so spricht man von „Cybersecurity“. Dies schließt klassischerweise alle möglichen Arten und Ausprägungen von Informationssicherheit und IT-Sicherheit in der digitalen Welt mit ein, im Besonderen auch die Informationssicherheit von Organisationen und Unternehmen im geschäftlichen Umfeld.
Obwohl die Begriffe „Cybersecurity“ und „Informationssicherheit“ oft synonym verwendet werden und es sehr viele Schnittstellen gibt, besteht doch ein wichtiger Unterschied zwischen den beiden Konzepten. Informationssicherheit umfasst den Schutz von Daten unabhängig von der Art der Daten (auch analoge Daten), während sich Cybersecurity ausschließlich mit dem Schutz von Daten in digitaler Form beschäftigt. Im Rahmen dieses Buches werden sowohl Maßnahmen für die Cybersecurity als auch übergreifende Maßnahmen im Rahmen von Informationssicherheit dargestellt.
Cybercrime
Die starke Durchdringung des Cyberraums und die damit einhergehenden Gefahren und Bedrohungen haben längst auch unser Privatleben erreicht. Cyberkriminelle nutzen die stetig wachsenden technischen Möglichkeiten, um Informationen zu stehlen und sich finanziell zu bereichern.
+Geht Cybercrime uns alle an?
Während sich Cyberkriminelle im geschäftlichen Umfeld vornehmlich auf die Schädigung von Unternehmen fokussieren, werden im privaten Umfeld alle Individuen zu potenziellen Opfern. Ob es sich bei den Tätern aber immer um klassische Hacker handelt, wie sie aus den Medien bekannt sind, kann gerne am Ende der ersten Strategie selbst beurteilt werden (siehe Kapitel 1).
Eine allgemein gültige Definition des weit gefassten Begriffs „Cybercrime“ gibt es nicht.[7] In der Regel werden darunter alle Straftaten, die unter Ausnutzung des Internets bzw. von Informations- und Kommunikationstechnik (IKT) begangen werden, verstanden. Die österreichischen Sicherheitsbehörden unterscheiden darüber hinaus zwischen Cybercrime im engeren Sinn und Cybercrime im weiteren Sinn.
Cybercrime im engeren Sinn meint jene Straftaten, bei denen Angriffe auf Daten oder Computersysteme unter Ausnutzung von verschiedenen Techniken begangen werden (z. B. Datenbeschädigung, Hacking oder Angriffe auf die Verfügbarkeit von Daten).
Im weiteren Sinn werden unter Cybercrime aber auch Straftaten verstanden, bei denen die Informations- und Kommunikationstechnik zur Planung, Vorbereitung und Ausführung von herkömmlichen Kriminaldelikten eingesetzt wird (z. B. Betrugsdelikte, Kinderpornografie, Cybergrooming[8] oder Cybermobbing).
Es zeigt sich also, dass die Bezeichnung „Cybercrime“ für nahezu alle Ausprägungen von Kriminalität verwendet wird – denn wie unsere Interaktionsprozesse vielfach im Cyberraum stattfinden, so spielen sich auch kriminelle Interaktionsprozesse vermehrt dort ab.
Als Beispiele für kriminelle Interaktionen im Cyberraum können diverse „Darknet“-Chats ebenso angeführt werden wie Umschlagplätze im digitalen Raum für den Handel von Drogen, Waffen und anderen illegalen Waren. Dabei handelt es sich vornehmlich um Chat-Gruppen bzw. Online-Dienste, die unter Wahrung der Anonymität und mit besonderen Formen der Verschlüsselung erreichbar sind und sich daher auch besonders dafür eignen, der Strafverfolgung zu entgehen. Per se ist diesen Technologien, welche die Möglichkeit der Anonymisierung im Internet erst ermöglichen, aber nichts vorzuwerfen, denn sie eignen sich ebenfalls dazu, die Freiheiten der Meinungsäußerung oder journalistische Tätigkeiten in Regime-Staaten zu unterstützen.
+Betrug bleibt Betrug
Weit weniger abstrakt sind Cyberbetrugsdelikte. Sei es, sich Passwörtern zu ermächtigen, mit falschen Social-Media-Profilen Vertrauensstellungen zu erreichen oder schlicht Konto- bzw. Kreditkarteninformationen zu entwenden und die Opfer so finanziell zu schädigen. Hier wird von „Social-Engineering-Angriffen“ gesprochen. Gemeint sind damit neue, moderne Formen des Trickbetrugs, wie z. B. des sogenannten Enkeltricks.
