Bitcoin – das Lösegeld der Firmenhacker

Immer häufiger legen Cyberkriminelle ganze Unternehmensnetzwerke lahm. 2020 gab es in Deutschland mehr als 108.000 Angriffe.

DÜSSELDORF Dass Hacker sich in Firmennetze einklinken und Daten klauen, die durchaus die Existenz der betroffenen Unternehmen bedrohen können, ist nicht neu. Mitunter trifft es aber nicht nur die Firma. In den USA hat jüngst ein Fall für Aufsehen gesorgt, bei dem Colonial Pipeline, die größte Benzin-pipeline in den Vereinigten Staaten, von einer Attacke betroffen war. Die Pipeline wurde wegen der Malware vorübergehend aus dem Betrieb genommen – mit der unangenehmen Folge, dass an manchen Tankstellen in den Staaten das Benzin für die Autofahrer knapp wurde. Angeblich haben die Pipeline-betreiber fünf Millionen Dollar Lösegeld gezahlt, damit die Angreifer Entschlüsselungstools bereitstellten, mit denen man die Schadsoftware aus dem System entfernen konnte. Zuvor waren in kompletten Netzwerken Dateien und Laufwerke verschlüsselt worden.

Ransomware-angriffe nennt man das in der Fachsprache. Die Us-pipeline ist bei Weitem kein spektakulärer Einzelfall, und es sind auch nicht nur Unternehmen betroffen, die man unmittelbar mit dem Internet in Verbindung bringt. Eine amerikanische Tochter des Essener Chemikalienhändlers Brenntag war nach einem Bericht des „Spiegel“ebenso betroffen wie der Elektronikkonzern Toshiba, ein privater Radiosender in Hamburg oder gar das komplette irische Gesundheitssystem.

Immer wieder spielt demnach „Darkside“eine wichtige Rolle. Dabei handelt es sich um Cyberkriminelle, die gemeinsam vorgehen. Sie betrieben sogar eine Hotline, über die Opfer die Höhe von Lösegeldzahlungen ausverhandeln könnten. Perfider geht’s kaum noch. Und: Erpresst werden Firmen nicht nur mit der Drohung, ihre Netzwerke lahmzulegen, sondern auch damit, sensible Daten zu veröffentlichen.

Im Fall der Us-pipeline zahlten die Erpressten noch mit gewöhnlichen Dollar. Mittlerweile hat sich aber parallel eine neue Währung entwickelt, mit der sich kriminelle Hacker bezahlen lassen: Bitcoins. „Das Lösegeld wird sehr häufig in Form von Zahlungen in Kryptowährungen wie Bitcoin verlangt“, sagt Marcell Nedelko, Cybersecurity-experte bei der Unternehmensberatung Price Waterhouse Coopers. Auch wenn es nicht unmöglich ist, aber die Verfolgung der Zahlungsströme ist deutlich komplizierter als bei herkömmlichen Zahlungsmitteln. Über die Blockchain kann man zwar zurückverfolgen, von welcher Adresse Bitcoins wohin verschickt wurden. Aber dann muss man auch noch ermitteln, wer hinter diesen Adressen steckt.

Für manche Versicherungskonzerne gehört die Absicherung gegen Schäden aus Cyberkriminalität schon zum gängigen Geschäft. Das ist kein Wunder, weil die Bedrohung durch Cyberkriminelle nach Angaben des Bundeskriminalamts (BKA) weiter steigt. Die Zahl der von der Polizei registrierten Taten sei im vergangenen Jahr um 7,9 Prozent auf rund 108.000 gestiegen, teilte das BKA jüngst mit. Und nicht mal jeder dritte dieser Angriffe wird am Ende aufgeklärt. Die Dunkelziffer der Attacken dürfte noch deutlich höher liegen. Weltweit haben die Cyberkriminellen mit ihren Aktivitäten im vergangenen Jahr nach Schätzungen von It-experten etwa 1,5 Billionen Dollar vedient. Trotzdem verkennen manche die Gefahr. In einer Umfrage des deutschen Versicherer-verbands GDV bezeichneten nur 42 Prozent der befragten kleinen und mittelständischen Unternehmen das Risiko einer Cyberattacke für sich selbst als sehr hoch beziehungsweise als hoch.

Das weit verbreitete Homeoffice in Zeiten der Pandemie hat diesen Trend vermutlich beschleunigt, weil viele Beschäftigte auch zu Hause mit sensiblen Daten ihres Arbeitgebers umgehen, dort aber womöglich nicht so gut gegen Cyber-angriffe geschützt sind wie innerhalb des Netzwerks am Arbeitsplatz im Büro. Neuerdings haben Täter auch die Pharmabranche und da vor allem die Hersteller von Covid-19-impfstoffen als Opfer ausgemacht. Denn angesichts des weltweiten Bedarfs ist auch das ein einträgliches Geschäft. Zudem nutzen viele Unternehmen mehrere Cloud-dienste gleichzeitig, was sie zusätzlich anfällig macht.

Zu denken, die Unternehmen würden alles tun, um mögliche Fälle aufzuklären, ist ein Irrglaube. In einer Umfrage der Deutschen Industrie- und Handelskammer aus dem Januar dieses Jahres gaben lediglich neun Prozent der kleinen und 21 Prozent der großen Unternehmen an, dass sie It-sicherheitsvorfälle auch an die Behörden gemeldet hätten, wenn keine gesetzliche Verpflichtung bestanden hätte. Solche Pflichten bestehen beispielsweise nach dem Bundesdatenschutzgesetz, dem Telemediengesetz oder der Europäischen Datenschutzgrundverordnung.