Arten von Cyberangriffen: Wie sich Kriminelle den Weg ins Unternehmen bahnen

Technische Schwachstellen: Die Nadel im Heuhaufen

Neben E-Mails, Nachrichten und Co. ist auch bestehende technische Infrastruktur ein beliebtes Ziel von Angreifer:innen: Existierende Schwachstellen in Software und/oder Hardware werden gezielt genutzt, um in das IT-Netzwerk des Unternehmens einzudringen. Bei diesen Schwachstellen kann es sich um bereits bekannte (sogenannte „Common Vulnerabilities and Exposures“, abgekürzt als „CVE“) oder gänzlich neue und bis dato unbekannte Probleme (sogenannte „Zero-Day-Schwachstellen“) handeln. CVEs sind bekannte Schwachstellen, für welche ggf. schon entsprechende Updates oder adäquate Remedierungsmaßnahmen zur Verfügung gestellt werden. Zero-Day-Schwachstellen hingegen können von Cyberkriminellen selbst entdeckt (technisch anspruchsvoll) oder über das Darknet gekauft werden.

Cyberkriminelle suchen gezielt nach solchen offenen Schwachstellen und nutzen diese aus, um unbefugten Zugriff zu den IT-Systemen ihrer Opfer zu erlangen. Dazu kommen oft noch Fehlkonfigurationen oder die Verwendung von Standard-Zugangsdaten zu internen Systemen, die Angreifer:innen den Zugang erleichtern. Diese einfachen, aber immer wieder übersehenen Sicherheitslücken können verheerende Folgen für Unternehmen haben.

In der Regel werden hauptsächlich die Schwachstellen von Netzwerkgeräten und Server-Systemen ausgenutzt. Aber auch Laptops können ins Visier von Cyberkriminellen geraten – dies geschieht häufig dann, wenn von Mitarbeitenden vom Unternehmen nicht zugelassene Software installiert und in weiterer Folge nicht mit den neuesten Updates versorgt wird.

Kauf von Zugangsdaten: Shoppen im Darknet

Ein weiterer Weg, wie sich Angreifergruppen Zugang zum IT-Netzwerk ihrer Opfer verschaffen, ist der Kauf von Zugangsdaten im Darknet. In Filmen und Serien wird dieser Bereich des Internets gerne als rechtsfreier Raum voller Drogen und Mordaufträge dargestellt – und tatsächlich ist das Darknet teilweise ein Ort, an dem illegale Waren und Dienstleistungen gehandelt werden und in dem spezielle oder rechtswidrige Inhalte zu finden sind, für die im allgemein zugänglichen Internet kein Platz ist. Das Darknet kann aber auch für Zwecke genutzt werden, die in unserer westlichen Kultur als moralisch akzeptabel gelten, wie beispielsweise für Journalismus oder kritische Informationsbeschaffung in repressiven Staaten.

Teilbereiche des Internets

Warum aber wird das Darknet so häufig für Cyberangriffe genutzt? Das liegt insbesondere an der Art und Weise, wie Daten übertragen werden. Auf ihrem Weg durch das Darknet werden Informationen nämlich mehrfach verschlüsselt, sodass nur die empfangende Stelle sie wieder entschlüsseln kann. Und während es zwar Möglichkeiten für Strafverfolgungsbehörden gibt, das Darknet zu überwachen, sind diese nur begrenzt – und in den meisten Fällen wenig effektiv.

Wie funktioniert der Datenkauf im Darknet?

