Zwar ist die Geschwindigkeit, mit der sich die Ransomware „WannaCry“ verbreitet hat, nichts Neues, doch wirft sie neue Fragen hinsichtlich der Verantwortlichkeit auf – insbesondere hinsichtlich der persönlichen Verantwortung dafür, wie wir uns vor Cyberangriffen schützen sollten, und, was noch wichtiger ist, hinsichtlich der Rechenschaftspflicht sowohl von Regierungen als auch von Anbietern bei der Entwicklung sicherer Technologien. Um die nächste WannaCry-Epidemie einzudämmen, benötigen wir denselben gemeinsamen Einsatz, der erforderlich war, um Autos sicher zu machen – von Sicherheitsgurten und Airbags bis hin zu Motorwarnleuchten und Rückfahrkameras –, und müssen diesen auf die Cybersicherheit übertragen, damit jeder versteht, welchen Beitrag er selbst zum Schutz vor künftigen Cyberangriffen leisten kann.
(Bild: Karen Nadine / Pixabay)
Im Jahr 2010 versetzte der Stuxnet-Virus, der gegen den Iran gerichtet war, viele Cybersicherheitsexperten in die gefährliche und unberechenbare Welt globaler Cyberangriffe. In dieser Woche, in der der Verdacht vor allem auf Nordkorea gerichtet war, versetzte der WannaCry-Ransomware-Angriff die breite Öffentlichkeit in eben diese gefährliche und unberechenbare Welt. Dieser Angriff war von solcher Tragweite, dass sogar lokale Nachrichtensender darüber berichteten – mit fesselnden Schlagzeilen wie „Cyber-Chaos“.
Wir haben in der Vergangenheit bereits unzählige Cyberangriffe erlebt – was unterscheidet diesen nun von den anderen? Dieser Ransomware-Angriff ging vielen von uns etwas zu sehr unter die Haut, vor allem weil wir das Ausmaß, in dem die Technologie unseren Alltag durchdrungen hat, als selbstverständlich angesehen haben. Die meisten von uns gehen davon aus, dass „die Dinge einfach funktionieren“. Wir sind uns der unzähligen Systeme nicht bewusst, die dazu dienen, ein Wählton zu erzeugen, einen Aufzug zu betreiben oder sogar in einer Notaufnahme Medikamente zu verabreichen. Wenn ein System einmal in Betrieb ist, macht sich niemand mehr Gedanken darüber, ob es über ein aktuelles Betriebssystem verfügt, ob alle Software-Patches installiert sind und ob schwer zu knackende Passwörter verwendet werden. Stattdessen tätigen wir den Anruf, steigen in den Aufzug oder nehmen die Tablette ein.
Doch was passiert, wenn Sie den Hörer abnehmen, um die 911 zu wählen, und niemand abhebt? Oder der Aufzug bleibt zwischen zwei Etagen stehen und der Notrufknopf funktioniert nicht? Oder nehmen Sie eine Überdosis Medikamente ein, weil Ihre Unterlagen verschwunden sind? Zu diesem Zeitpunkt ist es zu spät, sich Gedanken über Patches und Passwörter zu machen. Was einst bekannt war, ist nun unbekannt und sogar geradezu beängstigend.
Inmitten der durch WannaCry ausgelösten Panik bemühten sich die Betroffenen verzweifelt, ihre veraltete Software zu aktualisieren, Unternehmen versuchten eilig festzustellen, ob sie angegriffen wurden, und die breite Öffentlichkeit fühlte sich machtlos und befürchtete, als Nächstes an der Reihe zu sein.
Machen wir uns nichts vor: Der jüngste „WannaCry“-Angriff unterscheidet sich in Form und Struktur nicht von den vielen vorangegangenen Ransomware-Angriffen, bei denen 300 Dollar in Bitcoin gefordert wurden, oder von denen, die mit Sicherheit noch folgen werden. Es hat vielmehr deutlich gemacht, dass wir es versäumt haben, persönliche Verantwortung für unsere eigene Cybersicherheit zu übernehmen. Das muss sich ändern. Jeder von uns muss sich stärker einbringen und sich der Technologien, auf die wir uns täglich verlassen, bewusster werden.