Dass diese Form des Betrugs aber nicht neu ist, zeigt beispielsweise der Film „Catch me if you can“. Hier spielt Leonardo di Caprio einen erfolgreichen Scheckkartenbetrüger in den 1960er Jahren, der das Scheckkartensystem ausnutzt, um sich persönlich zu bereichern. Auch die Ära des „Phone Phreaking“ in den 1970er bis Mitte der 1990er Jahre stellt ein gutes Beispiel für Trickbetrug dar: Hierbei konnten unter Ausnutzung der Eigenschaften der analogen Telefonie Ferngespräche und andere gebührenpflichtige Dienste „gratis“ in Anspruch genommen werden – auf Kosten diverser Firmenkonten, von denen diese Gebühren durch Telefonfirmen abgebucht wurden.[9]
Die Beispiele zeigen, dass sich Betrüger immer neue Maschen ausdenken und im Gleichklang mit dem technischen Fortschritt neue Möglichkeiten finden, finanzielle Vorteile unter Ausnutzung oder zumindest unter Abstützung auf die modernen Techniken zu erlangen.
War ein Heiratsschwindler in früheren Jahren darauf angewiesen, seine Zielperson persönlich auszuspähen, so kann er sich mittlerweile von jedem beliebigen Ort aus einen Überblick über seine Opfer auf diversen Dating-Plattformen beschaffen.
Durch das unüberschaubare Angebot im Internet und die vielen E-Mails und Nachrichten in Messenger-Diensten und Social-Media-Kanälen kommt hinzu, dass Anwender zunehmend den Überblick verlieren. Die Vielzahl an Benutzeraccounts, die heutzutage durch Tätigkeiten im Internet in Verwendung sind, verleiten dazu, aus Praktikabilitätsgründen für jedes Benutzerkonto dasselbe Passwort zu verwenden, was es Cyberkriminellen einfach macht. Hat ein Hacker erst einmal Zugang zu einem Passwort erlangt, ist es ihm oftmals ein Leichtes, auch auf weitere Accounts zuzugreifen.
Faktisch macht es keinen Unterschied, ob private Kontoinformationen am Telefon an einen fremden Anrufer weitergegeben oder sie im Zuge eines täuschend echt aussehenden Gewinnspiels per E-Mail oder durch Eingabe auf einer Website preisgegeben werden. Der Effekt bleibt der gleiche, und das ist in der Regel fehlendes Geld auf dem Bankkonto.
+Verschiedene Ausprägungen von Cybercrime
Cybercrime im engeren Sinn zielt darauf ab, Informationswerte in Bezug auf ihre Vertraulichkeit, Verfügbarkeit oder Integrität zu verletzen und so Vorteile zu erlangen.
Diese Vorteile werden wir in Kapitel 1 unter dem Überbegriff „Motivation“ näher erörtert. Denn während ein gewöhnlicher Krimineller in der Regel danach trachtet, finanzielle Vorteile zu erlangen, können andere Motive politische Aktionen oder Machtdemonstrationen sein.
Eine populäre Methode, um als Hacker finanzielle Vorteile zu lukrieren, ist die Erpressung. Dabei sind unterschiedliche Ausprägungen möglich. Die folgenden Beispiele beschreiben mögliche Szenarien.
Im privaten Umfeld erlangt sich ein Angreifer beispielsweise Zugriff auf den Laptop einer Privatperson und erstellt so kompromittierende Fotos mit der Webcam, um damit sein Opfer zu erpressen. Um die Verbreitung des Fotos zu verhindern, zahlt das Opfer den geforderten Betrag an den Angreifer. In einem anderen Fall verschlüsselt ein Angreifer alle Dateien auf der Festplatte einer Person inklusive deren Urlaubsfotos mit einer sogenannten Ransomware. Damit sind alle Dateien auf der Festplatte unbrauchbar. Im besten Fall werden die Daten nach der Überweisung von Lösegeld an den Hacker wieder entschlüsselt. Oftmals sind die Daten aber trotz Bezahlung verloren.
Ransomware-Angriffe sind aber auch im unternehmerischen Umfeld sehr populär und richten hohe Schäden an, wenn alle Dateisysteme inklusive Back-Ups verschlüsselt werden, stehen somit nicht nur die Geschäftskommunikation und Buchhaltung, sondern auch die Produktion still. Angreifer lassen sich fürstlich entlohnen, um Systeme wieder freizugeben. Lösegeldforderungen in der Höhe von zweistelligen Millionenbeträgen sind die Regel. Nicht selten werden diese auch bezahlt, wie das Beispiel von Garmin[10] zeigt. Laut Medienberichten flossen beim Hersteller von Navigations-Empfängern Zahlungen in Millionenhöhe, nachdem Hacker Daten mit Hilfe einer Ransomware verschlüsselt
