Diese Risiken beschäftigen IT-Sicherheitsexperten 2019

Ransomware, Krypto-Trojaner, IoT-Botnetze und DSGVO waren nur ein paar der Sicherheitsthemen, die IT-Verantwortlichen 2018 Sorgenfalten auf die Stirn trieben. Glaubt man vielen Stimmen im Markt, wird das Bedrohungsniveau auch 2019 nicht sinken und das asymmetrische Ringen zwischen Cyber-Kriminellen und Unternehmens-IT in die nächste Runde gehen.

Security-Anbieter Trend Micro präsentierte im Rahmen des diesjährigen Winter Roundtables in München die Vorhersagen seines Forschungskaders, welche Bedrohungen auf Wirtschaft und Gesellschaft im kommenden Jahr zukommen könnten. Im Folgenden fassen wir die für Unternehmen relevanten Prognosen zusammen.

Angriffe aus dem Home-Office

Durch den Home-Office-Trend und der Schwemme an smarten Geräten in den Haushalten eröffnen sich Angreifern mehr und neue Wege zu den Unternehmensdaten. Private Drucker und Storage-Geräte im heimischen Netzwerk werden oft für Arbeitszwecke verwendet, entsprechen aber nicht unbedingt den Sicherheitsstandards des Unternehmens. Zudem finden sich in vielen Haushalten IoT-Geräte mit bekannten Schwachstellen, die in denselben Netzen hängen.

Dieses Zusammenspiel veranlasst Trend Micro davon auszugehen, dass es 2019 gezielte Angriffe über die Privatnetzwerke der Mitarbeiter geben wird. Hacker werden Schwächen von Heimnetzwerken und Geräten wie etwa Sprachassistenten ausnutzen, um in Unternehmensnetzwerke zu gelangen und personenbezogene Daten abzugreifen.

DSGVO zwingt zur Wahl zwischen Compliance und Sicherheit

Für 2019 erwartet Trend Micro auch erste Strafen für DSGVO-Verstöße, an denen die Regulierer ein Exempel statuieren wollen. Dabei soll die volle Bußgeldhöhe von vier Prozent des weltweiten Jahresumsatzes veranschlagt werden. Dies wird dazu führen, dass Unternehmen größere Anstrengungen darauf verwenden werden, die Datenschutzrichtlinien einzuhalten. Damit sieht der Security-Anbieter jedoch ein Dilemma auf die Betriebe zukommen.

Zwar schließen sich Vertraulichkeit und Sicherheit nicht grundsätzlich aus. Wenn aber Datenvertraulichkeit gewährleistet sein soll, dann wird es schwieriger, die oft persönlichen Quellen und Details einer Sicherheitsbedrohung zu bestimmen. So verhinderten beispielsweise die geforderte Pseudonymisierung von Daten und das "Recht auf Vergessenwerden" eine umfassende IT-Forensik der Datenbestände im Falle eines Datenlecks.

Daher gehen die Sicherheitsexperten aus Tokio davon aus, dass 2020 bis zu 75 Prozent der neuen Geschäftsanwendungen zwischen Datenschutz-Compliance und Sicherheit abwägen müssen.

Neue Erpressungsmöglichkeiten

Die DSGVO spielt laut Trend Micro auch eine Rolle für die Art und Weise, wie Online-Erpresser Unternehmen attackieren. So sagen die Japaner für 2019 voraus, dass Cyberkriminelle die maximale Strafe für Compliance-Verletzungen der DSGVO als Richtlinie für die Höhe des verlangten Lösegelds nutzen werden. Dabei hofften die Erpresser darauf, dass ihre Opfer in Panik geraten und eher bezahlen, als einen Diebstahl öffentlich zu machen.

Darüber hinaus soll es gefälschte Medieninhalte (Deepfakes, Fake News etc.) mit Online-Schmierkampagnen gegen Markennamen geben. Wer das vermeiden will, um seinen Ruf zu retten, wird erpressbar. Die Angreifer werden Lösegeld verlangen, damit sie die Fake-Propaganda unterlassen oder einstellen.