Was lernen wir also, nun, da sich die Wogen geglättet haben? Zum einen hätte dieser Angriff bereits Monate, wenn nicht sogar Jahre zuvor abgewendet werden können. Ja, technologische Verbesserungen spielen eine wichtige Rolle in der Diskussion über die Eindämmung weit verbreiteter Cyberangriffe. Es sind jedoch die Menschen – diejenigen, die die Verantwortung für diese Systeme tragen –, die darüber entscheiden, wie diese Technologien umgesetzt und gesichert werden. Ein Mangel an Eigenverantwortung führt dazu, dass IT-Fachkräfte unsichere Software entwickeln, nicht behobene Fehler nicht melden und sogar jahrzehntealte Software einsetzen – entgegen dem besseren Wissen selbst der unerfahrensten Systemadministratoren.
Wir als Gesellschaft müssen mehr persönliche Verantwortung für unsere eigene Sicherheit in der Cyberwelt übernehmen, genauso wie wir es in der realen Welt tun. Würden Sie jahrelang mit einem Auto fahren, ohne jemals das Öl zu wechseln? Wahrscheinlich nicht. Warum sollten Sie also Technologie mit veralteter Software einsetzen? Würden Sie nachts in einem schlecht beleuchteten Viertel 200 Dollar an einem Geldautomaten abheben? Wahrscheinlich nicht. Warum sollten Sie also fragwürdige Websites besuchen oder fragwürdige E-Mails öffnen? Niemand wird Ihnen sagen, dass Sie nicht mit dem Auto fahren sollen, ohne das Öl zu wechseln, oder dass Sie Geldautomaten nachts meiden sollen. Man weiß einfach, dass das eine schlechte Idee ist.
Bevor es zum nächsten „WannaCry“ kommt: Wie jeder von uns seinen Beitrag leisten kann
Über unsere individuellen Pflichten hinaus tragen wir eine gemeinsame Verantwortung dafür, das Allgemeinwohl zu gewährleisten. So wie wir uns auf bewährte Vorgehensweisen für das Fahren auf Straßen und Autobahnen geeinigt haben, benötigen wir auch vereinbarte bewährte Vorgehensweisen für unser Verhalten in der digitalen Welt. Hier sind einige Beispiele:
Public Sector: Government leaders urgently need a crash course in cybersecurity 101. Erst dann – und nur dann – können sie die Möglichkeiten (und, ganz offen gesagt, auch die Grenzen) staatlicher Behörden im Falle einer Cyberkrise wirklich verstehen. Verfügen Ihre Cybersicherheitsmitarbeiter über die erforderlichen Kompetenzen und Werkzeuge, um ihre Aufgaben zu erfüllen? Wenn Sie die Grundprinzipien der Cybersicherheit nicht verstehen, wie können Sie dann diese Frage beantworten?
Privatwirtschaft: Gute Cybersicherheit beginnt an der Spitze. Vorstandsvorsitzende müssen die Lücke bei der Cyber-Verantwortlichkeit schließen und eine Kultur der Verantwortung etablieren, indem sie sich dazu verpflichten, veraltete Technologien zugunsten sichererer Alternativen abzuschaffen. Einfach ausgedrückt: Nicht verwaltete Systeme erhalten keine Patches, und Systeme ohne Patches führen zu Cyberangriffen; daher führen nicht verwaltete Systeme zu Cyberangriffen. Unternehmen müssen diese nicht verwalteten Systeme aufspüren, bevor Kriminelle dies tun. Arbeiten Sie mit einem Drittanbieter zusammen? Lassen Sie Ihr Rechtsteam Sicherheitsstandards in die Verträge aufnehmen, bevor Sie diese unterzeichnen. Darüber hinaus sendet jedes Unternehmen, das über kein eigenes IT-Sicherheitsteam verfügt – ein Team, das unabhängig von den Mitarbeitern arbeitet, die tagtäglich die IT-Aufgaben bewältigen –, ein klares Signal an seine Kunden: Cybersicherheit ist für Ihr Unternehmen nicht wichtig.
