"Wie Drückerkolonnen" - Hacker-Angriffswelle mit gravierenden Folgen

Der Mann kommt wie bestellt. Sicher sei es schon aufgefallen, sagt der Anrufer: Es gebe technische Probleme mit dem Onlinebanking. Ob er helfen könne? Er kann, Friedrich Hambrecht (Name geändert) sucht eine Geldanlage und kam auf der Webseite der Bank nicht weiter. Also empfiehlt der vermeintliche Berater ein neues Anlageprodukt, hakt bei einem späteren Anruf noch mal nach – und Hambrecht eröffnet ein Online-Testkonto mit 20 Euro. Tage später wird sich seine Bank melden: Warum er 200.000 Euro überwiesen habe?

Das Geld ist futsch, das Zielkonto auch, die Bank nach eigener Aussage machtlos. Hacker haben die passende Gelegenheit abgewartet, um sich mit gestohlenen Daten Hambrechts Vertrauen zu erschleichen. Nach einem falschen Klick ihres Opfers hatten sie Zugang zu seinem Onlinekonto und räumten es leer.

&bdquo;Social Engineering“ nennen Experten diesen Betrug: Nicht der Computer wird geknackt, sondern der Mensch, der davor sitzt. &bdquo;Diese Art von Angriffen hat sich massiv verstärkt“, sagt Achim Fischer-Erdsiek. Der IT-Spezialist des Versicherungsmaklers NW Assekuranz hat den Fall des Rentners miterlebt – und viele andere.

Nie erlebte Angriffswelle Seit Monaten rollt eine nie erlebte Welle von Cyberattacken auch über Deutschland hinweg. Die Angreifer legen Webseiten von Flughäfen und Behörden lahm, stören Kommunikationssysteme, stehlen Daten, erpressen Unternehmen, manipulieren Privatleute. Mal geht es ihnen um Geld, mal um die Störung eines technischen Systems oder schlicht um öffentliche Unruhe. Sie arbeiten auf eigene Rechnung, im Auftrag eines Konkurrenten oder eines Geheimdienstes. Die Grenzen sind fließend, die Interessen kompatibel.

So häuften sich die Angriffe nicht zufällig vor einem Jahr. Der Rüstungshersteller Rheinmetall etwa registrierte in den Stunden vor dem russischen Einmarsch in die Ukraine &bdquo;eine Flut von Cyberangriffen“, wie Vorstandschef Armin Papperger später berichtete. Enercon konnte plötzlich Tausende Windräder nicht mehr überwachen: Der Angriff mutmaßlich russischer Hacker auf die Kommunikation des KA-Sat-Satellitensystems gilt als erster &bdquo;Hack in Space“.

Die Erpresserbotschaft auf dem Monitor konnten sich die Hacker in diesem Fall sparen. Sie hatten ihr Ziel erreicht, als die Systeme standen. Sonst geht es an dieser Stelle erst los: Die Botschaft &bdquo;You are hacked“ ploppt auf Rechnern am anderen Ende der Welt auf, oder: &bdquo;All your important files are stolen and encrypted“ – alle wichtigen Daten sind gestohlen und verschlüsselt. Mit freundlichen Grüßen zum Beispiel von Lockbit, der aktuell wohl gefährlichsten Hackergruppe. Für die Klärung der Zahlungsmodalitäten – je nach Opfer eine sechs- bis achtstellige Summe – möge man sich mittels der Messenger Tox oder Telegram melden. Dann seien die Rechner bald wieder frei und die geklauten Daten blieben geheim. Diese sogenannte Ransomware-Attacke wurde in den vergangenen Jahren zur Goldgrube für rund 20 professionelle Banden und ungezählte Trittbrettfahrer weltweit.

Im vergangenen Sommer etwa meldete sich Lockbit beim hannoverschen Continental-Konzern. Der Autozulieferer kämpft bis heute mit den Folgen. &bdquo;Da liegen die Nerven ziemlich blank“ sagt ein mittelständischer Unternehmer, der so etwas erlebt hat. Von einer &bdquo;unternehmerischen Nahtoderfahrung“ spricht Fischer-Erdsiek, der Cyberversicherungen vermittelt – Betreuung im Fall der Fälle inklusive.

