Herr Prinz, wann haben Sie mit dem Hacken begonnen? Wie wird man Security-Hacker?
PRINZEs gibt Studienrichtungen wie „IT Security“ oder „Penetration Testing“, in denen man die Grundlagen des Hackens lernen kann. De facto gibt es aber nach wie vor keinen Studiengang, der sich ausschließlich diesem Thema widmet. Wenn man diesen Beruf professionell ausüben möchte, braucht es daher schon einiges an Eigenregie und Eigeninteresse. Ich bin damals durch Internetrecherche auf sogenannte „Capture the Flag“-Events aufmerksam geworden. Dabei organisieren sich Gruppen gemeinsam in Teams und versuchen in verschiedenen Challenges, Schwachstellen von Websites ausfindig zu machen oder Mailserver zu übernehmen – alles legal natürlich. Mittlerweile gibt es dafür sogar große Turniere. So kann man sich verschiedene Angriffsmethoden spielerisch selbst beibringen und im Austausch mit Gleichgesinnten immer besser werden.
Wieso ist es so schwierig, gute Nachwuchshacker zu finden?
FLECKIch glaube, dass man generell das Ansehen von MINT-Berufen aufwerten muss. Manager, Juristen und Ärzte sind höchst angesehen, aber der Techniker hat in unserer Gesellschaft immer noch nicht den Stellenwert, den er eigentlich haben sollte – vor allem, wenn man bedenkt, wie wichtig Technik für unsere Gesellschaft ist. MINT-Fächer müssen cool sein und diese Wahrnehmung muss gefördert werden. Da ist sicher auch die Politik gefragt. Es sollte so sein, dass sich die Warteschlangen an den Hochschulen nicht vor Psychologie bilden, sondern vor Informatik.
Apropos unterbewertet: Was sind die häufigsten Sicherheitslücken, die Sie bei Unternehmen entdecken?
PRINZDie allermeisten Hacks werden initial durch E-Mails ausgelöst. Der Hacker verlässt sich dabei darauf, dass er den Empfänger dazu bringen kann, auf einen Link zu klicken oder eine Datei zu öffnen, und schon ein bis zwei falsche Klicks führen dazu, dass der Rechner infiziert ist. Nachdem das bei den allermeisten Unternehmen so gut funktioniert, erspart man sich als Angreifer die Mühe, nach einer spezifischen Schwachstelle im System zu suchen – der Mensch erledigt das.
FLECKWobei es auch immer ein wenig auf die Art des Angriffs ankommt. Wenn Hacker ganz konkret auf eine Organisation abzielen, sind nicht nur E-Mails ein beliebtes Eintrittstor, sondern sämtliche IT-Services, die diese Organisation anbietet. Beispielsweise sind auch Bewerbungsportale eine gängige Zielscheibe, weil man da typischerweise Anhänge hochladen kann. Wenn die Systeme up to date sind, sollten bösartige Dateien erst gar nicht den Weg zum Empfänger finden. Hier wird dann oftmals veraltete Software ausgenutzt, um sich Zugang zu verschaffen. Aber natürlich spielt dabei auch wieder der Faktor Mensch eine große Rolle, der die Datei letztendlich öffnet.
Ist der Mensch die größere Schwachstelle als die technische Komponente?
PRINZEs ist die Kombination. Menschen werden immer Fehler machen – egal wie gut sie informiert sind. Im Idealfall wird daher der Angriffsversuch bereits durch technische Gegenmaßnahmen abgewehrt, wie Antivirensoftware, Endpoint-Protections und Anomalie-Erkennungen im System. Wenn man wirklich ganz gezielt in das Visier von hochprofessionellen Hackern gerät, werden aber wahrscheinlich auch die besten Schutzmechanismen nicht greifen. Man darf nicht vergessen: Als Verteidiger muss man alle möglichen Sicherheitslücken im Blick haben und kontrollieren können, während die Angreifer nur einen einzigen Weg hinein finden müssen. Dieses Ungleichgewicht macht es für die Angreifer natürlich wesentlich einfacher. Aber vielschichtige Vorkehrungsmaßnahmen sorgen dafür, dass zumindest eine überwältigende Mehrzahl der Angriffe abgewehrt werden kann.
Was sind die wichtigsten Schritte, die sofort eingeleitet werden müssen, wenn man Opfer eines Cyberangriffs wurde? Wie sehen die konkreten Erstmaßnahmen aus?
