Er wurde als der schlimmste Internet-Hack der Geschichte bezeichnet.
Am 9. Dezember wurde eine kritische Sicherheitslücke in einem weit verbreiteten Online-Protokollierungstool bekannt, nachdem Hacker diese ausgenutzt hatten, um sich Zugang zu Servern zu verschaffen, auf denen die beliebte Spieleplattform Minecraft gehostet wird. Die als Log4Shell (CVE-2021-44228) bezeichnete Sicherheitslücke stellt eine globale Bedrohung dar, da sie es Hackern ermöglicht, sich ohne Passwort Zugang zu Computersystemen und Servern zu verschaffen.
Seitdem die Sicherheitslücke bekannt wurde, bemühen sich Cybersicherheitsteams intensiv darum, sie zu schließen, während Cyberkriminelle mit Hochdruck daran arbeiten, Tools zu entwickeln und zu verbreiten, um sie auszunutzen. Solange diese Schwachstelle nicht behoben wird, können Kriminelle, Spione und Staaten sie ausnutzen, um sich Zugang zu Unternehmens- und Regierungsnetzwerken zu verschaffen, Schadsoftware zu schleusen und wertvolle Daten zu stehlen.
Die Sicherheitslücke besteht in einer Open-Source-Java-Logging-Bibliothek, die, wie Jim Kelly, Vizepräsident für Endpunktsicherheit bei Tanium ( ) , erklärt, „in vielen Unternehmensanwendungen und Open-Source-Software integriert ist und möglicherweise als Abhängigkeit in vielen anderen Diensten zum Einsatz kommt.“ Kelly, ein Experte für Sicherheitsarchitektur, fügt hinzu: „Aufgrund der Vielzahl an Konfigurations- und Installationsvariablen ist es äußerst schwierig, diese Sicherheitslücke zu identifizieren und gezielt zu beheben.“
Da das Jahr 2021 nur noch wenige Tage dauert, fällt es selbst erfahrenen Cybersicherheitsexperten schwer, das Ausmaß dieses Hackerangriffs – sowie die schiere Anzahl der Angriffe, die Cyberkriminelle und Nationalstaaten in diesem Jahr verübt haben – zu begreifen.
[Lesen Sie auch: Was ist Log4J und wie schütze ich mein Unternehmen?]
Die Liste der betroffenen Großunternehmen ist bezeichnend für die heutige Cyber-Epidemie: Kaseya. Colonial Pipeline. JBS-Fleischverarbeitungs. Twitch. Und natürlich SolarWinds. (Technisch gesehen handelte es sich um einen „ 2020 “-Hack: SolarWinds wurde vor genau einem Jahr aufgedeckt, nahm einen Großteil der Überlegungen zum Thema Cybersicherheit im Jahr 2021’s ein und gab den Anstoß für eine Verordnung des Präsidenten.)
Das Spektrum der Ziele, die von Cyberangreifern ins Visier genommen wurden, war so breit gefächert (darunter ein Fleischverarbeitungsunternehmen, ein Energieversorger, eine Brauerei und mehrere Bundesbehörden), dass man kaum behaupten könnte, irgendjemand sei sicher gewesen. „Buchstäblich alle Branchen und Sektoren waren betroffen“, sagt Brenda R. Sharton, Partnerin und Co-Vorsitzende der globalen Praxisgruppe für Datenschutz und Cybersicherheit bei Dechert LLP sowie eine landesweit anerkannte Expertin auf diesem Gebiet. “2021 war eine Veranstaltung, bei der alle gleichermaßen betroffen waren. „Cyberangriffe haben insgesamt exponentiell zugenommen – sowohl hinsichtlich ihrer Häufigkeit als auch ihres Komplexitätsgrades und natürlich der geforderten Lösegeldsummen.“
Die am stärksten betroffenen Branchen
Die genaue Zahl der Ransomware-Angriffe lässt sich nur schwer ermitteln. Am häufigsten ins Visier genommen wurden jedoch jene Branchen, die über die sensibelsten Daten verfügen (Bankwesen und sonstige Finanzdienstleistungen), sowie jene, die Schwierigkeiten hatten, die Cybersicherheit aufrechtzuerhalten (Gesundheitswesen und Bildungswesen).
