Lastschrift-Problem vor Schlecker-Pleite
Experten rufen Firmen nach Cyber-Angriff zu mehr Investitionen in IT-Sicherheit auf
STUTTGART (dpa) - Nach der Darstellung des ehemaligen SchleckerFinanzvorstands hätte die Insolvenz der Drogeriemarktkette knapp vermieden werden können. „Am Ende mussten wir Insolvenz anmelden wegen einer geplatzten Lastschrift“, sagte der von 2010 an im Konzern tätige Finanzchef am Montag im Bankrottprozess gegen die Familie Schlecker vor dem Landgericht Stuttgart. Nach Einschätzung des ehemaligen Finanzchefs war die Lage aber nicht aussichtslos.
FRANKFURT - Cyber-Angriffe, das haben am vergangenen Wochenende die Deutsche Bahn oder Renault erfahren müssen, gehören für Großunternehmen schon fast zum Alltag. „Neben der absoluten Zahl der Angriffe steigt auch die durchschnittliche Schadenhöhe“, schreibt die Unternehmensberatung KPMG in einer aktuellen Studie. Seien es 2011 bei einem Datenschutzvorfall in der deutschen Großindustrie noch 3,4 Millionen Euro gewesen, stiegen die Kosten bis 2015 schon auf 6,1 Millionen Euro pro Vorfall. Das kostet die deutsche Volkswirtschaft nach Berechnungen der Bitkom, des Digitalverbands Deutschlands, etwa 51 Milliarden Euro im Jahr.
Und doch tun die Unternehmen nicht genug – oder nicht an der richtigen Stelle, kritisieren Experten. Allein etwas mehr Sorgfalt bei der Aktualisierung der Programme wäre schon hilfreich. Es sei häufig Fahrlässigkeit, dass sich Trojaner wie „WannaCry“so rasant verbreiten könnten, sagte Arne Schönbohm, Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI) – etwa, weil die notwendigen SoftwareUpdates nicht installiert würden.
Am Wochenende hatte der Trojaner in 150 Ländern ganze Computersysteme blockiert. In Deutschland war vor allem die Deutsche Bahn betroffen. Dort funktionierten Anzeigetafeln und Fahrkartenautomaten nicht. In Frankreich war es unter anderem der Autobauer Renault, in Großbritannien Krankenhäuser des nationalen Gesundheitssystems NHS. Die Software, die auf deren Rechner zugreifen konnte, verschlüsselte die Daten, die Nutzer wurden zur Zahlung eines Lösegelds aufgefordert. Bei der Deutschen Bahn dürfte es nach Angaben eines Sprechers noch einige Tage dauern, bis alle Anzeigetafeln wieder funktionierten.
Inzwischen hat die europäische Polizeibehörde Europol vorsichtige Entwarnung gegeben. Eine weitere massenhafte Ausbreitung der Schadsoftware, wie sie noch am Wochenende befürchtet worden war, sei offenbar vermieden worden, sagte ein Europol-Sprecher am Montag in Den Haag. Offenbar hätten eine Menge Experten am Wochenende „ihre Hausaufgaben gemacht“und die Sicherheitssysteme aktualisiert. Der Software-Konzern Microsoft bezeichnete die Attacke als „Weckruf“.
BSI-Präsident Schönbohm rief dazu auf, mehr in die IT-Sicherheit zu investieren. Der Vorfall zeige, dass das IT-Sicherheitsniveau in Deutschland sehr unterschiedlich sei, erklärte Schönbohm. Während Teile der Wirtschaft gut aufgestellt seien, gebe es in anderen Teilen Nachholbedarf. Ralf Sydekum, Technischer Manager des IT- und Sicherheitsdienstleisters F5 Networks, sieht das ähnlich. Die Unternehmen agierten häufig nicht angemessen, denn sie würden vor allem ihre Netzwerk-Perimeter, also die Eingänge zum Rechenzentrum schützen. „Das ist so, als schütze man den König in seiner Burg mit Wassergräben und Wehrtürmen“, meint Sydekum. „Aber was ist, wenn der König die Burg verlässt?“Will heißen: Die Unternehmen haben inzwischen große Teile ihrer Daten in eine Cloud ausgelagert. Anwender nutzen die IT-Ressourcen kaum noch am Firmensitz, sondern mobil mit verschiedenen Geräten von zu Hause oder unterwegs. So finden die Cyberkriminellen vielfältige Angriffspunkte.
Verbreitet wird die Schadsoftware häufig über Spam-Mails, in denen die Anhänge infiziert sind. Auch in Werbebannern werden Trojaner häufig versteckt. Doch Unternehmen würden gerade in diesen Bereichen zu geringe Sicherheitsvorkehrungen treffen, meint IT-Experte Sydekum.
Kritik an Geheimdiensten
Besondere Vorkehrungen fordert seit Mitte 2015 das IT-Sicherheitsgesetz von Betreibern sogenannter kritischer Infrastrukturen aus den Bereichen Energie, Informationstechnik und Telekommunikation: Neben dem Stand der Technik entsprechenden Sicherheitsmaßnahmen müssen sie sich alle vier Jahre einer Überprüfung durch das BSI unterziehen und Cyberangriffe der Behörde melden. Denn die große Dunkelziffer bei solchen Attacken stelle ein Problem bei deren Bekämpfung dar, sagt der stellvertretende Ministerpräsident Baden-Württembergs, Thomas Strobel (CDU), der in seiner Funktion auch für den Bereich Digitalisierung verantwortlich ist. IT-Experten fordern als Antwort auf die „WannaCry“-Attacke, dass Unternehmen Cyber-Kriminalität ernster nehmen als zuvor: Es reiche nicht mehr, die Vorbeugung allein der IT-Abteilung zu überlassen. „Wir brauchen ein konsequenteres IT-Sicherheitsmanagement – und zwar auf staatlicher Seite, ebenso wie in Unternehmen und Privathaushalten“, sagt Norbert Pohlmann, Vorstand für IT-Sicherheit beim Verband der Internetwirtschaft Eco, der auch die Praxis der Nachrichtendienste scharf kritisiert. „Solange Geheimdienste und Sicherheitsbehörden wie NSA und BND vorhandene Schwachstellen nicht den Herstellern melden, sondern für das Ausspähen der Bürger nutzen, passieren Cyber-Attacken, die leicht verhindert werden können.“