wissen.de Artikel
Cybercrime: Neue Techniken und die Schwachstelle Mensch
Es trifft Krankenhäuser, Handwerksfirmen, Behörde und auch Großunternehmen: Die Bedrohung durch Cyberkriminalität wird immer größer. Laut aktuellen Statistiken ist die Zahl der Cyberangriffe im letzten Jahr weltweit um rund 29 Prozent angestiegen. Rund 144 Millionen Schadprogramme sind aktuell in den globalen Netzen unterwegs – und täglich kommen rund 500.000 neue Varianten dazu. Der Branchenverband Bitkom hat in einer Umfrage ermittelt, dass allein in Deutschland im Jahr 2020/2021 schon 223 Milliarden Euro Gesamtschaden durch Cyberangriffe entstanden sind.
Die Ursachen für diesen Boom sind vielschichtig. Aber eine große Rolle spielt das Ungleichgewicht zwischen der rasanten Weiterentwicklung der Technologien auf Seiten der Cyberkriminellen auf der einen Seite und der veralteten Technik, dem laxen Umgang mit Passwörtern und Zugängen und schlichter Unvorsichtigkeit und Unwissen auf der Seite der potenziellen Opfer.
Im Homeoffice anfälliger
Hinzu kommt, dass während der Corona-Pandemie viele Menschen im Homeoffice arbeiten. Am heimischen Laptop sind sie aber meist außerhalb der Firewall und anderer Schutzmaßnahmen ihres normalen Büros. Zudem findet die Kommunikation dann vorwiegend über Videokonferenzen, per Mail oder Chat statt. Wenn dann eine Mail oder Mitteilung angeblich von einem Kollegen kommt, wird dies weniger hinterfragt, als wenn er im Büro neben einem sitzen würde.
Laut dem Institut für Deutsche Wirtschaft in Köln ist daher jede zweite Cyber-Attacke im Homeoffice erfolgreich. Ganz weit vorne sind dabei noch immer die klassischen Phishing-Attacken per Mail, bei denen sich eine Schadsoftware nach Klick auf einen Link lädt und auf dem heimischen Rechner breit macht. Laut einer repräsentativen Befragung von G-Data und Statista ist jede fünfte Phishing-Mail im Homeoffice erfolgreich und sorgt dafür, dass Zugangsdaten oder persönliche Daten in die falschen Hände geraten. Im Büro sind es hingegen „nur“ 14,6 Prozent.
Ransomware – Rechner als Geisel
Phishing-Mails können aber nicht Daten und Zugänge ausspionieren – im schlimmsten Fall legen sie das gesamte Netzwerk eines Unternehmens, einer Behörde oder beispielsweise eines Krankenhauses lahm. Gerade in den letzten zwei Jahren kam es auch in Deutschland oft zu solchen Ransomware-Attacken. Typischerweise installiert sich dabei durch Klick auf einen Link oder Anhang einer Phishing-Mail eine Schadsoftware, die den Nutzer aus seinem eigenen Rechner aussperrt. Meist verlangen die Hacker dann ein Lösegeld, mit dem man sich die "Rückgabe" der Kontrolle über den Rechner oder das Netzwerk erkaufen soll.
"Die Betrüger werden dabei immer professioneller", erklärt Andreas Dondera, Cyberexperte beim Hamburger Landeskriminalamt. "Als Ransomware-Delikte 2016 aufkamen, waren sie eher schlicht gehalten, oft in Form einer Bewerber-Mail, die an alle möglichen Unternehmen ging. Meist waren nur lokale Rechner betroffen und vielleicht noch die Netzlaufwerke. Mittlerweile haben die Täter deutlich komplexere Ransomware entwickelt."