„2021 “ war eine Veranstaltung, bei der Chancengleichheit großgeschrieben wurde. Cyberangriffe nahmen in allen Bereichen exponentiell zu.”Barbara R. Sharton, Partnerin und Co-Vorsitzende, Dechert LLP
So griffen Kriminelle beispielsweise im März CNA Financial, den siebtgrößten gewerblichen Versicherer der USA, an und verschlüsselten rund 15 000 Geräte, darunter auch Computer, die von den Mitarbeitern im Homeoffice genutzt wurden. Der Versicherer „ “ soll der „ “ Berichten zufolge mehr als 40 Millionen Dollar als Lösegeld gezahlt haben. Zwei Monate später griffen Hacker die asiatische Assistance-Sparte des französischen Versicherungsunternehmens Axa an, vermutlich unter Einsatz der Ransomware „Avaddon“.
Im Mai führten Hacker einen Ransomware- -Angriff gegen das irische Gesundheitsministerium und dessen Gesundheitsbehörde (Health Service Executive) durch. Die Software der Angreifer führte nicht nur zur Veröffentlichung sensibler Patientendaten im Internet, sondern erzwang auch die Absage stationärer Behandlungen sowie Verzögerungen bei der Ausstellung von Geburts- und Sterbeurkunden und der Bearbeitung von Covid-19-Tests. Das University Medical Center of Southern Nevada wurde im Sommer von einem Angriff betroffen , bei dem die persönlichen Daten von 1,3 Millionen Menschen kompromittiert wurden. Ein Teil der gestohlenen Daten wurde auf der Darknet-Seite der Ransomware-Gruppe REvil entdeckt.
[Lesen Sie auch: Ransomware 101—what – Was ist das und wie kann ich einen Angriff verhindern?]
Paul Bischoff, Redakteur und Datenschützer beim Verbrauchersicherheitsunternehmen Comparitech, stellt fest, dass „die Gesundheitsbranche besonders anfällig für Ransomware-Angriffe ist“. Das liegt daran, dass es in den Gesundheitseinrichtungen von „ “ zahlreiche Schwachstellen in der Cybersicherheit gibt, darunter überlastete Mitarbeiter, die keine ausgebildeten IT-Fachkräfte sind und ungesicherte, mit dem Internet verbundene Computer sowie WLAN-Netzwerke nutzen müssen. Darüber hinaus standen diese Einrichtungen, die für die Gesundheitsversorgung ihrer Gemeinden von entscheidender Bedeutung sind, während der Pandemie unter dem Druck, einen reibungslosen Betrieb aufrechtzuerhalten. „Dadurch steigt die Wahrscheinlichkeit, dass sie den Forderungen der Erpresser nachkommen, und somit sind sie für Hacker lukrativere Ziele“, so Bischoff.
Einfaches und anonymes Geld
Zwar hat bislang noch niemand die Gesamtkosten für die Behebung eines Ransomware-Angriffs im Gesundheitswesen auf 2021’s beziffert, doch gehen Bischoff und andere davon aus, dass diese wahrscheinlich über denen des Vorjahres liegen werden. Im Jahr 2020 beliefen sich die durchschnittlichen Kosten durch Cyberangriffe – für Ausfallzeiten, gezahlte Lösegeldzahlungen, Reparaturen sowie den Austausch von Geräten und Netzwerken – im US-Gesundheitswesen nach Angaben des Ministeriums für Gesundheit und Soziales auf 1,27 Millionen US-Dollar. Im Vergleich dazu lag der Durchschnitt in der Finanzdienstleistungsbranche bei 2,1 Millionen Dollar. Der Bildungssektor verzeichnete unterdessen mit 2,73 Millionen Dollar die höchsten durchschnittlichen Kosten.
