Cyber Crime – Bedrohungslagen in Unternehmen erkennen ist eine Herausforderung für Alle!

|  Mandanteninformation 9/2017

Cyber Angriffe waren in diesem Sommer allgegenwärtig. Wannacry & Co. wurden zum Sinnbild für das, was das Bundeskriminalamt (BKA) als entgrenzte Massenkriminalität bezeichnet. Eine Gefährdung für die Funktionsfähigkeit von Wirtschaft, Staat und Gesellschaft durch Cyber Crime ist keine Science Fiction mehr, sondern Realität. Nach allem was bekannt ist, sind die Mehrzahl der Cyber Angriffe ungezielte Breitenangriffe z. B. auf Sicherheitslücken in weitverbreiteten Betriebssystemen. Gezielte Angriffe sind aufwendiger für die Täter, kommen weniger häufig vor, können aber die Betroffenen enorm schädigen.

Cyber Angriffe waren in diesem Sommer allgegenwärtig. Wannacry & Co. wurden zum Sinnbild für das, was das Bundeskriminalamt (BKA) als entgrenzte Massenkriminalität bezeichnet. Eine Gefährdung für die Funktionsfähigkeit von Wirtschaft, Staat und Gesellschaft durch Cyber Crime ist keine Science Fiction mehr, sondern Realität. Nach allem was bekannt ist, sind die Mehrzahl der Cyber Angriffe ungezielte Breitenangriffe z. B. auf Sicherheitslücken in weitverbreiteten Betriebssystemen. Gezielte Angriffe sind aufwendiger für die Täter, kommen weniger häufig vor, können aber die Betroffenen enorm schädigen. In den Jahren 2015 und 2016 wurden nahezu in jeder Branche Fälle gemeldet:

Der anhaltende Trend zur Digitalisierung verändert auch das Umfeld für Kriminelle. In einer unglaublichen Geschwindigkeit haben sich die Täter an diese neuen Gegebenheiten angepasst und digitalisieren ihre Tatwerkzeuge bzw. die Tatbegehungsweisen. Diese Digitalisierung der Kriminalität verschafft der sog. Underground Economy starkes Umsatzwachstum. War es in der Vergangenheit eher ein kleiner Täterkreis, der über das Spezial-Know-how verfügte, IT-Systeme zu „hacken“ oder anderweitig IT für kriminelle Handlungen einzusetzen, so kann heute praktisch jeder aus einem reichhaltigen Angebot Produkte, Daten und Dienstleistungen erwerben, die für Straftaten genutzt werden können.

Längst hat sich ein Markt mit automatisierten, anonymen Shops im Netz entwickelt, die unkompliziert und in Echtzeit z. B. Kreditkartendaten, Log-Daten, Zugänge zu Onlinebanking oder auch Kunden-Accounts anbieten. Anleitungen und Tutorials erklären komplexe Internetstraftaten und professionelle Verschleierungsmaßnahmen Schritt für Schritt. Zum Teil mitunter als vertriebsunterstützende Maßnahme der Datenhändler. Dienstleister bieten Phishing Attacken an und programmieren Schadsoftware.
Mit Bitcoin & Co. haben sich digitale Zahlungswege entwickelt, die auch Käufern und Verkäufern illegaler Waren, Daten und Dienstleistungen eine perfekte Infrastruktur zur anonymen Abwicklung dieser Geschäfte bieten.

Das Entdeckungsrisiko ist für Cyber-Kriminelle vergleichsweise gering. Anonymisierung und Kryptierung verhindern in weiten Teilen die Beweissicherung und das Internet wird zwar nicht zum rechtsfreien, aber infolge der funktionalen und territorialen Grenzen des Strafrechts, weitgehend zum strafverfolgungsfreien Raum. Die psychologische Hemmschwelle wird wohl zusätzlich niedriger, weil es in der Regel nicht zu einem persönlichen Täter-Opferkontakt kommt.

Die Chancen der Täter liegen in einer gewissen Unbedarftheit und auch Überforderung der Nutzer mit zunehmender Komplexität von Systemlandschaften und der Anzahl vernetzter smarter Elektronik in allen möglichen Lebensbereichen.

Sicherheitslücken zu schließen, ist nach wie vor ein Katz-und-Maus-Spiel und was bei allen Anstrengungen zur Aufrüstung von IT-Sicherheit technisch nicht oder nur unzureichend gelöst werden kann, ist die Verwundbarkeit des „Menschen“ bzw. Mitarbeiters im Unternehmen und die mit Kriminalitätsrisiken behafteten digitalisierten Geschäftsmodelle, wie zum Beispiel der Onlinehandel.

Neben den „Hackern“, die technisch in Systeme eindringen oder per DDoS-Attacke (Distributed-Denial-of-Service) Systeme überlasten um z. B. Gelder zu erpressen, haben sich Tätergruppen darauf spezialisiert, mittels gestohlener Identitäten, ausgespähter Kunden-Accounts oder unter Anwendung von Social Engeneering Warenbestellungen sowohl im B2C- als auch im B2B-Geschäft zu fingieren.

Ein professioneller Einzeltäter kann durch eine Vielzahl von Bestellvorgängen schnell einen beachtlichen Schaden anrichten, ohne dass direkt ein Tatzusammenhang oder Muster erkennbar ist. Tipps, Tricks und technische Schwachstellen einzelner Onlineshops werden von der Cybercrime-Community u. a. im Darknet ausgetauscht und in einschlägigen Foren diskutiert.

Mit diesem Wissen professionalisieren sich ständig neue Täter und bedrohen die Unternehmen, die mit innovativen Geschäftsmodellen den Online-Markt erschließen und wachsen wollen. In vielen Fällen wurde übrigens auch gezielt die Schwachstelle „Mensch“ ausgenutzt, indem Mitarbeiter von Unternehmen durch Täter gezielt angeworben oder eher unwissentlich zum „Komplizen“ gemacht wurden.

Prävention gegen digitalisierte Kriminalität ist also nicht nur eine Aufgabe für die Konzernsicherheit oder IT-Abteilung in einem Unternehmen sondern ein Thema für alle, die in einem Unternehmen an der Digitalisierung von Geschäftsmodellen und Prozessen arbeiten. Dabei spielt der Onlinehandel mit enormen Wachstumschancen eine wichtige Rolle. Wir haben das zum Anlass genommen, mit einer Online-Seminar-Reihe über Schwachstellen und Betrugsmuster im Onlinehandel zu informieren und Strategien zur Prävention, Aufdeckung und Aufklärung von digitalisierter Kriminalität vorzustellen.

Termine:

Freitag, 13. Oktober 2017, 9:30 – 10:30 Uhr:
Teil I  Kaufe jetzt, zahle später – oder überhaupt nicht: Über Scoringsysteme und Know-Your-Customer-Strategien

 

Freitag, 10. November 2017, 9:30 – 10:30 Uhr:
Teil II Identitätsdiebstahl: Mit gefälschten Daten Schulden machen

 

Freitag, 1. Dezember 2017, 9:30 – 10:30 Uhr:
Teil III Kostet effiziente Betrugsprävention zwangsläufig Umsatz? Bedarfsorientiertes Risiko-Management

Ansprechpartner: