Cyberattacken: So gefährlich sind sie – und so schützen Sie sich

«Ich will Unternehmen vor Leuten schützen, wie ich selbst einer war», sagt Ex-Hacker Patrick Brielmayer. Der Informatiker hat früher Viren und Trojaner programmiert oder DDOS-Attacken ausgeführt, also das gezielte Lahmlegen von Webauftritten. Erwischt wurde er nie – «aber ich musste immer aufpassen und war angespannt». Deshalb hat Patrick Brielmayer die Seiten gewechselt und eine IT-Sicherheitsfirma gegründet. Heute öffnen ihm seine Unternehmenskunden freiwillig die Netzwerke, damit er sie nach Spuren von Cyberangriffen durchforstet. Sein Schwerpunkt ist die Analyse von Schadsoftware: «Ich finde heraus, wie der Angriff stattgefunden hat und welcher Schaden entstanden ist.» Brielmayers Mission: Er will Firmen über die Gefahren von Cyberkriminalität aufklären und zu einer besseren Absicherung beitragen.

Dieses Anliegen treibt auch Daniel Nussbaumer an. Der doktorierte Jurist ist Chef der Abteilung Cybercrime bei der Zürcher Kantonspolizei. In seinem Team arbeiten mittlerweile 15 Ermittler und 30 digitale Forensiker, darunter auch viele Informatiker. Die zunehmende Digitalisierung hat die Arbeit der Polizei komplexer gemacht, denn übers Internet entstehen ganz neue Wege, um Verbrechen zu begehen. 

Viele KMU, so berichtet Daniel Nussbaumer, sind beispielsweise vom «CEO-Fraud» betroffen: Cyberkriminelle bauen eine typische E-Mail des Chefs nach. Darin bittet er, eine dringende Zahlung von 5’000 Franken zu veranlassen. Doch wenn der Buchhalter das Geld überweist, landet es bei den Hackern. «Dahinter stecken in der Regel ganze Teams», so Nussbaumer. «Einer programmiert, einer kann gut schreiben und der Dritte macht die Recherchen.» Der Kapo-Spezialist rät, bei überraschenden E-Mails immer telefonisch rückzufragen.

Die Kapo Zürich ist ausser­dem häufig mit sogenannter Crypto-­Ransomware kon­fron­tiert: Eine Schad­software verschlüsselt alle Infor­mationen im Computer­system der betroffenen Firma. Kurz darauf erscheint eine Löse­geld­forderung auf dem Bild­schirm, normaler­weise in Bitcoin. «Wir empfehlen ganz klar, nicht zu zahlen», sagt Daniel Nussbaumer. «Jede Zahlung finanziert neue Angriffe.» Ausser­dem wisse man nie, ob die Erpresser die Daten tatsächlich frei­geben. Und hat der Hacker eine bislang unbe­kannte Crypto-­Ransomware verwendet, ist diese selbst für Profis nicht zu knacken. Deshalb rät Daniel Nussbaumer allen Unter­nehmen dringend, sich auf solche Attacken vorzubereiten.

Christian Zanvit ist Head Cyber Underwriting bei Zurich Schweiz, sein Team hat die Zurich-Cyberversicherung entwickelt. Für ihn sind die Ransomware-Attacken ein schwerwiegendes Problem. Er spricht sogar von einem Sicherheitsmythos: «Viele Unternehmen glauben, mit regelmässigen Back-ups seien sie bereits geschützt.» Doch wird das Back-up nicht vom Netz genommen, fällt es ebenfalls dem Angriff zum Opfer. Ausserdem werde die Schadsoftware oft erst einige Zeit nach der Attacke aktiviert. Dann sei möglicherweise auch das Back-up kontaminiert. «Zudem ist es viel kostspieliger und mühsamer, die Daten wieder aufzuspielen, als die Leute denken.»

Laut Ex-Hacker Brielmayer erfahren die Firmen oft erst von einem Cyberangriff, wenn der Angreifer etwas fordert – oder die Daten des Unter­nehmens irgendwo auftauchen. Es sei eine Illusion, sich dank Firewall und Antivirus­programm sicher zu fühlen. Mit den handelsüblichen Instrumenten könne man zwar einen Basisschutz gegen bekannte Viren erwerben, doch neu geschriebene Schad-Software werde nicht erkannt: «Es ist ein Katz-und Maus-Spiel.» Um Schad­software erst gar nicht ins IT-Netzwerk zu lassen, empfiehlt er, dass auch KMU mindestens einmal pro Jahr ihre Mitarbeitenden in einer IT-Security-Schulung sensibilisieren. Denn: «Der Mensch ist häufig das schwächste Glied, die meisten Hacks passieren durch die Unaufmerk­samkeit von Mitarbeitenden», ist auch Zurich Experte Christian Zanvit überzeugt. Dies belegen auch die Erfahrungen unserer Partnerfirma SoSafe: Fast jede dritte Person lässt sich dazu verleiten, auf potenziell schädliche Inhalte in Phishing-Mails zu klicken.

Patrick Brielmayer schätzt den Diebstahl von Unternehmensdaten als grösste Cybergefahr in der Schweiz ein: «Jedes KMU hat seine Geheimnisse, mit denen es auch Geld verdient – Ideen, Rezepte, Baupläne, Kunden- oder Bank-Daten oder Versicherungsnummern. Wenn diese Daten weg¬kommen, ist das gar nicht gut.» Das bestätigt auch Daniel Nussbaumer von der Kapo. Jedes KMU könne zum Opfer werden und müsse sich deshalb fragen, welche Daten einen besonderen Schutz benötigen.

Für Patrick Brielmayer sind Bewerbungen per E-Mail, fingierte Be-schwerden oder Produkt­anfragen das perfekte Vehikel für eine Cyberattacke. Auch klassische Phishing-E-Mails seien heutzutage oft so gut gemacht, dass sogar ein aufmerksamer Leser darauf hereinfallen könne. Zuweilen fälschen die Hacker ganze Webseiten mit Formularen, die denen von Telekomfirmen oder Online-kaufhäusern zum Verwechseln ähnlich sehen. Oder die Cyberkriminellen geben sich als Techniker aus und fragen Kundendaten per Telefon ab.

Besonders gefährdet, glaubt Brielmayer, sind Firmen mit Online-shops. Wenn diese mit einer sogenannten DDOS-Attacke lahmgelegt werden, liegt das Geschäft für Stunden oder sogar Tage brach. «Noch schlimmer ist es, wenn Kundendaten geklaut oder veröffentlicht werden. Ich kenne solche Fälle, das hat weitreichende Folgen.» Sind die Cyber­kriminellen einmal im Netzwerk, suchen Sie nach verwertbaren Unterlagen, erläutert Versicherungsexperte Christian Zanvit. Für die KMU sei vor allem der Betriebs­unterbruch und Datenverlust als Folge einer erfolgreichen Attacke relevant, doch auch Schaden­ersatz­forderungen können die Folge sein. 

Daniel Nussbaumer von der Kantonspolizeit Zürich bedauert, dass viele betroffene Firmen keine Anzeige erstatten: «Wir sehen wohl nur einen kleinen Teil der Fälle. So verpassen viele die Chance auf Aufklärung.» Sein Rezept, damit Cyberrisiken nicht zur Katastrophe werden: «Durch gute IT sowie Aufklärung der Mitarbeiter Angriffe verhindern. Einen möglichen Schaden begrenzen. Und wenn doch etwas passiert ist: den Weg zu uns nicht scheuen. Es ist keine Schande, zum Hacking-Opfer zu werden – das kann jedem passieren.»