Stellungnahmen zur Hacker-Attacke auf deutsche Politiker

Auch Personen des öffentlichen Lebens betroffen

[datensicherheit.de, 04.01.2019] Laut zahlreichen Medienberichten vom 4. Januar 2019 sollen in großer Anzahl persönliche Daten Hunderter Politiker und Prominenter entwendet und online gestellt worden sein. Hinsichtlich des Ausmaßes der Schäden und der Verantwortlichen besteht derzeit offenbar noch keine belastbare Erkenntnis. Zuweilen werden bisher nicht belegte Vermutungen geäußert. Mehrere IT-Sicherheitsexperten haben Stellungnahmen abgegeben, von denen einige ausgewählte nachfolgend aufgeführt sind:

Bundesregierung sollte Cyber-Sicherheit sehr ernstnehmen!

Die Datenschutzverletzung bei Hunderten deutscher Politiker und Personen des öffentlichen Lebens sei alarmierend, aber gleichzeitig nicht überraschend, meint Mike Hart, „VP Central & Eastern Europe“ bei FireEye: Man habe bereits 2018 gesehen, „was möglich ist, als der Bundestag erfolgreich angegriffen wurde“, und man habe auch hochkarätige Hacker-Angriffe auf andere Politiker beobachtet.
Hart: „Die Motivation hinter den Angriffen ist derzeit noch unklar, könnte aber mit ,Hacktivismus‘ in Verbindung gebracht werden, bei dem Angriffe durchgeführt werden, um aufzuzeigen, dass man mit einer Sichtweise zu einem bestimmten Thema nicht einverstanden ist.“
Es könnte sich laut Hart jedoch ebenso um staatlich geförderte Cyber-Spionage handeln. Sicher sei, dass dieser Angriff eindeutig Schaden angerichtet habe. Dieser unterstreiche die Notwendigkeit, dass die deutsche Regierung Cyber-Sicherheit sehr ernstnehmen müsse.

Gefahrenbewusstsein, Cyber-Hygiene sowie Verbesserung der Cyberabwehr-Kapazitäten

Auch der Cyber-Sicherheitsrat Deutschland e.V. plädiert in seinem Kommentar für einen verantwortungsvollen Umgang mit diesem „Datenleak“ und hält den Ausbau der Cyber-Abwehrkapazitäten für notwendig.
In der Nacht auf den 4. Januar 2019 sei durch Medienberichte bekannt geworden, dass via eines „twitter“-Kontos über mehrere Wochen hinweg massenhaft gehackte persönliche Daten von Politikern, Moderatoren, Künstlern und weiteren Personen des öffentlichen Lebens publik gemacht wurden. „Der Vorfall zeigt, wie akut und ernst die Gefahren aus dem Cyber-Raum sind. Nicht nur für die Wirtschaft, sondern auch gegenüber politischen Systemen – insbesondere Demokratien – und der Gesellschaft kann die voranschreitende, weltweite Vernetzung für solche Kampagnen missbraucht werden und großen Schaden anrichten“, sagt Hans-Wilhelm Dünn, Präsident des Cyber-Sicherheitsrats Deutschland e.V., und fordert:
„Um in diesem Fall den größtmöglichen Schaden abzuwenden, müssen wir als Gesellschaft zusammenstehen und solchen Leaks entschlossen begegnen!“ Man dürfe sich nicht auf den Missbrauch der Daten einlassen. Dazu gehöre auch, „dass sich Betreiber von Instant-Messaging- und Mikroblogging-Plattformen sowie Sozialen Netzwerken ihrer Verantwortung bewusst werden und sich stärker für die Unterbindung derartiger schmutziger Aktionen einsetzen“.
Gleichzeitig müsse man gemeinsam kontinuierlich an einer besseren, stabilen Cyber-Sicherheit arbeiten – mit einem angemessenen Gefahrenbewusstsein, einem hohen Level an Cyber-Hygiene „sowie der Verbesserung unserer Cyberabwehr-Kapazitäten, etwa im Bereich der Detektion und Attribution, um Angriffe schneller entdecken und Cyber-Kriminelle effektiv identifizieren und strafrechtlich verfolgen zu können“.

