Hackerangriffe auf Unternehmen: Wenn Cyberattacken in den Bankrott führen
Unternehmen wollen Cyberangriff geheim halten.
Foto: dpaDie Bilanz fällt von Jahr zu Jahr düsterer aus. Die Zahl der gezielten Cyberangriffe auf deutschen Unternehmen und Behörden steigt und steigt. Das zeigt unter anderem der aktuelle Jahresbericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Doch wie konkret und gefährlich die Bedrohungslage tatsächlich ist und welche Unternehmen gerade Opfer einer Hackerattacke geworden sind, darüber schweigt das BSI beharrlich.
Die Öffentlichkeit bleibt im Dunkeln. Wenn überhaupt – wie bei dem von Hackern lahmgelegten Hochofen eines Stahlwerks – werden Angriffe in anonymer Form geschildert. Selbst für die Betreiber kritischer Infrastrukturen wie Energie, Strom und der Finanzsektor sieht das neue IT-Sicherheitsgesetz lediglich eine anonyme Meldepflicht vor. Denn in deutschen Unternehmen gilt weiterhin der Grundsatz: Ob Mitarbeiter, Kunden oder Aktionäre – niemand soll erfahren, wenn Cyberspione wertvolles Know-how abziehen, Hacker die Kundendatenbanken ausspähen oder die Steuerungscomputer in den Fabriken aus dem Takt bringen. Der Vertrauensverlust und Reputationsschaden wäre zu hoch.
Telekom-Router gehackt
Bei einem massiven Hacker-Angriff auf Router der Deutschen Telekom wurden im November 2016 waren fast eine Million Kunden betroffen. Der Telekom zufolge ging der Internet-Ausfall bei 900.000 ihrer mehr als 20 Millionen Festnetzkunden auf eine weltweite Cyberattacke zurück. Bei dem Angriff auf die „Speedport“-Router kam der Telefonanbieter aber offenbar mit einem blauen Auge davon. „Sie können ja sagen, dass es schlimm war, dass 900.000 Router ausgefallen sind. Sie können aber auch sagen: Es ist gut, dass nicht noch Schlimmeres passiert ist“, betonte Bundesinnenminister Thomas de Maizière. Die Geräte der Telekom waren laut Bundesamt für Sicherheit in der Informationstechnik (BSI) durch einen weltweit angelegten Hackerangriff lahmgelegt worden.
Nach ersten Analysen war der eingeschleuste Schadcode mit dem bekannten Botnet-Code Mirai verwandt, berichtete die IT-Sicherheitsfirma Kaspersky Lab. Ziel sei wahrscheinlich gewesen, die Router mit einem Botnetz zu verbinden, das Online-Kriminelle gewöhnlich für ihre Zwecke, etwa Erpressung, Spam-Versand oder gezielte Angriffe auf andere Rechner missbrauchen. Wie Stefan Ortloff von Kaspersky erklärte, wurde der Schadcode durch eine Sicherheitslücke im Router eingeschleust. Doch die Software sei offenbar nicht in der Lage gewesen, sich selbst in das Dateisystem zu schreiben. Deshalb habe sie einen Neustart nicht überlebt.
Foto: REUTERSHeftiger Angriff - lange nicht bekannt
Im September 2016 überraschte eine Nachricht des US-Internet-Dienstleisters Yahoo. Der Grund: ein massiver Cyberangriff. Hacker hätten schon Ende 2014 persönliche Daten von mindestens 500 Millionen Nutzern abgegriffen, räumte der Konzern ein. Betroffen waren Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, Passwörter sowie Sicherheitsfragen zur Feststellung der Identität der User. Bei lediglich einem Bereich gab Yahoo Entwarnung: Es gebe keinen Hinweis darauf, dass auch Kreditkarten- oder Bankkontendaten entwendet worden seien. Dennoch sprachen Experten vom bisher folgenschwersten Cyberdiebstahl bei einem E-Mail-Provider.
Foto: dpaKundendaten eines Seitensprungportals
2015 wurden besonders brisante Daten von Hackern gestohlen. Über 37 Millionen Datensätze der Seitensprung-Plattform Ashley Madison wurden erbeutet. Für den Anbieter wurde der Angriff dadurch nicht nur zum finanziellen Desaster. Denn durch die Meldung über den Hackerangriff, wurde auch das Geschäft des Unternehmens erst für die breite Masse öffentlich.
