Papier: 02.03.01.07 Infektions- und Angriffspunkte

Originalversion

1 Die Täter von Internetkriminalität machen sich
2 sicherheitstechnische Schwachstellen zunutze. In diesem
3 Zusammenhang sind vor allem folgende Punkte zu nennen:
4
5
6 I.3.1.7.1 Sicherheitslücken von Software
7 Das wohl am ehesten mit Internetkriminalität assoziierte und
8 auch bislang das häufigste Verfahren des Einbruchs in ein
9 System ist das Ausnutzen einer Sicherheitslücke („Exploit“),
10 die aufgrund von Programmierfehlern in einem Programm
11 enthalten ist.[FN: Gaycken, Cyberwar, 2011, S. 54.] Trotz
12 der wohl recht hohen Dunkelziffer weisen Statistiken des BSI
13 darauf hin, dass die Zahl der veröffentlichten
14 Sicherheitslücken in Software nach wie vor als hoch
15 einzustufen ist und die Zahl der vom Bürger-CERT[FN: Das
16 Bürger-CERT (Computer Emergency Response Team) ist eine vom
17 Bundesamt für Sicherheit in der Informationstechnik (BSI)
18 betriebene Plattform und dient der Warnung von Bürgerinnen
19 und Bürgern sowie kleinen Unternehmen vor Viren, Würmern und
20 Sicherheitslücken in Software. Das Bürger-CERT ist online
21 erreichbar unter: https://www.buerger-cert.de/ ] gemeldeten
22 Sicherheitslücken zumindest zwischen 2008 und 2010 eine
23 ansteigende Tendenz aufweist.[FN: BSI, Lagebericht
24 IT-Sicherheit in Deutschland 2011, S. 6, abrufbar unter:
25 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
26 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
27 e] Besonders relevant im Bereich dieser Sicherheitslücken,
28 wenn auch mit abnehmender Tendenz, sind
29 Drittanbieter-Web-Anwendungen.[FN: BSI, Lagebericht
30 IT-Sicherheit in Deutschland 2011, S. 6, abrufbar unter:
31 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
32 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
33 e] Mit dem zunehmenden Bedürfnis eines interaktiven
34 Internets müssen Techniken jenseits der reinen
35 Auszeichnungssprache HTML verwendet werden. Bereits
36 frühzeitig wurden verschiedene Techniken für aktive Inhalte
37 entwickelt, die Erweiterungen des Browsers darstellen und es
38 erlauben, dynamisch auf Benutzeraktionen zu reagieren.
39 Dieser eingebettete Code wird lokal auf dem Rechner des
40 Nutzers ausgeführt. Browser-Plug-Ins[FN: Ein Browser-Plug-In
41 ist eine Software eines Drittanbieters, die dazu dient, die
42 ursprüngliche vom Hersteller eines Browser vorgegebene
43 Funktionalität zu erweitern.], sind daher bei Virenautoren
44 beliebte Ziele und werden besonders oft angegriffen.
45 Insbesondere ist ein Anstieg an neu bekannt werdenden
46 Sicherheitslücken bei Rich Media-Anwendungen[FN: Unter Rich
47 Media werden multimediale und interaktive Inhalte wie
48 beispielweise Videos und Animationen verstanden.] zu
49 beobachten. So gehört derzeit etwa der Adobe Flash Player zu
50 den Programmen, in denen besonders viele Sicherheitslücken
51 bekannt wurden.[FN: BSI, Lagebericht IT-Sicherheit in
52 Deutschland 2011, S. 6, abrufbar unter:
53 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
54 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
55 e; IBM X-Force 2011 Mid-Year Trend and Risk Report, S. 67,
56 abrufbar unter:
57 http://www-935.ibm.com/services/us/iss/xforce/trendreports]
58 Zusammen mit den ohnehin bereits in den Browsern und
59 Betriebssystemen vorhandenen Sicherheitslücken[FN:
60 Beispielsweise wurden für Mozilla Firefox 2011 60
61 Schwachstellen entdeckt, welche die Ausführung von Schadcode
62 ermöglichen, s. dazu BSI, Lagebericht IT-Sicherheit in
63 Deutschland 2011, S. 6, abrufbar unter:
64 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
65 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
66 e] kumulieren sich damit die Schwachstellen beim Einsatz der
67 Software.
68
69 Eine weitere Form des Ausnutzens von Sicherheitslücken ist
70 der Drive-by-Exploit. Hierbei werden insbesondere auch
71 Sicherheitslücken in Software wie etwa Browsern, in Adobe
72 Flash sowie in der Java-Laufzeitumgebung ausgenutzt. Die
73 besondere Gefahr von Drive-by-Exploits liegt darin, dass die
74 Infektion des Computers herbeigeführt werden kann, ohne dass
75 eine willentliche Interaktion des Benutzers mit der Quelle
76 der Schadsoftware vorliegt. Eine Infektionsquelle kann
77 beispielsweise eine manipulierte Website sein, auf die der
78 Benutzer mittels Spam gelockt wird. Aber auch über eine dem
79 Anwender bereits bekannte Website kann eine Infektion
80 erfolgen, falls diese als Folge eines Angriffs auf den
81 hostenden Webserver manipulierte wurde.
