Achtung Ärzte und KMU's

Die Bedrohungslage hat sich exponentiell verschärft: Wichtige Geschäftsprozesse, vertrauliche Daten, finanzielle Ressourcen und die unterbrechungsfreie Verfügbarkeit von Anlagen und Systemen sind einem ständig wachsenden Risiko durch Zero-Second-Attacken ausgesetzt. Um das Risiko für Ihr Unternehmen zu verringern, müssen Sie smarter und besser gewappnet und informiert sein als Cyberkriminelle. Dabei brauchen Sie nicht mal mehr ein Ziel sein, um ein Opfer zu werden.

Geld für Schwachstellen

Geld für Schwachstellen

Grosse IT-Firmen zahlen für gemeldete Schwachstellen.

Bug Bounty

Eine Initiativen, bei denen Hacker Schwachstellen in fremden Computersystemen suchen und den Herstellern die ungewollten Einfallstore melden, heissen im Branchenjargon Bug Bounty. Zu Deutsch Kopfgeld für Programmfehler.

Softwareproblem

Moderne Software ist so umfassend, dass Programmierer unabwendbar Fehler machen. Schon Windows XP bestand aus über 45 Millionen Codezeilen. Beim aktuellen Windows 10 sind es schon über 80 Millionen Codezeilen. Je mehr Codezeilen ein Programm hat, desto grösser ist das Risiko, dass es Fehler enthält.
Microsoft bezahlt für einfache Schwachstellen 500 Dollar und für besonders gefährliche Sicherheitslücken bis zu 100.000 Dollar. Facebook hat in den letzten fünf Jahren rund fünf Millionen Dollar ausbezahlt.

Ethische Hacker (White-Hat-Hacker)

Die organisierte Jagd auf Programmfehler übernehmen die sogenannten ethischen Hacker, die als White-Hat-Hacker bezeichnet werden. Geld für Softwareschwachstellen zu zahlen, war in der IT-Branche lange umstritten. Kritiker beanstandeten, Bezahlungen für Programmierfehler würden den Handel zusätzlich anspornen. Andere sehen solche Aktionen als legale Alternative zu Geschäften im Darknet *, wo Cyberkriminelle besonders brisante Schwachstellen anbieten.
* Darknet (englisch für „Dunkles Netz“) beschreibt in der Informatik ein Peer-to-Peer-Overlay-Netzwerk, dessen Teilnehmer ihre Verbindungen untereinander manuell herstellen. Dieses Konzept steht im Gegensatz zu konventionellen Peer-to-Peer-Netzwerken, bei denen zumeist die Verbindungen zu den Clients fremder Personen automatisch und willkürlich initiiert werden. Im Ergebnis bietet ein Darknet ein höheres Mass an Sicherheit, da einem Angreifer der Zugriff auf das Netzwerk nicht ohne weiteres möglich ist oder er im Idealfall gar nichts von der Existenz des Netzwerks weiss. Um neue Personen in ein Darknet zu integrieren, müssen diese gewöhnlich von Teilnehmern eingeladen oder akzeptiert werden. Stellenweise ist dies auch nur Teilnehmern möglich, die über Privilegien verfügen.

Bug Bounty werden überwiegend in den USA angeboten, doch auch immer mehr europäische Unternehmen setzen auf die Hacker. Das hilft den Konzernen weltweit Kontakt zu Spezialisten aus der IT-Branche zu bekommen, nach denen dringend durch die gesamte Industrie gesucht wird. Die Nachfrage nach IT-Spezialisten wird in der Schweiz rasch wachsen angesichts von Trends wie dem Internet der Dinge.

Normale Sicherheitsmechanismen sind machtlos

Täglich werden ca. 360’000 neue Viren entdeckt. Drei Tagen nach der Aufspürung der Viren bleiben immer noch ca. 28 Prozent der Malware unbekannt. Angreifer haben bereits viele Tausend Geräte infiziert, bevor sie entdeckt und anschliessend gestoppt werden können. Neue Angriffsarten, sogenannte „Zero-Day Exploits“, nutzen Sicherheitslücken aus, noch bevor diese entdeckt und geschlossen werden können. Anti-Virensoftwareprogramme haben keine Chance, diese Angriffe abzuwehren.

DER PLAN: Cyber Kriminelle ermitteln Schwachstellen und planen dann Exploits. Wenn Cyber Kriminelle keine oder zuwenig Fachkenntnisse haben, organisieren Sie sich die Zugangsdaten auf dem Schwarzmarkt.

DIE AUSRÜSTUNG: Heutzutage sind Phishing-Mails und infizierte Webseiten die Modernen Waffen der Cyber Kriminellen, um heimlich Malware auf den Handys oder PC´s der Opfer zu installieren.

DIE VORBEREITUNG: Wenn die Ablenkung nicht funktioniert, warten die Banditen darauf, dass die potentiellen Opfer auf Ihre Online-Bankkonten zugreifen, um dann die Passwörter und Benutzernamen zu stehlen. Mit einem eingeschleusten Code fügen Sie heimlich Felder zum Banking-Portal hinzu und bitten um Handynummern.

DER ZUGANG: Cyber Kriminelle brauchen keine Zahlenkombinationen für den Tresor. Sie senden Ihnen eine SMS und geben sich als Ihre Bank aus. Sie bitten ihre Opfer eine Sicherheit-App zu installieren. Die infizierte App fängt SMS-Nachrichten einschliesslich Autorisierungscodes der Bank ab.

DER ÜBERFALL: Die Cyber Kriminellen haben den Benutzernamen, das Kennwort und den Authentifizierungscode. Jetzt können sie das Konto problemlos anzapfen und leeren.

DIE FLUCHT: Die Cyber Kriminellen arbeiten mit ausgeklügelter Software. Die mobile Malware löscht sich selbst und das, ohne eine Spur zu hinterlassen.