„Ich habe verstanden, dass viele Leute einen Freund wollen, sie wollen einander, sie wollen Liebe“, sagte Onel de Guzman dem investigativen Journalisten Geoff White vor kurzem. Bei IT-Sicherheitsexperten schrillen noch heute die inneren Alarmglocken, wenn sie den Namen des ehemaligen Informatikstudenten aus Manila hören. Nicht etwa, weil er mit seiner Aussage danebenliegt. Im Gegenteil.
Vor etwas mehr als 20 Jahren, am 4. Mai 2000, löste er eine wahre Virus-Pandemie aus. Digital. Mit dem „I love you“-Virus verursachte der damals 23-Jährige weltweit einen Schaden von geschätzt rund 10 Milliarden Dollar. Und zwar so: Seine Opfer öffneten einen vermeintlichen Liebesbrief, der einer E-Mail anhing. Beim Öffnen lud sich eine Schadsoftware auf den Computer und versendete sich selbst an weitere Kontakte des Opfers weiter. Was hat sich seitdem in 20 Jahren IT-Sicherheit getan und wie schützen vor allem Unternehmen heute effektiv ihre Netze? Und: Wäre de Guzmans Vorgehen heute, 20 Jahre später, noch möglich?

Viele Angriffe kommen über E-Mails

Die unzufriedene Antwort ist: Jein. Noch immer wird bei Cyberattacken auf den „menschlichen Faktor“ gesetzt, wie Hacker ihn gerne selbst nennen. Viele Angriffe kommen weiterhin per E-Mail rein. Das sogenannte Phishing kennen wir alle. Es wird versucht, eine seriöse Seite, das kann etwa Google Mail, Paypal oder das eigene Bankinstitut sein, so gut wie möglich zu imitieren und Login-Daten des Users abzugreifen. Dank modernen Spamfiltern hat diese Methode zwar nur eine geringe Chance; wenn sie jedoch funktioniert, bedeutet sie für den Einzelnen oder das betroffene Unternehmen einen immensen Schaden. Ähnlich funktioniert es bei Schadsoftware. Ein berühmtes Beispiel für sogenannte Ramsomware ist der Verschlüsselungstrojaner Locky. Auch heute gibt es ähnliche Angriffsversuche, wobei die reine Erpressung durch Verschlüsselung mehr in Richtung Erpressung mit Veröffentlichung erbeuteter Daten geht.

Mit Machine Learning gegen neue Angriffsmuster

Ganz so einfach wie vor 20 Jahren ist ein Angriff auf die IT-Sicherheit dann aber doch nicht mehr. Denn die Gesellschaft ist digitaler geworden. Und das ist kein Widerspruch. Denn die Digitalisierung bietet nicht nur mehr Angriffsfläche für Hacker, wie man im ersten Moment glauben mag. Die digitale Gesellschaft ist auch aufgeschlossener. Sie weiß, dass sie nicht auf jeden Button in einer Mail drücken soll und Passwörter regelmäßig ändern muss. Auch der technische Schutz gegen Cyberangriffe hat enorme Fortschritte gemacht. Vor allem Unternehmen haben ihre IT massiv aufgerüstet – die weltweiten Ausgaben für Sicherheits-Hardware, -Software und -Services hat sich innerhalb von 20 Jahren auf mehr als 100 Milliarden US-Dollar fast verhundertfacht! Antivirus, Antispam, leistungsfähige Firewalls: Sie gehören heute selbst bei Kleinunternehmen zur IT-Grundausstattung.

Das zeigt sich auch im Anbietermarkt deutlich: Gab es früher die traditionellen Netzwerkanbieter, die sich auf Router, Switches und WLAN Access Points spezialisiert haben, gehören heute auch zunehmend Lösungen für mehr Cybersecurity – konkret Next-Generation Firewalls und ihr „Unified Threat Management“ – zu deren Digitalisierungsangebot. Sie nutzen modernste Cybersecurity-Technologien wie Sandboxing und Machine Learning, um immer neue Angriffe abzuwehren. Ihr bewusst sehr grafisches User Interface wiederum trägt dazu bei, dass die richtige Konfiguration leichtfällt und weniger Fehler passieren. So haben es Spam, Viren und Malware sowie komplexen Cyberangriffen enorm schwer, ähnlichen Schaden wie der „I love you“-Virus vor 20 Jahren anzurichten.

Ein endloses Katz-und-Maus-Spiel

Dahinter steckt ein kontinuierlicher Entwicklungsprozess, in dem Tempo eine entscheidende Rolle spielt. Vereinfacht lässt sich das Verhältnis zwischen IT-Sicherheitsanbietern und Hackern als ewiges Katz-und-Maus-Spiel bezeichnen. Sobald eine Attacke erfolgreich abgewehrt und eine eventuelle Sicherheitslücke geschlossen wurde, wird schon der nächste digitale Angriff konzipiert.

Gegen die überall lauernde, sich ständig ändernde Gefahr hat sich ein Trend entwickelt: das „Zero-Trust-Modell“. Hier gilt der Grundsatz, keinem Gerät, Nutzer oder Dienst innerhalb oder außerhalb des eigenen Netzwerks zu vertrauen. Praktisch bedeutet das: Netzwerke werden stark segmentiert, etwa durch VLANs, um den Datenverkehr einfacher zu kontrollieren. Werden Unstimmigkeiten erkannt, können die Netzwerk-Parts schneller vom restlichen Betrieb abgekoppelt werden. Die Virus-Verbreitung wird gestoppt.

Der Faktor Mensch ist (mit)entscheidend

Ganz egal, welchen Weg die Technik beschreitet, eines bleibt im Vergleich zu vor 20 Jahren gleich: Technische Sicherheit ist nur so gut, wie der Mensch, der mit ihr arbeitet – ob analog oder digital. Deswegen reicht es als Unternehmen nicht aus, nur auf die neueste, modernste IT-Sicherheitstechnik zu setzen.

Sicher, die richtige Technik hilft, viele Dinge früh zu erkennen und die Flut an Phishing-Attacken, kompromittierenden E-Mails und Schadsoftware einzudämmen. Aber auch die Mitarbeiter müssen geschult und vor den Gefahren im Internet gewarnt werden. „Awareness“ heißt das Zauberwort.

Das gilt umso mehr für gezielte, maßgeschneiderte Angriffe auf ganz bestimmte Unternehmen, die immer häufiger an die Stelle undifferenzierter Massenangriffe treten: die sogenannten Advanced Persistent Threats. Eine in diesem Kontext sehr beliebte Hacker-Methode – für die in der Szene sogar Wettbewerbe abgehalten werden – ist das Social Engineering. Es ist die Kunst, Menschen so zu manipulieren, dass sie schützenswerte Informationen preisgeben und so unwissentlich den Weg in die Unternehmensnetze öffnen.

Spätestens da sollten bei allen die Alarmglocken schrillen. So wie die der IT-Sicherheitsexperten beim Namen eines ehemaligen Studenten aus Manila.