IT-Sicherheit: „Eine der größten Gefahren geht von E-Mail-Anhängen aus“
Sebastian Schreiber, Gründer und Geschäftsführer der SySS GmbH aus Tübingen.
Bild: © SySS GmbH
Sie hacken sich seit zwanzig Jahren in die IT-Systeme Ihrer Kunden ein, um dort nach Schwachstellen zu suchen. Wo sind Sie bisher überall eingedrungen?
Wir testen ein sehr breites Spektrum. Zu unseren Kunden gehören sowohl Dax-Konzerne als auch viele Mittelständler. Wir hacken beispielsweise Unternehmensdatenbanken, Smartphones, internetfähige Haushaltsgeräte oder Flugzeuge. Jedes mit dem Internet vernetzte System ist anfällig.
Wie sehen die Aufträge Ihrer Kunden aus?
Unser Brot- und Buttergeschäft sind Angriffe auf Webanwendungen wie zum Beispiel Konto-, Bewerber oder Bieterportale. Da diese immer im Internet zugänglich sind, haben Hacker sie besonders häufig im Visier. Wir schauen dann, ob es möglich ist, eigentlich geschützte Informationen wie die Namen von Bewerbern abzugreifen. Ansonsten sollten wir beispielsweise einmal versuchen, uns Zugang zu den E-Mails eines Vorstandsmitglieds zu verschaffen und diese dann zu lesen. Ein anderes Mal hatten wir ein Mandat dafür, uns in die Datenbank eines Unternehmens zu hacken und dort nach den zehn größten Kunden zu suchen.
Wie hackt man sich in die Systeme ein?
Der Klassiker unter Kriminellen ist eine Bewerbung an die Personalabteilung mit einem infizierten Anhang. Wenn die Mitarbeiter das Dokument öffnen, verschafft der Trojaner dem Angreifer Zugang zum System. Wenn man erst mal drin ist, dann ist es leicht, die gewünschten Informationen zu finden. Bei unseren Tests spielt dieses Vorgehen eine Sonderrolle, sie ist nicht der Regelfall.
Welche Folgen kann ein erfolgreicher krimineller Hackerangriff für Unternehmen haben?
Oft versuchen Angreifer die Unternehmen zu erpressen. Mir ist beispielsweise der Fall eines Onlinecasinos bekannt, das durch eine Sabotageattacke lahmgelegt wurde. Die Hacker haben das Casino damit erpresst, dass sie erst damit aufhören, wenn das Unternehmen eine gewisse Summe in Bitcoins überweist. Da das Casino durch den Angriff einen enormen Schaden hatte und Umsatz sowie Kunden verloren hat, haben sie dann auch bezahlt.
Hat die Zahl der Cyberangriffe auf Unternehmen zugenommen?
Auf jeden Fall. Durch die Digitalisierung sind wir abhängiger von IT-Systemen geworden. Fast alles ist mittlerweile digital vernetzt. So ergeben sich für Kriminelle viele neue lukrative Möglichkeiten.
Zum Beispiel?
Kriminelle hacken sich bei Firmen ein, um Zugriff auf die Computer zu bekommen. Wenn die PCs inaktiv sind, verwenden die Hacker die Geräte, um Bitcoins zu minen, also zu produzieren. Wenn viele Computer an ein solches Netzwerk angeschlossen sind, kommt eine Menge Kryptogeld für die Kriminellen zusammen. Die betroffenen Unternehmen sitzen dann auf den hohen Stromkosten.
Sind sich Unternehmen der Gefahr von Hackerangriffen bewusst?
Zunehmend ja. Das hängt sicherlich auch damit zusammen, dass die Zahl der Angriffe auf Unternehmen steigt. Außerdem berichten die Medien mittlerweile verstärkt darüber. Dadurch entsteht ein öffentliches Bewusstsein für diese Thematik.
Die negativen Auswirkungen eines erfolgreichen Angriffes sind groß. Wie können sich Unternehmen am besten davor schützen?
Den perfekten Schutz gibt es leider nicht. Dennoch sollte man ein paar Dinge beachten. Eine der größten Gefahren geht von E-Mail-Anhängen aus. Es ist nahezu unmöglich automatisch zu erkennen, ob diese infiziert sind. Deshalb erhalten unsere Mitarbeiter auch prinzipiell keine Anhänge. Diese sind grundsätzlich gesperrt. Möchte ein Mitarbeiter einen Anhang öffnen, muss er einen Antrag an die IT-Abteilung stellen. Diese prüft dann die Datei auf Viren. Einen solchen Prozess empfehle ich jedem Mittelständler. Für Großkonzerne ist das natürlich wegen der großen Zahl an E-Mails nicht machbar. Wichtig ist es auch, dass die Unternehmen die aktuellsten Versionen der Software verwenden und ständig ihre Systeme auf neue Schwachstellen prüfen. Nur wer seine Schwachstellen kennt, kann diese auch beheben. Bei diesem Prozess helfen wir unseren Kunden.
Wie teuer ist so ein Test?
Wir berechnen einen Tagessatz von 1600 Euro. Da Tests oftmals eine Woche oder länger dauern, kommt so mindestens eine größere vierstellige Summe zusammen. Das klingt erst Mal viel, aber man muss bedenken, dass wir viel Personal für diese Tests brauchen. Derzeit beschäftigen wir 105 Mitarbeiter. Außerdem ist der durch unsere Tests verhinderte Schaden enorm.
