Geh@ckt: Wie Angriffe aus dem Netz uns alle bedrohen. Ein Agent berichtet (German Edition)

Hacks 2008 sowie 2012 / 2013 wurden jeweils nur die Banken geschädigt, für die Kunden hatten die Diebstähle keine Auswirkungen. Anders sieht das bei Kreditkartendaten aus, wie sie bei der Verhaftung von Horohorin gefunden wurden und mit denen Plattformen wie CarderPlanet ihr Geschäft machten und machen. Hier sind Kunden direkt betroffen. Also unsere persönlichen Geldbeutel, sofern nicht die Bank Kulanz zeigt und für einen derartigen Schaden aufkommt. Diese Daten, die sich so lukrativ weiterverkaufen lassen, stammen aus Privatcomputern, von Geräten aus den Haushalten der Bürger, unseren Wohnzimmern und Büros. Die Angreifer hacken die Rechner automatisiert über Botnetze und suchen gezielt nach diesen Daten. Was man dagegen tun kann, ist, wie gesagt, in erster Linie Sicherheitsupdates zu machen sowie einen Antivirenschutz und vielleicht noch eine Firewall zu installieren. Anschließend muss man die Programme, wie ebenfalls schon erwähnt, unbedingt immer auf dem aktuellsten Stand halten, denn die Diebe suchen gezielt nach Rechnern, bei denen das nicht der Fall ist. Der Aufwand, in einen Computer mit veralteten Schutzmechanismen einzudringen, ist gleich null. Die passenden Angriffstools dazu kann jeder im Internet herunterladen.
    Oft genug brauchen die Angreifer aber eine Interaktion des Nutzers, um an die gewünschten Daten heranzukommen – so wie in den Fällen von I love you. Dabei greifen die Täter ein System an, das sich mit technischen Mitteln nicht patchen lässt – den Menschen. Social Engineering nennt man das. Ein Angriff erfolgt auf den Anwender, um ihn zur Herausgabe von Informationen zu locken, zu denen der Angreifer nicht berechtigt ist. Man versucht dabei Dinge wie Freundlichkeit, Hilfsbereitschaft, Obrigkeitsdenken, Unsicherheit, Neugier und dergleichen auszunutzen. Das funktioniert per Telefon genauso wie per E-Mail oder persönlich.
    Ein Beispiel, um eine gesicherte Tür zu überwinden: sich einfach mit einem Stapel Akten und Ordner bewaffnen und auf dem Weg zu dieser Tür von einem Mitarbeiter des Unternehmens überholen lassen. Die Wahrscheinlichkeit, dass die Kollegin oder der Kollege die Tür aus Höflichkeit aufhält, ist relativ hoch. Eine Anwältin einer führenden Rechtsanwaltskanzlei in München berichtete mir vor einiger Zeit, wie einer ihrer Laptops aus den Büroräumen gestohlen wurde: Alle dachten, der Dieb sei großer Wahrscheinlichkeit nach ein internationaler Kollege, der sich gerade in der Kanzlei aufhielt. Auf den Videos der Überwachungskameras konnte man sehen, wie der Mann das Gebäude der Kanzlei gegen Mittag betrat und andere Anwälte und Mitarbeiter bei seinem Weg durch das Gebäude grüßte. Er trug einen dunklen Anzug mit Krawatte, war tadellos frisiert und erweckte den Eindruck, dazuzugehören. Er betrat eines der leerstehenden Büros, dann tauchte er wenig später mit einem Laptop unter dem Arm wieder auf den Kameras auf. Auf dem gleichen Weg, auf dem er hereingekommen war, verließ er das Gebäude.
    Als einer der erfolgreichsten Social Engineerer gilt der amerikanische Hacker Kevin Mitnick, der zweimal zu mehrjährigen Gefängnisstrafen verurteilt wurde. Anschließend durfte er für drei Jahre keine EDV -Systeme anrühren. Mitnick war zwar ein begnadeter Hacker, aber sein wahres Talent lag darin, Menschen zu überlisten. Heute ist Mitnick Sicherheitsberater und Autor. In seinem Buch
Die Kunst der Täuschung
erklärt er, wie einfach es ist, mit Hilfe der Schwachstelle Mensch in Computersysteme einzudringen. Das Prinzip ist immer gleich: Das Opfer wird so beeinflusst, dass es dem Angreifer Glauben schenkt und die eigentlich schützenswerte Information herausgibt oder das Verhalten des Angreifers nicht weiter hinterfragt. Nehmen wir an, ein Hacker möchte in die IT eines Unternehmens eindringen. Zunächst wird er versuchen, auszumachen, welche Systeme er vorfinden wird. Dazu recherchiert er im Internet und setzt technische Mittel ein. Wie wäre es etwa, einfach in der Firma anzurufen und zu fragen? Bei einem klugen Vorgehen ist die Chance hoch, auf diese Weise an die gewünschten Informationen zu kommen.
     
    Erster Anruf:
    «Hallo? Guten Tag, mein Name ist Klein von der Firma Kaspersky. Würden Sie mich bitte mit Ihrem IT -Leiter verbinden?»
    «Tut mir leid, der ist diese Woche nicht im Haus. Um was geht es?»
    «Ach, es ist nichts Dringendes, ich kann auch nächste Woche noch einmal anrufen.»
    «Ich kann Ihnen Herrn Sennfeld geben, seinen