„“ Das Gesundheitswesen ist besonders anfällig für Ransomware-Angriffe.“Paul Bischoff, Datenschützer, Comparitech
In diesem Jahr wird erwartet, dass die Kosten deutlich höher ausfallen werden. „Wir haben beobachtet, wie die Lösegeldforderungen von einem Betrag im mittleren siebenstelligen Bereich im Jahr 2020 auf mehrere zehn Millionen Dollar im Jahr 2021 angestiegen sind“, sagt Sharton.
Branchenexperten befürchten, dass die zunehmende Nutzung von Kryptowährungen – die nicht zurückverfolgt werden können – zur Begleichung von Lösegeldforderungen Angriffe begünstigen könnte. Da die Vorschriften für Kryptowährungen weltweit unterschiedlich sind, ist Jon Brandt, Direktor für Berufspraxis und Innovation beim IT-Verband ISACA, der Ansicht, dass die „weltweite Unklarheit“ in Bezug auf diese Währungen „Cyberkriminelle wahrscheinlich ermutigt“. Das bedeutet jedoch nicht, dass die Kryptowährung selbst für die Angriffe verantwortlich ist. „Das wäre so, als würde man behaupten, Banküberfälle hätten zugenommen, weil das Automobil erfunden wurde und dadurch die Flucht erleichtert wurde“, sagt Brandt.
Die Zunahme von Angriffen auf die Lieferkette
Die Corona-Pandemie hat einen der anfälligsten Aspekte jeder Organisation offenbart: den Einsatz externer Dienstleister, denen es an ausgefeilten Sicherheitsvorkehrungen mangelt. Angriffe auf die Lieferkette haben sich in diesem Jahr möglicherweise um das Vierfache erhöht, wie aus einem Bericht der Agentur der Europäischen Union für Cybersicherheit ( ) hervorgeht. Die ENISA stellt fest, dass bei zwei Dritteln dieser Angriffe die Hacker zunächst die Codebasis eines Zulieferers ins Visier nahmen, um von dort aus ihr Hauptziel anzugreifen.
„Lieferketten sind komplex: Waren und Dienstleistungen werden aus aller Welt bezogen, und alle sind in unterschiedlichem Maße anfällig“, sagt Brandt. „Die Pandemie hat viele dazu veranlasst, auf Cloud-Dienste umzusteigen, was das Risiko exponentiell erhöht.“
Ein bedeutendes Beispiel für einen Angriff auf die Lieferkette ereignete sich Anfang Juli, als Kaseya Ltd., ein Anbieter von IT-Management- und Antiviren- -Software, von osteuropäischen Hackern mithilfe von Ransomware der REvil-Gruppe kompromittiert wurde . Kaseya vertreibt seine Produkte an externe Dienstleister, die die IT für andere Unternehmen – häufig kleine und mittelständische Unternehmen – verwalten. Indem sie die Software von Kaseya ins Visier nahmen, verschafften sich die Cyberkriminellen Zugang zu einer Reihe verschiedener Netzwerke, wodurch bis zu 1 500 Unternehmen betroffen waren. Die Hacker forderten 70 Millionen Dollar Lösegeld.
[Lesen Sie auch: Sollten Zahlungen an Ransomware-Erpresser verboten werden?]
Lieferanten und Anbieter würden zunehmend ins Visier genommen, so Sharton, da sie „eine Hintertür in die Umgebung eines Unternehmens bieten können, die für das Informationssicherheitsteam möglicherweise nicht auf den ersten Blick erkennbar ist“.
Phishing wird immer raffinierter
Mit der zunehmenden Umstellung auf Remote-Arbeit während der Pandemie folgten raffinierte E-Mail-Phishing-Angriffe vom Typ „ “ sowie Hackerangriffe auf ungesicherte Netzwerkgeräte.
