Internetsicherheit bei Unternehmen:Im Visier der Cyber-Gangster

Zwei neuen Studien zufolge sind Organisationen und Unternehmen schlecht auf Angriffe aus dem Netz vorbereitet. Händler müssen um Kundendaten fürchten - auch Attacken auf die Stromversorgung drohen.

Energie- und Wasser-Versorger geraten immer häufiger ins Visier von IT-Angriffen - und sind nach Einschätzung von Sicherheitsexperten insgesamt zu schlecht darauf vorbereitet.

"Wir haben wenige gute Nachrichten zur Cybersicherheit in Stromnetzen und anderer kritischer Infrastruktur gefunden", schreibt die IT-Sicherheitsfirma McAfee in einem aktuellen Bericht. Die Fortschritte seien "bescheiden" und würden von den Bedrohungen überschattet.

Eine McAfee-Umfrage bei 200 Verantwortlichen von Infrastruktur-Betreibern in 14 Ländern förderte alarmierende Fakten zutage. Das Ausmaß der Bedrohung sei drastisch angestiegen. Vor einem Jahr habe knapp die Hälfte der Betriebe noch keine IT-Angriffe erlebt. Jetzt berichteten 85 Prozent von Versuchen, in ihr Netz einzudringen.

Zwei Drittel gaben an, mindestens einmal im Monat Schadsoftware in ihren Systemen zu entdecken. Auch Erpressungsversuche mit Drohungen von IT-Sabotage hätten stark zugenommen.

Der wachsenden Gefahr stehe mangelhafter Schutz gegenüber, warnte McAfee. So sicherten nur 60 Prozent den Zugang zum System mit "elektronischen Schlössern" wie Smartcards statt der herkömmlichen Kombination aus Benutzername und Passwort.

Stuxnet als Warnung

Nur ein Viertel nutzt Spezial-Software, die verdächtige Aktivitäten im Netzwerk meldet. Die Unternehmen betrachteten Risiken wirtschaftlich - und "für Sicherheit wird nie genug Geld ausgegeben", kritisierte McAfee-Manager Hans-Peter Bauer.

Stuxnet ist inzwischen weit verbeitet: 40 Prozent der Infrastruktur-Unternehmen berichteten in der McAfee-Umfrage, den Super-Wurm auf ihren Computern gefunden zu haben. "Stuxnet hat das erste Mal gezeigt, dass man an gängigen Sicherheitssystemen vorbeikommen kann", sagte Bauer.

Skeptisch stehen die Sicherheits-Spezialisten deshalb auch dem aktuellen Trend zu sogenannten "Smart Grids" bei der Vernetzung von Stromerzeugern, Speichern und elektrischen Verbrauchern gegenüber, die flexibel arbeiten und zum Teil sich selbst steuern sollen. "Smart Grids werden beliebig verteilt und damit schwieriger zu kontrollieren sein", argumentierte Bauer. "Wenn Sie in diese Systerme hohe Intelligenz reinpacken, sind sie auch verwundbar und angreifbar."

Wie Datendiebe Unternehmen überlisten

Eine weitere veröffentlichte Studie zeigt, dass viele Firmen bereits gegen herkömmlichen Datendiebstahl schlecht gewappnet sind. Das US-Unternehmen Verizon hatte 1.700 Fälle von Datendiebstahl unter die Lupe genommen. Der Bericht zeigt, wie die virtuellen Eindringlinge vorgehen, welche Ziele sie bevorzugt ansteuern und nicht zuletzt, wer sich hinter den Eindringlingen verbirgt.

Die Ergebnisse des "2011 Data Breach Investigation Report" zeigen, dass zuletzt vor allem Betriebe im Einzelhandel und im Gastgewerbe ins Fadenkreuz der Datenjäger gerieten. "Die Daten, die diese Unternehmen haben, sind für Hacker wahre Schatztruhen", sagt Bryan Sartin von Verizon Business.

Neben den Kreditkartennummern seien in Reservierungslisten oder anderen Systemen oft sämtliche Angaben erhältlich, die für Schwindel und Betrug, im Extremfall gar für Identitätsfälschung nötig seien. Und anders als Großkonzerne hätten solche Unternehmen der Abwehr von Angriffen aus dem Internet nur selten etwas entgegenzusetzen.

Insgesamt haben Bryan Sartin und seine Kollegen mehr als 1.700 Datendiebstähle und mehr als 900 Millionen kompromittierte Datensätze untersucht. In manchen Fällen wurden die Daten schlicht von Insidern gestohlen und weitergereicht. Doch in 92 Prozent der Fälle erfolgten die Einbrüche durch externe Akteure, die beispielsweise über Phishing-Attacken an wichtige Zugangsdaten gekommen waren.

Fast alle Angriffe kamen von außen

Beim konkreten Vorgehen wiederum zeigte sich fast immer eine Kombination mehrerer Faktoren. Viren und andere feindliche Programme kamen in 49 Prozent der Fälle zum Einsatz, Hacking in 50 Prozent. In 17 Prozent der Fälle wurden die Angriffe erst durch gravierende Fehler im System ermöglicht, in 29 Prozent der Fälle erfolgte ein physischer Eingriff.

Eine erschreckende Erkenntnis des Berichts ist, wie wenig sorgsam viele Unternehmen und Institutionen offenbar mit sensiblen Daten umgehen. "Fast 90 Prozent der Daten wurden aus Quellen entwendet, von denen die Bestohlenen gar nicht wussten, dass sie existieren", sagt Sartin.

Um mehr Sicherheit im IT-Bereich zu gewährleisten, sei ein erster notwendiger Schritt daher häufig, wichtige Daten überall dort, wo sie nicht zwingend gebraucht würden, zu löschen. "Ein Unternehmen muss entscheiden: Welches sind die Daten, die auf keinen Fall in falsche Hände geraten dürfen?", sagt Sartin.

Wenn der Zugriff auf diese Daten auf einen minimalen Nutzerkreis beschränkt bleibe, dann sei das Risiko eines virtuellen Einbruchs meist mit einfachen und kostengünstigen Mitteln in den Griff zu bekommen.

Zur SZ-Startseite

Lesen Sie mehr zum Thema

Jetzt entdecken

Gutscheine: