WirtschaftsWoche: Herr Reul, wie gefährlich sind die Angriffe von Cyberkriminellen aktuell?
Herbert Reul: Durch die Digitalisierung steigt die Gefahr täglich. Dennoch erleben wir in der Beratung regelmäßig, dass sich nicht alle Firmen der realen Gefahr bewusst sind und leichtsinnig mit Daten umgehen. Dabei können sämtliche Branchen betroffen sein, DAX-Unternehmen gleichermaßen wie kleine und mittelständische Unternehmen. Gerade für Unternehmen muss IT-Sicherheit Chefsache sein.
Können sich Unternehmen beim Verfassungsschutz tagesaktuell darüber informieren, welche Angriffe gerade gefürchtet werden?
Aktuelle Informationen stellt das Bundesamt für Sicherheit in der Informationstechnik zur Verfügung. Unternehmen sollten Mitglied in der „Allianz für Cyber-Sicherheit“ werden, um stetig auf dem Laufenden zu bleiben. Die Information allein bringt aber niemanden weiter - es müssen Taten folgen.
Woran hapert es bei den kleinen und mittleren Unternehmen?
Mittelständler sollten zunächst die Schwachstellen von Sicherheitsexperten und IT-Profis analysieren lassen, um die notwendigen technischen, organisatorischen oder personellen Maßnahmen für ihr Unternehmen zu erkennen. Notfallpläne müssen vorbereitet werden, damit bei einem Angriff keine unnötige Zeit verloren geht. Wer zieht etwa den Stecker, damit ein Cyberangriff beendet wird und wer wird von wem alarmiert?
Mit welchen neuen Angriffen rechnen Sie? Welchen Einfluss wird Künstliche Intelligenz auf die Weiterentwicklung von Cyberkriminalität haben und wer ist schneller? Die Angreifer oder die Verteidiger?
Künstliche Intelligenz wird zukünftig für unseren Alltag und das Wirtschaftsleben immer wichtiger. Und dadurch werden auch neue Angriffsmöglichkeiten entstehen. Aber derzeit sind es die bestehenden Lücken etwa in Software oder der Faktor Mensch, auf den die Angreifer abzielen. Eine altbewährte und weit verbreitete Methode ist die klassische Phishing-Mail. Mit ihr versuchen die Angreifer über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Nutzers zu gelangen. Hier macht allein die Masse der gestreuten Mails die Angreifer erfolgreich. Bereits ein unvorsichtiger Mitarbeiter reicht aus, um einen Trojaner einzuschleusen und unbemerkt wichtige Daten abzugreifen. Das zeigt, dass man keine High-End-Technik braucht, um unsere Wirtschaft zu schädigen.
Alle reden über Cyberspionage, welche „alten Tricks“ funktionieren immer noch gut und werden darüber unterschätzt?
Auch in einer digitalisierten Welt wird immer noch „analog“ spioniert. Beispielsweise werden Mitarbeiter auf Geschäftsreisen in der Hotelbar oder auf Messen gezielt angesprochen und ausgehorcht. Im Vorfeld werden dafür über Facebook und Co. gezielt Informationen zu den Mitarbeitern gesammelt. Spione können aber auch als Mitarbeiter, Praktikanten oder Werksstudenten eingeschleust werden, um etwa die Vermögenswerte der Firmen von Servern zu stehlen. Zudem gibt es immer noch Fälle, in denen beruflichen Besuchern der Zugang zu sensiblen Bereichen eines Unternehmens gewährt wird und dabei heimlich ganze Produktionsanlagen oder Prototypen ausspioniert werden.
Wie und warum hilft der Verfassungsschutz Unternehmen?
Wissen zu teilen stärkt den Schutz für alle. Wir müssen den Angreifern das leben so schwer wie möglich machen. Dafür setzt der Verfassungsschutz auf Prävention und Beratung. Er unterstützt Unternehmen, Forschungsinstitute, Universitäten und auch Behörden beispielsweise dabei, Sicherheitskonzepte zu entwickeln. Wird ein Unternehmen dennoch Opfer einer Attacke, sollte es im Gegenzug auch das nötige Vertrauen in die Sicherheitsbehörden haben und den Angriff melden.
Wie verschwiegen ist der Verfassungsschutz denn, wen sich ein Unternehmen hilfesuchend an ihn wendet?
Der Verfassungsschutz kann vertraulich ermitteln. Angst vor einem Reputationsschaden ist also unbegründet.
Können Sie Spionage-Angriffe auf den Verfassungsschutz ausschließen?
Als Sicherheitsbehörde investieren wir sehr viel in die Sensibilisierung unsere Mitarbeiter und die technische Infrastruktur. Deshalb verfügen wir beispielsweise über ein unabhängiges Netz, das nicht mit dem Internet verbunden ist. Zu einem guten Schutz gehört es aber eben auch, dass man sich nicht zu tief in die Karten schauen lässt.