Vorfall wirft zahlreiche kritische Fragen auf

ESET spricht in seinem Kommentar von einem der vermutlich größten Daten-Lecks aller Zeiten, welches gerade deutsche Politiker, VIPs, Moderatoren, Parteien und Prominente erschüttert: Hunderttausende von sehr persönlichen Daten seien gestohlen und auf „twitter“ veröffentlicht worden. ESET wundert sich, „wie es dazu überhaupt kommen konnte“…
Denn mit der Verschlüsselung von Daten – wie es die Datenschutzgrundverordnung (DSGVO) seit Mai 2018 vorschreibt – und dem Einsatz der sogenannten 2-Faktor-Authentifizierung hätten sich viele Betroffene oder die Betreiber der Datendienste wirkungsvoll schützen können. Selbst nach einem erfolgreichen Angriff wären die personenbezogenen Daten und Dokumente für den Angreifer wertlos gewesen – er hätte nichts Anderes als „Datenmüll“ lesen können.
Das Ausmaß des Vorfalls verwundere Sicherheitsspezialisten indes nicht, so ESET. Es stellten sich berechtigte Fragen, die nicht nur zur Aufklärung dienen, sondern später auch die Basis einer verbesserten IT-Sicherheit für jedermann bilden könnten:

• Ist es den Angreifern gelungen auf einen zentralen Dienst bzw. Server Zugang zu gelangen – oder befanden sich die Daten auf einem einzelnen Dienst- oder Privatrechner? Falls ja, auf welchen Dienst hatten die Angreifer Zugriff, der Daten nicht vollverschlüsselt vor fremden Zugriff absichert?
• Zum jetzigen Zeitpunkt scheint es keine Informationen über das „Wie“ des Angriffs zu geben – wurden die Daten von einem externen oder internen Angreifer entwendet?
• Warum wurden die Daten anscheinend nicht per Verschlüsselung gesichert?
• Hatten Hacker freie Bahn, weil Anwender für viele Dienste immer dasselbe Passwort nutzten?

Für Thorsten Urbanski, IT-Sicherheitsexperte bei ESET, gehören nach eigener Aussage Cyber-Angriffe und Datenlecks leider zur Tagesordnung: „Wir verzeichnen weltweit täglich Angriffe auf High-Potential-Ziele. Regierungseinrichtungen und Parlamentarier zählen hier zweifellos zu begehrten Angriffszielen von Cyber-Kriminellen und ,eSpionage‘-Gruppen.“ Die Angriffsvektoren seien hierbei unterschiedlich. Sehr häufig werde mit Hilfe eines Computerschädlings, der per E-Mail als Dateianhang an sein Opfer gesendet wird, eine Schwachstelle im System ausgenutzt. „Anschließend werden weitere Schädlinge mit weiteren Schadfunktionen nachgeladen“, erläutert Urbanski und wirft eine weitere zentrale Frage auf: „Ist es den Angreifern gelungen, auf einen zentralen Dienst bzw. Server Zugang zu gelangen, – oder befanden sich die Daten auf einem einzelnen Dienst- oder Privatrechner? Falls ja, auf welchen Dienst hatten die Angreifer Zugriff, der Daten nicht vollverschlüsselt und so vor fremden Zugriff absichert?“

Menschliche IT-Sicherheitsteams zunehmend überfordert

Noch sei wenig über die Hintergründe bekannt, aber der Schaden scheine enorm zu sein. Gérard Bauer, „VP EMEA“ bei Vectra, kommentiert: „Für ein Land, in dem die Privatsphäre des Einzelnen so hochgeschätzt wird und in dem einige der strengsten Datenschutzgesetze gelten, ist dies ein fataler Vorfall. Dies gilt nicht zuletzt für die Glaubwürdigkeit der Bundesregierung und staatliche Einrichtungen, die sich allem Anschein nach nicht effektiv schützen können.“ Informationen zu Details seien derzeit noch rar; dieser Angriff sei möglicherweise politisch motiviert gewesen. Man solle auch hierbei die Arbeit ausländischer staatlicher Akteure nicht außer Acht lassen.
Dies sei nur der erste von vielen schwerwiegenden Vorfällen, die wir in diesem Jahr sehen würden, so Bauer, und wir würden daran erinnert, dass „gut gerüstete, motivierte und ausdauernde Angreifer fast immer Erfolg haben und in Netze eindringen werden“. Es gebe keine perfekten Abwehrmechanismen. Daher müsse man eine „gesunde Paranoia“ in Form der Einstellung „ich bin schon kompromittiert“ annehmen und sich auf die Erkennung und Reaktion auf Attacken konzentrieren.
„Wir müssen akzeptieren, dass stets jemand versucht, unerlaubt in Systeme einzudringen. Die Suche nach den Angreifern und die Reaktion auf die verborgenen Aktionen leistungsfähiger Angreifer ist eine mühsam langsame und anstrengende Arbeit“, so Bauer. In zunehmendem Maße übernehme aber die Automatisierung mit Künstlicher Intelligenz (KI) die schwierige Herausforderung, um mit einer Geschwindigkeit Angriffe zu erkennen, die menschliche Sicherheitsteams allein nicht erreichen könnten. Bauer: „Dies bedeutet, dass Sicherheitsteams dann wirksamer arbeiten können und Angriffen einen Schritt voraus sind, bevor sie ihr Ziel erreichen, wie wir es heute leider in Deutschland gesehen haben.“

