Sicherheit im Internet
«Die Situation wird kritischer»
Hacker, Datendiebe, digitaler Terror: Sicherheit im Internet betrifft uns alle. Spezialisten wie Stefan Frei von Swisscom stehen täglich an der digitalen Front, damit wir ruhiger schlafen können.
Hansjörg Honegger (Text), Daniel Brühlmann (Fotos), 27. Juli 2016
Herr Frei, man hat den Eindruck, dass es mehr spektakuläre Meldungen über Sicherheitsbedrohungen im Internet gibt. Wird es tatsächlich immer schlimmer?
Die Entwicklung der Technologie ist rasant. Fast täglich gibt es im Netz neue Dienste. Es ist normal, dass Kriminelle neue Technologien auch für sich nutzen. Die Situation ist nicht dramatischer als früher, durch die steigende Abhängigkeit von Internetdiensten wird die Situation jedoch kritischer.
Sie meinen, dieses Phänomen gab es schon vor dem Internet?
Klar. Um 1903, als Autos noch nicht verbreitet waren, hat die sogenannte Beaumont-Gang in Paris bei ihren Überfällen auf Autos gesetzt. Die Polizei operierte damals noch mit dem Fahrrad oder zu Pferd und hatte natürlich bei Verfolgungsjagden keine Chance. Die neue Technik wurde von den Kriminellen früh und gewinnbringend eingesetzt. Das zeigt uns: Kriminelle sind innovativ und schnell bei der Anwendung neuer Technologien. Genau in dieser Phase sind wir jetzt auch wieder.
«Wir müssen entscheiden, wie viel Security wir brauchen und welche Anwendungen zu gefährlich sind.»
Um das Beispiel weiterzuspinnen: Wird die Polizei auch gegenüber Cyberkriminellen vom Velo aufs Auto umsatteln?
Die Situation wird sich erst einspielen müssen. Wir müssen in Politik und Gesellschaft klären, wie wir das Verhältnis zwischen dem Wunsch nach Privatsphäre und dem Bedürfnis nach Überwachung regeln. Wir müssen entscheiden, wie viel Security wir brauchen und welche Anwendungen zu gefährlich sind.
«Man muss unbedingt Vorkehrungen treffen, zum Beispiel ein Antivirenprogramm
installieren oder eine Firewall»: Stefan Frei, Security Architect bei Swisscom.Wie sieht der typische Cyberkriminelle aus?
Früher legten 16-jährige Nerds mit ihren Viren hunderttausende von PCs lahm und sonnten sich im Ruhm dieser Tat. Heute sind Cyberkriminelle hochprofessionell: Sie wollen gar nicht, dass ihre Schad-Software entdeckt wird, damit diese möglichst lang auf dem befallenen System aktiv bleiben kann. Die Investitionen müssen sich ja lohnen.
Investitionen? Woher kommt das Geld dafür?
In der Schweiz sind Programmierer relativ teuer. Aber in der zweiten oder dritten Welt finde ich sehr gute Leute für einige 100 Dollar. Die tun das nicht mal aus bösem Willen, sondern oft aus purer Not. Natürlich gibt es auch staatlich finanzierte oder zumindest tolerierte Cybercrime, da sind die finanziellen und personellen Ressourcen naturgemäss sehr gross.
Es gibt also einen regelrechten Markt für Schad-Software?
Ja, das reicht von einfachen Schädlingen für einige hundert Dollar bis hin zu eigentlichen Abonnements mit regelmässigen Updates und 24-Stunden-Telefonsupport.
«Wenn ein Cyberkrimineller geschickt ist, kann man ihn kaum oder gar nicht zurückverfolgen.»
Unglaublich. Wo findet man solche Angebote?
Wenn Sie Google bedienen können, finden Sie diese Angebote recht schnell
Warum kann man solche Leute nicht dingfest machen?
Es gibt einen Unterschied zur realen Welt: Ein Einbrecher hinterlässt klare Spuren. Wenn ein Cyberkrimineller geschickt ist, kann man ihn kaum oder gar nicht zurückverfolgen. Und findet man mal einen, kommt es immer darauf an, ob der entsprechende Staat diese Aktivitäten vielleicht sogar toleriert.
Wer ist vor allem gefährdet?
Wir alle. Aber die Angriffsart unterscheidet sich je nach Ziel. Ein normaler Anwender wird mit einem Schädling attackiert, der auch auf viele andere Geräte angesetzt wird. Aber ein Manager, dessen Firma vor einer Übernahme steht, ist ein lohnendes Einzelziel. In so eine Attacke werden schnell mal 100'000 Dollar investiert. Da locken Informationen, die man teuer weiterverkaufen kann.
«Wichtig ist, Betriebssystem und andere Software immer auf dem neusten Stand zu halten.»
Gibt es einen sicheren Weg, sich zu schützen?
Leider nein. Man muss unbedingt Vorkehrungen treffen, zum Beispiel ein Antivirenprogramm installieren oder eine Firewall. Wichtig ist, Betriebssystem und andere Software immer auf dem neusten Stand zu halten.
Weil die Hersteller immer wieder Lücken in der Software finden, die sie mit einem sogenannten Patch schliessen.
Jawohl. Und hier liegt auch ein Kernproblem: Die Software-Hersteller sind nicht haftbar für diese Lücken.
Der Rüstungskonzern Ruag war 2015 Opfer eines Hackerangriffs. Hacker sollen mehr als 20 Gigabyte Daten entwendet haben.
Bisher grösste Cyberattacke auf Schweizer Onlineshops: Im Marz 2016 haben Hacker
mehrere Onlineshops – etwas jene von Digitec, Galaxus und Interdiscount – lahmgelegt.Warum das?
Der weltweit hoch angesehene Sicherheitsspezialist Dan Geer sagte, es gebe zwei Industrien ohne Produktehaftung: Religionen und Software-Hersteller. Autohersteller beispielsweise haften bei Unfällen, die auf Mängel am Wagen zurückzuführen sind. Wir kennen die milliardenteuren Rückrufaktionen der Automobilindustrie. Die Software-Industrie dagegen veröffentlicht zu oft halbfertige Produkte. Und zwar aus rein ökonomischen Gründen: Wer zuerst auf dem Markt ist mit einem Produkt, macht oft das grosse Geschäft.
«Hilfreich ist , nicht immer jedes Programm zu installieren. So hält man die Komplexität tief, was für mehr Sicherheit sorgt..»
Zu Lasten der Qualität?
Ja. Die Software ist oft noch nicht fertig. Ein Update ist nichts anderes als die Reparatur eines defekt ausgelieferten Produkts. Für diesen Mangel können die Hersteller der Software nicht in die Pflicht genommen werden.
Sie sagen, absolute Sicherheit gibt es nicht. Heisst das, der private Anwender kann gar nichts tun?
Nein, das heisst es überhaupt nicht. Aus technischer Sicht müssen die Anwender wie erwähnt dafür sorgen, dass Programme und Betriebssystem immer auf dem neusten Stand und die entsprechenden Sicherheitsprogramme installiert sind. Ebenso wichtig ist das Verhalten des Benutzers: Man sollte immer überlegen vor dem Klicken und seinen PC für gewisse Dinge nicht nutzen. So kann man durchaus für mehr Sicherheit sorgen. Hilfreich ist auch, nicht immer jedes Programm zu installieren. So hält man die Komplexität tief, was für mehr Sicherheit sorgt.
Tun die Telekommunikationsanbieter auch etwas für mehr Sicherheit?
Ja, im Hintergrund sogar sehr viel. Ein spezielles Team der Swisscom überwacht die eher dunklen Zonen des Internets sehr intensiv. Tauchen hier beispielsweise für uns interessante Informationen auf, werden wir aktiv. Stellen wir fest, dass von einem Kunden-PC aus plötzlich Spam verschickt wird, kriegt der Kunde von uns einen Hinweis, dass er ein Problem hat. So können wir jedes Jahr sehr viele Kunden warnen, dass mit ihren PCs etwas nicht in Ordnung ist.
Zur Person
Stefan Frei ist Security Architect bei Swisscom und bereits seit rund 20 Jahren im Bereich IT-Security tätig. Er arbeitete unter anderem auch als sogenannter «Ethischer Hacker», der im Auftrag von Firmen ins IT-Netzwerk eingebrochen ist. Frei ist ausserdem Dozent an der ETH Zürich für Cyber Security und Netzwerksicherheit.
