Angriffe aus dem Web zielen nicht nur auf Unternehmen, mit denen die meisten wenig zu tun haben. Sie betreffen auch heikle Bereiche. Wenn die Systeme dort nicht mehr funktionieren, sind die Konsequenzen erheblich, gar gefährlich. Drei Beispiele:
1. Gesundheitssystem
Ärzte kamen nicht mehr an Patienten-Akten, Operationen mussten verschoben werden, Untersuchungen konnten nicht durchgeführt werden. Im Mai vor zwei Jahren waren diverse Spitäler in England vorübergehend lahmgelegt.
Grund war eine Attacke mit der Erpressersoftware «WannaCry». Die Schadsoftware hatte weltweit Hunderttausende Computer infiziert und Daten verschlüsselt. Mit dem Hinweis, diese erst gegen Bezahlung von Lösegeld wieder frei zu geben.
Behandlung gefährdet
Schweizer Spitäler blieben damals verschont. Das Risiko entsprechender Attacken ist aber auch hierzulande gross. «Ein solches Szenario ist auch hier denkbar, das muss man immer im Hinterkopf haben», sagt Stefan Steiner, Geschäftsführer von Logicare. Das IT-Unternehmen ist spezialisiert auf den Gesundheitsbereich.
Spitäler gelten als anfällig für Cyber-Attacken. Und als schlecht geschützt. Dabei nimmt die Gefahr stetig zu, da immer mehr Geräte vernetzt werden. «Blutdruck und Temperatur würden heute meist noch manuell gemessen. In Zukunft wird das immer mehr automatisiert werden», so Steiner.
Wenn diese Geräte gehackt werden und falsche Daten liefern, könne man keine richtige Behandlung mehr sicherstellen.
Hacker als Arzt verkleidet
Klar ist: Spitäler müssen mehr in Cyber-Sicherheit investieren. Dazu gehört auch die Schulung aller Mitarbeiter. Denn sie sind immer noch das Haupteinfallstor für Cyber-Angriffe.
Das Spital Wetzikon hat sich im letzten Herbst einem Sicherheitstest unterzogen. Unter anderem wurde ein Hacker beauftragt, das interne IT-System zu testen. Der Hacker hat sich als Arzt verkleidet, um an Informationen zu gelangen.
«Ich war überrascht, wie dreist das Vorgehen war», erinnert sich Spitaldirektor Matthias Spielmann. «Er hat mit den Leuten offen geredet, sie haben ihm Passwörter gegeben. Und der Herr war sofort in unserem System.»
Man gehe zu leichtsinnig mit Computern und Daten um, meint Spielmann. Und man habe ein zu grosses Vertrauen in die Strukturen.
Das Spital Wetzikon hat zusammen mit Logicare ein neues Sicherheitskonzept erstellt und will dieses laufend anpassen.
«Die schwarzen Gedanken sind immer schneller als die weissen», meint Stefan Steiner von Logicare. «Diese Leute sind unglaublich kreativ, sie werden immer drei Schritte voraus sein.»
2. Finanzsystem
Bangladesch, vor drei Jahren: Cyber-Kriminelle knackten die Sicherheitssysteme der Zentralbank. Sie wollten eine Milliarde Dollar stehlen. Wegen eines Tippfehlers waren es am Ende dann 81 Millionen. Dieselbe Bande vermutet man hinter Angriffen auf Banken in Mexiko, Taiwan, Malaysia, Nepal und Polen.
Banken gehören zu den Hauptangriffszielen von Cyber-Kriminellen. Thorsten Scheibel ist Abteilungsdirektor Unternehmenssicherheit bei der DZ Bank in Frankfurt am Main. «Im Prinzip kann man sagen, wir werden fast jeden Tag angegriffen – wie jede Bank weltweit».
Zu einem Datendiebstahl ist es bis heute noch nicht gekommen. Auch dank einem Frühwarnsystem, welches die DZ Bank installiert hat.
Es wäre ein enormer Reputations- und Vertrauensverlust.
Sicherheitsunternehmen und Banken versuchen, den Hackern mindestens einen Schritt voraus zu sein – Angriffe erkennen, bevor Kunden- und Bankdaten gestohlen werden. Denn das wäre ein Albtraum.
«Wir wären in den Schlagzeilen, auf Seite eins. Es wäre ein enormer Reputations- und Vertrauensverlust gegenüber der Bank», so Scheibel. «Der Vertrauensverlust wäre so gross, dass massiv Gelder abgezogen werden und wir Kunden verlieren würden.»
