Hackerangriffe auf Firmen nehmen Weltweit zu. Die politisch gewollte, rasante Digitalisierung der deutschen Wirtschaft (Industrie 4.0) steigert die Verwundbarkeit der Unternehmen. Die Daten sind interessant für Konkurrenten im In- und Ausland. Auch für Angriffswellen mit Erpressungssoftware sind die Systeme anfällig. Obwohl das Problem weitläufig bekannt ist, herrscht hier eine trügerische Zurückhaltung vor. Kommt es hier nicht zu einem Umdenken, werden Cyberattacken weiter auf Erfolgskurs bleiben.
WannaCry-Trojaner führt zu weltweiten Angriffen durch Hacker
Der Trojaner ‚WannaCry‘ sorgte im Mai 2017 für einen großen Aufschrei. Hackerangriffe, die sonst ohne große Kenntnisnahme der Öffentlichkeit passieren, wurden auf einmal weltweit für jeden sichtbar. Der Trojaner sorgte für eine Verschlüsselung von Benutzerdateien, anschließend wurden Lösegeldforderungen gestellt. Mediale Konsequenz: Anzeigetafeln und Kassenautomaten der deutschen Bahn fielen aus, in englischen Krankenhäusern konnten Patienten nicht mehr operiert werden. Die IT-Sicherheitsfirma Avast entdeckte rund 75.000 betroffene Computer in 99 Ländern.
Hacker haben hierzu eine bereits seit März 2017 bekannte Sicherheitslücke in Windows-Betriebssystemen ausgenutzt. Mit Patches die von Microsoft zur Verfügung gestellten wurden, hätte das Problem vermieden werden können. Doch sowohl die Bahn, als auch Englands National Health Service mussten offenbaren, dass sie bei der Wartung ihrer Rechner und IT-Systeme geschlampt haben.
Nur 3% aller deutschen Firmen sind ausreichen auf Hackerangriffe vorbereitet
Dirk Kretzschmar, Geschäftsführer der TÜV Informationstechnik (TÜViT), bestätigte, dass nur 3% aller deutschen Firmen ausreichend auf Hackerangriffe vorbereitet sind. Die Erkenntnis, dass die zunehmende Vernetzung gerade auch sensibler Daten zu immer höheren Gefahren führt, wird häufig verkannt.
Richtlinien zur Passwortauswahl veraltet
Tückisch hierbei ist auch, dass die altbekannten Regeln zu Kennwörtern durch Sicherheits-Richtlinien kaum zusätzliche Sicherheit bieten. Das National Institute of Standards and Technology (NIST) in den USA hat daher gerade neue Passwortregeln veröffentlicht.
Empfehlungen alter Versionen der NIST-Richtlinien, wie die willkürliche Nutzung von Sonderzeichen, Groß- und Kleinschreibung und Zahlen, ist somit hinfällig. Die Vorgaben werden heute sogar bereut! Grund: Häufig kommt es durch diese Regeln zu Passwörtern die weniger sicher sind. Wer sein Passwort regelmäßig ändert, verstärkt diesen Effekt gegebenenfalls sogar noch. Den Grund dazu haben Forscher der University of North Carolina schon 2010 herausgefunden: Viele Nutzer verändern ihre Passwörter nur minimal um sie sich weiterhin gut merken zu können. Aus „Passwort“ wird nach einem einfachen Muster „Passwort1“, „PasswOrt“ oder „Passwort!!“. Dazu werden Passwörter häufig unsicherer ausgewählt, wenn den Nutzern bekannt ist, dass sie diese ohnehin bald wieder ändern müssen.
Über milliardenfache Passwort-Lecks in den letzten Jahren haben Sicherheitsforscher viel darüber gelernt, wie Nutzer ihre Passwörter üblicherweise auswählen und wie diese durch die veralteten NIST-Vorschriften beeinflusst werden. Resultat: Etliche dieser Passwörter sind durch Algorithmen einfach zu erraten und lassen sich daher schnell knacken.
Neue Passwortempfehlungen: Länge ist wichtig
Für die Sicherheit eines Passwortes ist die Länge wichtiger, als die Komplexität. Eine Erhöhung der Passwort-Sicherheit laut aktueller NIST-Richtlinien kann man daher z.B. erreichen in dem man sich einen leicht merkbaren Satz nimmt und durch ein eigenes, geheimes Muster abwandelt. So kann man z.B. den Namen der Website, sein Geburtsdatum, Ausrufezeichen nach Zahlen oder andere Informationen in seinen Satz einbauen. Nimmt man als Beispiel den Satz: "Das ist das Haus vom Nikolaus" so kann man diesen für alle Webseiten abwandeln: "Das-ist-das-OEVERMANN.de-Haus-vom-Nikolaus-31.12.95-!!!". Solche Eigenkreationen sind leicht zu merken, werden aber in keiner Passwortliste auftauchen. Zumindest solange nicht, bis das Passwort in einem Passwortleck landet und im Internet veröffentlicht wird. Daher sollte man Passwörter ändern sobald man bemerkt, dass diese auf solchen Listen auftauchen.
Wann sollte ich mein Passwort ändern?
Um zu überprüfen ob deine Mailadresse oder dein Passwort auf einer dieser Listen gelandet ist, sollte man laut der überarbeiteten Richtlinien neue Passwörter vor Nutzung mit bekannten, kompromittierten Passwörtern abgleichen und diesen Prozess regelmäßig wiederholen. Webdienste wie Troy Hunts Pwned Passwords erleichtern hier die Recherche.
Nachholbedarf beim Thema Cyberattacken
Abschließend lässt sich festhalten, dass es noch einen enormen Nachholbedarf im Punkto Cybersicherheit gibt. Dazu müssen an erster Stelle Firmen für die drohenden Gefahren sensibilisiert werden. Befolgt man bereits bekannte Sicherheitsrichtlinien, sollte man regelmäßig darauf achten, dass diese auf dem neusten Stand sind. Die globale Vernetzung bringt uns und unserer Wirtschaft enorme Vorteile, allerdings nur, wenn Cyberattacken möglichst effektiv unterbunden werden.
Sie haben Fragen rund um das Thema Cybersicherheit? – Wir beraten Sie gerne!