Foto: APKundenpasswörter gehackt
Im Mai 2014 gelang es Cyberangreifern sich Zugang zu Ebays Kundendatenbanken zu verschaffen. Mehr als 145 Millionen Datensätze wurden dabei gestohlen. Zu den sensiblen Daten der Kunden zählen deren E-Mail-Adressen, Usernamen und Passwörter. Bis heute ist nicht ganz geklärt, wer hinter dem Angriff steckte.
Foto: APMega-Hackerangriff auf JPMorgan
Die US-Großbank JPMorgan meldete im Oktober 2014, sie sei Opfer eines massiven Hackerangriffs geworden. Rund 76 Millionen Haushalte und sieben Millionen Unternehmen seien betroffen, teilte das Geldhaus mit. Demnach wurden Kundendaten wie Namen, Adressen, Telefonnummern und Email-Adressen von den Servern des Kreditinstituts entwendet. Doch gebe es keine Hinweise auf einen Diebstahl von Kontonummern, Geburtsdaten, Passwörtern oder Sozialversicherungsnummern. Zudem liege im Zusammenhang mit dem Leck kein ungewöhnlicher Kundenbetrug vor. In Zusammenarbeit mit der Polizei gehe die Bank dem Fall nach.
Ins Visier wurden laut dem Finanzinstitut nur Nutzer der Webseiten Chase.com und JPMorganOnline sowie der Anwendungen ChaseMobile und JPMorgan Mobile genommen. Entdeckt wurde die Cyberattacke Mitte August, sagte die Sprecherin von JPMorgan, Patricia Wexler. Dabei stellte sich heraus, dass die Sicherheitslücken schon seit Juni bestünden. Inzwischen seien die Zugriffswege jedoch identifiziert und geschlossen worden. Gefährdete Konten seien zudem deaktiviert und die Passwörter aller IT-Techniker geändert worden, versicherte Wexler. Ob JPMorgan weiß, wer hinter dem Hackerangriff steckt, wollte sie nicht sagen.
Foto: REUTERSApple und Facebook
Ebenfalls im Februar 2013 wurde Apple Opfer eines Hacker-Angriffs. Computer von Angestellten seien von den gleichen Angreifern heimgesucht worden, die auch Facebook ausspionieren wollten, hieß es. Am selben Tag wollte Apple ein Software-Update auf den Markt bringen, mit dem sich Kunden gegen das von den Hackern eingesetzte Programm schützen können. Einige Tage zuvor hatte Facebook bekanntgegeben, dass Laptops von Angestellten Ziel einer Attacke waren.
Foto: dapdUnbekannte Hacker trieben im Februar 2013 ihr Unwesen beim Kurznachrichtendienst Twitter: Innerhalb von zwei Tagen kaperten sie die Konten von Burger King und Jeep. Im Fall des Autobauers erklärten die Hacker bei Twitter den Verkauf der Geländewagen-Marke an den Konkurrenten Cadillac. Bei Burger King hatte es geheißen, das Unternehmen gehöre jetzt zu McDonald's, „weil der Whopper gefloppt ist“.
Foto: dpaNews of the World
Im Juli 2012 entwickelten sich viele kleine Hackerangriffe zuerst zu einem Abhörskandal, dann zum Medienskandal und schließlich zu einem der größten Skandale Großbritanniens. Die Folge: Die britische Sonntagszeitung "News of the World" wurde eingestellt. Mitarbeiter der Zeitung hatten sich jahrelang in die Mails von Prominenten und Gewaltopfern gehackt, um Informationen daraus für ihre Berichterstattung zu nutzen. Als die illegalen Recherchemethoden im Sommer 2012 an die Öffentlichkeit kamen, wurde die Zeitung vom Markt genommen.
iOS-Kundendaten geklaut
Auch der US-Elektronikriese Apple blieb 2012 nicht verschont von Hackerangriffen: Rund 12 Million Daten des iPhone-Betriebssystems iOS wurden laut dem FBI von der Hackergruppe Antisec gestohlen. Darunter veröffentlichte das Hackerkollektiv über eine Million iOS-IDs, die auch persönliche Angaben zu den Besitzern enthielten.
