Interview mit LRM Risikomanagement AG, Felix Lechner und Stefan Mettler, ist Senior Consultant & Partner bei SEC Consult (Schweiz) AG in Zürich und berät weltweit Unternehmen im Bereich der Informationssicherheit.
1. Sie sind hauptberuflicher Hacker und IT Sicherheitsspezialist. Wie stark ist das Bewusstsein für Datensicherheit in Betrieben verbreitet und wie hoch ist Ihrer Erfahrung nach das Bewusstsein im Umgang mit vertraulichen Daten?
Das Bewusstsein gegenüber Datensicherheit sowie das Schützen vertraulicher Informationen oder personenbezogener Daten sind grösser geworden in den letzten Jahren. Das zeigt auch der jüngste Entscheid vom Europäischen Gerichtshof über das Safe-Harbor-Urteil 1 vom 6. Oktober 2015.
KMUs und die Bevölkerung sind sensibilisiert, alleine durch die vielen Meldungen in den Mainstream Medien über gezielte Hackerangriffe auf Konzerne oder kritische Infrastrukturen wie im Juni 2010, wo eine Malware wie Stuxnet 2 zum ersten Mal gezielt die Siemens Leittechnik einer Urananreicherungsanalge in Natanz oder des Kernkraftwerk Buschehr im Iran zu stören versuchte. Mit Erfolg!
Aktuell gibt es wenig Experten auf diesem Gebiet, die in der Lange sind, solchen Schadcode zu entwickeln und das nötige Budget dafür aufwenden können. Zwangsläufig kommen da Regierungseinrichtung oder Privatfirmen in Frage, die über die entsprechende Portokasse oder das politisches Interesse verfügen und in der Lage sind, solche Advanced Persistent Threat (APT) 3 Angriffe in die Tat umzusetzen.
Neben staatlich, koordinierten Cyberangriffen (APT) ist das Ziel von kriminellen Organisationen im Internet meist, monetäre Werte oder illegale Geldtransfers auf Kosten der Opfer zu tätigen oder zu verschleiern, indem Schwachstellen in Systemen ausgenutzt werden oder der Faktor Mensch bewusst ausgetrickst wird. Beispielsweise wird durch gezieltes Phishing das Opfer gezwungen, persönliche Benutzerdaten wie Passwörter, Vertragsnummern oder mTANs auf einem Web-Formular einzugeben, die Daten werden meist auf einem Server in Russland und China speichert.
Viele Unternehmen haben begonnen, ihre elektronischen Informationen und Dokumente entsprechend zu klassifizieren und mit üblichen Bewertungen wie öffentlich, intern, geheim/vertraulich anzuwenden. Gleichzeitig muss das interne Regelwerk, sowie Sicherheitsdispositiv adäquat angepasst werden, um die Gesamtsicherheit in einem Unternehmen erhöhen zu können. Compliance Anforderungen wie bei Bankkundendaten (Client Identifying Data – CID) müssen gemäss FINMA 4 Rundschrieben „operationelle Risiken bei Banken“ müssen ohnehin einem Mindeststandard entsprechen. Das zwingt Finanzdienstleister und Unternehmen in der Schweiz mehr in die Informationssicherheit zu investieren um die schützenswerten Assets besser überwachen zu können.
Daher ist ein allgemeines Sicherheitsbewusstsein in den Betrieben schon vorhanden, doch 100% gibt es nicht und sicherheitsrelevanten Prozesse sollten laufend verbessert und an die aktuelle Bedrohungslage angepasst werden können.
1 http://www.edoeb.admin.ch/datenschutz/00626/00753/00970/01320/index.html?lang=de
2 https://de.wikipedia.org/wiki/Stuxnet
3 https://de.wikipedia.org/wiki/Advanced_Persistent_Threat
4 https://www.finma.ch/de/news/2013/10/mm-rs-opr-risiken-banken-20130110
2. Wie sicher ist die herkömmliche Emailkommunikation?
Primär gilt es festzuhalten, was herkömmliche E-Mail Kommunikation bedeutet. Viele Unternehmen oder Privatpersonen nutzen einen herkömmlichen E-Mail Client wie Microsoft Outlook oder Alternativen wie Thunderbird (Open Source). Das Problem bei klassischer E-Mail Kommunikation ist, dass ein Internet Service Provider (ISP) die Möglichkeit hat, den E-Mail Verkehr oder die Metadaten jederzeit zu überwachen. Auch potenzielle Angreifer sind in der Lage, klassische E-Mail Kommunikation mit diversen Angriffsmethoden überwachen zu können. Wir empfehlen prinzipiell, das die geschäftsrelevante E-Mail Kommunikation mit Technologien wie PGP 5 und S/MIME 6 verschlüsselt und aus Gründen der Integrität und Beweispflicht signiert und archiviert wird.
5 https://de.wikipedia.org/wiki/Pretty_Good_Privacy
6 https://de.wikipedia.org/wiki/S/MIME
3. Sollte ich auf verschlüsselte Kommunikation achten? Setzen Hacker oft an genau dieser Stelle an und wie kann ich das verhindern?
Siehe Antwort auf Frage 2.
4. Wieso verwenden viele Anwendungen bisher keine 2-Faktor Authentifizierung?
Eine 2-Faktor Authentisierung dient primär als Identitätsnachweis. Die Verifizierung erfolgt über zwei separat, getrennten Kommunikationswege. (Bsp. E-Mail und Pin per SMS) Das Problem bei 2-Faktor Authentisierungsformen liegt in der Ergonomie für den Endbenutzer. Obwohl bereits eBanking Systeme und Hersteller wie Google (2-Step Verification) oder Facebook damit begonnen haben, ihre Benutzer mit 2-Faktor Authentisierung auszustatten, gibt es noch viel zu tun. 2-Faktor Authentisierung sollte zum de facto Standard werden, damit automatisierte Brute Force Angriffe 7 , also das automatisierte durchprobieren von Benutzernamen und Passwörtern erschwert wird. Eine 2-Faktor Authentisierung kann solche Brute Force Angriffe zum Teil adressieren. Bei Web Applikationen können Schutzmassnahmen wie CAPTCHAs 8 ebenfalls zur Gesamtsicherheit beitragen.
7 https://de.wikipedia.org/wiki/Brute-Force-Methode
8 https://de.wikipedia.org/wiki/Captcha
5. Wie kann ich meine Daten vor dem Zugriff vor Fremden schützen? Wie verhindere ich Sicherheitslücken?
Sicherheitslücken werden sich wohl in den nächsten Jahren nicht ohne weiteres vermeiden lassen. Da heute die Softwareentwicklung meist noch von Menschenhand durchgeführt wird und noch nicht Roboter mit künstlicher Intelligenz & Algorithmen zum Einsatz kommen, werden auch weiterhin Schwachstellen im Programmcode identifiziert werden können.
Ich sehe vermehrt einen Trend, dass komplexe Software Projekte schnell und unter hohem Zeitdruck entwickelt werden. Wichtig dabei, dass für die Entwickler einige Secure Coding Guidelines zur Verfügung stehen, um sicheren Code entwickeln zu können. Weiter wird stets empfohlen, den Code in Applikationen einem statischen oder dynamischen Code Review durch neutrale Experten zu unterziehen, damit die Codequalität verbessert werden kann.
6. Software-Firmen verkaufen uns, dass Cloud-Lösungen sicher sind. Sind Daten in der Cloud sicher zu machen?
Daten in der Cloud können technisch bis zu einem gewissen Grad sicher gemacht werden, doch solche Projekte fordern viel Engagement und sind sehr komplex, weil Cloud Sicherheit nicht nur ein rein technisches Thema ist. Compliance oder Governance Anforderungen spielen ebenfalls eine Rolle. Weiter muss bei einem kompletten Outsourcing in die Cloud auch die vertragliche Sicht mit dem Anbieter geprüft werden. Was passiert mit den Daten, wenn der Cloud-Anbieter plötzlich Insolvenz anmelden muss oder Opfer einer Hacker-Attacke ist und Kundendaten kompromittiert wurden. Wer haftet in solchen Ausnahmensituationen für den Schaden der Daten, die von Kunden in der Anbieter-Cloud gespeichert wurden. Unternehmen sollten sich den Schritt in die Cloud gut überlegen und mit diversen Anbieter die technische und vertragliche Situation sorgfältig prüfen lassen.
7. Smartphone können genauso gehackt werden wie ein PC, was macht das Hacken von Smartphones so attraktiv?
Ein Smartphone oder Tablet ist deshalb für Hacker attraktiv, weil mittlerweile diverse Informationen wie E-Mails, Kontakte, Dokumente, Kreditkarten oder biometrische Datensätze wie der Fingerabdruck bis hin zum Iris-Scan des Endbenutzers auf dem Device gespeichert werden können. Mit einem Smartphone kann ein Kunde heute kontaktlos an der Kasse bezahlen. Diese Finanz- und Transaktionsinformationen sind für kriminelle Hacker sehr lukrativ und können im sogenannten Darknet weiterverkauft werden. Daher wird auch in Zukunft das Smartphone resp. unser digitales Portemonnaie und ständiger Begleiter ein attraktives Ziel für kriminelle Hacker bleiben.
8. Wird die Cyberkriminalität profitabel bleiben?
Diverse Studien zeigen auf, dass der globale Schaden durch Cyber Crime massiv zunimmt und pro Jahr mehr als 400 Milliarden US-Dollar beträgt. Die Zahlen belegen auch, dass es sich nicht mehr um kleine Kavaliersdelikte handelt, sondern um organisiertes Verbrechen mit hohem Profit und je nach Angriffsziel geringen Investitionskosten. Daher wird empfohlen, dass Behörden, Unternehmen, Polizei sowie IT-Sicherheitsfirmen untereinander enger zusammenarbeiten, um Cyber Crime koordiniert bekämpfen zu können.