3. Infrastruktur
Maersk ist die grösste Container-Reederei der Welt. Im Juni 2017 konnte das Unternehmen über Wochen keine Aufträge entgegennehmen, die Reederei war infolge eines Angriffs mit einer Schadsoftware zeitweise lahmgelegt. Geschätzter Schaden: Bis zu 300 Millionen Dollar.
Auch Schiffe selbst werden zu Angriffszielen. Fritz Eklof ist beim norwegischen Erdöl- und Gasdienstleister BW Offshore für die IT-Sicherheit zuständig. Das Unternehmen betreibt eine Flotte von Förder- und Verarbeitungsschiffen, es sind schwimmende Industrieanlagen.
«Früher gab es eine Trennung zwischen Schiff und Internet. Doch mehr und mehr ist alles bei uns online», so Eklof. «Wir haben Wlan auf dem Schiff. Es ist wie bei Ihnen zu Hause oder im Büro, nur viel grösser.» Auch hier wird Cyber Security immer wichtiger.
Interview mit Sicherheitsexperte Gunnar Porada
Weltweit verursacht Cyberkriminalität Schäden von rund 600 Milliarden Franken. Cyber-Security-Experte Gunnar Porada sagt: Viele Führungskräfte unterschätzen die Gefahr immer noch.
Gunnar Porada
Cyber-Security-Experte
SRF News: Ist das Thema Cyber Security in den Köpfen der Führungsetagen angekommen?
Gunnar Porada: In den Köpfen ist es angekommen, wir merken auch, dass das Thema zunehmend ernster genommen wird.
Wenn wir genauer hinschauen, stelle ich häufiger fest, dass es, böse gesagt, mehr Schein als Sein ist, oder mehr Wunschdenken. Es wird schnell gesagt, dass wir die besten Berater haben, die besten Mitarbeiter.
Ich stelle dann die Frage: Wissen Sie, wie die Angreifer vorgehen, wie die Hacker vorgehen? Denn Hacker spielen in einer ganz anderen Liga.
Was erleben Sie?
Wir haben es beim E-Voting der Schweizer Post gesehen, wo zwei grosse Beratungsunternehmen beauftragt wurden, das E-Voting zu prüfen. Als der Wettbewerb gestartet wurde und Experten aus der ganzen Welt Zugriff darauf hatten, wurde nach wenigen Tagen deutlich, das gravierende Sicherheitslücken übersehen wurden.
Jeder fragt sich, wie kann das sein, wie können Leute das vorher prüfen und fundamentale Dinge komplett übersehen?
Es wird eine Art Auslese geben, einige Firmen werden abgeschossen werden. Sie werden nicht überleben, weil sie diesen Gefahren nicht gerecht werden können.
Sind Datencenter sicher?
Ich bin der Meinung, man sollte sensible Daten nicht in die Cloud stecken. Wir wurden von Schweizer Banken beauftragt, diese zu testen. Das ist ein gängiges Verfahren, es nennt sich Penetrationstest. Wir wurden von der Risikoabteilung beauftragt, die interne IT-Abteilung und der Cloudbetreiber hatten Kenntnis davon.
Wir haben es dann geschafft, einen kompletten Zugang zum Server zu erreichen und hatten auf Daten Zugriff, welchen wir nicht haben sollten als Angreifer. Dadurch, dass es ein beauftragter Hack war, war es legal.
Interessant dabei ist, dass danach der externe Cloud-Betreiber und auch die interne IT-Abteilung befragt wurden, ob sie etwas bemerkt hätten. Und beide haben gesagt, alles ist in Ordnung, wir haben nichts feststellen können.
Wie kann ich mich als Unternehmen schützen?
Wichtig ist, dass die Sicherheitsfrage nicht delegiert wird, sondern direkt von der Chefetage heraus beauftragt wird. Sie müssen selbst überprüfen, wie gut es um die Sicherheit ihres Unternehmens steht.
Viele machen den Fehler, dass sie ihre eigenen IT-Mitarbeiter befragen, aber wenn diese sich selbst prüfen sollen, funktioniert das sehr schlecht. Das heisst: Sicherheit ist Chefsache.
Was erwartet uns in den nächsten Jahren?
Es wird eine Art Auslese geben, einige Firmen werden abgeschossen werden. Sie werden nicht überleben, weil sie diesen Gefahren nicht gerecht werden können.
Wir sehen immer wieder, dass die Schäden selbst dazu führen können, dass ein Unternehmen Konkurs geht, weil sie einen Ausfall der Produktion über Tage nicht verkraften. Oder der Image-Schaden so gross ist, dass das Kunden-Vertrauen komplett verloren geht.
