Social Hacking

Vermutlich haben Sie schon des Öfteren gehört, dass Hackerangriffe Unternehmen in den Ruin treiben können. Klingt erstmal ziemlich weit hergeholt. Allerdings steckt hinter dieser Aussage leider mehr Wahrheit als Sie vielleicht denken. Denn schon ganz wenige unglückliche Wendungen können dazu führen, dass ein Unternehmen innerhalb kurzer Zeit "zugrunde" geht. Im folgenden Artikel wird eine beispielhafte Geschichte erzählt, die, obwohl sie fiktiv ist, durchaus auch in Ihrem Unternehmen stattfinden könnte. Die MüllerMeier Dichtring GmbH Es soll sich im Folgenden um das fiktive Maschinenbau-Unternehmen „MüllerMeier Dichtring GmbH“ handeln, welches Teil einer Lieferkette eines großen Automobilherstellers ist. Das Unternehmen ist in der Region um Lauterburg nahe der französischen Grenze ansässig. Es produziert unter anderem Dichtringe und ist eines der führenden Unternehmen in seiner Branche. Beschäftigt sind 50 Mitarbeiter im Büro und 150 Mitarbeiter in der Produktion. Was ist passiert? Es ist Mittwochmorgen, 8 Uhr: Der Assistent der Geschäftsleitung, Herr Schmitt, schaut sich auf Facebook die ersten Urlaubsfotos des IT Administrators seines Unternehmens an, der sich am letzten Freitag glücklich in seinen wohlverdienten Urlaub verabschiedet hat. Anschließend beginnt er seine Arbeit und geht seinem Tagesgeschäft nach, wobei er eine E-Mail-Benachrichtigung vom Intranet-Server erhält. Angesichts dessen, dass die Mitarbeiter der MüllerMeier Dichtring GmbH in der Regel mehrere solcher Mails pro Woche erhalten, ist dies nichts Ungewöhnliches. Leider handelt es sich nicht um eine echte E-Mail aus dem Intranet, sondern um eine gefälschte und entsprechend präparierte Mail eines Cyberkriminellen. Dieser weiß ganz genau, wie die Intranet-Applikation funktioniert und hat über Facebook erfahren, dass sich der Administrator der MüllerMeier Dichtring GmbH in Urlaub befindet (Social Hacking). Perfekte Voraussetzungen für einen Hackerangriff! Mit einem einfachen und täuschend echten Link hat er die E-Mail versehen. Herr Schmitt klickt ohne Bedenken drauf. Schließlich scheint der Link ja ins Intranet zu verweisen. Doch in Wahrheit führt der Link zu einer gefälschten Webseite, auf der Herr Schmitt unwissentlich eine Downloadroutine in seinen Arbeitsspeicher herunterlädt und aktiviert (Drive-by-Download). Diese lädt dann etwa zwei Stunden später, während Herr Schmitt im Meeting sitzt und der Rechner unbenutzt läuft, im Hintergrund eine Installationsanweisung für einen Keylogger herunter und führt diese aus. Möglich war dies, weil Herr Schmitt über Administratorrechte auf seinem PC verfügte, die aus einer vor langer Zeit entwickelten und nicht aktuell gehaltenen Softwarelösung für Dichtring-Berechnungen resultieren. Der so erfolgte Hackerangriff konnte nur deshalb stattfinden, weil der Drive-by-Download eine Sicherheitslücke im ungepatchten Internet- Browser ausnutzte. Der auf diesem Weg installierte Keylogger protokolliert nun alle Tastatureingaben und liest im Hintergrund Passwörter und Daten mit, welche direkt an den Hacker übermittelt werden. Bis hierhin schon fatale Ereignisse. Doch nun kommt noch hinzu, dass Herr Schmitt als Assistent der Geschäftsleitung über alle Rechte auf den firmeneigenen Dateiservern verfügt, um bei Bedarf für den Geschäftsführer auf jegliche Unternehmensdaten zuzugreifen. Somit hat der Hacker Zugriff auf sämtliche vertrauliche Daten! Mittwoch, 12:30 Uhr: Noch am gleichen Tag surft die Auszubildende Frau Fischer in Ihrer Pause im Internet. Als Auszubildende wechselt sie durch die verschiedenen Abteilungen des Unternehmens. Und da es kein vernünftiges Rechte-Management gibt, welches dafür sorgt, dass Benutzer genau die Rechte erhalten, die sie auch benötigen, hat Frau Fischer über ihre dreijährige Ausbildungszeit umfassende Rechte angesammelt. Beim Surfen lädt sie unbemerkt, ebenfalls per Drive-by-Download, einen Krypto-Trojaner (Erpressungstrojaner) herunter. Dieser konnte unbemerkt durch die in die Jahre gekommene Firewall gelangen, die nicht auf dem neuesten Stand ist. Erst kürzlich wurde nämlich in einen neuen Laserschneider investiert, weshalb die neue Firewall im Investitionsbudget zurückgestellt wurde. Die vorhandene Firewall konnte nicht auf den neuesten Firmware-Stand gebracht werden, da die technischen Voraussetzungen (Arbeitsspeicher und CPU) nicht mehr vorhanden sind. Die Entscheidung, den Laserschneider zuerst zu kaufen, rächt sich nun an anderer Stelle! Wie eingangs bereits erwähnt hat der Administrator gerade Urlaub, weshalb das Virenschutzprogramm auf dem PC von Frau Fischer gerade nicht aktuell ist. Es wurde nämlich nicht für eine professionelle und eingewiesene Vertretung gesorgt, die den Virenschutz überwacht und aktuell hält. Trotz all dem passiert momentan