Cybersicherheit geht jeden an

Corona hat die Digitalisierung in den Fokus gerückt und somit auch die Cybersicherheit. Wie können Angriffe auf kritische Infrastrukturen, Erpressung abgewehrt und private Daten geschützt werden? Der IT-Forensiker Harald Baier gibt Antworten auf diese Fragen und regt zum Nachdenken an. // von Dominik Spiegel

Mit dem Vortrag „IT-Technik und Ethik – Herausforderungen und Perspektiven der Cybersicherheit und der IT-Forensik“ zeigt Harald Baier allgemeine Aspekte der Cybersicherheit und IT-Forensik auf. Baier ist Professor für digitale Forensik am Forschungsinstitut Cyber Defence an der Universität der Bundeswehr München. Sein Anliegen ist es, die Studierenden zum Nachdenken darüber anzuregen, wie sie IT nutzen, denn: „Sie tragen selber dazu bei, die IT-Systeme Ihrer Hochschule und Ihres Arbeitsplatzes sowie Ihre persönlichen Daten zu schützen.“

IT kann im Guten wie im Schlechten genutzt werden

„Wie stark unser berufliches beziehungsweise privates Leben durch IT abhängig ist, merkt man, wenn kein Netzwerkzugang vorhanden ist und man trotzdem auf Daten zugreifen möchte“, unterstreicht Baier die Bedeutung der IT. Was jedem bewusst sein müsse: Wir haben es mit technischen Werkzeugen zu tun, die zum Guten und zum Bösen eingesetzt werden können. Das werde auch mit dem Begriff „Dual Use“ zum Ausdruck gebracht. “Die Technik ist neutral. Sie kann als Angriffstool oder zu einem guten Zweck eingesetzt werden“, betont Baier. Beim „Ethical Hacking“ würden beispielsweise Hacking-Methoden eingesetzt, um gegen potentielle Angreifer vorzugehen.

Angriffe auf Cybersicherheit nehmen zu

Laut dem Bundesamt für Sicherheit in der Informationstechnik BSI gab es im Jahr 2020 117 Millionen neue Schadprogramme. Das seien pro Tag über 300.000 neue Schadprogramme. Dazu zähle Ransomware, sogenannte „Erpressungs-Schadsoftware“, die infizierte Daten verschlüsselt und gegen Bezahlung eines Lösegeldes wieder freigibt. In den letzten Jahren ist die Bedeutung von Schadsoftware gestiegen, berichtet Baier. Dies sei ein großes Problem, nicht nur für staatliche Institutionen und Unternehmen, sondern auch für Privatpersonen.

 

Vor staatlichen Angriffen gibt es kaum Schutz

Im Kontext von Ethik sei es wichtig zu reflektieren, wer hinter Angriffen steht und wie gut man sich schützen kann. Zur ersten von drei großen Herausforderungen zählten die staatlichen Angreifer, zu denen die Nachrichtendienste gehörten. Die „Five Eyes“, bestehend aus den USA, dem Vereinigten Königreich, Kanada, Neuseeland und Australien würden eng zusammenarbeiten. Herr Prof. Baier warnt: „Die Chancen sich gegen Nachrichtendienste zu wehren, wenn man einmal in den Fokus einer solchen Institution geraten ist, sind relativ schlecht.“ Als weitere staatliche Einrichtung nennt er das Bundeskriminalamt, das mit der als Bundestrojaner bezeichneten Software Online-Hausdurchsuchungen durchführen kann.

Organisierte Kriminalität und Wirtschaftsspionage

Die kriminelle Schattenwirtschaft, auch „Black Hats“ genannt, verfolge wirtschaftliche Interessen. Sie würde beispielsweise Schadsoftware einsetzen, um Daten zu stehlen. Das Interesse dieser Gruppen liege beim Geldverdienen, erklärt Baier. Um das Geldverdienen ginge es auch bei der Industriespionage. Hier führte Baier Boeing als ein Beispiel unter vielen an. Dann gebe es noch Anwender, die Schadsoftware zwar nicht selber entwickelten, aber gezielt nutzten, um zu schaden.

Hacker für Cybersicherheit

Eine weitere Gruppe von Angreifern sind die so genannten Anonymous. „Das sind Hacktivisten, auch Cyber-Aktivisten genannt, die auf Sicherheitslücken und sonstige Missstände hinweisen“, erklärt Baier. Das Ziel von Anhängern des Anonymous-Kollektivs sei es, etwas zu verbessern und kein Geld damit zu verdienen.

Goggle, Facebook & Co

Private Firmen wie Google und Facebook bezeichnet Baier als „Datenkrake“. Dies sei mit Blick auf den Schutz privater Daten kritisch, aber „Firmen wie Facebook infiltrieren nicht aktiv Ihr System, sondern durch kostenlose Bereitstellung von Diensten machen Sie Geld mit Ihren bereitgestellten Daten.“ Aus diesem Grund seien diese Unternehmen keine „Angreifertypen“ wie die zuvor genannten.

„Abhören unter Freunden, das geht gar nicht“

Als Beispiel für Angriffe von Nachrichtendiensten nennt Baier den Abhörskandal von Angela Merkels Mobiltelefon in 2013. Der Technische Geheimdienst des Vereinigten Königreich GCHQ habe hier mit der NSA zusammengearbeitet – dies wurde durch den Whistleblower Edward Snowden publik. „Die Reaktion, dass Abhören unter Freunden nicht akzeptabel wäre, ist für mich ein Beispiel für gespielte Empörung“, sagt Baier. Es hätte den Verantwortlichen klar sein müssen, dass Abhören zur Praxis gehöre und dass man sich davor schützen müsse.