Große Ahnungslosigkeit Offenbar hat es fast jeder schon erlebt, wenn auch oft in abgeschwächter Form. Der Branchenverband Bitkom schätzt den Schaden zum Beispiel durch Betriebsausfälle allein für die deutsche Wirtschaft auf mehr als 200 Milliarden Euro pro Jahr. Doch die Dunkelziffer ist hoch: &bdquo;In Wahrheit kann das keiner schätzen“, sagt ein Sicherheitsexperte.

&bdquo;Nach unseren Umfragen erlebten 82 Prozent der Unternehmen in den vergangenen zwei Jahren Cyberattacken“, sagt Michael Deissner, Chef des Verschlüsselungsspezialisten Comforte. Deissner kritisiert heftig die Ahnungslosigkeit in vielen Betrieben. Das Selbstbild sei manchmal &bdquo;so unrealistisch, dass man aufpassen muss, nicht laut loszulachen“.

Die Folgen der Attacken spüren immer öfter auch Normalbürger. Denn das Spiel von Erpressung und stiller Lösegeldzahlung funktioniert nicht mehr so reibungslos. &bdquo;Die Hacker brauchen ein neues Geschäftsmodell“, sagt Fischer-Erdsiek. &bdquo;Lösegeldforderungen können aufgrund der Sanktionen immer seltener erfüllt werden.“

Datensätze landen im Darknet Nicht nur, dass immer mehr Unternehmen nicht zahlen wollen – oft können sie auch nicht: Seit Beginn des Ukraine-Kriegs verbieten die Sanktionen Überweisungen nach Russland. Dort aber sitzen viele Hacker. Oder im Iran. Und in Nordkorea oder China. Nordkorea sei &bdquo;in puncto Cyberaggression ganz vorn“, sagt der Sicherheitsexperte eines Konzerns, der früher selbst beim Bundesnachrichtendienst war. Rund 4.000 Hacker sollen dort im Regierungsauftrag westliche Systeme blockieren und die Staatskasse mit Lösegeld füllen.

Natürlich ließen sich Wege für das Geld finden. Aber kein westliches Unternehmen und schon gar keine Cyberversicherung kann es sich leisten, beim Sanktionsverstoß erwischt zu werden. Gibt es also irgendwo in der Kommunikation mit den Erpressern Hinweise auf russischen Ursprung, raten selbst abgebrühte Experten von Zahlung ab, und die Hacker müssen die Früchte ihrer Arbeit anders zu Geld machen. So landen immer mehr geklaute Datensätze tatsächlich wie angedroht im Darknet.

"Telefonieren den ganzen Tag potenzielle Opfer ab“ In diesem anonymen Bereich des Internet werden sie verkauft – an Spezialisten für Industriespionage oder eben für &bdquo;Social Engineering“. Die Kunden- oder Mitarbeiterdaten aus gehackten Unternehmen liefern ihnen Telefonnummern und Adressen, Bankverbindung, Alter und Beruf. Was fehlt, ist die PIN, der Zugangscode zum Konto. &bdquo;Mit den Daten werden Call Center ausgestattet, die funktionieren wie Drückerkolonnen“, sagt Fischer-Erdsiek. &bdquo;Diese Leute sind extrem gut geschult und telefonieren den ganzen Tag potenzielle Opfer ab.“

Sie warten Gelegenheiten ab wie den Stillstand beim Onlinebanking, geben sich als Polizeibeamte, Bankberaterinnen oder Servicepersonal einer Softwarefirma aus, telefonieren lange und mehrmals. Das Opfer soll mitarbeiten, es geht angeblich um die Sicherheit seines Geldes, seines Computers oder die Überführung von Kriminellen.

Irgendwann klickt der ahnungslose Mensch auf einen Internetlink und gewährt ungewollt Zugang zum heimischen PC. Dann lesen sie heimlich beim Onlinebanking mit. Pin, Tan, Anmeldename – alles da. Bald darauf wandern nicht 20 Euro auf ein Testkonto, sondern 200.000 ins Nirgendwo. In zehn Tranchen verschwand Rentner Hambrechts Altersvorsorge. Für die Hackerbranche ist es einfach eine Variation in der Wertschöpfungskette.