FLECKZuerst muss man den Angriff überhaupt einmal bemerken. Neben den offensichtlichen Methoden wie der Ransomware, mit der Hacker die Systeme verschlüsseln und darauf abzielen, dass der Gehackte den Angriff mitbekommt, um Lösegeld zu verlangen, gibt es auch die Kategorie der Advanced-Persistant-Threats. Die APTs wollen ganz bewusst nicht auffallen. Sie finden extrem langsam und über einen längeren Zeitraum statt, um sukzessive Daten abzugreifen. Dabei versuchen die Hacker auch, ihre Spuren aktiv zu verwischen. In der Praxis machen wir regelmäßig die Erfahrung, dass solche Angriffe mehrere Monate gar nicht auffallen. Es gibt Studien, die sogar von bis zu 226 Tagen im Schnitt sprechen. Und dann wird die Ursachenforschung selbst für den IT-Forensiker schwierig.
PRINZMan muss also immer das Dreigespann „People, Process und Technology“ im Blick haben. Ein Unternehmen muss die technischen Vorkehrungen getroffen haben, um nachvollziehen zu können, was genau passiert ist: Ist nur ein Rechner betroffen oder das gesamte Unternehmen? Wurden Daten gestohlen? Wurde etwas manipuliert? Und neben diesen technischen Aspekten ist es dann ganz wichtig, einen Krisenmanagementplan zu haben. Bei größeren Unternehmen kann so ein Schaden in die Millionenhöhe gehen. Die Organisation muss wissen: Wen rufe ich jetzt an? Wie soll ich mich verhalten, um den Schaden zu begrenzen? Und was darf ich auf keinen Fall mehr machen? Da braucht man dann unbedingt eine Expertentruppe parat, die möglichst schnell den Normalzustand wiederherstellen kann. Wenn man sich erst Gedanken über die Lösung macht, nachdem man bereits gehackt wurde, verliert man wertvolle Zeit.
Ein gutes Drittel der österreichischen Unternehmen kann den finanziellen Schaden nach einem Cyberangriff nicht beziffern. Wie erklären Sie sich das?
PRINZWeil es enorm schwierig ist, den Finger auf eine konkrete Zahl zu legen. So ein Angriff zieht einen enormen Rattenschwanz nach sich. Eine Zeit lang muss man interne und wahrscheinlich auch externe Mitarbeiter auf den Vorfall abstellen und kann dadurch dem Tagesgeschäft nur eingeschränkt nachgehen. Wenn man beispielsweise als Aktiengesellschaft seine Zahlen nicht rechtzeitig ausschicken kann, weil die Daten verschlüsselt sind, hat das einen großen Einfluss auf den Unternehmenswert. Das lässt sich nicht so einfach beziffern.
FLECKAußerdem darf nicht vergessen werden, dass man sich in so einem Moment in einer Ausnahmesituation befindet, in der Unternehmer andere Sorgen haben, als den Fokus auf die genaue Erfassung des finanziellen Schadens zu richten. Und darüber hinaus kann man beispielsweise Faktoren wie einen Reputationsverlust in der Öffentlichkeit kaum quantifizieren.
Wo steht IT-Security in Europa im internationalen Vergleich? Angenommen, Sie hätten einen Wunsch bei der EU frei: Welcher wäre das?
FLECKIch würde mir wünschen, dass die Politik in Europa nicht nur als Lippenbekenntnis auf IT-Security setzt, sondern auch wirklich in die Technik dahinter investiert und dafür entsprechende Geldtöpfe zur Verfügung stellt. Ansonsten wird uns auf europäischer Ebene das Fundament fehlen, das andere Kontinente haben, um ihr Business digital sicher führen zu können. Die EU sollte sich trotz des Flickenteppichs an Mitgliedsstaaten mehr darauf besinnen, dass es in dem Bereich gewisse gemeinsame Aufgaben gibt, die auch eine gemeinsame Infrastruktur benötigen. Da muss noch viel mehr über Ländergrenzen hinweg gedacht werden. Wenn ich mir ansehe, mit welchen Budgets das Department of Homeland Security in den USA ausgestattet ist und wie die in Technologien und Know-how im Bereich der IT-Security investieren, dann haben wir noch einiges zu tun._