82
83
84 I.3.1.7.2 Social Engineering und Phishing
85 Social Engineering unterscheidet sich fundamental von den
86 anderen beschriebenen Techniken und ist gleichzeitig
87 integraler Bestandteil zahlreicher Angriffe. Social
88 Engineering bezeichnet einen Angriff auf ein IT-System,
89 welcher nicht vorrangig auf technischen Mitteln, sondern
90 vielmehr auf der Beeinflussung eines Anwenders beruht.[FN:
91 Vacca, Computer and Information Security Handbook, 2009, S.
92 55; s. dazu auch Kshetri, The Global Cybercrime Industry,
93 2010, S. 10.] Dabei stehen neben zunehmend raffinierteren
94 technischen Kenntnissen vor allem auch psychologische und
95 sprachliche Fähigkeiten der Angreifer im Mittelpunkt, um
96 etwa bei einem Opfer falsches Vertrauen zu erzeugen und so
97 die gewünschten Informationen zu erhalten.[FN: Kshetri, The
98 Global Cybercrime Industry, 2010, S. 10.] Analysten gehen
99 davon aus, dass Social Engineering mit der weiterhin
100 zunehmenden Popularität von sozialen Netzwerken noch weiter
101 an Bedeutung gewinnen wird.[FN: The e-Crime Report 2011, S.
102 13, abrufbar unter:
103 http://www.kpmg.com/UK/en/IssuesAndInsights/ArticlesPublicat
104 ions/Documents/PDF/Advisory/ecrime-report-2011-accessible-2.
105 pdf] Die Gefahr, die von Social Engineering ausgeht, ist
106 insbesondere deshalb als relevant anzusehen, weil es kaum
107 technische Schutzmittel gegen diese Form des Angriffs gibt.
108 Bei sowohl technisch als auch psychologisch hinreichend
109 ausgeklügelten Social-Engineering-Angriffen stellt sich die
110 Erkennung eines Angriffs selbst für versierte und
111 computeraffine Nutzer als Herausforderung dar.
112
113 Im Bereich des Social Engineering ist auch das Phishing
114 anzusiedeln. Ein Phishing-Angriff funktioniert üblicherweise
115 so, dass der Angreifer eine bekannte Website möglichst
116 detailgetreu nachbaut. Hierbei versucht er, die Website
117 unter einer Domain abzulegen, die der Domain der
118 Originalwebsite ähnelt, beispielsweise durch das Vertauschen
119 eines Buchstabens. Nun sendet er eine große Anzahl an
120 E-Mails an beliebige Empfänger. Hierfür werden regelmäßig
121 Botnetze oder ähnliche Spamstrukturen benutzt. In diesen
122 E-Mails, die durch ihr Design und ihre Absenderkennung den
123 Anschein erwecken sollen, sie kämen von dem Betreiber der
124 eigentliche, echten Website,[FN: Der Absender einer E-Mail
125 ist einfach zu fälschen. Für den Laien sind solche
126 Fälschungen kaum auszumachen. Hierzu und zum Ganzen:
127 Jahankhani/Watson/Me, Handbook of Electronic Security and
128 Digital Forensics, S. 401.] wird der Benutzer aufgefordert,
129 aus einem wichtigen Grund einem Link in der E-Mail zu folgen
130 und auf der so besuchten Seite seine Daten einzugeben. Folgt
131 der Benutzer dieser Aufforderung, werden seine Daten vom
132 Täter abgefangen. Dies kann vom vergleichsweise harmlosen
133 Identitätsdiebstahl in sozialen Netzwerken bis hin zu
134 erheblichen Vermögensschäden reichen, wenn etwa das
135 Onlinebanking eines Benutzers betroffen ist. Hierbei hat
136 allerdings nach Informationen des BSI diese einfache Form
137 des Phishing zumindest im Bereich des Onlinebanking fast
138 vollständig an Bedeutung verloren.[FN: BSI, Lagebericht
139 IT-Sicherheit in Deutschland 2011, S. 23, abrufbar unter:
140 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
141 ionen/Lageberichte/Lagebericht2011_nbf.pdf?__blob=publicatio
142 nFile] Einige Studien legen nahe, dass sich das Phishing von
143 der E-Mail-Kommunikation auf soziale Netzwerke und
144 Instant-Messaging ausgebreitet hat.[FN: IBM X-Force 2011
145 Mid-Year Trend and Risk Report, S. 18, abrufbar unter:
146 http://www-935.ibm.com/services/us/iss/xforce/trendreports/]
147
148 Phishing in seiner klassischen Form eines sehr breit
