„Cyber-Kriminelle setzen zunehmend Multi-Ransomware und KI-Mechanismen ein”

Herr Heun, Sie sind Gründer und Geschäftsführer der CARMAO GmbH, die sich auf IT-Security spezialisiert hat. Was sind aus Ihrer Sicht die größten Cyber-Gefahren im Jahr 2022?

Ulrich Heun ist Gründer und Geschäftsführer der CARMAO GmbH. Das Unternehmen berät im Bereich IT-Security und konzipiert Lösungen.

Ein steigendes Risiko ergibt sich durch die zunehmende Digitalisierung. Durch die immer stärkere digitale Vernetzung und die Öffnung für das Internet entstehen neue Einfallstore für Cyber-Angriffe. Darüber hinaus beobachten wir eine weitere bedenkliche Entwicklung: Angreifer bedienen sich immer öfter der künstlichen Intelligenz. Auch für die Methoden Ransomware und Social Engineering prognostizieren wir, dass sie im Ranking der häufigsten Cyber-Verbrechen in diesem Jahr ganz weit oben stehen.

Welche Rolle spielt künstliche Intelligenz dabei genau?

Cyber-Kriminelle setzen zunehmend Multi-Ransomware und KI-Mechanismen ein, um unter anderem ihre Schadcodes zu verbessern und Angriffe zu automatisieren. Das bedeutet, in Zukunft greift die künstliche Intelligenz an. Eine rasant wachsende Bedrohung im KI-Umfeld ist außerdem das so genannte Deepfake. Dabei handelt es sich um eine äußerst perfide Methode: Eine gefakte Mediendatei in Form von Foto, Audio oder Video, die mit Hilfe von Techniken der künstlichen Intelligenz erzeugt wird und täuschend echt wirkt.

Die gefälschten Medien zeigen oft Menschen aus der Öffentlichkeit, da von ihnen besonders viel Material im Internet zu finden ist. Denn um das Endergebnis möglichst realistisch er­scheinen zu lassen, benötigt die Software so viele Daten wie möglich. Aber auch der weniger bekannte Mensch kann zum Opfer werden: Betrüger fälschen zum Beispiel die Stimme eines Firmenchefs, um Mitarbeitende zu täuschen. Viele weitere Szenarien sind bereits verbreitet – Tendenz steigend. Es gibt sogar kostenfreie Apps, mit denen selbst Laien innerhalb kurzer Zeit Deepfakes erzeugen können.

Wie gehen Cyber-Kriminelle beim Social Engineering vor?

Social Engineering zielt immer auf den Menschen im Unternehmen ab. Das unrecht­mäßige Erlangen sensibler firmenspezifischer Daten durch Ausnutzen der Gutgläubigkeit von Menschen ist ein boomendes Geschäft. Die Kontaktaufnahme geschieht in der Regel per E-Mail, Telefon, als Privatnachricht in sozialen Netzwerken oder per Brief. Die bekannteste Form sind Phishing­mails, die zur Herausgabe vertraulicher Informationen oder Ähnlichem verleiten. Es gibt jedoch auch noch subtilere Methoden. Jemand gibt sich beispielweise als Support-Fachkraft des tech­nischen Dienstleistenden am Telefon aus und versucht, Zugangsdaten zu erlangen, um ins Netzwerk eindringen zu können. Dies ist nur ein Beispiel von vielen – Social Engineering hat viele Ausprägungen.

Wie kann ein Unternehmen wie CARMAO Firmen dabei unterstützen, sich entsprechend zu schützen?

Wir sind auf Unternehmensresilienz mit Schwerpunkten wie Informationssicherheit, Business Continuity Management etc. spezialisiert. Dabei stärken wir die Fähigkeit eines Unter­nehmens oder einer Organisation, sich syste­matisch auf aktuelle und künftige negative Einflüsse vorzubereiten und so Prävention zu betreiben. Unser Angebot reicht von der Analyse über die Beratung und Lösungsentwicklung bis hin zum Kompetenztransfer durch unser Seminarprogramm.

Da immer mehr Angriffsmethoden auf die Mitarbeitenden abzielen, ist es uns besonders wichtig, die Menschen aufzuklären. Daher haben wir eine Awareness-Online-Lernplattform ent­wickelt. Diese kann zum einen von Unternehmen dazu eingesetzt werden, Menschen in den ange­botenen Themen online zu sensibilisieren.

Zum anderen dient sie dazu, beispiels­weise im Rah­men eines Datenschutz-Mandates, die Mitarbeitenden eines Mandanten damit zu betreuen und unternehmensweit Awareness für Datenschutz oder Informationssicherheit zu schaffen.

Was hat Sie inspiriert, Ihren beruflichen Fokus auf den Bereich IT-Sicherheit zu legen?

Ich habe lange Zeit als Software-Ingenieur mit Fokus auf technische Steuerungs- und Leitstandsysteme gearbeitet. Zu damaliger Zeit war das Thema IT-Sicherheit kein wesentlicher Fokus. Im Laufe der Zeit hat man dann gelernt, dass alle Kunst der Software-Architekten wenig hilft, wenn das System von außen angreifbar und manipulierbar ist. Zudem ist der sichere IT-Betrieb mit hoher Verfügbarkeit und integrer Datenbasis ein wesentliches Qualitätsmerkmal und ich fühle mich schon von Beginn meiner Karriere an einem hohen Qualitätsstandard verbunden.

Welche Maßnahmen können Unternehmen zusätzlich ergreifen, um ihre IT-Sicherheit zu erhöhen?

Grundsätzlich sollten Unternehmen die Risiken bewerten oder bewerten lassen und danach sollte sich die individuelle Strategie richten. Das Informationssicherheits- und IT-Risikomanagement sollte im Mittelpunkt stehen. Daraus lassen sich dann Ausprägung und Details notwendiger Maßnahmen auf den Unternehmensbedarf zielgenau zuschneiden – dies ist der beste Weg, um sicher aufgestellt zu sein und empfiehlt sich natürlich auch aus Kostengesichtspunkten.

Welche Schwachstellen in Unternehmensnetzwerken sind besonders gefährdet?

Auch diese Frage lässt sich so pauschal nicht beantworten, da es je nach Betrieb und Organisation verschiedene Schwachstellen gibt, die ein unterschiedliches Maß an Ausnutzbarkeit mit sich bringen. Es sollte immer die unmittelbare oder mittelbare Auswirkung auf die damit gefährdeten betrieblichen und geschäftlichen Prozesse und Aufgaben betrachtet werden. Ohne ein echtes betriebliches Risiko kann man mit Schwachstellen in gewisser Weise leben.

Wie können Hacker in Unternehmensnetzwerke eindringen?

Dafür gibt es eine riesige Auswahl verschiedener Instrumentarien, Wege und Kombinationen daraus. Das Spektrum der Angriffsmöglichkeiten ist breit und wird im Zuge der zunehmenden Digitalisierung und Vernetzung nicht weniger. Letztlich erfordern nahezu alle Methoden eine technische Erreichbarkeit von Server und Netzwerkkomponenten über entsprechende Interfaces.

Um an die notwendigen Informationen für diese Zugänge zu gelangen, werden oft umfangreiche Recherchen über die technische Infrastruktur vorgenommen. Aber auch Social Engineering-Aktionen dienen dazu, Informationen zu erlangen, aus denen man die möglichen Angriffswege ableiten kann. Daher gehören Security-Awareness-Programme zur Stärkung und Qualifizierung der Mitarbeiter zu den wichtigsten und effizientesten Schutzmaßnahmen.

^{Foto/Thumbnail: ©istockphoto.com/Andy}

(cf)