So kann man sich schützen

Schutz vor Inhalts- und Verbindungsdaten sei über Anonymisierungsservices wie zum Beispiel den TOR-Browser möglich. Bei einer Umfrage während des Vortrags geben 47 Prozent der Studierenden an, einen solchen Dienst schon einmal genutzt zu haben. Dagegen nutzen nur zehn Prozent der Studierenden eine Verschlüsselung der Emails. „Seien Sie sich bewusst, dass jeder die Inhalte lesen kann!“, mahnt Baier. Viele Messenger-Dienste hätten sich für eine Ende-zu-Ende-Verschlüsselung entschieden, dennoch sollten die Studierenden kritisch hinterfragen, welchen Dienst sie nutzten. Eine weitere Umfrage ergibt, dass 93 Prozent der Studierenden Whatsapp nutzen. „Bedenken Sie, dass Whatsapp nach der Änderung der Nutzungsbedingungen Zugriff auf die Daten Ihres Smartphones hat. Der Dienst Signal würde die persönlichen Daten besser schützen.”

Datenleak in der Cloud

Eine weitere Herausforderung sei die Nutzung von Cloudspeichern und Cloud-Computing. Als Beispiel nannte Baier den Skandal um private Fotos von Jennifer Lawrence in 2014 und die Fehleinschätzung des damaligen EU-Kommissars Günther Oettinger. Oettinger war der Meinung, dass Jennifer Lawrence die Fotos selber im Internet hochgeladen habe. Tatsächlich hatte sie die Fotos jedoch nur in der iCloud gespeichert. Baier kommentiert: „Oettinger hätte sich qua Amt besser auskennen müssen.“ Als Schutz vor Datenklau nennt Baier den Betrieb einer eigenen Cloud. In sogenannten Public Cloud Diensten solle man keine Klartexte sichern und er ergänzt: „Seien Sie unattraktiv für Angreifer.“ Ein sicheres Login und starke Passwörter – besser noch eine Zwei-Faktor-Authentifizierung – wären ein guter Schutz.

Awareness hilft vor Angriffen

Als dritte Herausforderung nannte Baier die Schattenwirtschaft. „Hier können Sie sich schützen, indem Sie möglichst wenig Software nutzen und diese immer auf dem aktuellsten Stand halten“, rät Baier. Wichtig sei es auch, achtsam zu sein, eine Awareness gegenüber möglichen Attacken zu entwickeln: „Klicken Sie nicht auf jeden Link in einer Email und öffnen Sie nicht jeden Anhang.“ Doch wie sollte man reagieren, wenn ein Angriff erfolgt ist? Soll bei einer Ransomattacke, wie beispielsweise beim Lebensmittelhändler Tegut, Lösegeld gezahlt werden? Nur zwei von fünfzig Studierenden spricht sich dafür aus, der Rest dagegen. Fakt ist, dass Tegut zahlte, um Schaden abzuwenden. Dieses Beispiel zeigt, wie wichtig es ist, sich mit Cybersicherheit und der Frage zu beschäftigen, wie im Internet ein Umfeld geschaffen wird, das die verschiedenen Interessen berücksichtigt – vom Schutz der Privatsphäre bis hin zum Schutz vor Angreifern. 
 

Links:

• https://www.bmvg.de/de
  Das Bundesministerium der Verteidigung (bmvg) ist für die Sicherheit in Deutschland zuständig. Da im Jahr 2020 117 Millionen neue Schadprogrammevarianten erfasst wurden, arbeitet das Bundesministerium der Verteidigung oft mit dem Bundesamt für Sicherheit in der Informationstechnik zusammen und versucht Deutschland die größtmögliche Cybersicherheit zu gewährleisten. Auf der Internetseite gibt es spannende Artikel, wie zum Beispiel der Artikel „Herausforderungen der Cyberverteidigung“.
• https://www.athene-center.de/
  Das Nationale Forschungszentrum für angewandte Cybersicherheit ATHENE gehört zu der Frauenhofer-Gesellschaft. Die Wirtschaft, Gesellschaft und der Staat werden fachkräftigt unterstützt im Sinne von Cybersicherheit. Auf der Webseite werden Themenbereiche rund im IT behandelt. Crypto, OPen and Sustainable IoT Security und Secure Urban Infrastructures sind nur drei Beispiele der spannenden Artikel.
• https://www.ccc.de/
  Der Chaos Computer Club (CCC) existiert seit ca. 30 Jahren und in diesen Jahren wurden Sicherheitslücken, Missstände und Spannungen im IT-Bereich thematisiert. Durch die Veröffentlichung des Staatstrojaner Programms oder die der Manipulation von Wahlcomputern machte sich der Chaos Computer Club einen Namen in der Öffentlichkeit, nicht nur in der IT-Szene.
• https://www.hackerone.com/
  Auf Hackerone werden auch die positiven Seiten des „Hacken“ aufgezeigt. Gegründet wurde HackerOne um das Internet sicherer zu machen. Hacker und IT-Sicherheitsbeschäftigte bildeten den Grundstein und schnell wurden es mehr Leute. HackerOne beriet schon mehrere große Firmen wie PayPal, Nin-tendo und Toyota.
• https://www.kaspersky.de/resource-center/definitions/what-is-cyber-security
  Kaspersky Lab wurde bereits 1997 gegründet und bis heute steht das Unternehmen für Sicherheit. Kaspersky ist weltweit eines der größten privat geführten Unternehmen für Cybersicherheit. Auf der Webseite werden interessante Berichte über Themen wie zum Beispiel Cybersicherheit, Cyberkriminalität und Lösungen von IT-Problemen angeboten

 

Die gesamte Vorlesung gibt es hier zu sehen: