Gravierende Sicherheitsmängel bei Schweizer Internet-Anwendungen

Rund 100’000 Schwachstellen bei Schweizer IP-Adressen und Domains hat ein permanentes Scannen im öffentlich zugänglichen Internet ergeben. Das Schadenpotenzial ist gross, es gibt aber auch Abwehrmuster: Das wurde an den Swiss Cyber Security Days in Granges-Paccot deutlich.

«2020 war ein Rekordjahr für Cyberkriminalität.» Das sagte Nick Mayencourt, einer der weltweit ersten «ethischen Hacker» und Anbieter von Sicherheitslösungen, gestern an einer Veranstaltung der Swiss Cyber Security Days aus dem Forum Freiburg. «Dies ist ganz klar auf die Pandemie und das damit verbundene Homeoffice zurückzuführen. Kriminelle sprangen auf den Zug auf, sei es durch Erpressung, Infiltration oder sogar Spionage.»

Marc Peter, Leiter des Kompetenzzentrums Digitale Transformation der Hochschule für Wirtschaft Nordwestschweiz, ergänzte, dass vom 25. Februar bis 25. März 2020 die Meldungen über Schadsoftware um ein Vielfaches anstiegen. Es seien vermehrt Angriffe mit Logos von staatlichen Behörden registriert worden, unter anderem auch des Bundesamts für Gesundheit. Zudem seien Pharmafirmen verstärkt angegriffen und ausgespäht worden, auch solche, die an Impfstoff forschen. Schliesslich fand im September 2020 ein Angriff auf ein deutsches Krankenhaus statt. Dieses wurde lahmgelegt, und es starben Personen, sagte Nick Mayencourt. Auch in der Schweiz gab es 2020 einige aufsehenerregende Fälle. Mayencourt erwähnte Logistikfirmen, aber auch Universitäten. Kriminellen sei es beispielsweise gelungen, die Bankkontonummern von Mitarbeitern für die Lohnüberweisung abzuändern.

Schwachstellen für jedes Kind

Eigentlich sollten Behörden, die öffentliche Verwaltung und auch grössere Firmen als positives Beispiel bei der Prävention vorangehen, das Gegenteil sei aber der Fall, kritisierte Mayencourt. Er weiss, wovon er spricht, denn mit seiner Firma Dreamlabs ist er Schwachstellen permanent auf der Spur. Mit dem Cyber-Radar-System «Cyobs» scannt Dreamlabs öffentliche Angriffsflächen, das heisst alles, was über das Internet zugänglich ist: für die Schweiz alleine 20 Millionen IP-Adressen und 2,5 Millionen Domain-Namen. Die Firma macht aufgrund der Erkenntnisse Länderranglisten, und die Schweiz befinde sich auf Rang 37, gleich hinter Nordmazedonien, so Mayencourt. Die Erkenntnis dieses permanenten Scannens ist, dass rund 5 Prozent dieser Firmen und Institutionen öffentlich zugängliche Lecks haben. Entsprechend noch höher müsse die Quote bei Privaten sein.

«Jedes Kind könnte übers Internet diese Schwachstellen ausfindig machen», so Mayencourt gegenüber den FN. Wie er betonte, geht ein grosser Teil dieser Lücken auf veraltete Software-Versionen und vernachlässigte Security-Updates zurück. «Bedenklich ist, dass wir solche Schwachstellen auch bei Internet-Providern, Sicherheitsfirmen, E-Commerce-Anbietern und sogar Cloud-Providern gefunden haben», sagte er.

Honigtopf bereitgestellt

Mayencourt erklärte, dass seine Firma auch einen «Honigtopf» ins Netz gestellt hat, einen absichtlich verwundbaren Internet-Server, mit der Absicht, dass dieser auch gehackt wird. Das Resultat: In 28 Tagen gingen 10‘000 Angriffe ein. «Ziel ist es, von den Angreifern zu lernen, um sich gegen sie zu verteidigen», so Mayencourt. Marc Peter ergänzte, dass man bei Internet-Kriminellen zwei bis vier Wochen im Voraus erkennen könne, wie sie etwas aufbauen, bevor sie aktiv werden. Dies gebe Zeit, proaktiv tätig zu werden.

Risiken unterschätzt

«Es gibt eine Diskrepanz zwischen dem Risikoempfinden und der steigenden Qualität der Angriffe», sagte André Duvillard, Delegierter des Bundes und der Kantone des nationalen Sicherheitsnetzwerks, in einer Veranstaltung am Donnerstagmorgen. Eine Umfrage bei 500 KMU im Kanton Zürich habe gezeigt, dass 11 Prozent der Firmen das Gefühl haben, das Cyber-Risiko sei grösser geworden, aber rund 25 Prozent gaben an, schon Opfer von Cyberangriffen geworden zu sein. Er erwähnte das Beispiel einer Firma mit 1500 Mitarbeitern, der das gesamte IT-Netz lahmgelegt worden ist. Der Schaden: 5 Millionen Franken durch die Stilllegung des Betriebs und 2 Millionen für das erneute Hochfahren der IT. «Es gibt keinen Typ Firma, der mehr oder weniger angegriffen wird.» Oft habe man den Eindruck, dass die Antwort in der Technologie liege. «Sie liegt aber in den Prozessen und der Strategie eines Unternehmens», so Duvillard. «Ursache ist immer der menschliche Faktor. Und deshalb ist die Thematik Chefsache und kann nicht delegiert werden.»

Duvillard ermutigte, Angriffe zu melden: «Strafbehörden nehmen sich der Fälle an, und mittlerweile gibt es auch eine gute internationale Zusammenarbeit.» So gab es 2021 einen grossen Erfolg: Europol hat im Januar ein internationales Hacker-Netzwerk ausgehoben.