Hintergrund
Interview mit Cybersicherheitsexperte: «Im Vergleich zum klassischen Krieg ist der Cyberkrieg ein Nebenschauplatz»
von Philipp Rüegg
Cyber-Attacken auf Firmen: «Es gibt ganz klar mehr Fälle»
7.2.2022
Keine Firma scheint zurzeit vor Cyber-Attacken sicher zu sein. Wie Unternehmen zum Opfer werden, was die Hacker wollen und wie du dich schützen kannst, erklärt Senior Cyber Security Analyst Stefan Rothenbühler im Interview.
Seit sechs Jahren arbeitet Stefan Rothenbühler bei der Baarer Cyber-Security-Firma InfoGuard AG. Im Interview erzählt der erfahrene Security-Analyst, was hinter der aktuellen Welle an Cyber-Angriffen steckt.
Stefan, dein Arbeitgeber InfoGuard fokussiert sich auf Cyber Security – schlägst du dich täglich mit Hackern herum?
Stefan Rothenbühler: Kann man so sagen. Ich arbeite im Computer Security Incident Response Team, das ist die «Feuerwehr» der InfoGuard. Wir kommen, wenn ein Unternehmen einen Hacker-Angriff erlitten hat. Keine Woche vergeht ohne ein bis zwei neue Fälle.
Haben Cyber-Attacken also tatsächlich zugenommen oder ist das nur medialer Schall und Rauch?
Cyber-Attacken haben in den letzten Jahren extrem zugenommen, das ist definitiv nicht nur Schall und Rauch. Klar, es wird mehr in den Medien darüber gesprochen – es herrscht mittlerweile mehr Offenheit – aber es gibt ganz klar mehr Fälle.
Welche Unternehmen wenden sich an euch?
Viele KMU. Mittlerweile werden weniger Grossfirmen wie Banken oder Versicherungen gehackt. Wenn sich bei uns grössere Firmen melden, sind das vor allem Industrieunternehmen. Wie viele KMU haben diese Industriefirmen noch nicht so einen starken Schutz wie zum Beispiel Banken aufgebaut.
Was ist das zweite Einfallstor?
Phishing oder Spam-Mails. Zum Beispiel solche, die dich zum Download eines Programms einladen, um ein vermeintlich verschollenes Paket zu tracken. Da schlägt der Virenschutz oft nicht an und sogenannte Remote-Access-Trojaner werden installiert. Auch wenn Mitarbeitende Passwörter auf einer Phishing Webseite angeben, können Angreifer sofort auf das Netzwerk zugreifen, wenn keine MFA installiert ist.
Die dritte Angriffsfläche sind Sicherheitslücken in Produkten, die sehr schnell ausgenutzt werden. Das kann eine Lücke im Microsoft-Exchange-Server sein oder auf kollaborativen Plattformen wie Confluence, die Hacker innerhalb von Stunden ausnutzen.
«Will sich eine Firma auf den Schutz alleine konzentrieren oder sich bereits auf einen Angriff vorbereiten?»
Wie hoch sind solche Lösegeldforderungen?
Normalerweise werden zwei bis drei Prozent des Jahresumsatzes gefordert. Fälle, die darüber hinausgehen, sind eher selten. Wenn ein Unternehmen aber 500 Millionen Jahresumsatz macht, sind es schnell einmal 20 Millionen.
«Wir führen immer Scheinverhandlungen, um mehr über die Angreifer herauszufinden.»
Heisst das, die Angreifer kommunizieren mit euch?
Ja. Wir führen immer Scheinverhandlungen, um mehr über die Angreifer herauszufinden. So erfahren wir die Lösegeldforderung und sehen, wie der Umgang mit ihnen ist. Das gibt Hinweise auf die Herkunft. Manchmal finden wir so sogar heraus, wie die Angreifer ins System gekommen sind. Sie bluffen teilweise damit, wie einfach es gewesen sei, auf bestimmte Art einzudringen.
Was ist das für ein Chat und in welcher Sprache sprecht ihr?
Wir haben es bis jetzt immer auf Englisch versucht – manchmal kommt dann gebrochenes und manchmal sehr gutes Englisch zurück. Bei Ransomware findet der Chat jeweils im Tor-Netzwerk im Darknet statt. Es kommt auch vor, dass der Angreifer das Telefon in die Hand nimmt und die Firma anruft.
Diese Verhandlungen sind der Polizeiarbeit sehr ähnlich. Hattet ihr spezielle Coachings oder lernst du das mit der Zeit?
Unser Vorgesetzter war früher Cyber-Ermittler. Zudem lernt man es «on the job». Wir arbeiten sehr eng mit der Strafverfolgung und dem Bund zusammen, mit dem NCSC und den Kantonspolizeien. Mit ihnen stehen wir in regem Austausch. Meines Wissens führt die Polizei selber aber keine Verhandlungen.
«Es ist immer besser, wenn Firmen selber über den Angriff informieren, als wenn es die Öffentlichkeit über die Medien erfährt.»
Welche Lehren können private Internet-User aus dieser Angriffswelle ziehen?
Den gesunden Menschenverstand zu nutzen und Dinge bewusster auszuführen – und natürlich gibt es auch konkrete technische Massnahmen. Als Erstes wäre da die MFA – diese sollte, wo möglich, unbedingt aktiviert sein. Denn MFA schützt sehr gut. Zwar gibt es auch da Angriffe, doch die Hürde ist viel höher.
«Ich hätte gerne, wenn die Schweiz wie früher wieder ein sicherer Hafen wäre – nicht nur für Menschen, sondern auch für Daten. »
Wegen der allgemeinen Bedingungen oder weil die Schweiz etwas verpasst hat?
Man kann sich immer darüber streiten, ob die Schweiz mit der Digitalisierung etwas verpasst hat oder nicht. Ich kenne die Perspektive der Unternehmen: Sie wollen produzieren – da ist die Sicherheit nicht an erster Stelle – verständlich. Doch wenn wir das Netzwerk bei solchen Angriffen mit allen Beteiligten noch etwas verstärken könnten, sind wir auf gutem Weg.
«Ich will alles! Die erschütternden Tiefs, die berauschenden Hochs und das Sahnige dazwischen» – diese Worte einer amerikanischen Kult-Figur aus dem TV sprechen mir aus der Seele. Deshalb praktiziere ich diese Lebensphilosophie auch in meinem Arbeitsalltag. Das heisst für mich: Grosse, kleine, spannende und alltägliche Geschichten haben alle ihren Reiz – besonders wenn sie in bunter Reihenfolge daherkommen.
Security
Folge Themen und erhalte Updates zu deinen Interessen
Hintergrund
Interessantes aus der Welt der Produkte, Blicke hinter die Kulissen von Herstellern und Portraits von interessanten Menschen.
Alle anzeigen
