Mir kann nichts passieren

Mir kann nichts passieren, so sind einige der vielen Fehlinformationen zu Malware im Umlauf: Oftmals glauben Benutzer, dass sie es merken, wenn ihr Computer infiziert wird „mein Virenschutz warnt mich!“. Für gewöhnlich hinterlässt Malware jedoch keine Spuren, und Ihr System zeigt auch keine Infektionswarnung an! Der Angreifer entscheidet, wann Sie ihn bemerken sollen.

Emotet gehört zu einem der bekanntesten Ransomware-Trojaner der heutigen Zeit. Selbst das BSI muss zugeben „Zwar ist mit der Zerschlagung des Emotet-Netzwerkes der „König der Schadsoftware“ zunächst von der Bildfläche verschwunden, doch gibt es längst neue Angriffsmittel und Methoden.“ Die Bestrebung der Angreifer ist stets sich unter dem Radar zu bewegen, um so lange wie möglich unentdeckt zu bleiben. Aber warum ist eigentlich Ransomware trotz intensivster Überwachung durch die behördlichen Institutionen so erfolgreich? Das System des Ransomware-Trojaners setzt sich aus äußerst gefährlichen und höchst effektiven Tools zusammen, die Hackergruppen sind äußerst professional unterwegs, Schwachstellen können bei vielen Unternehmen ausgenutzt werden und da gibt es noch den nicht sensibilisierten Mitarbeiter, der leider nicht erkennt, wann eine Email gefälscht ist, ein Telefonat gefakt ist oder sein Vertrauen bei einem scheinbar harmlosen Gespräch ausgenutzt wird.

Unternehmen, die bemerken, dass sie gehackt worden sind, müssen mit den Behörden zusammenarbeiten, sofern es sich um personenbezogene Daten handelt oder um sensible Daten eines KRITIS-Unternehmens. So muss zumindest der zuständigen Datenschutzaufsichtsbehörde der Angriff gemeldet werden und darüber hinaus sind die betroffenen Bürger zu informieren, das schreibt die Datenschutz-Grundverordnung (DSGVO) vor. Leider wird diese Notwendigkeit nicht immer befolgt, jedoch geht das Unternehmen dann das Risiko eines hohen Bußgeldes durch die Aufsichtsbehörde ein, denn in der Regel landen diese Daten dann im Darknet und stehen für weitere Attacken der Hackern zur Verfügung.

Ihre Risiken als Verbraucher

Cybercrime ist ein hochprofessionelles und sehr lukratives Geschäft mit mehreren Verwertungsebenen für die erbeuteten Daten und Informationen. Für Verbraucher gibt es dabei zwei wesentliche Risikoszenarien:

Szenario 1:

Eine Behörde oder ein Unternehmen, das Daten über die Person gespeichert hat (z.B. Bankdaten, Emailadressen, Benutzernamen und Passwörter, Gesundheitsdaten, Kundenhistorie wie bisherige Einkäufe etc.) wird gehackt, die personenbezogenen Daten fließen ab und werden für weitere kriminelle Aktivitäten verwendet, z.B.

• um Zugriffe auf weitere Accounts dieser Person zu nehmen (Online-Banking, unberechtigte Einkäufe etc.),
• die Personen mit sensiblen Informationen zu erpressen
• oder für einen Identitätsdiebstahl

Szenario 2:

Der Verbraucher selbst steht im Fokus der Angreifer, z.B.

• über Phishing-Mails v.a. zum Abgreifen von Zahlungsdaten und Benutzerzugängen, weil er aufgefordert wird, diese Daten (angeblich zur Bestätigung des Kundenaccounts oder wegen Änderung der Geschäftsbedingungen) einzugeben. Allerdings wurde er über den mitgeschickten Link nicht auf die Originalseite des Anbieters geleitet, sondern auf den täuschend echt wirkenden Nachbau der Kriminellen, die nun alle gewünschten Informationen frei Haus vom Opfer selbst erhalten.
• über Fake-Anrufe, Videocalls, persönliche Nachrichten über Messengerdienste, in denen vorgegaukelt wird, Freunden oder Verwandten müsse mithilfe einer finanziellen Transaktion aus einer Notlage geholfen werden („digitaler Enkeltrick“)
• als angeblicher Gewinner eines sehr attraktiven Preises, für dessen Zuteilung Kontaktdaten erforderlich sind oder eine „kleine Vorausleistung“, z.B. für Notarkosten, die getätigt werden müssten
• Die Täter konstruieren inzwischen sehr realistische Szenarien und reagieren geschickt auf aktuelle Ereignisse, z.B. gab es während der Corona-Krise viele Phishing-Mails mit angeblichen Informationen zum Kurzarbeitergeld oder der Behauptung, es müsse ein Online-Formular zur Kontaktnachverfolgung ausgefüllt werden, da man eine infizierte Person im Bekanntenkreis habe. Durch das Öffnen der Links oder angehängten Dokumente wird im Hintergrund ein Schadprogramm auf den PC/ das Smartphone heruntergeladen, z.B. mit einer Spionagesoftware oder einem Verschlüsselungstrojaner zu Erpressungszwecken.

Wie können Sie vorbeugen?