„“ Viel zu viele Cyberangriffe finden statt oder eskalieren, weil Unternehmen die einfachen Maßnahmen nicht gut oder gar nicht umsetzen.“Jon Brandt, Leiter des Bereichs „Professional Practices and Innovation“ bei ISACA
„Faktoren wie WLAN zu Hause, die Unkenntnis neuer Kollegen, Sicherheitslücken bei Mitarbeitern, die von unterschiedlichen Standorten aus auf die Systeme zugreifen, sowie schlichtweg Angst und Unsicherheit rund um das Thema Covid schufen die perfekten Voraussetzungen für Hacker, um daraus Kapital zu schlagen“, sagt Sharton. „Seit Ende 1990s habe ich etwa 1 000 Untersuchungen zu Datenschutzverletzungen durchgeführt. „Jedes Jahr stelle ich fest, dass Phishing-Angriffe immer raffinierter werden.“
Tatsächlich haben sich laut dem internationalen Konsortium „Anti-Phishing Working Group“ die gemeldeten Phishing-Angriffe auf im Jahr 2020 im Zuge der Pandemie verdoppelt und blieben auch im Jahr 2021 auf hohem Niveau. Im Juni dieses Jahres verzeichnete die APWG 222 127 Angriffe.
Eine häufige Angriffsmethode war der „Business E-Mail Compromise“, bei dem sich der Betrüger als Mitarbeiter des Unternehmens oder als eine andere vertrauenswürdige Person ausgibt und versucht, einen Mitarbeiter dazu zu verleiten, Geld oder Finanzdaten zu übermitteln – in der Regel, indem er dem Opfer E-Mails von gefälschten oder gehackten Konten aus sendet. Da in den sozialen Medien so viele personenbezogene Daten geteilt werden, ist es für Betrüger relativ einfach, die Interessen und Vorlieben ihrer Zielpersonen genau zu ermitteln und Phishing-Kampagnen zu entwickeln, die erschreckend genau auf die Schwachstellen eines Nutzers zugeschnitten sind.
[Lesen Sie auch: Eine Cyberversicherung ist nicht Ihr bester Schutz vor Cyberangriffen]
Auch die Phishing-Betrüger sind in diesem Jahr noch gieriger geworden. Laut APWG stieg der durchschnittliche Betrag der bei einem BEC-Angriff angeforderten Überweisung auf 106 000 US-Dollar, gegenüber 48 000 US-Dollar im Vorjahr.
Das Allheilmittel der Sicherheit: grundlegende Cyberhygiene
Der beste Schutz für ein Unternehmen davor, Opfer eines Hackerangriffs zu werden, sind grundlegende Cyberhygiene-Maßnahmen. Dies beginnt damit, dass „ “ die gesamte Hardware und Software in Ihrem Netzwerk ermittelt und inventarisiert: . Das dabei anzuwendende Prinzip lautet „ “ (Zero-Trust-), wonach jedes Gerät, das versucht, sich im Netzwerk anzumelden, als potenzielle Bedrohung behandelt wird. Eine mehrstufige Authentifizierung, Datenverschlüsselung und regelmäßig getestete Sicherungskopien sind von entscheidender Bedeutung, ebenso wie die Vergabe von Berechtigungen nach den Grundsätzen der geringstmöglichen Berechtigung und des „Need-to-know“-Prinzips.
„Viele Organisationen sind wirklich schlecht darin, den Zugriff auf Systeme und Daten zu beschränken.“ „Viel zu viele Mitarbeiter haben mehr Zugriffsrechte, als sie für ihre Arbeit benötigen“, sagt Brandt. „Einfach ausgedrückt“, fügt er hinzu, „kommen viel zu viele Cyberangriffe vor oder eskalieren, weil Unternehmen die einfachen Maßnahmen nicht gut oder gar nicht umsetzen.“
[Lesen Sie auch: 6 Tipps zum Schutz Ihres Unternehmens vor der zunehmenden Cyberkriminalität]
Sharton erklärt, eine Überraschung in diesem Jahr sei gewesen, „dass die Lösegeldforderungen in die Höhe von mehreren zehn Millionen Dollar stiegen“, im Vergleich zu Angriffen vor vielen Jahren, bei denen die Forderungen zunächst nur im Bereich von einigen Tausend Dollar lagen.
Die gute Nachricht, so sagt sie, sei, dass „die Angreifer schließlich zu gierig geworden sind und wir nun Versuche einer koordinierten Reaktion auf Regierungsebene beobachten können, während sie zuvor unter dem Radar bleiben konnten.“
