Oberösterreich ist die Heimat zahlreicher Technologieführer. Bahnbrechende Innovationen haben hier ihren Ursprung, komplexe Technologien werden entwickelt – wertvolles Know-how, das man als „Kronjuwelen“ der Unternehmen bezeichnen könnte. „Genau diese Kronjuwelen sind oft Zielscheiben von Cyber-Kriminalität“, sagt Gert Weidinger, Partner beim Wirtschaftsprüfungs- und Beratungsunternehmen KPMG am Standort in Linz. Neben technischem Know-how sind auch Kundendaten von Unternehmen, die große Finanztransaktionen durchführen, im Visier der Kriminellen.

Für kleine oder mittelständische Unternehmen, die weder über spezielles tech- nologisches Know-how verfügen, noch Finanztransaktionen im großen Ausmaß durchführen, besteht also keine große Gefahr? Ein großer Irrtum! „Sicher fühlen darf sich kein Unternehmen“, weiß Georg Beham, Prokurist und Leiter des Bereichs Forensic Technology und Security bei KPMG. Denn neben gezielten Angriffen werden ebenso völlig zufällige Angriffe verübt – Opfer sind dabei jene Unternehmen, deren Schutzmaßnahmen lückenhaft sind. „Das ist wie bei einem ansteckenden Krankheitsvirus, der zufällig in die Breite geht und Personen infiziert, die nicht genug Abwehrkräfte haben“, vergleicht Beham.

Kommissar Zufall

Bis die Unternehmen merken, dass sie Opfer eines Angriffes geworden sind, vergeht oft viel Zeit. Laut dem amerikanischen Sicherheitsexperten Mandian sind es durchschnittlich 416 Tage. „Entdeckt wird der Angriff meist ganz zufällig: Zum Beispiel weil ein Systemadministrator auf einem Server eine ungewöhnliche Speicherauslastung entdeckt, Daten im Internet verkauft werden, ein Hacktivist das Eindringen auf Twitter postet oder ein Erpresserschreiben ins Haus flattert“, weiß Beham.

Ist ein Angriff passiert, sei ein forensisches Vorgehen unerlässlich. „Eine forensische Analyse bedeutet, dass keine Spuren vernichtet werden“, erklärt Beham. Das System dürfe nicht einfach neu aufgesetzt werden, weil dabei alle Spuren des Angreifers vernichtet werden. Vergleichbar ist dies mit einem Mordschauplatz: Dort darf man ebenfalls nicht alles mit einem Dampfreiniger putzen, weil dann keine Spuren mehr für die Mordsicherung vorhanden sind. Wer also den Verdacht hat, Opfer von Cyber-Kriminalität zu sein, muss sich fachliche Hilfe holen. „Georg Beham und sein Team sind Ansprechpartner dafür bei KPMG. Wir führen auch gestellte Hacker-Angriffe durch, um im Vorfeld Schwachstellen zu erkennen“, so Weidinger. Eine große Risikoquelle sind auch die Mitarbeiter: „Diese müssen sensibilisiert werden, damit sie nicht unbedarft Informationen preisgeben.“

Wo die Täter sitzen, ist schwierig herauszufinden, denn diese verschleiern ihren Ursprung mit Proxy-Servern, Zugang durch Virtual Private Network (VPN) und Tor-Netzwerken. „Ein professioneller Angreifer mietet über eine gestohlene Kreditkarte einen Server in einem Land, das keine Auskunft an westliche Länder gibt und verschleiert seinen Ursprung mit allen drei genannten Methoden“, so Beham. Im Jahr 2013 gab es eine Aufklärungsquote von 40,7 Prozent. 58 Prozent und damit 2.310 Fälle der ermittelten Täter stammten aus dem Ausland.

Insgesamt 11.199 Cyber-Crime-Fälle wurden 2013 in Österreich angezeigt - eine Steigerung von 8,6 Prozent gegenüber 2012. Betrachtet man die Statistik vom Bundeskriminalamt seit 2004, zeigt sich bis 2011 ein kontinuierlicher Anstieg auf 4.937 Fälle. Das ist aber noch lange nicht alles, denn die Dunkelziffer ist hoch. Unternehmen fürchten hohe Imageschäden, wenn sie wegen Angriffen Schlagzeilen in den Medien machen. Eine gesetzliche Meldepflicht bei Cyber-Angriffen gibt es zwar, allerdings nur dann, „wenn personenbezogene Daten schwerwiegend, systematisch und mit einem Risiko, dass ein Schaden entstanden ist, gestohlen wurden oder verloren gegangen sind“, erklärt Beham.

Langfristiges Projekt

Durch die geplante EU-Richtlinie zur Netz- und Informationssicherheit (NIS) soll die Meldepflicht für Betreiber kritischer Infrastrukturen, Internetprovidern und Anbietern von AppStores konkreter werden, so Beham. Bisher fehlt aber eine Einigung im Rat der EU. Das Europäische Parlament hat im März 2014 einen Richtlinienvorschlag angenommen. „Die lettische Ratspräsidentschaft hob die Finalisierung der Richtlinie nun ausdrücklich als Schwerpunkt ihres Arbeitsprogrammes hervor“, erklärt Andrea Steinmetz, Mitarbeiterin im Büro von ÖVP-EU-Abgeordneten Othmar Karas. Eine Einigung des Rates ist Anfang März zu erwarten. „Die Ko-Gesetzgeber können dann endlich ihre Verhandlungen weiterführen und diese wichtige Richtlinie auf Schiene bringen“, so Steinmetz.

