Aufrufe
vor 3 Jahren

Die „Next Eleven“ - IHK Regensburg

Die „Next Eleven“ - IHK Regensburg

Experten referierten in

Experten referierten in der IHK über IT-Sicherheit. (Foto: Burdack)Auftragsklau und LösegeldIT-Attacken zielenauf den MittelstandGefahr durch infizierteWebsitesIT-Spionage und Sabotage via Internet sind für Unternehmennicht neu. Neu sind immer wieder die Methoden, die Hacker sicheinfallen lassen. Bei der Roadshow „Sicheres Internet“ in der IHKzeigten Experten, wie ins Firmennetzwerk eingebrochen wird undwie man IT-Attacken vorbeugen kann.von Peter BurdackImmer wieder liest man über große Hackerangriffein den Schlagzeilen. Mal werdenhunderttausende Kundendaten geklaut,ein andermal eine Internetseite indie Knie gezwungen oder Firmengeheimnisseausgeplaudert. IT-Kriminalität trifftnicht nur die Großen. 31 Prozent aller gezieltenIT-Attacken hatten im Jahr 2012 Unternehmenmit weniger als 250 Mitarbeiternzum Ziel. KMUs geraten immer häufiger insVisier von Hackern. Warum? Es ist weithinbekannt, dass hier viele Innovationen entstehen.„Menschen, die es auf geistiges Eigentumabgesehen haben, gehen gezielt in den deutschenMittelstand, weil sie hier die Ideen stehlenkönnen, die sie benötigen“, sagt Lars Krollvon der Firma Symantec bei der Roadshow„Sicheres Internet“ des IT-Security-ClustersBayern in der IHK.Immer beliebter werden Attacken auf produzierendeUnternehmen. Eine Maschine kannman auseinandernehmen und nachbauen,bei ihrer komplexen Steuerungssoftware istdas vielleicht nicht so einfach. Um an die ranzu kommen, werden kriminelle IT-Dienstleisterbeauftragt. Diese Spione steigen nichtnachts in die Firma ein. „Das sind professionelleBusinessleute in Anzügen mit eigenemBüro“, sagt Kroll.So funktioniert eine gezielte IT-AttackeEin gezielter Angriff kann dauern, manchmalMonate lang. Es kommt darauf an, was derAuftraggeber möchte und wie aufwendig esist, an die Informationen heranzukommen.Bei der kanadischen TelekommunikationsfirmaNortel waren Hacker fast über zehnJahre hinweg unbemerkt im Firmennetz!Sie richteten das Unternehmen peu a peu zuGrunde. Der typische IT-Angriff indes ist eineeinmalige Auftragsarbeit. Sie teilt sich in fünfSchritte, die hier beispielhaft aufgeführt werden:1. ErkundungDie Einbrecher machen sich Gedanken,wie sie in das Firmennetz eindringen unddort an die nötigen Informationen gelangenkönnen. Zielscheibe ist meist derRechner eines Mitarbeiters mit relevantenZugangsberechtigungen: IT-Admin, Entwickler,Außendienstler oder jemand ausder Chefetage. Ist das Opfer ausgemacht,wird überlegt, wie es in die Falle tappt. DieZielperson wird ausgehorcht, was dank sozialerNetzwerke oft leicht fällt.2. EinbruchDas Schadprogramm, meist ein Trojaner,der sich Zutritt zum Firmennetzwerk verschafft,gelangt über einen infizierten USB-Stick oder einen geöffneten E-Mail-Anhangauf den Rechner. Bei gezielten Attackensteckt der Trojaner in der Regel nicht ineiner dummen Phishing-Mail! Wenn zumBeispiel das Opfer sich auf Facebook alsMountainbike-Freak outet, bekommt ereine E-Mail mit einem fiktiven Angebotvon einem Fahrradladen. Sobald er das Pdf-Dokument im Anhang öffnet, wird unbemerktdas Schadprogramm installiert. DerRechner kann jetzt von der Ferne aus gesteuertund zum Beispiel Passwörter protokolliertwerden.46 WIKO I 9 I 2013