Foto: dpaIndustrieanlagen
Die Meldung eines Hackerangriffs auf mehrere iranische Industrieanlagen ging im Juni 2012 um die Welt. Ein Virus namens Stuxnet übernahm zweitweise die Kontrolle über iranische Rechnersysteme und konnte diese systematisch sabotieren. Experten gingen damals davon aus, dass ein anderer Staat den Auftrag zu dieser Attacke gegeben haben könnten. Die große Gefahr von Viren wie Stuxnet wurde daraufhin unter dem Begriff "Cyberwar" immer wieder thematisiert. Der Grund: Solche Viren könnten ebenso gut Schiffe, Flughäfen, das Militär oder Telekommunikationssysteme angreifen und diese sabotieren, was schwerwiegende Folgen für das jeweilige Land haben könnte.
Foto: dpaBundesbehörden
Im Juli 2011 mussten Bundeskriminalamt, Bundespolizei und Zoll zugeben, dass Hacker es in ihr Fahndungssystem "Patras" geschafft hatten. Dieses System nutzen Behörden zur Überwachung potentieller Straftäter und Ermittler. Nachdem die Hacker der "No Name Crew" sich Zugang verschafft hatten, mussten BKA und Co. die Server zeitweise abschalten.
Sony
Kein Hackerangriff traf in Deutschland so viele Menschen wie der Angriff auf den japanischen Elektronikkonzern. Im April 2011 stahlen Hacker die Daten von 75 Millionen Nutzern des Playstation-Netzwerks. Dadurch hatten sie nicht nur Zugriff zu Mail- und Postadressen, sondern konnten auch auf deren Kreditkartenangaben zugreifen. Sony schaltete das Netzwerk ab, einen Monat blieb es offline. Die "Los Angeles Times" berichtete, dass Sony den Schaden auf 172 Millionen Dollar schätzte.
Foto: dpaKreditkarten
Nachdem Visa und Mastercard der Plattform WikiLeaks im Dezember 2010 die Konten sperrten, stürzte sich die Hackergemeinschaft Anonymous auf die Geldinstitute. Die Seiten der Kreditkartenanbieter waren zeitweise nicht erreichbar.
Foto: dpaEstland
"Denial of Service" meldeten 2007 zahlreiche Computer in Estland - wochenlang. Dahinter steckte ein Hackerangriff auf die estnische Infrastruktur. Hacker hatten Regierungsrechner und Systeme von verschiedenen Unternehmen und Banken durch eine Flut von E-Mails überlastet. Internetseiten von Ministerien, dem Parlament, Medienhäusern und Geldinstituten waren nicht erreichbar. Sogar Notfallrufnummern und Bankautomaten funktionierten nicht mehr. Bis heute ist unklar, wer hinter der Attacke steckte.
ILOVEYOU
Unmittelbar nach der Jahrtausendwende flutete ein Virus aus Südostasien die digitale Welt. Ein Virus namens ILOVEYOU versendete sich von alleine, indem es auf sämtliche gespeicherte Kontakte eines Mailpostfaches zurückgriff. Die Menge an Nachrichten überlastete weltweit die Server, sodass der E-Mail-Verkehr zeitweise zum Erliegen kam. Eine zweite Version des Virus zerstörte dann sogar Dateien auf dem Rechner. Wer genau hinter dem Virus steckte, ist bis heute nicht geklärt.
Der berühmteste Hacker des 20. Jahrhunderts
Der Amerikaner Kevin Mitnick sorgte in den Neunzigerjahren für Aufmerksamkeit, als er sich mehr als zwei Monate eine Cyber-Jagd mit einem japanischen Sicherheitsexperten lieferte. Mitnick hatte sich zuvor in die Computersysteme von Softwareunternehmen und Telefongesellschaften gehackt und die Konten seiner Opfer geleert. Für die Unternehmen entstanden Schäden in Millionenhöhe. Nachdem Mitnick es bei dem Japaner versuchte, startete dieser eine Verfolgungsjagd und deckte nach einigen Wochen Mitnicks Identität auf. Der Hacker landete daraufhin im Gefängnis. Als er 2000 entlassen wurde, bekam der wohl berühmteste Hacker des vergangenen Jahrhunderts einen adäquaten Job. Er arbeitet heute als Sicherheitsexperte.