nichts, was den Arbeitsalltag des Unternehmens beeinträchtigen würde. Der Keylogger liest unbemerkt Daten mit, der Krypto-Trojaner „schläft“ und wartet auf seinen Einsatz. Montag, 8 Uhr: Da Frau Fischer Ihren Rechner am Freitag nicht heruntergefahren hat, konnte der Krypto- Trojaner gestern um 01:34 Uhr aktiviert werden und hat über Nacht sämtliche Daten auf den File-Servern verschlüsselt, auf die Frau Fischer Zugriffsrechte hatte. Sämtliche Produktionspläne, Konstruktionspläne, Kundendaten, Lieferdaten und alle zentralen Netzwerk-Applikationen die die Firma benötigt, sind aufgrund der Verschlüsselung nicht mehr verfügbar. Das Unternehmen steht still! Die Forderung des Cyberkriminellen auf dem PC von Frau Fischer lautet, 10 Bitcoins (ca. 70.000 Euro, Stand 11/2017) an ein anonymes Bitcoin-Wallet zu überweisen. Im Gegenzug würden dann die Unternehmensdaten wieder entschlüsselt. Nach einer hektischen Beratung mit der Geschäftsleitung und anschließendem Kontakt mit der Polizei wird beschlossen, nicht an den Erpresser zu zahlen. Montag, 10 Uhr: Glücklicherweise hat man ja ein Backup der Daten. Der Plan steht: Restore der Daten durchführen, um so schnell wie möglich wieder arbeitsfähig zu sein. Haken an der Sache: Niemand im Unternehmen weiß, wie mit der Backuplösung ein Restore durchgeführt wird. Der Vertreter des Administrators ist mangels Einweisung nicht in der Lage, die Daten wiederherzustellen. Montag, 11 Uhr: Nachdem man festgestellt hat, dass man nicht an die Daten des Backups kommt, da niemand die Software korrekt bedienen kann, beginnt eine hektische Zeit voller Telefonanrufe bei diversen IT Dienstleistern. Die bekannten IT Dienstleister in der unmittelbaren Umgebung sind leider nicht in der Lage sich um das Problem zu kümmern, da sie gerade voll ausgelastet sind und keine Ressourcen verfügbar haben. Montag, 12:30 Uhr: Endlich wurde ein IT Dienstleister gefunden, der allerdings aus einiger Entfernung zu erhöhten Kosten anreisen muss und daher erst in einer Stunde eintrifft. Montag, 13:30 Uhr: Der Dienstleister beginnt seine Arbeit, stellt aber nach kurzer Zeit fest, dass niemand weiß, wo die für den Restore der verschlüsselten Backupdaten benötigten Passwörter liegen. Es muss also unbedingt der Administrator kontaktiert werden. Dieser liegt gerade am Strand in Thailand und ist nicht zu erreichen. Es vergeht wertvolle Zeit, während man verzweifelt versucht, den Administrator zu erreichen. Die Zeitverschiebung von 7 Stunden erschwert das ganze Vorhaben natürlich enorm. Dienstag, 17 Uhr: Der Betrieb kann nun seit fast 2 Tagen nicht mehr arbeiten. Zum Glück hat man mittlerweile den Administrator erreicht und versucht nun den Restore durchzuführen. Dass der Administrator angesichts einer Flugzeit von ca. 14 Stunden nicht zurückkommen kann und unglücklicherweise keinen PC zur Verfügung hat, macht die Sache nicht leichter. Hinzu kommt noch, dass die letzte erfolgreiche Sicherung vor 10 Tagen stattgefunden hat (also am letzten Arbeitstag des Administrators). Da das Backup nicht überwacht wurde, konnte der Fehler leider nicht früher entdeckt werden. Somit steht ein Datenverlust von rund 10 Tagen bevor. Mittwoch, 9 Uhr: Der Restore konnte mit Hilfe des Administrators und des IT Dienstleisters endlich gestartet werden. Da es sich allerdings um Datenmengen im Terabyte-Bereich handelt, nimmt dieser Vorgang rund 2 Tage in Anspruch. Die von dem benötigten Zeitaufwand und dem zu erwartenden Datenverlust vollkommen überraschte Geschäftsleitung versteht die (IT) Welt nicht mehr. Der Geschäftsführer ist nervlich am Ende! Freitag, 8 Uhr: Der Restore konnte endlich alle Daten vom Backup wiederherstellen. Nach nunmehr 4 Tagen, an denen das Unternehmen praktisch stillstand, liegen die Nerven natürlich bei allen Mitarbeitern blank Freitag, 14 Uhr: Da man mittlerweile seit einer Woche nicht mehr produziert hat, ist es dem Unternehmen nicht mehr möglich, seine Lieferverträge einzuhalten. Der zu Beginn erwähnte Automobilhersteller muss infolgedessen ebenfalls seine Produktion stoppen, da ein wichtiger Dichtring fehlt und in Zeiten von just-in-time natürlich kein Vorrat vorhanden ist. Freitag, 15 Uhr: Dass ein großer Automobilhersteller seine Produktion wegen Problemen in der Lieferkette stoppen muss, bleibt natürlich nicht lange unbemerkt. Es gibt, in denen die Vorgänge der letzten Tage veröffentlicht werden. Der Anfang vom Ende Samstag, 16 Uhr: Der Hacker, der den Keylogger auf dem PC von Herrn Schmitt installiert hat, hat mittlerweile auch mitbekommen, was dem Unternehmen passiert ist. Er schlussfolgert präzise, dass das Unternehmen aktuell im Krisenmodus ist. Auf diese Gelegenheit hat er gewartet. Der ideale Zeitpunkt für den finalen Angriff ist greifbar. Er analysiert nun die von seinem Keylogger übermittelten Daten und findet im Tastaturprotokoll die Eingabe der Zeichenkette „firma\mueller2“, welche darauf schließen lässt, dass Herr Schmitt sich in das firmeneigene Intranet eingeloggt hat. Die darauffolgenden Zeichen „jwhsgge345dss!