„Innerhalb weniger Stunden hatten die Täter Zugriff auf mehrere Systeme, verschlüsselten die Server und legten die Produktion vollständig lahm.“ Dieses Beispiel stammt nicht aus einer IT-Security-Schulung, sondern aus der Ermittlungspraxis eines Cybercrime-Ermittlers der Kriminalpolizei.
Andreas Kaiser ist stellvertretender Dezernatsleiter im Bereich Cybercrime und beschäftigt sich seit über zehn Jahren mit der Aufklärung von Cyberstraftaten gegen Unternehmen. Zusätzlich ist er als freiberuflicher Speaker im Bereich Security Awareness tätig. Im nachfolgenden Teil 1 eines zweiteiligen Interviews berichtet er aus seiner aktuellen Ermittlungspraxis: über die aktuelle Bedrohungslage für kleine und mittlere Unternehmen, den typischen Ablauf eines Angriffs und die Rolle, die der Mensch dabei spielt.
Hallo Herr Kaiser, Sie sind Cybercrime-Ermittler und stellvertretender Dezernatsleiter bei der Kriminalpolizei Freiburg. Können Sie sich in zwei, drei Sätzen kurz vorstellen?
Andreas Kaiser: Gerne. Ich bin Andreas Kaiser, seit über zehn Jahren beschäftige ich mich mit der Aufklärung von Cyberstraftaten – insbesondere mit Angriffen auf Unternehmen. Parallel dazu liegt mir das Thema Security Awareness besonders am Herzen. Deshalb bin ich seit diesem Jahr auch freiberuflich als Speaker im Bereich Cybercrime und Cyber Awareness tätig.
Die Nachfrage ist inzwischen enorm. Erst kürzlich habe ich beim Käpsele Innovation Festival in Freiburg eine Master Class zum Thema Cybercrime und Security Awareness gehalten. In den Gesprächen mit den Teilnehmerinnen und Teilnehmern wird immer wieder deutlich, wie präsent das Thema inzwischen ist – gleichzeitig besteht noch großer Aufklärungsbedarf. Genau hier möchte ich mit meiner Arbeit ansetzen.
Laut aktueller Zahlen, z.B. des Bundesamts für Sicherheit in der Informationstechnik (BSI), ist die Anzahl von Cyberattacken auf kleine und mittlere Unternehmen in Deutschland deutlich gestiegen. Können Sie dies aus Ihrer Praxis bestätigen? Gibt es Branchen, die besonders häufig betroffen sind?
Andreas Kaiser: Ja, das kann ich aus meiner täglichen Arbeit eindeutig bestätigen. Die Zahlen des BSI sind für mich keine abstrakte Statistik, sondern spiegeln das wider, was ich nahezu wöchentlich in den Ermittlungen erlebe. Cyberangriffe auf kleine und mittlere Unternehmen haben in den vergangenen Jahren sowohl in ihrer Häufigkeit als auch in ihrer Professionalität deutlich zugenommen.
Besonders betroffen sind Unternehmen, die stark digital arbeiten, aber häufig nicht über die gleichen Sicherheitsressourcen verfügen wie große Konzerne. Dazu gehören beispielsweise Handwerksbetriebe, mittelständische Industrieunternehmen, Arztpraxen, Kanzleien oder Dienstleister.
Letztlich ist heute jedoch kaum noch eine Branche außen vor. Die Täter greifen längst nicht mehr gezielt einzelne Unternehmen an. Viele Angriffe laufen automatisiert ab. Entscheidend ist für die Kriminellen vor allem, ob ein Unternehmen angreifbar und wirtschaftlich interessant ist.
Wie läuft so ein Cyberangriff in der Regel ab? Gibt es ein anonymisiertes Fallbeispiel, das Sie kurz exemplarisch schildern können?
Andreas Kaiser: Viele Cyberangriffe folgen heute einem ähnlichen Muster. Häufig beginnt alles mit einer täuschend echten E-Mail – etwa mit der Aufforderung, sich aus Sicherheitsgründen erneut beim E-Mail-Konto anzumelden. Diese Nachrichten wirken inzwischen so professionell, dass sie selbst für erfahrene Nutzer kaum von echten Mitteilungen zu unterscheiden sind.
Klickt ein Mitarbeiter auf den Link und gibt seine Zugangsdaten ein, verschaffen sich die Täter Zugang zum Unternehmensnetzwerk. Anschließend bewegen sie sich oft unbemerkt durch die Systeme, sammeln weitere Zugangsdaten und verschlüsseln schließlich Server und Arbeitsplätze. Erst dann bemerkt das Unternehmen meist den Angriff.