Foto: dpa
Dabei steigen die Schäden in Deutschland kontinuierlich an: Deutschland ist hinter dem Spitzenreiter USA inzwischen das Land mit den zweithöchsten Schadenssummen. Ein durchschnittlicher Datendiebstahl, ermittelte IBM in seinem jüngsten Sicherheitsreport, kostet 3,5 Millionen US-Dollar, mehr als in jedem anderen europäischen Land.
In den USA findet derzeit ein Umdenken statt. Viele Unternehmen folgen inzwischen einer Empfehlung der Börsenaufsicht SEC, die materiellen Schäden von Cyberangriffen und die daraus resultierenden Risikobewertungen in ihre Geschäftsberichte aufzunehmen. Die Aufarbeitung eines Cyberangriffs erfolgt sehr transparent. Cyberangriffe werden als derart relevantes Geschäftsrisiko angesehen, dass Investoren über alle Vorfälle per Adhoc-Mitteilungen und Quartalsberichte umfassend informiert werden. Stärker als in Deutschland ist den Vorständen bewusst, wie schnell ihr Unternehmen durch einen Hackerangriff in Schieflage geraten kann. Solche nicht zu verhindernde Negativ-Schlagzeilen sind für US-Manager eine zusätzliche Motivation, die Investitionen in die IT-Sicherheit zu erhöhen.
Wie hoch können die Schäden eines Hackerangriffs sein?
Der Spitzenreiter kommt aus den USA: Hacker griffen kurz vor Weihnachten 2013 die Datenbanken der US-Warenhauskette Target an und erbeuteten die Kreditkartendaten von 40 Millionen Kunden und die Profile (Name, Adresse, Telefonnummer, E-Mail) von 70 Millionen Kunden. Der Target-Vorstand verspricht vollständige Transparenz bei der Aufklärung des Datendiebstahls und veröffentlicht in seinen Geschäftsberichten die Schadenssummen.
Bis Januar 2015, also ein Jahr danach, hatten sich alle mit der Aufarbeitung des Angriffs entstandenen Kosten auf 252 Millionen US-Dollar summiert. Davon waren lediglich 90 Millionen US-Dollar von Versicherungen gedeckt. Bis Ende Oktober 2015 meldete Target zusätzliche Kosten in Höhe von 38 Millionen US-Dollar.
Mit den bisher aufgelaufenen Schäden in Höhe von 290 Millionen US-Dollar wäre der Angriff auf Target damit der teuerste Cyberangriff aller Zeiten. Allein 67 Millionen US-Dollar zahlte Target an die Kreditkartenorganisation Visa, um die dort aufgelaufenen Schäden etwa durch die Neuausgabe von Kreditkarten abzudecken. In der Summe nicht enthalten sind die Schäden, die den Kunden durch betrügerische Transaktionen mit gestohlenen Kreditkartendaten entstehen. Wenn Datendiebe nur zwei Prozent der 40 Millionen gestohlenen Kreditkarten für fingierte Einkäufe (Schaden pro Transaktion: 300 US-Dollar) einsetzen, erklärt eine Sicherheitsexpertin von Visa während einer Anhörung des US-Kongresses, dann summieren sich diese Schäden um weitere 240 Millionen US-Dollar.
Kann ein Cyberangriff ein Unternehmen in den Bankrott treiben?
Ja. Das zeigt ein Fall aus Großbritannien: Ein einziger, gezielter Hackerangriff reicht aus, um einem Unternehmen die Geschäftsgrundlage zu entziehen: Im Juni 2014 legten bisher unbekannte Hacker mit einem Denial-of-Service-Angriff (DDoS-Angriff) die Plattform für Softwareentwickler des britischen Anbieters Code Spaces 48 Stunden lahm. Zudem verschafften sie sich illegal Zugriff auf den Administratorzugang eines bei Amazon Web Services (AWS) angemieteten Cloud-Speicherplatzes.