“ sind dann mit hoher Wahrscheinlichkeit das dazugehörige Passwort für den Account mueller2. Im Anschluss entdeckt er sogar noch einen Online-Banking-Account und das dazugehörige Passwort. Ein erfolgreiches Login auf der Webmailseite des Unternehmens bzw. der Internetseite der Bank bestätigt die Echtheit der Login-Daten und versetzt den Hacker in Hochstimmung. Diese Daten scheinen dem Kriminellen auf den ersten Blick keinen großartigen Nutzen zu bringen, da er schließlich ohne eine gültige TAN keine Überweisung tätigen kann. Das einzige, was er mit den Online-Banking-Daten machen kann: den Kontostand des Unternehmens in Erfahrung bringen. Doch genau diese vermeintliche Geheiminformation eröffnet dem Kriminellen eine durchaus reelle Chance, an das Geld zu kommen. Über das firmeneigene E-Mail-System sendet der Hacker nun nämlich eine detaillierte Handlungsanweisung an die Buchhaltung mit dem Hinweis auf strikte Vertraulichkeit. Es seien 2 Überweisungen zu je 250.000 EUR an zwei ausländische geheime Bankkonten zu überweisen, um Rücklagen für Löhne usw. zu haben, falls es zu einer Schadensersatzklage des Automobilherstellers kommt. In der Mail nutzt er den genauen Kontostand, um das Vertrauen der Buchhaltung zu erwecken. Im Endeffekt hat die Buchhaltung also einen nachvollziehbaren Auftrag vor sich, der sogar unternehmensinterne Informationen enthält, die nur dem Geschäftsführer oder dessen Assistent bekannt sein sollten. Die Buchhaltung hat demnach kaum eine Chance, diesen Betrug zu bemerken, und führt den vorliegenden Auftrag wie angeordnet aus. Montag, 8 Uhr: Zwei Tage später steht die monatliche Lohn- und Gehaltszahlung an. Wegen fehlender Deckung werden zahlreiche SEPA Überweisungen nicht ausgeführt. Die für die Gehaltszahlung zuständige Mitarbeiterin Frau Sommer wundert sich und fragt in der Buchhaltung nach. Da man dort von der vorausgegangenen mit strikter Geheimhaltung versehenen Anweisung Kenntnis hat, verweist man Frau Sommer direkt an den Geschäftsführer. Wenige Minuten später stellt sich heraus, dass man mit Hilfe der Buchhaltung und der fingierten E-Mail von Herrn Schmitt das Firmenkonto bis auf wenige Euro geplündert hat. Was bleibt von dem Unternehmen wohl übrig? Werden die Gesellschafter den angestellten Geschäftsführer auf Schadensersatz verklagen? Fazit: Was können wir daraus lernen? Sie werden mit Sicherheit sagen, dass dieses Szenario zu unwahrscheinlich ist, um überhaupt vorkommen zu können. Auf den ersten Blick erscheint es auch unwahrscheinlich, dass alle Ereignisse gleichzeitig und in diesem Ausmaß auftreten. Aber merken Sie sich Folgendes: Ein Cyberkrimineller überlässt nichts dem Zufall! Wenn Sie ins Visier eines Cyberkriminellen geraten, beispielsweise, weil bekannt wird, dass Ihre IT Sicherheit nicht leistungsfähig ist, wird dieser alles versuchen, Sie genau dann anzugreifen, wenn Ihre Verteidigung am schwächsten ist. In diesem Fall war der Administrator in Urlaub und einige Systeme waren strukturbedingt nicht auf dem neuesten Stand. Alles Informationen, die sich mit wenig Aufwand in Erfahrung bringen lassen. Allein die Urlaubsfotos des Administrators in Facebook konnten dem Cyberkriminellen die Information geben, dass das Unternehmen nun angreifbar ist. Im Endeffekt kann diese zwar fiktive aber dennoch realistische Geschichte auch Ihrem Unternehmen passieren. Denn ein paar wenige Unachtsamkeiten wie z.B. nicht für eine professionelle Urlaubsvertretung für den Administrator gesorgt zu haben können fatale Folgen haben. Eine einzelne Schwachstelle in der Rechteverwaltung kann Cyberkriminellen den Zugang zu Ihren Systemen verschaffen. Und wenn dann noch sicherheitskritische Faktoren wie z.B. die erwähnte nicht geregelte Rechte-Verteilung des Auszubildenden dazu kommen, steht ein Unternehmen ganz schnell mit dem Rücken zur Wand! Wie können Sie einen solchen Hackerangriff verhindern? Wie verhindern Sie, dass dieses Schicksal auch Ihrem Unternehmen wiederfährt? Indem Sie für eine professionelle IT Sicherheit sorgen! Der finale Angriff des Hackers, der den Keylogger installiert hat, konnte nur mittels Social Hacking stattfinden. Vermutlich hätte die Firma sich mit ein wenig Glück noch einmal von den Folgen des Krypto-Trojaners erholt. So aber hatte Sie keine Chance! Man kann der Buchhaltung keine Vorwürfe machen, da ein Angriff per Social Hacking für das ungeschulte Auge nur schwer zu erkennen ist. Mit den geeigneten Security Schulungen hätte die Geschäftsführung aber das Risiko erheblich verringern können, dass Mitarbeiter Opfer eines solchen Angriffs werden!

