Ransomware, Cybercrime & Co: Sind wir noch zu retten?

Auf dem letzten Maschinenbau-Gipfel in 2019 hatte Thomas Pilz, Geschäftsführender Gesellschafter des gleichnamigen Automatisierungsanbieters geschockt berichtet, wie sein Unternehmen gerade von Cyber-Kriminellen erpresst wurde. Sein offener Umgang mit dem Angriff habe die Awareness für das Thema in den Geschäftsleitungen stark erhöht, lobten Moderator Steffen Zimmermann, Leiter Competence Center Industrial Security beim VDMA, und Dr. Thomas Nowey.

„In den letzten Jahren hat sich geändert, wie über das Thema gesprochen wird. Durch die zunehmende Digitalisierung und immer mehr IT in den Produkten wird zudem das Thema Industrial Security immer wichtiger“, so der Chief Information Security Officer (CISO) und Konzerndatenschutzbeauftragter der Krones AG, einem Hersteller von Flaschenfüllanlagen.

Was passiert, wenn alles verloren ist?

„Es ist alles besser geworden – ich hab wieder Farbe im Gesicht, anders als damals“, sagt Pilz auf die Frage, wie die Sache denn ausgegangen sei. Doch der geschäftsführende Gesellschafter ist ehrlich: Man habe zunächst nicht gewusst, ob das Unternehmen das überlebt, denn alles war verschlüsselt und damit verloren.

Von anderen, namhaften Unternehmen gibt es „Hausverbot“, bis ein polizeilicher Nachweis beigebracht wird, dass keine Schadsoftware mehr vom eigenen Unternehmen ausgeht. Der Automatisierungstechnikhersteller musste seinen gesamten eigenen Code in der Steuerung überprüfen, ob dort etwas eingeschleust wurde. Beim Neuaufbau der Entwicklungsumgebung verliere man ein Jahr, so Pilz. „Man hat eine Lücke und kann den Anschluss an den Markt verlieren“.

Erst seit jetzt könne man sagen, dass Pilz es geschafft hat. Dazu habe auch Corona beigetragen, das den Wettbewerb ausgebremst habe. Bei Pilz waren hingegen bereits alle aus der Not heraus im Homeoffice. Durch die Tabula Rasa wurde alles in Greenfield-Manier neu aufgebaut, das könnte sich jetzt als echter Vorteil erweisen. „Wir haben eine komplett neue digitale Informationsarchitektur und sind wohl das einzige Unternehmen, das es geschafft hat, an 40 Standorten in drei Monaten M 365 aufzuziehen“, berichtet Thomas Pilz. Glück im Unglück war, dass es sich „nur“ um Verschlüsselung handelte, nicht um Datendiebstahl, mit dem Kriminelle dann oft in der zweiten Stufe weitere Erpressungsgelder fordern oder die Daten weiterverkaufen.

Macht es Deutschland Cyberkriminellen zu leicht?

Sein Mut, sich nicht erpressen zu lassen, hat sich ausgezahlt. So konnten offenbar in einem Ermittlungserfolg die Angreifer identifiziert werden, die das Eindringen ins Firmennetz ermöglicht hatten. Gemeinsam mit amerikanischen Kollegen gelang dem BKA, der BitPaymer Group auf die Spur zu kommen – trotz deren Ruf, dass „sie nicht verfolgt werden können“. „Das zeigt, wir können uns eben doch wehren“, meint Pilz, der die Zusammenarbeit mit der Polizei ausdrücklich lobt.

„Cyberkriminelle kommen überall her, aber steht das BKA in seiner Handlungsfähigkeit, die an der deutschen Grenze endet, nicht auf verlorenem Posten?“, wollte Steffen Zimmermann wissen. Er habe keinen einzigen Cyberkriminalitätsfall erlebt, der nicht internationale Züge hatte, entgegnete Carsten Meywirth, Leiter der Abteilung Cybercrime beim Bundeskriminalamt. Das BKA verfüge über mehr als 60 Niederlassungen in anderen Ländern. Man sei im Europol- und Interpol-Netzwerk als Single Point of Contact für die deutsche Polizei vertreten, habe auch Premiumpartner wie das FBI in den USA. Doch Thomas Pilz ist der Meinung, dass zu laxe Gesetze in den Niederlanden und in Deutschland den Boden für Cyberkriminalität viel besser bereiten als in anderen Ländern und Angreifer leichtes Spiel haben.

Was tun bei einem Cyberangriff?

Seit 2015 haben sich Fallzahlen verdoppelt, berichtet Meywirth. Cyberkrimininelle hätten vor allem die Pandemie ausgenützt: „Ransomware stellt die größte Bedrohung für Sie in der Wirtschaft dar, wir sehen hier eine Steigerung in den Erpressungssummen. Was wir jetzt erleben, ist das neue Normal, und darauf haben wir uns einzustellen“. Meywirth erklärte zudem, dass es mittlerweile eine „kriminelle Dienstleistungsindustrie“ gibt, die Crime as a Service anbietet und die Schwelle für Cyberkriminelle deutlich absenkt, weil auf Arbeitsteilung gesetzt wird.

„Wir haben spezialisierte Dienststellen für Cybercrime in den Bundesländern. Diese Telefonnummer zu haben, gehört zu einem Notfallplan“, stellte Meywirth klar. „Für uns ist es wichtig, sehr schnell informiert zu werden. Die Daten sind sehr flüchtig, bei der Nachverfolgung von IP-Adressen ist nach wenigen Tagen nichts mehr zu machen“, so der BKA-Experte. Man könne wesentliche Beratung leisten, weil man in der Regel die Täter und deren Vorgehensweise kenne, zudem habe man Experten für Verhandlungen.

Sicherheits-Updates sollten sofort eingespielt werden

Auch der soeben vom Bundesamt für Sicherheit in der Informationstechnik BSI vorgestellte Report zur Lage der IT-Sicherheit 2021 zeigt, ein Ausruhen oder Aussitzen des Themas Cybersecurity gibt es nicht. Das BSI sieht die Sicherheitslage als kritisch, im Jahr zuvor galt sie noch als „angespannt“. Jede bekannt werdende Sicherheitslücke in Anwendungen wird sofort ausgenutzt. Das zeigt im Report die Schwachstelle beim MS Exchange Server von Anfang des Jahres, bei der zehn Prozent der Unternehmen auch Monate später die Lücke nicht geschlossen hatten. Diejenigen, die zu lange warten, können auch nicht sicher sein, ob ihre Systeme nicht zwischenzeitlich infiltriert wurden.

Thomas Pilz sagte dazu: „Wie lange braucht es, bis Sie nach Bekanntwerden einer Sicherheitslücke den Patch geholt und in all ihren Maschinen aufgespielt haben?“. Unternehmen müssten davon ausgehen, dass diese Whitelists von den Hackern immer gelesen werden und diesen klar sei, dass sie jetzt einen zeitlichen Vorlauf haben, manchmal jahrelang. „Wenn wir in der IT immer schneller sind als die Angreifer, dann kriegen sie uns auch nicht“, machte Pilz jedoch den Gipfelteilnehmern Mut.