IHK3. AnalyseÜber den ferngesteuerten Rechner verschaffensich die Einbrecher erst einmaleinen Überblick über das Unternehmensnetzwerk.Sie lassen sich Zeit, damit keineretwas bemerkt. Dann tasten sie sich zuden Informationen vor, die sie beschaffensollen.4. ErfassungDie zu stehlenden Informationen werdenvon den Einbrechern gesammelt, und irgendwoinnerhalb des Firmennetzwerks anversteckter Stelle abgespeichert.5. AusschleusungDen Coup vollendet die „sichere Überführung“der Informationen. Sie sollenklammheimlich ausgeschleust werden.Das kann zum Beispiel wieder über eineE-Mail geschehen, die die Informationenin verschlüsselter Form enthält. Der Auftraggeberdes Einbruchs bekommt die Informationendann in gewünschter Formaufbereitet.Auch nicht gezielte Attacken schadenNach wie vor gibt es viele nicht gezielte Attacken,die auf eine hohe Verteilung von Schadsoftwareabzielen. Häufig steckt dahinter dieAbsicht, ein möglichst großes Bot-Netz zu errichten.Alle mit der gleichen Schadsoftwareinfizierten Rechner bilden dann ein zusammenhängendesNetz.Je größer dieses „schwarze“ Netz, umso mehrSchaden kann es anrichten. Zum Beispiel könnendie Hacker dafür sorgen, dass alle infiziertenRechner auf einmal eine Internetseiteansteuern, um dort den Server in die Knie zuzwingen. Wenn das Ziel so einer Attacke zumBeispiel die Seite eines Onlineshops ist, kanndas für die Firma existenzbedrohend sein.Diese so genannten DDoS-Angriffe nenntMarkus Schaffrin vom eco-Internetverband„moderne Erpressungsmethoden, hinter denenmeist simple Lösegeldforderungen stecken.“Was die wenigsten wissen: die meiste Schadsoftwarefangen sich Rechner heute nichtmehr über E-Mail-Spam, sondern über einfachesWebsurfen ein! 53 Prozent aller normalenWebsites haben Schwachstellen in ihrerProgrammierung, die sie angreifbar fürHacker machen. Sind Sicherheitslücken imQuellcode einer Internetseite ausgemacht,werden schädliche Programme zum Beispielauf die Startseite hinein programmiert.Jeder, der eine manipulierte Seite aufruft,wird, ohne dass er es merkt, Schadsoftwareauf seinen Rechner herunterladen und installieren.61 Prozent der infizierten Websites sind ganznormale Seiten. Prominente Ziele waren inletzter Zeit Sparkasse.de, Wetter.com oderExpedia. Das ist natürlich schädlich für dieReputation dieser Unternehmen.Was kann man gegen IT-Attacken tun?„Dumm ist nicht der Nutzer, der einen mitTrojanern verseuchten USB-Stick in den Firmencomputersteckt, sondern das Firmennetzwerk,das den Trojaner nicht erkenntund abwehrt“, verteidigt Manuel Koschuchvon der FH Campus Wien den oft gescholtenenComputeranwender. Wer sich beruflichmit IT-Sicherheit befasst, muss sich fühlenwie ein Doping-Kontrolleur, der immer wiederneuen Dopingmitteln im Sport hinterherlauft.„Das ist ein ständiges Hase-Igel-Spiel zwischen den Bösewichten und uns“,räumt Markus Schaffrin vom Verband ecoein und hofft, dass der Abstand zwischen beidennicht zu groß wird. Im Kasten finden SieTipps der Experten für mehr IT-Sicherheit inIhrem Firmennetz. ■Maßnahmen gegen IT-AttackenInitiative-S: Ein kostenloser Service für Unternehmen,gefördert vom Bundeswirtschaftsministerium.Registrierte Websites werden laufendnach Schadsoftware gescannt.www.initiative-s.deDE-Cleaner: Kostenloses Tool, das den PC vonSchadsoftware reinigt. www.botfrei.deBrowsercheck: Hier können Sie feststellen, obIhr Browser und seine Plug-Ins noch aktuell unddamit größtmöglich sicher sind.www.botfrei.de/browsercheckProfessionelle IT-Sicherheitslösung: KostenloserVirenschutz reicht bei Firmennetzwerken oftnicht aus, um effektiven Schutz vor Viren undMalware zu gewährleisten.Updates, Updates, Updates: Nicht nur dasBetriebssystem, auch der Internetbrowser oderProgramme wie Java sollten immer aktuell sein.Die Experten raten, innerhalb von 48 Stundenneue Updates auf den Rechner zu installieren.Besonders angreifbar sind Plug-Ins für ihreBrowserapplikationen. Achtung bei Windows XP:Da gibt es ab Frühjahr 2014 keine System- undSicherheitsupdates mehr!Adminrechte einschränken: Die Anzahl derPersonen mit Administratorenrechten solltebeschränkt sein. Ein normaler Arbeitsrechnersollte nie mit Admin-Rechten betrieben werden.Auch sollten Sie genau überlegen, zu welchenInformationen ein Mitarbeiter Zugang benötigtund zu welchen nicht. Sie sollten diese Rechtevergabedokumentieren.Whitelisting aller Programme: Erstellen Sieeine Liste mit den Programmen, die Sie in derFirma verwenden. Programme, die nicht aufder Liste stehen, sollten nicht genutzt werdendürfen.Mitarbeiter sensibilisieren: Natürlich solltenCompliance-Regeln ihren Mitarbeitern bewusstmachen, wie sie mit sensiblen Firmendaten,Passwörtern, oder mobilen Geräten umgehensollen. Trotz allem sollten Sie dafür sorgen, dassIT-Sicherheit auf Verständnis stößt. Fakt ist: Oftumgehen Mitarbeiter bewusst oder unbewusstIT-Sicherheitsvorgaben, weil sie ihre Produktivitäterhöhen wollen.Fremde Rechner im Netz? Das sollte natürlichgar nicht sein. Problematisch wird es, wennMitarbeiter eigene Geräte mitbringen und auchdienstlich nutzen, so genanntes „Bring your ownDevice“, oder wenn man im Kundenbesprechungsraumsich ohne weiteres über ein LAN-Kabel ins Firmennetz einklinken kann.Partner einbeziehen: Nicht jeder hat das Geldfür eine IT-Sicherheitsabteilung mit mehrerenMitarbeitern. Man kann sich beim Thema IT-Sicherheitaber Partner suchen, z. B. Systemhäuserin der Region, regionale Telekommunikationsanbieteroder Dienste aus der Cloud.WIKO I 9 I 2013 47

Tourismusstrukturen im Bezirk der IHK Regensburg
Strategisches Outsourcing im Einkauf - IHK Regensburg
Portfolio: Pro Eleven Visualisierung
Studie „Wirtschaftsfaktor Tourismus - IHK Regensburg
Elektronik components - next!-Community
mit Elektronikautomotive fahren Sie besser! - next!-Community
Passt perfekt zu Ihren Kunden! - next!-Community
Elektronik ecodesign 2013 - next!-Community
sehen Sie Details besser! Mit - next!-Community
Programm der Regensburger Museumsnacht - Stadt Regensburg