Zahlungsbetrug durch "Fake-Identity"
Besonders im Trend liegen auch Strategien, mit denen Cyberkriminelle durch einen raffinierten Betrug Geld oder Waren von Unternehmen erbeuten. Meist geben sie sich per E-Mail als alter Kunde oder Lieferant aus und weisen darauf hin, dass sich ihre Kontodaten oder Lieferadresse geändert haben. Wie lukrativ das sein kann, zeigen diese Beispiele: Mithilfe einer Mail mit gefälschten Kontodaten konnten Betrüger gleich zweimal hintereinander die Zahlungen eines Unternehmens umleiten. Der Schaden betrug insgesamt 1,3 Millionen Euro. In einem anderen Fall erbeuteten Betrüger sogar knapp sechs Millionen Euro durch eine manipulierte Rechnung.
"Zahlungsbetrug ist aktuell auf dem Vormarsch", sagt Rüdiger Kirsch, Betrugsexperte bei Euler Hermes. "Im letztem Jahr sind die Fallzahlen um 35 Prozent angestiegen, beim Bestellerbetrug waren es 25 Prozent. Das Homeoffice ist nicht nur wegen geringerer Sicherheitsstandards für die Betrüger ein wahres El Dorado. Es wird auch weniger kontrolliert und kommuniziert. Die Hürde, einen Kollegen anzurufen und ihn auf einen Vorgang anzusprechen, ist hier oft viel höher. Kontodaten werden da mal eben kurz geändert - oft mit fatalen Folgen."
Fake-President – der angebliche Chef
Noch raffinierter ist die sogenannte Fake-President-Masche. Dabei geben sich die Täter als hohes Tier im Unternehmen – beispielsweise ein Vorstandsmitglied – und bitten per E-Mail oder Fax einen für die Bankgeschäfte verantwortlichen Mitarbeiter, mal eben eine dringende Überweisung auszuführen. Sogar gefälschte Anrufe werden für diesen Betrug eingesetzt. Auf ein solches Audio.Fake3 fiel im Jahr 2019 der CEO der britischen Tochtergesellschaft eines deutschen Konzerns herein.
Das Opfer erhielt einen Anruf – angeblich vom deutschen Firmenchef, in dem dieser im detaillierte Anweisungen für eine Geldüberweisung erteilte. Die Cyberkriminellen setzen dabei ein täuschend echt nachgemachtes Stimmprofil des echten Chefs ein, das Stimme, Satzmelodie und sogar den leichten Akzent des deutschen Firmenchefs im Englischen imitierte. As Folge dieses Betrugs erbeuteten die Täter 220.000 Euro. In Hongkong gelang es Cyberkriminellen auf diese Weise, eine Bank sogar um umgerechnet 35 illionen Euro zu prellen.
Deep-Fakes als Video-Call
"Die Betrüger gehen mit der Zeit: Manipulierte Audio- oder Video-Calls sind technisch längst möglich", sagt Dirk Koch, selbständiger Rechtsanwalt und Cyberexperte. "Wenn der gefälschte CEO mit dem richtigen Aussehen und der richtigen Stimme Anweisungen für Überweisungen gibt, hebt das Social Engineering und die Betrugsmöglichkeiten auf eine ganz neue Ebene."
Die Täter müssen dabei längst keine gewieften Hacker mehr sein: Alle dafür nötigen Programme und Tools finden sich heute im Netz. Im Internet oder im Darknet gibt es beispielsweise Stimmsynthese-Software für Audio-Deepfakes und auch Software zur Erstellung von Video-Deepfakes. Mit diesen kann im Extremfall nur mithilfe eines Fotos ein beliebiger Mensch digital "zum Leben" erweckt werden. Mit solchen Programmen ist es dann ein Leichtes, einen vielleicht dem Opfer persönlich nicht oder kaum bekannten Firmenvorstand oder auch Lieferanten nachzumachen.
"In Frankreich haben Betrüger in einem Fall sogar ein ganzes Büro nachgebaut, um dem Video-Call die maximale Authentizität zu verleihen", sagt Dondera. "Es überrascht mich, dass noch nicht mehr Kriminelle die technischen Möglichkeiten nutzen. Jedenfalls noch nicht."