E-Mail-Betrug bewegt sich die Unternehmenshierarchie hinab

Unter Business E-Mail Compromise (BEC) versteht man eine Art der Man-in-the-Middle-Attacke. Dabei übernimmt ein Angreifer mittels Social Engineering oder Malware die Kontrolle über das E-Mail-Konto eines Mitarbeiters oder erstellt eine Adresse, die dieser sehr ähnelt. Damit täuscht er die Identität des Opfers vor und versucht, in dessen Namen beispielsweise eine weitere Person dazu zu veranlassen, Geld auf ein bestimmtes Konto zu transferieren.

Üblicherweise war bislang das Top-Management in den Unternehmen im Visier der Betrüger, da diese auf dem C-Level die meisten Befugnisse vermuteten. Mittlerweile ist jedoch in den meisten Chefetagen ein Bewusstsein gegen BEC entstanden, was die Erfolgschancen der Angreifer mindert.

Daher werden Cyberkriminelle künftig Mitarbeiter angreifen, die in der Unternehmenshierarchie weiter unten angesiedelt sind, aber dennoch Einfluss und Rechte besitzen. Trend Micro nennt beispielsweise Sekretariatsangestellte, Führungsassistenten oder hochrangige Manager in der Finanzabteilung.

Führungspersonen werden gezielt mithilfe von KI-Technologie angegriffen

Die oberste Führungsriege kann jedoch keineswegs aufatmen. Sie soll im kommenden Jahr mithilfe von künstlicher Intelligenz attackiert werden. Aggressoren könnten auf der Basis gestohlener oder aus sozialen Netzwerken gesammelter Informationen die Aktivitäten von Führungskräften und anderen Geheimnisträgern analysieren und teilweise vorhersagen. Beispielsweise lässt sich oft feststellen, wo sich Führungskräfte wann aufhalten werden. Darunter fallen Hotels, die typischerweise vom Unternehmen gebucht werden oder Restaurants, die sie für Meetings aussuchen. Aufgrund der Kenntnis solcher Vorlieben lassen sich die Orte eingrenzen, an denen die Manager wahrscheinlich anzutreffen und am einfachsten anzugreifen sind.

Die Cloud als Sorgenkind

Der Trend zur Cloud als erste Wahl vieler Unternehmen gibt Trend Micro Anlass, gleich drei sicherheitsrelevante Prognosen abzugeben.

Da die Datenverlagerung in die Cloud umfangreich, komplex und für jedes Unternehmen individuell ist, geht Trend Micro davon aus, dass es immer mehr Fälle von Datenschutzverletzungen und Diebstählen geben wird, die eine direkte Folge von Fehlkonfigurationen während der Migration in die Cloud sind. Auch die Übertragung lokaler oder privater Cloud-Daten an einen Service-Provider könne für Unternehmen Sicherheitsrisiken mit sich bringen. So seien Cloud Storage Buckets (Speicher-Container innerhalb der Cloud) zwar per se privat, doch ein Bucket von außerhalb bringe auch seine vorhandenen Rechte mit. Deshalb müssten Zugangs-Richtlinien während des gesamten Einsatzes wohl durchdacht, implementiert und gewartet werden. So sei beispielsweise darauf zu achten, dass ein AWS-Bucket standardmäßig mit der Einstellung "Full Control Everyone" bereitgestellt werde und extra individuell angepasst werden müsse.

Diese Fehleranfälligkeit führe dazu, dass Cyberkriminelle versuchen würden, fremde Cloud-Konten durch Kryptojacking zum Schürfen von Kryptowährungen zu missbrauchen. So existierten beispielsweise bereits Cloud Bucket Scanner, die Buckets nach ungeschützten sensiblen Daten und Schwachstellen absuchten.