Allgemeine Öffentlichkeit. Jeder Einzelne muss von Regierungschefs und Unternehmensvorständen mehr einfordern. Die Infrastruktur, die uns mit Strom versorgt und unsere Geldautomaten ermöglicht, sowie die Frequenzbandbreite, über die unsere Live-Videostreams übertragen werden und die den Betrieb unserer Smartphones, Babyphone und Alexa-Geräte ermöglicht, sind allesamt das Ergebnis einer Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor. Doch die persönliche Verantwortung endet damit noch nicht. Für jeden von uns bedeutet Cybersicherheit mehr als nur ein Antivirenprogramm und ein Gebet. Das bedeutet, dass Sie die Computer in Ihrem Haushalt stets auf den neuesten Stand bringen müssen – nicht nur gelegentlich und ohne auf „Später daran erinnern“ zu klicken. Auf diese Weise kann Ihr Computer bei der nächsten Ransomware- oder Botnetz-Bedrohung nicht so leicht gekapert werden. Das bedeutet, dass Sie die gleichen bewährten Praktiken für einen sicheren Umgang mit dem Internet , die Sie bei der Arbeit anwenden, auch zu Hause umsetzen und Ihren Kindern beibringen, sich als verantwortungsbewusste digitale Bürger zu verhalten. Das bedeutet, ein verantwortungsbewusster Verbraucher zu sein, indem man Unternehmen zur Rechenschaft zieht, wenn sie ihren Verpflichtungen im Bereich der Cybersicherheit nicht nachkommen. Belohnen Sie Unternehmen dafür, dass sie Ihre Daten schützen, und meiden Sie diejenigen, die dies nicht tun.
Um die nächste „WannaCry“-Cyber-Epidemie einzudämmen – ganz gleich, ob sie von Nordkorea oder von einem Studenten in seinem Wohnheimzimmer ausgeht –, benötigen wir das gleiche Maß an gemeinsamer Anstrengung, wie es erforderlich war, um Autos sicher zu machen. Genauso wie wir Sicherheitsgurte und Airbags, Motorwarnleuchten und Rückfahrkameras haben, benötigen wir ähnliche Schutzmaßnahmen auch im Bereich der Cybersicherheit. Nur auf diese Weise wird jeder von uns seine persönliche Verantwortung dafür begreifen, sich selbst, seine Unternehmen und unsere Gesellschaft vor künftigen Cyberangriffen zu schützen.
Erfahren Sie mehr:
- Die fünf Fragen, die Sie für eine gute Sicherheitshygiene beantworten müssen (wird in einem neuen Tab geöffnet)
- Auf der Suche nach den besten Bedrohungsdaten im eigenen Unternehmen (wird in einem neuen Tab geöffnet)
Über den Autor: In seiner Funktion als Sicherheitsleiter bei Tanium konzentriert sich Andre McGregor auf den Bereich Cybersicherheit. Er verfügt über fundierte Kenntnisse über kriminelle und spionageabwehrbezogene Cybertechniken, die für Angriffe auf US-amerikanische Computernetzwerke und Infrastruktur eingesetzt werden. Bevor er zu Tanium kam, war Andre als Cyber-Spezialagent des FBI in New York City tätig und wurde später zum leitenden Spezialagenten in der FBI-Zentrale befördert. Beim FBI war McGregor leitender technischer Ermittler und federführender Einsatzleiter bei mehreren groß angelegten Cyberangriffen. Darüber hinaus war er sowohl als Cyber-Verbindungsbeamter des FBI bei den Vereinten Nationen als auch als Cyber-Verbindungsbeamter des FBI beim DHS, beim US-CERT und beim ICS-CERT tätig. Vor seiner Tätigkeit beim FBI studierte McGregor an der Brown University, begann seine berufliche Laufbahn bei Goldman Sachs und war später als IT-Leiter bei Advogent (Cardinal Health) für den gesamten landesweiten IT-Betrieb verantwortlich. In seiner Freizeit ist Andre zudem als FBI- und technischer Berater für „Mr. Robot“ tätig.