KI-Sichtbarkeit mit einem Messprotokoll prüfen

Warum viele Deutsche ein Recht auf digitales Bezahlen wollen

Wenn Künstliche Intelligenz zum Bankkunden wird

Frischer Wind für den KI-Transfer

8 Arten der Startup-Finanzierung

Warum viele Deutsche ein Recht auf digitales Bezahlen wollen

Wenn Künstliche Intelligenz zum Bankkunden wird

Warum wir unsere eigene Podcast-Plattform gebaut haben – ein Erfahrungsbericht von…

8 Arten der Startup-Finanzierung

Startup AMS Go im Gründerview

Startup MAIQ im GründerView

Startup Aqvior im GründerView

Wie viel Mensch verträgt die KI?

Vom Know-how zum Green Skill: Wenn Nachhaltigkeit zur Kompetenz wird

Was macht KI mit unserem Denken? Ein Blick auf die MIT-Studie

Vom Hype zum Helfer: Wie KI-Agenten Fahrt aufnehmen

Schlagwort: Social Hacking

Cyberkriminalität: So ruiniert ein Hackerangriff ein Unternehmen

8 Arten der Startup-Finanzierung

KI-Sichtbarkeit mit einem Messprotokoll prüfen

Warum viele Deutsche ein Recht auf digitales Bezahlen wollen

Wenn Künstliche Intelligenz zum Bankkunden wird

Startup AMS Go im Gründerview