Ein besorgter Familienvater in Frankreich wollte verhindern, dass seine Kinder heimlich im Internet surfen. Diese seien im Lauf der langen Corona-Pandemie abhängig von sozialen Medien geworden.
Sein (in Frankreich wie in Deutschland illegales) Mittel – ein Störsender – schoss jedoch weit übers Ziel hinaus und legte das Mobilfunknetz der ganzen Gemeinde lahm. Nun droht dem Mann neben einer Geld- auch eine bis zu sechsmonatige Haftstrafe.
Die Aktivitäten der staatlich gesteuerten bzw. finanzierten Hacker haben selbstverständlich nicht erst mit der Invasion begonnen. Vielmehr ist seit Jahren ein Aufrüsten aller Seiten im Cyberraum zu beobachten.
So haben vermutlich Russland zuordenbare Akteure spätestens seit Januar 2020 sensible Daten aus Waffenentwicklungsprogrammen der USA entwendet. Dies erfolgte im Rahmen einer größeren Kampagne, die auch weitere Regierungsorganisationen als Ziel hatte.
Die IT-Supply-Chain ist in den letzten Jahren nicht zuletzt dank internationaler Vorfälle wie Solarwinds oder Kaseya stark in den Fokus gerückt. Dabei geben wird schon seit Jahrzehnten gewissen Softwaretypen („Hilfs- oder Dienstprogramme“) tiefsten Einblick und Zugriff in bzw. auf unsere IT-Systeme.
Dass insbesondere Antiviren-Software aufgrund ihrer umfassenden Systemrechte besonders kritische Gäste in der eigenen Infrastruktur sind, die zudem funktionsbedingt einen Kanal zum Nach-Hause-Telefonieren benötigen, wurde ebenfalls immer wieder diskutiert. Und doch kommen nur ganz wenige Organisationen von ihnen los. Zu groß scheint der Nutzen in Bezug auf übliche Malware, zu groß das Compliance- und Haftungsrisiko, wenn man Antiviren-Software nicht nutzt.
Nun hat mit dem russischen Einmarsch in die Ukraine die Diskussion neuen Anschub erhalten: Der im Enterprise-Bereich beliebte Hersteller Kaspersky gilt potenziell als durch Moskau steuerbar. So blieb es diesmal nicht bei den üblichen abstrakten Aufrufen, Risikomanagement für die eigene Supply Chain zu betreiben. Das BSI nutzte vielmehr den bisher nur dreimal gezogenen § 7 BSI-Gesetz, um konkret vor dem Einsatz von Kaspersky-Produkten zu warnen.
Obwohl dies nicht mit einem Verbot gleichzusetzen ist, kommen deutsche Unternehmen und Behörden nun in Bedrängnis. Schließlich ist die Migration auf ein neues Antivirus-Produkt nicht mal nebenbei gemacht und außerdem mit erheblichen Kosten verbunden, von der Frage öffentlicher Mittel im Fall von Behörden ganz zu schweigen.
Wie ist das ganze also einzuordnen? Zunächst hat das BSI völlig recht: Der Einsatz russischer Produkte in deutschen kritischen Infrastrukturen war vor dem 24. Februar ein Risiko – und ist es jetzt umso mehr. Niemand kann sicher vorhersagen, inwieweit und wann sich der Krieg doch noch stärker in den bisher erstaunlich ruhigen Cyberraum bewegen wird.
Auf der anderen Seite ist Ruhe bewahren das Gebot der Stunde. Natürlich versuchen Geheimdienste und andere „state-sponsored“ Akteure seit Jahren, in Infrastrukturen hierzulande einzudringen. Und es ist zwar nicht auszuschließen, dass ihnen dafür bestimmte Software helfen kann, die schon einen Fuß in der Tür hat. Auf der anderen Seite haben bisherige Angriffskampagnen ganz andere Vektoren zu nutzen gewusst, von Phishing über RDP bis Teamviewer. Es gibt also viel mehr – und übrigens auch viel dringendere – Hausaufgaben zu tun, als sofort Kaspersky den Stecker zu ziehen. Und kritischen Playern wie der Rüstungsindustrie wäre mit solch einer Warnung des BSI eh nicht mehr zu helfen, wenn sie bisher auf derartige Produkte gesetzt hätten.
Allerdings ist es nützlich, den aktuellen Anlass zu einer ehrlichen Bestandsaufnahme zu nutzen, wie abhängig die eigene Infrastruktur von bestimmten Staaten ist. Und im Fall von Russland hat sich die Einschätzung, was Vertrauen und Sicherheit betrifft, eben noch einmal eingedunkelt.
Am Ende könnte die Abkehr von Kaspersky zwar nicht mit dem Paukenschlag der BSI-Warnung, sondern mit den Füßen erfolgen: Wenn bei den nächsten Lizenzverlängerungen die Geopolitik als ein weiteres, wichtiges Argument mit auf den Tisch kommt. Oder wenn aktuell die eine oder andere Cyberversicherung schreibt, dass ein Umstieg weg von Kaspersky zwar keine Voraussetzung für die Weiterführung der Police sei, im Schadensfall aber ggf. keine Deckung erfolge, falls das der Angriffsvektor wäre. Es ist also in der neuen Weltordnung ein Stück riskanter geworden, Kaspersky langfristig die Treue zu halten.
