Cyberkriminalität und IT-Sicherheit: Die dunkle Seite der Digitalisierung

Egal ob Privatperson, Unternehmen oder Regierung: Sie alle hat die Digitalisierung fest im Griff. Inzwischen gilt es als selbstverständlich, überall und mit jedem vernetzt zu sein, online Geschäfte zu tätigen und große Datenmengen speichern und wieder abrufen zu können. Hier wittern Kriminelle ihre Chance: Internetkriminalität ist inzwischen ein fester Bestandteil des digitalen Alltags. Der beste Schutz dagegen ist IT-Sicherheit, weshalb Unternehmen immer mehr Geld in IT-Sicherheit investieren, um Cyberangriffen vorzubeugen oder dagegen anzugehen.

Was ist Cyberkriminalität?

Die Bandbreite illegaler Aktivitäten im Internet ist vielfältig. Es vergeht kein Tag, an dem nicht jemand Opfer von Phishing, Netzwerkeinbrüchen oder DDoS-Attacken wird - und dabei handelt es sich nur um einige Beispiele für Kriminalität im Internet. Dem Bundeskriminalamt zufolge wächst die Aktivität in dem Bereich immer weiter und das Dunkelfeld sei groß, denn es werde wohl nur ein sehr kleiner Teil der Straftaten im Internet auch wirklich zur Anzeige gebracht. Das Bundesamt für Sicherheit und Informationstechnik, kurz BSI, bewertet die Lage der IT-Sicherheit in Deutschland in seinem neuesten Bericht als „angespannt“.

Cyberkriminalität umfasst Verbrechen im Zusammenhang mit Computer und Internet und schließt dabei beispielsweise auch Betrug, unerlaubten Zugriff auf Daten oder Online-Belästigung ein. Das Software-Unternehmen Symantec definiert Cyberkriminalität als jedes Verbrechen, das mit Hilfe der entsprechenden Gerätschaften oder eines Netzwerks begangen wird. Cyberkriminalität werde zudem in zwei unterschiedliche Kategorien eingeteilt:

• Typ I: Dieser Typ kommt, aus Sicht des Opfers, nur einmal vor. Typische Beispiele dafür sind Phishing, Diebstahl und Manipulation von Daten, Identitätsdiebstahl sowie Bank- und E-Commerce-Betrug.

Cyberangriffe können jeden treffen

Cyberkriminalität kann jeden treffen und so werden nicht nur Privatpersonen, sondern auch Unternehmen besonders häufig Opfer von derartigen Verbrechen. Das Wirtschaftsprüfungs- und Beratungsunternehmens KPMG veröffentlichte im April eine Studie, für die 500 deutsche Unternehmen im Hinblick auf Cyberkriminalität befragt wurden. Demnach wurden in den letzten beiden Jahren 38 Prozent der befragten Unternehmen in irgendeiner Form Opfer von Cyberkriminalität. Am häufigsten seien dabei Systembeschädigung und Computersabotage vorgekommen. 19 Prozent der befragten Unternehmen seien zudem bereits Opfer von Erpressung geworden, einige Firmen sogar mehrmals. Auch private Nutzer trifft es immer öfter. Einer im Oktober 2016 veröffentlichten Studie des Internetverbands Bitkom zufolge hat bereits jeder zweite Internetnutzer Erfahrung mit Cyberkriminalität gemacht. Meist handele es sich dabei um Vorfälle mit Schadsoftware, wie beispielsweise Trojanern, aber auch Datenklau oder das Ausspionieren von Daten treten häufiger auf. In letzter Zeit zog besonders sogenannte Ransomware verstärkt Aufmerksamkeit auf sich. Dabei handelt es sich um Software, die Kriminelle in das Netzwerk ihrer Opfer einschleusen, um den Inhalt der Rechner zu verschlüsseln. Die Opfer werden dann aufgefordert zu zahlen, um wieder Zugriff auf ihre eigenen Daten zu erlangen.

Groß angelegte Cyberangriffe können Versorger, Infrastruktur, Verwaltung und Wirtschaft lahmlegen. So gab es im Mai 2017 eine weltweite Cyberattacke mit dem Virus „Wanna Descryptor“, kurz Wanna Cry, der zehntausende Computer von Unternehmen, Behörden, Krankenhäusern und anderen Einrichtungen außer Gefecht setzte. So waren beispielsweise die Deutsche Bahn, FedEx, Telefonicá sowie auch zahlreiche Krankenhäuser in Großbritannien und Regierungsinstitutionen in Russland betroffen. Wanna Cry nutzte eine Schwachstelle im Microsoft-Betriebssystem Windows aus, um sich zu verbreiten. Nur wenig später gab es einen weitere Cyberattacke mit dem Erpressungstrojaner Petya im Juni 2017, von der vor allem Institutionen in der Ukraine aber auch die Beiersdorf-Zentrale in Hamburg, Rosneft oder Mondelez betroffen waren. Petya nutzte dieselbe Sicherheitslücke wie Wanna Cry.

IT-Sicherheit gegen Cyberkriminalität

Daten, Netzwerke, Soft- und Hardware können nur dann ausreichend geschützt werden, wenn ausreichend in IT-Sicherheit investiert wird. IT-Sicherheit definiert sich im Wesentlichen durch die Wahrung der Vertraulichkeit von Daten, die Sicherstellung der Integrität der Daten sowie deren dauerhafte Verfügbarkeit. IT-Sicherheit umfasst dabei verschiedene Aspekte, die Schutz und Gegenmaßnahmen im Fall von Cyberangriffen bieten sollen: Passwortpolitik, Zugriffsschutz, Virenschutz, Datenträgerhandling, Datenverschlüsselung und Mitarbeiterschulungen. Eine Entscheidungshilfe für Investitions- und Budgetplanungen ist das sogenannte Return on Security Investment-Verfahren, kurz RoSI. Dabei gilt grundsätzlich, dass eine Investition nicht höher sein sollte als der potenziell eintretende Schaden, sollte diese Investition nicht getätigt werden. Die RoSI-Methode kann dann sinnvoll angewendet werden, wenn die relevanten Prozesse und Methoden definiert und detailliert beziffert werden können. Bei der RoSI-Methode wird von den Kosten, die pro Jahr anzuwenden sind (recovery costs), die erwartete Ersparnis (expected savings) abgezogen. Zu diesem Ergebnis werden dann die Investitionskosten (investment costs) addiert. Das RoSI ist die Differenz aus diesen Werten, abzüglich der zu erwartenden Verluste.

IT-Sicherheitsmaßnahmen werden meist präventiv getätigt, weshalb es schwierig ist, exakte Kennzahlen zu ermitteln. Vorsorgemaßnahmen, die langfristig und präventiv sein sollen, sind kaum quantifizierbar, auch wenn eine grobe Einschätzung durch die Berücksichtigung von Eintrittswahrscheinlichkeit eines kriminellen Vorfalls und dessen Ausmaß erfolgen kann. Neben präventiven und langfristig ausgerichteten Investitionen in IT-Sicherheit gibt es auch IT-Investitionen, die Kosten kurzfristig senken und die Wirtschaftlichkeit eines Unternehmens erhöhen sollen. Für Unternehmen ist bei der Planung ihrer Investitionen in IT-Sicherheit Benchmarking hilfreich, um Kosten und Nutzen abschätzen zu können. Investitionen in IT-Sicherheit sollten nicht vernachlässigt werden, denn die Folgen von Cyberangriffen können für ein Unternehmen sehr schädlich sein: Neben den Kosten der Behebung können auch Umsatzausfälle, ein Imageschaden oder gar Fragen der Haftung problematisch werden.