Persönliche Daten oft im „Darknet“ zum Kauf angeboten

Es sei nicht klar, welche Daten noch entwendet wurden, so Steffen Teske, Geschäftsführer bei PERSEUS. Insbesondere bei Politikern bestehe die Gefahr, dass vertrauliche Informationen aus dem Bundestag gestohlen würden. Bei Journalisten stünden besonders Zugangsdaten für Soziale Medien und Redaktionssysteme im Fokus, die für die Streuung von Fake-News missbraucht werden könnten, aber auch vertrauliche Recherchen. Die Motive für einen Angriff seien nie ganz eindeutig.
Neben dem klassischen Missbrauch von z.B. Kreditkarten, würden persönliche Daten auch oft im „Darknet“ zum Kauf angeboten. Im aktuellen Fall seien vor allem private, oft auch im „Darknet“ zum Kauf angebotene Daten veröffentlicht worden. „Insbesondere vertrauliche Informationen, private Nachrichten und Bilder sowie Rechnungen sind hier von großem Interesse. Oft werden solche Daten dafür genutzt, um die Opfer zu erpressen“, warnt Teske.

Cyber-Kriminellen künftig weniger Angriffsfläche bieten!

Zu dem am 4. Januar 2019 bekannt gewordenen Hacker-Angriff auf deutsche Politiker und Prominente kommentiert Prof. Dr. Norbert Pohlmann, Vorstand für IT-Sicherheit beim eco – Verband der Internetwirtschaft e.V.: „Ein solcher krimineller Angriff auf persönliche Daten kann heutzutage alle Internetnutzer treffen. Verschlüsselung ist ein wirksames Mittel um derartige Angriffe und Datenklau zu verhindern, daher sollte die Bundesregierung die Entwicklung und Verbreitung einfach anwendbarer Verschlüsselungstechnologien stärker fördern und vorantreiben. Im Rahmen der Strafverfolgung bereits angewandte und immer wieder diskutierte Maßnahmen wie ,Backdoors‘, ,Zero Day Exploits‘ und ,Staatstrojaner‘ beeinträchtigen allerdings die Wirksamkeit von Verschlüsselung und den Aufbau sicherer IT-Systeme.“
Die Bundesregierung sollte daher von solchen Maßnahmen entschieden Abstand nehmen und stattdessen stärker Initiativen in Wirtschaft und Verwaltung für den Aufbau sicherer und robuster IT-Systeme motivieren, um Cyber-Kriminellen künftig weniger Angriffsfläche zu bieten.
Weitere nützliche Faktoren zur Verbesserung von IT- und Datensicherheit seien die entsprechende Sensibilisierung und Weiterbildung aller Bürger und insbesondere Mitarbeiter in Unternehmen, Verwaltung und Politik im Hinblick auf beispielsweise die Verwendung von Antiviren-Software, Firewalls und sicherer Passwörter sowie regelmäßiges Patchen der Systeme, so Professor Pohlmann.

Nachholbedarf beim Thema digitale Aufklärung

DsiN-Geschäftsführer Dr. Michael Littger nimmt wie folgt Stellung: „Der Hacker-Angriff auf Personen des öffentlichen Lebens zeigt den Nachholbedarf beim Thema digitale Aufklärung. Es geht darum, digitale Kompetenzen in allen Lebensbereichen zu verankern, um die Auswirkungen solcher Angriffe zu vermindern. Die gute Nachricht ist, dass schon einfache Schutzkompetenzen ausreichen, um rund 90 Prozent der Cyber-Angriffe abzuwehren.“
DsiN appelliert laut Dr. Littger daher an Verbraucher, bestehende Angebote für mehr IT-Sicherheit in Anspruch zu nehmen. Zugleich müsse das Angebot für digitale Aufklärung verstärkt und im Verbund mit allen Akteuren aus Wirtschaft, Gesellschaft und Verwaltung ausgebaut werden.