Ein Beispiel aus meiner Praxis: Ein Mitarbeiter eines mittelständischen Unternehmens erhielt eine vermeintliche Sicherheitsmeldung seines E-Mail-Anbieters. Er folgte dem Link und meldete sich dort an. Innerhalb weniger Stunden hatten die Täter Zugriff auf mehrere Systeme, verschlüsselten die Server und legten die Produktion vollständig lahm. Kurz darauf meldeten sie sich mit einer Lösegeldforderung. Der wirtschaftliche Schaden entstand dabei nicht nur durch den Angriff selbst, sondern vor allem durch den mehrtägigen Produktionsstillstand.
Der Mensch wird im Zusammenhang mit Cyberattacken immer wieder als Risikofaktor Nr. 1 genannt. Können Sie dies aus Ihrer täglichen Praxis bestätigen? Welche menschlichen Fehler wiederholen sich Ihrer Erfahrung nach in der Praxis am häufigsten?
Andreas Kaiser: Ja, das kann ich ganz klar bestätigen. In den meisten Fällen ist nicht eine technische Schwachstelle der Einstiegspunkt, sondern ein menschlicher Fehler.
Immer wieder erlebe ich, dass Mitarbeiter Anhänge öffnen, obwohl sie diese gar nicht erwartet haben. Passwörter werden mehrfach verwendet oder sind zu einfach gewählt. Die Mehrfaktor-Authentifizierung wird aus Bequemlichkeit nicht genutzt oder sogar bewusst umgangen.
Besonders gefährlich ist jedoch Social Engineering. Dabei bauen die Täter gezielt Vertrauen auf und geben sich beispielsweise als IT-Abteilung aus. Ein Satz wie: „Hallo, hier ist die IT. Wir müssen Ihr Passwort kurz überprüfen“, reicht oft schon aus, damit Zugangsdaten preisgegeben werden.
Technische Schutzmaßnahmen sind wichtig. Doch wenn ein Mensch den Angreifern die Tür öffnet, kann selbst die beste Firewall den Schaden häufig nicht mehr verhindern.
Kommen wir auf den „worst case“ zu sprechen. Der Cyberangriff war erfolgreich. Ab wann kommen Sie von der Cybercrime-Abteilung ins Spiel? Welche Unterstützung bieten Sie den betroffenen Unternehmen an?
Andreas Kaiser: In der Regel werde ich eingeschaltet, sobald ein Unternehmen Strafanzeige erstattet oder klar ist, dass digitale Spuren gesichert werden müssen. Je früher die Polizei eingebunden wird, desto größer ist die Chance, wichtige Beweise zu sichern und den Tathergang möglichst genau nachzuvollziehen.
Die Aufgabe der Polizei besteht in der strafrechtlichen Aufklärung. Wir untersuchen, wie die Angreifer in das Netzwerk eingedrungen sind, welche Spuren sie hinterlassen haben und ob sich Hinweise auf die Täter oder deren Infrastruktur finden lassen.
Wichtig ist aber auch: Wir sind keine IT-Rettungstruppe. Die technische Wiederherstellung der Systeme liegt beim Unternehmen und den beauftragten IT-Dienstleistern. Die Polizei unterstützt bei der Beweissicherung, berät zum Umgang mit dem Vorfall und leitet – soweit möglich – die strafrechtliche Verfolgung der Täter ein. Viele Unternehmen sind erleichtert, wenn sie feststellen, dass sie in einer solchen Ausnahmesituation nicht allein sind und es klare nächste Schritte gibt.
Welche Reaktion erleben Sie typischerweise bei den betroffenen Unternehmen, wenn klar ist: „Es hat uns erwischt“?
Andreas Kaiser: Die erste Reaktion ist fast immer Schock. Dann kommt oft eine Mischung aus Unglauben, Ärger und auch Scham. Viele fragen sich: „Wie konnte das uns passieren? Wir dachten, wir wären doch relativ sicher.“ Gleichzeitig herrscht enormer Druck – die Systeme liegen brach, Kunden warten, Mitarbeiter wissen nicht, was sie tun sollen. Manche Unternehmen versuchen erst einmal, den Vorfall intern zu halten, andere melden ihn relativ schnell. In jedem Fall ist die Unsicherheit groß: Was darf man noch anfassen? Wen ruft man an? Und wie erklärt man das den eigenen Leuten und den Kunden?
Dies ist der erste Teil unseres Interviews. Im zweiten Teil, der in Kürze folgt, spricht Andreas Kaiser über Kosten, Prävention und seine konkreten Empfehlungen für Geschäftsführerinnen und Geschäftsführer.
Sie möchten regelmäßig über aktuelle Informationen, Tipps und Hintergründe zum Thema Security Awareness informiert werden? Dann abonnieren Sie am besten die Security Awareness Insights
Weitere Beiträge zum Thema: