte Bahntrasse, die zu einem Radschnellweg umgebaut wird. Viel Zeit verbringe ich auf den Boule-Plätzen in Köln und Umgebung. Der französische Nationalsport ist meine zweite große Leidenschaft.

 

Kurzvita

Geboren 1958 in Bochum. Journalistische Ausbildung ab 1979 an der Kölner Schule — Institut für Publizistik. Parallel — ab 1980 — Studium der Volkswirtschaftslehre und Soziologie an der Universität in Köln. Abschluss als Diplom-Volkswirt sozialwissenschaftlicher Richtung. Danach 32 Jahre lang Redakteur für die „WirtschaftsWoche“. Seit 2020 ehrenamtlich tätig im Europäischen Kompetenzzentrum für Sicherheit in der Informationstechnologie (Eurobits e.V.) in Bochum.

Mehr auf Wikipedia

„Wäre das Internet ein Auto oder Wohnhaus, dann würde es wegen gravierender Mängel keine Zulassung der Aufsichtsbehörden bekommen.“