Das Ziel der Attacke: Lösegeld erpressen. Die Geschäftsführung lehnte die Zahlung ab. Deshalb begannen die Angreifer umgehend, Daten zu löschen. Dabei gingen nahezu alle Daten inklusive der Sicherheitskopien verloren. Das Unternehmen sah sich gezwungen, seinen Betrieb einzustellen. Die finanziellen Belastungen bei der Wiederherstellung der gelöschten Daten und die Entschädigungsforderungen der betroffenen Kunden wären zu hoch gewesen.
Hat ein Konzern seine Wettbewerbsfähigkeit verloren, weil er von der Konkurrenz erfolgreich ausspioniert wurde?
Ja. Für den Niedergang des kanadischen Netzausrüsters Nortel ist nach Ansicht von Sicherheitsspezialisten ein erfolgreicher Spionageangriff verantwortlich. Seit dem Jahr 2000, damals war Nortel noch ein kanadisches Vorzeigeunternehmen mit einem Börsenwert von 225 Milliarden Euro, sind offenbar chinesische Hacker in den IT-Systemen ein- und ausgegangen. Sie konnten wichtige Firmeninterna und –geheimnisse absaugen, darunter technische Dokumentationen, Entwicklungsprojekte und Geschäftspläne. Insider meinen, es sei kein Zufall, dass mit dem Abstieg von Nortel der Aufstieg des chinesischen Konkurrenten Huawei begann.
Erstmals aufgefallen war das Spionageprogramm im Jahr 2004, doch das Unternehmen unternahm zunächst wenig und änderte nur einige Passwörter von Führungskräften. Noch 2009, als das Unternehmen Insolvenz anmeldete, in seine Einzelteile zerschlagen und an mehrere Konkurrenten, darunter Ericsson, verkauft wurde, hielten sich die chinesischen Hacker in den IT-Systemen von Nortel versteckt und schlachteten das Unternehmen aus.
Konnten Hacker schon Vorstandsvorsitzende abschießen ?
Jahrelang sah es so aus, als seien allein die Sicherheitschefs für die Abwehr von Cyberangriffen verantwortlich. Doch die Zeiten sind vorbei. Inzwischen stehen auch die Konzernchefs nach einem Hackerangriff im Kreuzfeuer der Kritik und müssen persönlich die Verantwortung für die Sicherheitslücken und Pannen übernehmen. Erst recht, wenn Unternehmen wie die US-Warenhauskette Target viel in die IT-Sicherheit investieren, aber niemand auf die Warnungen reagiert. Die internen Sicherheitssysteme meldeten zwar am 12. November 2013 einen Angriff. Doch erst vier Wochen später, nach einer Information aus dem US-Justizministerium über rätselhafte Bezahltransaktionen einzelner Kunden, nahm Target die internen Ermittlungen auf.
Nach dieser Panne kann der Aufsichtsrat nicht nur „Bauern“ opfern. Am 5. Mai 2014, also vier Monate nach dem Angriff, musste der Vorstandsvorsitzende Gregg Steinhafel seinen Chefsessel räumen. Quasi zeitgleich wurden alle direkt für IT und für die Cybersicherheit verantwortlichen Vorstandsposten neu besetzt.
Mittlerweile musste ein zweiter Vorstands-Chef seinen Posten räumen. Anfang August 2015 zog der Geschäftsführer des amerikanischen Seitensprungportals Ashley Madison (Slogan: „Das Leben ist kurz, gönn Dir eine Affäre“), Noel Biderman, die Konsequenzen aus einem erfolgreichen Cyberangriff. Hacker waren in die IT-Systeme seiner Betreiberfirma Avid Life Media (ALM) eingedrungen und konnten die persönlichen und zum Teil intimen Daten von 32 Millionen Nutzern absaugen und veröffentlichen. Von den Hackern ebenfalls erbeutete interne E-Mails erweckten den Verdacht, dass Biderman die Profile von Traumfrauen gefälscht hat, um möglichst viele Männer anzulocken.
Um den Vertrauensschaden zu begrenzen und einen Neuanfang ohne Altlasten zu starten, sah sich ALM gezwungen, Biderman zu feuern.