Spiel mit Gefühlen

„Vom Arbeitslosen bis zum Arzt kann es bei Cyber-Angriffen jeden erwischen“, spricht Adolf Wöss als Leiter der Kriminalprävention im Landeskriminalamt Oberösterreich aus Erfahrung. Die Täter spielen mit den Gefühlen der Menschen und seien rhetorisch und schriftlich sehr gut geschult. „Der höchste mir bekannte Schaden in Oberösterreich bei einer Privatperson betrug 96.000 Euro“, so Wöss. Generell liege die Schadenshöhe meist zwischen 50.000 und 100.000 Euro, bei Unternehmen entstehe schnell ein Schaden in Höhe von über 100.000 Euro. Georg Beham betreute im vergangenen Jahr ein österreichisches Unternehmen bei der Aufklärung eines Cyber-Crime-Falles mit einer Schadenssumme von mehr als 1,2 Millionen Euro.

Die Angriffe werden wegen der immer stärkeren Vernetzung mit dem Internet weiter steigen, sind sich Weidinger und Beham einig. Ein wesentliches Problem dabei ist, dass es zwar ein generelles Bewusstsein für das Risiko von Cyber-Kriminalität gibt, das eigene Risiko aber gering eingeschätzt wird. „Wenn ich nun das Risiko für mich nicht hoch genug einschätze, mache ich nicht viel dagegen. Und je weniger Maßnahmen ich ergreife, desto angreifbarer bin ich“, erklärt Weidinger die große Bedeutung von Schutzmaßnahmen.

Weidinger plädiert dafür, nicht auf den Gesetzgeber zu warten, sondern selbst tätig zu werden. Geht es nach dem internationalen Meinungsforschungsinstitut Forrester, sollten fünfzehn Prozent des IT-Budgets dafür ausgegeben werden. Je nach Branche rechnet man für das IT- Budget rund zehn Prozent vom gesamten Unternehmensbudget, erklärt Beham. Cyber-Security sei ein langfristiges Projekt, dafür müssten genug Ressourcen bereitgestellt werden. Es gehöre eine Bestandsaufnahme gemacht: Firmen müssen sich überlegen, was ihre Kronjuwelen sind, wo diese liegen und wie gut sie derzeit geschützt sind. Schließlich lassen auch Königshäuser ihre Juwelen nicht unbewacht herumliegen.

Tipps zur Vorbeugung

Hausverstand einsetzen Es wird mit der Neugier der Menschen gearbeitet, aber es dürfen nicht jedes Mail und jeder Anhang ohne Misstrauen geöffnet werden. Der Reichtum an Ideen für Kriminalität im Internet ist unbegrenzt. Niemals auf Gewinne oder Verdienste, die ohne viel Arbeitsaufwand versprochen werden, eingehen. Kein seriöses Unternehmen verspricht einen Gewinn und verlangt gleichzeitig persönliche Daten wie Kontonummer oder Geburtsdatum. „Ein gesundes Missvertrauen schützt vor bösen Überraschungen“, so der Leiter der Kriminalprävention des Landeskriminalamts Oberösterreich Adolf Wöss.

Software updaten . Für Windows XP gibt es bereits seit fast einem Jahr keine Updates mehr. Oft wird veraltete Software nicht erkannt, beispielsweise bei Systemen wie Drucker oder Kopierer. Bei denen man an Softwareupdates gar nicht denkt.

Unverschlüsselte e-Mails Finanztransaktionen nicht per e-mail abwickeln, denn diese sind nicht verschlüsselt und damit besteht die Möglichkeit, dass jemand mitliest. so wie etwa auch die Möglichkeit besteht, dass der Briefträger eine Postkarte liest.

Sichere Passwörter Passwörter sollen aus mindestens zwölf Zeichen, einer Mischung aus Groß- und Kleinschreibung und Sonderzeichen bestehen und mindestens alle drei Monate aktualisiert werden. Unterstützung dabei bieten vertrauenswürdige Passwort-safe-Programme, die auch kostenlos im Internet zu finden sind. Eine weitere Sicherheitsstufe bringt eine Zwei-Faktoren-Authentifizierung, wo es nach dem Passwort einen zweiten Weg der Anmeldung bedarf, wie etwa beim e-Banking mit dem Tan. Sehr viele Dienste wie Google oder Microsoft bieten diesen zweiten Weg ebenfalls an, aber er muss extra aktiviert werden. Ein Computerprogramm kann einen vierstelligen Pin innerhalb von Sekunden hacken. Wenn bei mehreren Seiten das gleiche Passwort benutzt wird und auch nur eine davon gehackt wird, haben die Hacker zugriff auf mehrere Seiten.

Wortdefinition

Cyberkriminalität * Kriminalität, die mit Hilfe von Computersystemen gemacht wird.

Information Gathering Damit Hacker an Informationen kommen, kann ein Weg Phishing sein, wo die Täter dann aber darauf angewiesen sind, dass jemand etwa auf ein e-Mail oder SMS aktiv reagiert. Daneben werden Daten in öffentlichen Datenbanken im Internet oder bei sehr freizügigen Systemen von den Unternehmen direkt geholt. Je nachdem mit welchen Methoden dabei gearbeitet wird, muss das Information-Gathering noch gar nicht illegal sein, wie etwa das Nachschauen in öffentlichen Datenbanken.

Phishing Es soll eigentlich „Fishing“ heißen und es geht dabei um das Abfischen von Informationen und Daten, die für weiterführende Tätigkeiten (zum Beispiel einen Hackerangriff) genutzt werden. Unter Phishing fällt etwa, wenn Internetbanking-Accounts abgefischt werden, indem Mails an verschiedene Adressen geschickt werden und die Täter schauen, was sie zurückbekommen und wer auf die Mails reinfällt.

Hacking Der Versuch, in ein System einzudringen, in das derjenige eigentlich nicht eindringen darf. Das kann etwa eine Passwortdatei, ein technisches Gerät oder eine verschlüsselte Nachricht sein.