Sicherheit ist oft unbequem aber sicherer. In Zeiten von Corona haben die Paketdienst einen großen Boom erlebt und damit wurden Ihre Daten immer wertvoller, vor allem für Hacker, die diese inzwischen sehr zentral „verfügbar“ haben. Wie können Sie diesem Phänomen vorbeugen, wie verhindern, dass Ihre Daten in die Maschinerie der Hacker geraten? An dieser Stelle halte ich einen Appell für den Einzelhandel nicht nur in Bezug auf Datensicherheit für dringlich geboten, denn mit dieser dezentralisierten Datenhaltung hat der Hacker keinen Spaß.

Weitere Möglichkeiten, sich vor Datenmissbrauch schützen zu können vermitteln nachfolgende 10 Punkte:

1. Seien Sie datensparsam: Hinterlassen Sie im Internet nur so viele Informationen wie nötig.
2. Machen Sie es den Angreifern so schwer wie möglich: Verwenden Sie unterschiedliche und komplexe Passwörter. Wenn Sie Angst haben, diese zu vergessen oder es Ihnen zu viel wird, können Sie einen Passwortmanager installieren. Dieser speichert Ihre Passwörter mit einer komplexen Verschlüsselung ab, Sie brauchen sich nur ein Hauptpasswort zu merken. Früher wurde empfohlen, das Passwort regelmäßig zu wechseln. Das ist heute nicht mehr der Fall. Ein komplexes Passwort kann bedenkenlos mehrere Jahre verwendet werden, solange es nicht kompromittiert worden ist, z.B. durch einen Fehler bei dem Diensteerbringer.
3. Verwenden Sie mehrstufige Authentifizierungen für alle Online-Dienste, die dies ermöglichen. Sie kennen die Zwei-Faktor-Authentifizierung vermutlich bereits vom Online-Banking. Neben Benutzernamen und Passwort erhalten Sie z.B. eine einmalige PIN auf Ihr Telefon als weiteren Faktor zur Berechtigungsprüfung. Inzwischen bieten dies weitere Dienste wie PayPal aber auch Social Media wie Facebook an. Angreifer müssten also einen weiteren Schlüssel in die Hände bekommen.
4. Für sichere Systeme sorgen: alle Sicherheitsupdates für Betriebssysteme, Anwendungsprogramme und Antivirensoftware umgehend durchführen.
5. Backup anlegen: Auch als privater Nutzer wichtige Daten regelmäßig auf externen Datenträgern speichern und vom PC getrennt aufbewahren.
6. Misstrauisch sein: Prüfen Sie Absender und Inhalt kritisch, bevor Sie auf einen Link klicken oder einen Dateianhang öffnen. Lassen Sie sich nicht unter Druck setzen oder von einem zu attraktiven Angebot zu vorschnellen Handlungen hinreißen. Fragen Sie im Zweifel vorher beim Absender nach.
7. Seien Sie vorsichtig in öffentlichen WLAN-Netzen: Dort können Ihre Daten gegebenenfalls mitgelesen werden. Berücksichtigen Sie dies und entscheiden Sie umsichtig, welche Daten Sie dort eingeben.
8. Smartphone: Laden Sie Apps nur aus offiziellen App-Stores herunter und überprüfen Sie genau, ob die eingeforderten Berechtigungen für den Dienst tatsächlich notwendig sind. Im Zweifel sollten Sie auf eine zu neugierige App lieber verzichten.
9. Schauen Sie immer genau hin: Prüfen Sie vor der Eingabe Ihrer Daten auf Webseiten, ob die Webdresse im Browser korrekt ist und ob es sich um eine geschützte und verschlüsselte Seite handelt (erkennbar u.a. am Schlosssymbol und der Zeichenfolge „https://“ im Browser).
10. Überprüfen Sie regelmäßig und engmaschig Ihre Kreditkartenabrechnungen und Kontoauszüge: Bei Unstimmigkeiten wenden Sie sich direkt an Ihre Bank.

Wie finden Sie heraus, ob Sie gehackt wurden

Ein toller Dienst eines australischen Sicherheitsexperten ist z.B. unter https://haveibeenpwned.com zu finden. Es gleicht die eigene Emailadresse mit einer Vielzahl von Datenbanken über gekaperte Accounts ab, die sich z.B. im Darknet befinden. Sie werden sogar benachrichtigt, wenn im Laufe der Zeit Ihre Daten an Stellen auftauchen, die Sie nicht erwarten.

Was können Sie nach Kenntnis eines Vorfalls machen

Wichtig ist, sofort zu reagieren: Wenn Sie vermuten, dass Ihr Gerät mit einem Schadprogramm infiziert wurde, schalten Sie es sofort aus. Ziehen Sie einen IT-Experten hinzu. Wurden Sie tatsächlich Opfer eines Angriffs, erstatten Sie Anzeige bei der Polizei. Setzen Sie sich bei ungerechtfertigten Abbuchungen sofort mit Ihrer Bank in Verbindung. Ändern Sie möglichst überall Ihre Passwörter. Warnen Sie Ihre Kontakte, damit diese nicht auf Nachrichten hereinfallen, die angeblich von Ihnen stammen.