Fazit: Mit einer angemessenen Risikoanalyse und einem Lagebild der eigenen Situation im Zusammenspiel mit den konkreten Gefährdungen (Ransomware lässt grüßen) fährt man derzeit besser, als mit hektischer Deinstallation von Schutzsoftware.
https://www.dw.com/de/warnstufe-orange-deutsche-unternehmen-im-visier-russischer-hacker/a-61232466
Wie ein Krimi
Die Geschichte der mutmaßlichen Aufklärung des größten Raubes der (noch jungen) Geschichte der zweitgrößten Kryptowährung Ethereum:
Wie ein Albtraum
Der fiktive, aber durchaus realistische Twitter-Thread von AlphaLimaEchoXray, was nach einem Blackout passieren könnte:
Wie eindrücklich
Bücherliste zum Thema Blackout/Schwarzfall/Stromausfall/Leben ohne Strom:https://www.ohne-strom.net/bereiche/buecher/
Seit Jahren gibt es immer wieder Cyberangriffe auf Systeme und kritische Infrastrukturen in der Ukraine, etwa auf die Energieversorgung 2015 und 2016. Einige davon konnten mit ausreichender Sicherheit russischen Akteuren zugeordnet werden, bei anderen wird dies nur vermutet.
Nun, mit dem Einmarsch russischer Truppen in die Ostukraine, wird die Sorge um eine Eskalation auch im Cyberraum immer größer. Eine neue Angriffswelle auf ukrainische Organisationen hat in den letzten Tagen bereits stattgefunden. Diesmal waren das Verteidigungsministerium und zwei Banken die Ziele von DDoS-Angriffen; Russland wird auch hier hinter den Angriffen vermutet.
Weiterhin gibt es Berichte, dass russische Hackergruppen aktiv Ziele in Amerika auskundschaften, um auf mögliche Sanktionen gegen Russland reagieren zu können. Und auch deutsche Sicherheits- und Zivilschutzbehörden sind alarmiert, inwieweit hiesige und sonstige europäische Infrastrukturen ins Visier geraten werden.
Die nächsten Wochen könnten also zeigen, ob unsere Vorbereitungen der letzten Jahre für derartige Szenarien ausreichend waren oder nicht.
Die folgende Grafik stellt eine Karikatur des beliebten Spiels Wordle dar, verrät allerdings auch einiges darüber, wie Passwörter häufig gewählt werden.
Wie man’s macht
Guru Ross Anderson veröffentlicht derzeit nach und nach Lektionen als YouTube-Videos für einen Uni-Kurs basierend auf dem Klassiker „Security Engineering“. Wer also schon immer mal das Buch lesen wollte, für den aber Videos oder Podcasts das bessere Format sind, für den könnte das hier etwas sein.
https://www.lightbluetouchpaper.org/2022/01/19/security-engineering-course/
Was funktioniert
Es ist nicht häufig, dass Security von Wirtschaftsunternehmen als harte Wissenschaft betrieben wird. Umso bemerkenswerter (modulo Marketing-Tam-Tam) ist, was Cisco unter dem Stichwort „We know what works“ in Doppelblindstudien über effektive Sicherheitsmaßnahmen herausgefunden hat.
https://blogs.cisco.com/security/presenting-the-security-outcomes-study-volume-2
Wo es wie viel weh tut
„Cybernomics“ heißt das Forschungsfeld an der Schnittstelle zwischen Cybersicherheit und Ökonomie, das Keyun Ruan 2016 gegründet hat. Neben einer Theorie der Bewertung digitaler Assets definiert es das Pärchen Bitmort und Hekla als Maßeinheiten für das Cyberrisiko.
Die Fernwartungstechnik „Integrated Lights-Out“ (iLO) wird benutzt, um Server fernzusteuern oder Software upzudaten. Diese Funktion wurde von einer Malware ausgenutzt, um regelmäßig die Datenträger des Servers zu löschen. Weiterhin hat die Malware Persistenz, da sie ein Update der iLO-Firmware verhindert, aber einen Erfolg zurückmeldet. Hierzu wird eine falsche UI verwendet, an der die Malware erkannt werden kann. Die ausgenutzte Schwachstelle wurde schon 2017 gemeldet, aber damals anscheinend nicht ausreichend behoben.
https://www.heise.de/news/Rootkit-schluepft-durch-Luecke-in-HPEs-Fernwartung-iLO-6315714.html
Ein Bug beim Cloud-Service-Provider Box ermöglichte es, die Multi-Faktor-Authentifizierung zu umgehen. Erfolgreiche Angreifer konnten die Zugangsdaten (SMS-Codes) stehlen, ohne Zugriff auf das Handy des Opfers zu benötigen. Der Fehler ist inzwischen behoben.
https://thehackernews.com/2022/01/researchers-bypass-sms-based-multi.html
Unbekannte haben in einem Cyberangriff auf das Internationale Komitee des Roten Kreuzes (IKRK) die Daten von über 515.000 Menschen gestohlen. Dabei handelt es sich um „höchst schutzbedürftige“ Personen, also etwa Vermisste, Inhaftierte oder Menschen, die durch Konflikte, Migration oder Katastrophen von ihren Familien getrennt wurden. Die Daten stammen von rund 60 nationalen Dienststellen des Roten Kreuzes und Roten Halbmondes weltweit. Das Motiv ist bisher unklar.
https://www.zdf.de/nachrichten/panorama/cyberattacke-rotes-kreuz-100.html
