Cyber-Attacken

Kriminalität ist längst zum Geschäftsmodell geworden

Zielten sie früher noch darauf, andere Personen zu ärgern und ihnen ihre eigenen Schwächen in der Betreuung von IT-Systemen vorzuführen, folgen Cyber-Attacken inzwischen in den meisten Fällen einer ausgefeilten Geschäftslogik. Längst geht es auch in diesem Bereich um hohe Geldsummen, die Angreifer von diversen Institutionen zu erpressen versuchen. 

GRAZ. Vor zwei Wochen wurde die Uni Graz zum Ziel eines Hackerangriffs, der die Debatte rund um die Cyber-Sicherheit an Universitäten und anderen öffentlichen Institutionen wieder neu entfacht. Ihren Ausgang nahm diese Attacke mit einer Betrugs-E-Mail, mithilfe derer sich die Hacker zunächst Zugriff zum Uni-System verschaffen konnten. In der Folge führten die Täter eine schädliche Software aus, um die IT-Systeme der Uni auszuspähen und verschlüsselte Daten zu kopieren bzw. zu übertragen. Ob und inwieweit das gelungen ist, ist derzeit noch Gegenstand der Ermittlungen. 

Phishing-Mails auf dem Vormarsch

Bereits fest steht dagegen, dass es sich bei derartigen Attacken längst nicht mehr um Einzelfälle handelt. Stattdessen wurden allein im Jänner 2023 von 8,8 Millionen E-Mails, die an die Uni Graz versendet wurden, 7,3 Millionen Nachrichten als Phishing oder Spam identifiziert und nicht zugestellt. Damit liegt der Prozentsatz der gefährlichen E-Mails zwischen 70 und 90 Prozent, wohingegen "saubere" E-Mails nur mehr 10 bis 30 Prozent aller versendeten Nachrichten ausmachen.

Dass der Anteil der Spam-Mails derart groß ist, ist allerdings mehr als nur lästig, stellen derartige Nachrichten doch eine reale Gefahr dar: Schließlich beginnen, wie Reinfried Peter vom Zentralen Informatikdienst der TU Graz erläutert, rund 60 Prozent aller Hacker-Angriffe mit einer Phishing-Mail, mit der versucht wird, an die Zugangsdaten von Userinnen und Usern zu gelangen. In diesen Fällen, wie auch im aktuellen Beispiel an der Uni Graz, beschaffen sich die Angreifer somit auf illegalem Wege reale Zugangsdaten zum System, mit denen sie sich dann wie ein gewöhnlicher Nutzer anmelden können. Daneben gibt es aber auch andere Attacken, die vorhandene Lücken im System ausnützen. 

Kriminalität als Dienstleistung 

Gemeinsam ist beiden Angriffsformen, dass sie in den allermeisten Fällen dazu führen sollen, Geld zu verdienen. Wie das Stichwort "Crime as a service", zu Deutsch "Kriminalität als Dienstleistung", verdeutlicht, ist Hacking längst zu einem Geschäftsmodell geworden. Dementsprechend sind Angreifer mittlerweile auch wie Firmen aufgestellt, die im Darknet Jobausschreibungen mit teilweise horrenden Monatslöhnen veröffentlichen, um qualifizierte Hacker anzuziehen.  

"Es geht fast immer um Geld - und zwar um sehr viel Geld", fasst Reinfried Peter zusammen. Wie an das Geld gelangt wird, kann sich jedoch fallweise unterscheiden: So kann es etwa vorkommen, dass wichtige Daten aus dem System abgesaugt und verschlüsselt werden, die der jeweiligen Institution erst wieder zur Verfügung gestellt werden, wenn Lösegeldforderungen beglichen werden. Daneben ist aber gerade für Technische Universitäten auch denkbar, dass Angreifer gezielt auf Forschungsdaten oder Patente zugreifen wollen, um sich auf diese Weise einen Wettbewerbsvorteil zu verschaffen.  

Restrisiko bleibt

Besonders da Phishing-Mails immer "besser" werden und Lücken im System nie restlos auszuschließen sind, können sich auch Universitäten nicht vollkommen vor Cyber-Angriffen schützen. Dennoch können Maßnahmen gesetzt werden, die es Tätern zumindest erschweren, in die IT-Systeme "einzufallen".

Als eine solche wurde an der TU Graz im vergangenen Jahr etwa eine Zwei-Faktor-Authentifizierung für Bedienstete und Studierende eingeführt, die bei jedem Log-In eine Bestätigung mit einem zweiten Gerät, meist mit einem Handy, erfordert. Dadurch laufen viele Angriffe ins Leere, da man mit Username und Passwort allein nicht mehr ins System einsteigen kann. Doch auch diese Methode, die aktuell von der Universität Graz besonders forciert wird, ist kein Allheilmittel, sondern kann unter gewissen Umständen umgangen werden. 

Das könnte dich auch interessieren: