Keine Branche ist vor der Cyberbedrohung sicher

Der Halbjahresbericht vom Nationalen Zentrum für Cybersicherheit NCSC zeigt es deutlich: auch Schweizer Unternehmen aller Branchen sind gefährdet.

Ransomware greift sämtliche Branchen an
Weltweit sind sämtliche Branchen von Angriffen von Cyberkriminellen mittels Ransomware-Kampagnen betroffen. Es ist auch die akuteste Bedrohung für Organisationen und Unternehmen in der Schweiz.

Doppelte Erpressung im Gesundheitswesen
Zahlreiche Einrichtungen im Schweizer Gesundheitswesen wurden im ersten Halbjahr angegriffen. Häufig geschah dies mit dem Mittel der doppelten Erpressung (Double Extortion). Dies geschah mit der Ransomware «LockBit 2.0», mit welchem sensiblen Daten eines Opfers kopiert und anschliessend auf den Systemen verschlüsselt werden. Die Organisationen waren also von zwei Herausforderungen betroffen. Ihre Server waren verschlüsselt und gleichzeitig hatten sie Datenlecks. Damit waren nicht nur die Institutionen, sondern auch Patientinnen und Patienten betroffen, denn ihre sensiblen Daten landeten nicht selten im Darknet.

Anders sieht es in der Branche Verkehr und Logistik aus. Hier ist es das Ziel der Täter, den Geschäftsbetrieb grösstmöglich zu stören, um die angegriffenen Unternehmen und Organisationen zur Zahlung von Lösegeld zu erpressen. Im Fall von Swissport haben das Betriebskontinuitätsmanagement und Backups dabei geholfen, dass sich die Auswirkungen auf andere Unternehmen in Grenzen hielten.

Auch die Universität Neuchâtel war 2022 von einem Ransomware-Angriff betroffen. Der wohl einzige positive Aspekte daran war, dass die bereits geplanten Umsetzungen neuer Sicherheitsmassnahmen schneller umgesetzt wurden. Diese Massnahmen umfassen insbesondere wiederholte Penetrationstests und eine verbesserte Angriffsfrüherkennung.

Wie geht es weiter?
Die Zahl der Ransomware-Angriffe dürfte in diesem Jahr weiter zunehmen und vermehrt auch kritische Infrastrukturen treffen. Die Cyberkriminellen entwickeln ihre Ransomware-Strategien immer weiter, was sich neben dem Fortschritt der Technologien in einer Zunahme der Ransomware-Bedrohung für alle Arten von Organisationen auf der Welt zeigt.

Neben Cybersicherheitsmassnahmen, welche die Systeme vor Infektionen mit Malware generell und damit auch vor Ransomware schützen, gibt es auch Massnahmen, die hinter der ersten Verteidigungslinie eingesetzt werden können. Forschende haben in einigen Ransomware «Schwachstellen» gefunden, die ausgenutzt werden können, um zumindest die finale Datenverschlüsselung zu verhindern.

DDoS-Angriffe auf Websites und -dienste
Die Beeinträchtigung der Verfügbarkeit von Websites durch DDoS-Angriffe bleibt wie bereits zuvor ein anhaltendes Phänomen im In- und Ausland. Davon waren im ersten Halbjahr 2022 auch Schweizer KMUs betroffen. Solche Angriffe können zwecks Erpressung, zur Schädigung von Konkurrenzunternehmen aber auch aus politischer Motivation erfolgen. Zu beachten sind neben der Datenübertragungsrate auch Faktoren wie Pakete pro Sekunde (pps) sowie Anfragen pro Sekunde (rps). Cloudflare registrierte beispielsweise einen Angriff mit 26 Mio. Anfragen pro Sekunde, welcher von einem kleinen aber diesbezüglich leistungsstarken Botnetz mit nur 5’067 Geräten ausging.

Datenschutz braucht Datensicherheit
Ein Abfluss von Daten ist für alle Betroffenen eine unangenehme Situation. Niemand will ungefragt persönliche oder schützenswerte Inhalte preisgeben oder jemandem sagen müssen, dass dies mit ihren oder seinen Daten passiert ist. Datenabflüsse kommen jedoch immer wieder vor: Infolge schlecht geschützter oder gewarteter Systeme, menschlicher Fehler, oder durch Angriffe mit kriminellen Absichten. Es ist auch möglich, dass bei einem Ransomware-Angriff die Täterschaft als weitere Erpressungsoption Daten aus einem System abzieht. In solchen Fällen können die betroffenen Personen im Nachgang auch direkt durch die Kriminellen bedroht werden. Dies nennt man dann dreifache Erpressung: Wenn das gehackte Unternehmen weder für eine Entschlüsselung noch für das Verhindern der Publikation der Daten etwas bezahlen will, wenden sich die Erpresser allenfalls direkt an die betroffenen Personen, sei dies ebenfalls mit der Veröffentlichungsdrohung oder in Form eines individuellen Social Engineering Angriffs. Insbesondere bei besonders schützenswerten Personendaten wie Patientendaten stellt dies ein Risiko dar.

Den vollständigen Bericht finden Sie auf ncsc.admin.ch

Daniel Gsponer