149 angelegten Angriffs, bei dem aufgrund der schieren Anzahl an
150 versuchten Angriffen irgendwann ein Erfolg erzielt wird,
151 ähnelt praktisch nur dem Namen nach dem neueren Spear
152 Phishing. So werden die nach Einschätzung von
153 Sicherheitsexperten zunehmend auftretenden, sehr gezielten
154 und oftmals sehr gut vorbereiteten Angriffe genannt, welche
155 auf ein bestimmtes Opfer zugeschnitten sind.[FN: IBM X-Force
156 2011 Mid-Year Trend and Risk Report, S. 22, abrufbar unter:
157 http://www-935.ibm.com/services/us/iss/xforce/trendreports/;
158 The e-Crime Report 2011, S. 13, abrufbar unter:
159 http://www.kpmg.com/UK/en/IssuesAndInsights/ArticlesPublicat
160 ions/Documents/PDF/Advisory/ecrime-report-2011-accessible-2.
161 pdf]
162
163 Ein weiteres Beispiel für Social Engineering ist die so
164 genannte Scareware. Dabei handelt es sich um Software, die
165 dem Benutzer eine Bedrohung seines Computers vorgaukelt, wie
166 beispielsweise einen Virenbefall. Auf diese Weise will man
167 den Benutzer zu einer bestimmten Aktion bewegen, wie dem
168 kostenpflichten Download eines Antivirenprogramms zur
169 Bereinigung des Computers. Bei diesen Programmen handelt es
170 sich oftmals um Trojaner mit Backdoor-Funktionalität[FN:
171 Vgl. zum Beispiel Heise News: BKA hilft bei Zerschlagung von
172 Scareware-Bande. 23. Juni 2011. Online abrufbar unter:
173 http://www.heise.de/newsticker/meldung/BKA-hilft-bei-Zerschl
174 agung-von-Scareware-Bande-1266523.html]. Grundsätzlich
175 gehören auch solche Trojaner in den Bereich des Social
176 Engineering.
177
178
179 I.3.1.7.3 Ausnutzen des Anwenderverhaltens/Fehlendes
180 Sicherheitsbewusstsein
181 Große Sicherheitsrisiken bei IT-Systemen basieren darüber
182 hinaus regelmäßig auf dem Verhalten der Anwender. Diese
183 sorgen in vielen Fällen unbewusst dafür, dass auch die am
184 besten ausgearbeitete Sicherheitsstrategie scheitert.[FN:
185 Gaycken, Cyberwar, 2011, S. 52.]
186 Dabei spielt häufig auch unachtsames und von fehlendem
187 Risikobewusstsein geprägtes Verhalten eine Rolle (siehe dazu
188 das Fallbeispiel zu manipulierter Hardware). Dazu zählt auch
189 das Nichtdurchführen von Systemupdates trotz bereits
190 erfolgter Bereitstellung von Seiten der
191 Hersteller/Produzenten,[FN: Für mobile Endgeräte s. BSI,
192 Lagebericht 2011, S. 18, abrufbar unter:
193 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
194 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
195 e] sowie das unachtsame Installieren von
196 Drittanbietersoftware, beziehungsweise die unachtsame
197 Rechtezuweisung an diese und die Ignorierung von
198 Warnhinweisen.[FN: Ebenf. Für mobile Endgeräte s. Eckert,
199 IT-Sicherheit, 7. Aufl. 2012, S. 87 f.]
200
201 __________________________
202
203 Fallbeispiel – manipulierte Hardware:
204 Mittels manipulierter Computermäuse, die im Rahmen eines
205 Tests als vermeintliches Geschenk an die Mitarbeiter einer
206 Firma geschickt wurden, konnte ein Angriff auf
207 Firmennetzwerke erfolgreich vorgetragen werden. Die Mäuse
208 enthielten einen Mikrocontroller, der bei Anschluss an die
209 USB-Schnittstelle des Computers einen Trojaner auf den
210 Rechner schleuste. Erfolgreich war der Angriff auch deshalb,
211 weil die von dem angegriffenen beziehungsweise getesteten
212 Unternehmen mit der Überprüfung des Sicherheitskonzepts
213 beauftragte Firma den Trojaner speziell auf die verwendete
214 Virenscanner-Software zuschneiden konnte, da Mitarbeiter
215 sich vorher öffentlich auf Facebook über das Programm
216 beschwert hatten.[FN:
217 http://www.spiegel.de/netzwelt/web/0,1518,772462,00.html ]
218 Ähnliche Fälle sind schon des Öfteren bekannt geworden. Auch
219 andere der oben genannten Methoden setzen die Interaktion
220 des Anwenders voraus.