Man kann sich den Datenhandel im Darknet wie einen Marktplatz vorstellen – nur, dass statt Waren sensible Informationen gehandelt werden, oft zu überschaubaren Preisen. Diese kommen meist aus vorangegangenen Cyberangriffen oder Datenabflüssen: Immer wieder werden Benutzernamen, Passwörter oder Kreditkarteninformationen von bekannten Onlineplattformen entwendet sowie umfangreiche Datenbestände von Unternehmen exfiltriert. Für Cyberkriminelle sind diese Informationen daher leicht zugänglich, ohne selbst die notwendigen technischen Fähigkeiten für einen initialen Datendiebstahl, Phishing oder sonstige Methoden mitbringen zu müssen. Im Zusammenhang mit dem initialen Einfallstor in ein Unternehmensnetzwerk sind gestohlene und zum Verkauf angebotene Benutzernamen und Passwörter für Cyberkriminelle besonders interessant: Viele Benutzer:innen nutzen nämlich dasselbe Passwort für verschiedenste Online-Dienste und -Services, unter anderem aber auch für die Anmeldung zum Firmennetzwerk. Diese Tatsache machen sich Cyberkriminelle zu Nutze und erhalten auf diese Weise schnell und einfach gültige Zugangsdaten zu Unternehmensnetzwerken.

Malicious Insiders: Die Gefahr von innen

Eine weitere Möglichkeit für Angreifer:innen, an sensible Daten zu kommen, sind sogenannte „malicious insiders“. Hierbei handelt es sich um (ehemalige) Mitarbeitende, die absichtlich oder unabsichtlich interne Informationen preisgeben oder Sicherheitsvorkehrungen umgehen. Solche Insider können aus verschiedenen Motiven heraus handeln, sei es aus Gier, Unzufriedenheit oder einfach aus Unkenntnis. Ihr Wissen über interne Abläufe und Systeme sowie vorhandene (technische) Berechtigungen machen sie zu einer Bedrohung für die Sicherheit des Unternehmens.

Um die komplexen Zusammenhänge zwischen Motivation, Gelegenheit und Rationalisierung im Kontext von Betrugsrisiken zu verstehen, ziehen wir im Rahmen unserer Untersuchungen das sogenannte „Fraud Triangle“ heran. Als Unternehmen hat man direkt Einfluss auf die „Gelegenheit“ – also etwa auf technische oder prozessuale Vorgaben und Schwachstellen –, während die „Motivation“ und die „Rationalisierung“ zum Teil unternehmensunabhängig oder völlig losgelöst vom Unternehmen sein können. Präventive Maßnahmen sollten also auf die Analyse bzw. Absicherung der möglichen „Gelegenheiten“ abzielen.

Generell sollte aber für die Erhöhung der Informationssicherheit in Unternehmensumgebungen das etablierte Konzept „Least Privilege“ zur Anwendung kommen. Dieses Prinzip besagt, dass Mitarbeitende lediglich Zugriff auf jene Ressourcen erhalten, die für ihre Aufgaben unbedingt erforderlich sind, um das Risiko eines Missbrauchs zu minimieren.

Egal, wie sich Cyberkriminelle Zugang zu Daten verschaffen: Die Folgen für Unternehmen können gravierend sein. Umso wichtiger ist es, rechtzeitig vorzusorgen – etwa mit einer umfassenden „Cyber Incident Response”-Strategie, welche sämtliche Maßnahmen und Aktivitäten zur Bekämpfung und Bewältigung von Cyberangriffen umfasst.

Fazit: Proaktives Handeln ist essenziell

Der erste Schritt eines Cyberangriffs beginnt meist unscheinbar – mit einer gefälschten E-Mail, einer ungepatchten Softwarelücke oder dem Verkauf von Zugangsdaten im Darknet. Doch dieser Einstieg kann gravierende Folgen haben: Ist der Zugang erst geschafft, bahnen sich Cyberkriminelle unbemerkt ihren Weg ins Unternehmensnetzwerk. Phishing, technische Schwachstellen, Insider und gekaufte Logins zählen dabei zu den häufigsten Angriffswegen. Umso wichtiger ist es, dass Unternehmen mit Schulungen, technische Schutzmaßnahmen und klaren Sicherheitsprozessen auf allen Ebenen präventiv agieren – bevor aus einem Klick ein flächendeckender Angriff wird.

In unserem nächsten Artikel erfahren Sie, was bei einem Cyberangriff passiert, nachdem sich Cyberkriminelle erfolgreich Zugriff auf die IT-Systeme eines Unternehmens verschafft haben.

Glossar