Schließlich mahnen die Japaner vor neuen Schwachstellen in Container-Technologien wie Kubernetes und Docker. Je mehr Anklang die Cloud in Unternehmen finde, desto mehr würden sich Hacker auf potenzielle Schlupflöcher fokussieren. Die Gefahr liege hierbei nicht unbedingt in aktiven Angriffen. Auch öffentlich verfügbare Open-Source-Komponenten der Infrastrukturen bergen laut Trend Micro Risiken. So sollen mehr als ein Dutzend bösartige Docker-Images im Laufe eines Jahres mindestens fünf Millionen Mal von nichtsahnenden Entwicklern heruntergeladen worden sein, bevor sie entfernt werden konnten.

Automatisierung schafft neue Angriffsflächen

Business Process Compromise (BPC) bezeichnet Angriffe, bei denen bestimmte Geschäftsprozesse heimlich geändert werden, um Profit zu generieren. Durch den zunehmenden Automatisierungsgrad in Wirtschaft und Industrie wird Hackern 2019 mehr Angriffsfläche für BPC zur Verfügung stehen.

Während Software oder Online-Anwendungen zusätzliche Aspekte des Monitorings und Funktionen übernehmen, haben Kriminelle nach Einschätzung der Japaner auch mehr Gelegenheiten, diese Prozesse über Software-Schwachstellen oder Lücken bei der Integration zu infiltrieren, sollten sie nicht von vornherein gesichert sein. Das schließe die Supply Chain mit ein, da Angreifer auch Lieferanten oder Partner eines Zielunternehmens nach Schwachstellen absuchten, um an ihr Ziel zu kommen.

Exploits nutzen fast keine Zero-Day-Schwachstellen mehr

Zero-Day-Exploits sind Softwareschwachstellen, die die betroffenen Anbieter noch nicht bemerkt haben. Es ist für Cyberkriminelle relativ aufwändig, solche unbekannten Schwachstellen zu finden, denn es existieren Forschungsprojekte und Initiativen für deren systematische Suche und verantwortungsvolle Veröffentlichung. Dazu gehören unter anderem das Project Zero von Google und die Trend Micro Zero Day Initiative (ZDI).

Wurde eine Schwachstelle entdeckt und ein Patch dafür entwickelt und veröffentlicht, bietet sich den Angreifern jedoch eine weitere Gelegenheit. Zwischen der Veröffentlichung eines neuen Patches und dessen Aufspielen auf den Systemen liegt meist ein gewisses Zeitfenster, denn Administratoren benötigen eine geeignete Strategie und die nötige Zeit, um die Patches anzuwenden.

Diese Effizienzprobleme liefern Cyberkriminellen die nötige Zeit für einen Angriff. Da die Einzelheiten der Schwachstelle bei deren Veröffentlichung mit publiziert wurden, verkürzt sich die Recherchezeit für die Ausnutzung der Schwäche erheblich.

Daher geht Trend Micro davon aus, dass erfolgreiche, auf Exploits beruhende Angriffe Schwachstellen nutzen werden, für die bereits Wochen oder gar Monate vorher Patches zur Verfügung gestellt aber noch nicht aufgespielt wurden.

HMI-Schnittstellen gefährden Industrie

Laut Forschungsergebnissen des ZDI soll ein großer Teil der Schwachstellen in Software, die für Supervisory-Control-and-Data-Acquisition (SCADA)-Systeme genutzt wird, durch Human Machine Interfaces (HMIs) entstehen. Diese Schnittstellen dienen Mitarbeitern als zentraler Punkt für die Verwaltung der verschiedenen Diagnose- und Steuermodule in einer Einrichtung.

Als Gründe nennt Trend Micro, dass HMI-Software traditionell nicht so gut abgesichert sei, wie beispielsweise Software von Microsoft und Adobe. Außerdem gingen viele Anwender fälschlicherweise davon aus, dass diese Art von Software nur in isolierten oder durch Air Gap gesicherten Umgebungen laufe. Tatsächlich seien sie aber beispielsweise zur Fernwartung häufig mit dem Internet verbunden und damit anfällig für Angriffe.

Trend Micro geht davon aus, dass 2019 weitere HMI-Schwachstellen bekannt werden.