&bdquo;Conditions for Partners“, steht über einer Seite im Darknet. Darunter wird erklärt, wie potenzielle Partner mit der Gruppe und ihrer Software LockBit arbeiten können. &bdquo;Einzigartige Vorzüge sind die Verschlüsselungsgeschwindigkeit und die selbstständige Ausbreitung“, heißt es da. &bdquo;Nur Du entscheidest während der Kommunikation, wie viel das verschlüsselte Unternehmen Dir zahlen wird.“ Danach sei ein Prozentsatz an die Urheber abzuführen. Kommuniziert wird über eine eigene Onlineplattform.

Den Zugang zu diesem &bdquo;Control Panel“ hatte Mikhail Vasiliev gerade geöffnet, als kanadische Ermittler Ende Oktober 2022 in seine Garage eindrangen, wo der 33-Jährige vor seinem Laptop saß. Inzwischen steht der Mann mit kanadischem und russischem Pass in den USA vor Gericht, und sein Laptop erzählt von Lockbit. Seit Anfang 2020 sind mit ihrer Software laut FBI mindestens 1.000 Cyberangriffe weltweit verübt worden.

Die Gruppe ist verzweigt, mit den Softwareentwicklern auf der einen Seite und wechselnden Anwendern – den &bdquo;Partnern“ und eigentlichen Erpressern – auf der anderen. &bdquo;Ransomware as a Service (RaaS)“ nennen das die FBI-Ermittler. Das System ist robust, der Schlag vom vergangenen Herbst hat die Gruppe nicht aus dem Takt gebracht. Nach Zählung von Malwarebytes, einem Hersteller von Schutzsoftware, &bdquo;bleibt Lockbit auch im neuen Jahr an vorderster Front“ mit 51 dokumentierten Attacken im Januar. Die wahre Zahl dürfte größer sein, denn gezählt wurden nur angebotene Daten im Darknet – also jene Fälle, wo kein Lösegeld geflossen ist.

Software macht Geschäft kaputt Comforte-Chef Deissner glaubt, ein Mittel dagegen zu haben. Seine Software schütze zwar nicht vor Angriffen, mache aber das Geschäft kaputt. &bdquo;Die verschlüsselten Daten können nicht erpresserisch genutzt werden – und dann wird es für Hacker langweilig“, sagt der frühere SAP-Manager, der unter anderem Kreditkartenfirmen zu seinen Kunden zählt: &bdquo;Allein Visa verschlüsselt mit unserem System 4.000 bis 5.000 Kundentransaktionen pro Sekunde.“ Zwar wächst das Problembewusstsein in Unternehmen, aber Fachleute raufen sich noch oft genug die Haare. &bdquo;Cybersicherheit muss Chefsache sein“, sagt Deissner. &bdquo;Aber das ist sie in vielen Organisationen noch nicht.“ Vielen sei nicht klar, dass sie schnell persönlich in der Haftung sind, wenn die IT-Sicherheit Löcher hat.

Auch Versicherungsmakler Fischer-Erdsiek macht einschlägige Erfahrungen. Cyberpolicen galten einmal als großer Wachstumsmarkt der Branche. Das sind sie auch – mit dem Schönheitsfehler, dass die Schäden wegen schlechter Sicherheitsstandards noch schneller wachsen. Inzwischen gibt es eine Police nur noch nach Sicherheitsprüfung – und meist einigen Nachbesserungen: &bdquo;Manche machen es Angreifern immer noch unfassbar leicht.“

"Wie Drückerkolonnen" - Hacker-Angriffswelle mit gravierenden Folgen

Hacker legen Systeme der Detmolder Stadtwerke lahm

Cyber-Bedrohungslage in der EU verschärft sich

Deutschland größtes Hacker-Ziel in der Europäischen Union

Stadtwerke Detmold arbeiten nach Hacker-Angriff weiter an IT-Systemen

Hackerangriff im Kreis Lippe könnte sich ausweiten - weitere Kommunen betroffen?

Munich Re: Cyberkriminalität richtet immer mehr Schaden an

Lippische Landes-Zeitung: Nachrichten aus Lippe, OWL und der Welt

Weiterlesen mit LZplus!

0,99 Euro im ersten Monat

Weiterlesen mit LZplus