Anfang Dezember erhielten alle Mitarbeiter der Versicherungskammer Bayern eine digitale Weihnachtsbotschaft von nikolaus@wolke1000.de. Wer den Dateianhang der E-Mail öffnete, verlor allerdings schnell den Glauben an den Weihnachtsmann. Der Bildschirm wurde schwarz und eine Nachricht erschien: "Ihre Festplatte wird jetzt gelöscht." Ein bösartiges Computervirus? Nein, zum Glück nur eine Übung, um die Mitarbeiter für die Gefahren aus dem Netz zu sensibilisieren.
"Wir haben Regeln, wie man mit nicht bekannten E-Mails umgeht", sagt Joachim Wolff, Leiter der Konzernsicherheit bei der Versicherung. Dennoch klickten einige Mitarbeiter auf den Anhang - und wandten sich erschrocken an die IT-Abteilung. Experiment gelungen.
Viren, Würmer, Trojaner, Armeen ferngesteuerter Rechner für Mail-Attacken: Die Kreativität der Kriminellen ist unerschöpflich. Und sie visieren nach Einschätzung von Experten inzwischen häufiger Firmencomputer an - um so zu Geld zu kommen. Sie erpressen Unternehmen und drohen, Datendienste oder eine Internetseite lahmzulegen, oder stehlen Informationen auf elektronischem Weg. Gerade bei Mittelständlern, die sich keine IT-Fachleute leisten können, fehlt noch das Bewusstsein für solche Gefahren. "Aufmerksame Mitarbeiter sind der beste Schutz", sagt Clemens Pflüger, Mitarbeiter am Fraunhofer-Institut für sichere Informationstechnologie.
Ein jährlicher Umsatz von mehr als zwei Milliarden Euro
Eine Firewall zur Abwehr von unerbetenen Datenanfragen oder ein Antivirenprogramm gehören bei der Mehrzahl der Unternehmen heute zum Schutzrepertoire. So fließt nach Berechnungen des Marktforschungsinstituts Gartner jeder zweite Euro, der für Computersicherheit eingesetzt wird, in Software zur Abwehr von Virusprogrammen. Das Geschäft mit den Gefahren aus dem Netz ist einträglich: Sicherheitsfirmen wie Symantec, Trend Micro oder Kaspersky haben sich auf dieses Segment spezialisiert und verdienen jährlich Milliarden.
Allein für Europa, den Mittleren Osten und Afrika rechnen die Marktforscher von Gartner in ihrer jüngsten Schätzung mit einem jährlichen Umsatz von mehr als zwei Milliarden Euro - nur für Sicherheitssoftware. In den nächsten fünf Jahren wird der Markt der Gartner-Prognose zufolge jährlich um beinahe zehn Prozent wachsen. Hinzu kommen noch die Ausgaben für Geräte in Firmennetzen wie die sogenannten Intrusion-Detection-Systeme, die sich mit der Abwehr von Dateneinbrüchen aus dem Internet beschäftigen.
Das erste Virus verbreitete sich vor fast 30 Jahren noch via Diskette. Inzwischen vervielfältigen sich die Virenprogramme dank Internet in Sekundenschnelle. "Sie sind noch eine Bedrohung, auch wenn man sich weitgehend schützen kann", erklärt Pflüger. Die Zeiten von Schädlingen in der Art eines "I love you" sind passé. Dieser Liebesgruß, eine E-Mail, verbreitete sich im Mai 2000 explosionsartig. Im Anhang trug sie einen vermeintlichen Liebesbrief - wer das Dokument öffnete, hatte den Schädling auf seinem Rechner und infizierte in der Folge ohne weiteres Zutun andere Computernutzer, deren Adressen auf dem eigenen Gerät gespeichert waren.
Das kleine Programm soll vor allem durch Computerausfälle einen Schaden von mehr als fünf Milliarden Dollar verursacht haben. Auch heute noch versucht die I-love-you-Software, täglich mehrere tausend Rechner zu infizieren. Doch Antivirensoftware kennt ihr Muster und verhindert Schlimmeres.
Das Spiel ist professionell geworden
"Im Internet ändern sich die möglichen Bedrohungsszenarien ungefähr alle anderthalb Jahre", sagt John Thompson, Chef von Symantec, dem weltweit größten auf Sicherheitssoftware spezialisierten Unternehmen. Früher war das Programmieren von Schädlingen eine technische Leistungsschau, oft genug von Jugendlichen, wie etwa beim "I love you"- Virus.
"Heute haben sie viel bessere Werkzeuge. Sie haben ein finanzielles Motiv. Und sie investieren einen Teil der Beute, um bessere Techniken zu entwickeln", erklärt er weiter. "Es ist ein professionelles Spiel geworden."
Aus Scham oder Angst vor noch schlimmeren Folgen werden viele Attacken verschwiegen, bei denen es um Geld geht. Doch ab und an werden Fälle publik: So haben im vergangenen Sommer russische Hacker in einer gezielten Aktion mehrere Tage lang Institutionen in Estland angegriffen. Mehr als 48 Stunden war die größte Bank des Landes nicht mehr über das Internet erreichbar.
Ein Branchenkenner berichtet, dass weltweit von einem Drittel aller Wettbüros im Netz Schutzgeld erpresst werde. Zahlen sie nicht, bombardieren die Angreifer die Webseiten der Unternehmen mit sinnlosen Anfragen, sodass die Firmencomputer unter der Last zusammenbrechen. Kunden haben dann keine Chance, Aufträge abzugeben. Die Existenz des Wettbüros steht auf dem Spiel.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt kleineren und mittelständischen Unternehmen, für "adäquaten physischen und technischen Schutz" der Firmendaten zu sorgen, "je nach Wichtigkeit der Informationen". So sind die kritischen Daten zumindest schon einmal gegen Attacken von außen gesichert. Zwei Drittel aller Angriffe allerdings kommen von innen: frustrierte Mitarbeiter, die nach der Kündigung noch Passworte besitzen; Beschäftigte, die auf der Suche nach einem Sonderverdienst wichtige Konstruktionsdaten an Dritte verkaufen; Angestellte, die ohne böse Absicht den Firmenlaptop verlieren, auf dem sich - unverschlüsselt - wichtige Geschäftsinformationen befinden.
Frust, Gier, die eigene Schusseligkeit: Gegen die Gefahren von innen empfehlen Experten vor allem die Schulung der eigenen Mitarbeiter, sodass sie sich der Risiken der Informationsgesellschaft besser bewusst werden. "Sicherheitsbewusste Mitarbeiter bieten Schutz auch da, wo die technischen Maßnahmen nicht greifen", erklärt der Fraunhofer-Sicherheitstechnologe Pflüger.
Joachim Wolff von der Versicherungskammer Bayern ist nicht mehr nur für die IT, sondern für die gesamte Sicherheit des Unternehmens zuständig. Nicht erst seit der Nikolaus-Mail weiß er um die Bedeutung geschulter Mitarbeiter. "Wir haben ein langfristig angelegtes, firmenweites Programm, um die Mitarbeiter zu sensibilisieren." Auf Plakaten etwa, die im Unternehmen hängen, ist im Monat März ein Türschloss zu sehen. "Lassen Sie immer Ihre Haustüre offen?", steht da - ein Hinweis darauf, den Computer stets zu sperren. Das hält Daten-Langfinger zumindest am eigenen Arbeitsplatz zurück.