221 __________________________
222
223
224
225 I.3.1.7.4 Sonderproblem: Anbieter-/Produzentenverhalten
226 Gerade – aber nicht ausschließlich – im Bereich der
227 Betriebssysteme für mobile Endgeräte zeigt sich ein Problem,
228 dass selbst grundsätzlich sorgfältig mit der Sicherheit
229 ihrer Systeme umgehenden Nutzern keine Möglichkeit an die
230 Hand gegeben wird, ihrer Sorgfalt überhaupt erst
231 nachzukommen, da die Anbieter/Produzenten der Produkte gar
232 keine oder nur stark verzögert Updates zur Verfügung
233 stellen.[FN: Zur Updateproblematik bei mobile Endgeräten s.
234 Eckert, IT-Sicherheit, 7. Aufl. 2012, S. 88; s. weiter
235 Wirtgen, Warum Android-Smartphones so selten Updates
236 bekommen, 2011, abrufbar unter:
237 http://www.heise.de/mobil/artikel/Warum-Android-Smartphones-
238 so-selten-Updates-bekommen-1337858.html] Damit bleiben die
239 bereits bekannten Sicherheitslücken entweder dauerhaft oder
240 zumindest für eine lange Zeit im System. Für die Anwender
241 verbleibt dann lediglich die Möglichkeit, auf die Nutzung
242 der Geräte mit dem veralteten System zu verzichten, sofern
243 nicht zumindest zwischenzeitig vom Hersteller ein Workaround
244 als provisorische Lösung zur Wiederherstellung der
245 Sicherheit angeboten wird.

Der Text verglichen mit der Originalversion

1 Die Täter von Internetkriminalität machen sich
2 sicherheitstechnische Schwachstellen zunutze. In diesem
3 Zusammenhang sind vor allem folgende Punkte zu nennen:
4
5
6 I.3.1.7.1 Sicherheitslücken von Software
7 Das wohl am ehesten mit Internetkriminalität assoziierte und
8 auch bislang das häufigste Verfahren des Einbruchs in ein
9 System ist das Ausnutzen einer Sicherheitslücke („Exploit“),
10 die aufgrund von Programmierfehlern in einem Programm
11 enthalten ist.[FN: Gaycken, Cyberwar, 2011, S. 54.] Trotz
12 der wohl recht hohen Dunkelziffer weisen Statistiken des BSI
13 darauf hin, dass die Zahl der veröffentlichten
14 Sicherheitslücken in Software nach wie vor als hoch
15 einzustufen ist und die Zahl der vom Bürger-CERT[FN: Das
16 Bürger-CERT (Computer Emergency Response Team) ist eine vom
17 Bundesamt für Sicherheit in der Informationstechnik (BSI)
18 betriebene Plattform und dient der Warnung von Bürgerinnen
19 und Bürgern sowie kleinen Unternehmen vor Viren, Würmern und
20 Sicherheitslücken in Software. Das Bürger-CERT ist online
21 erreichbar unter: https://www.buerger-cert.de/ ] gemeldeten
22 Sicherheitslücken zumindest zwischen 2008 und 2010 eine
23 ansteigende Tendenz aufweist.[FN: BSI, Lagebericht
24 IT-Sicherheit in Deutschland 2011, S. 6, abrufbar unter:
25 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
26 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
27 e] Besonders relevant im Bereich dieser Sicherheitslücken,
28 wenn auch mit abnehmender Tendenz, sind
29 Drittanbieter-Web-Anwendungen.[FN: BSI, Lagebericht
30 IT-Sicherheit in Deutschland 2011, S. 6, abrufbar unter:
31 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
32 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
33 e] Mit dem zunehmenden Bedürfnis eines interaktiven
34 Internets müssen Techniken jenseits der reinen
35 Auszeichnungssprache HTML verwendet werden. Bereits
36 frühzeitig wurden verschiedene Techniken für aktive Inhalte
37 entwickelt, die Erweiterungen des Browsers darstellen und es
38 erlauben, dynamisch auf Benutzeraktionen zu reagieren.
39 Dieser eingebettete Code wird lokal auf dem Rechner des
40 Nutzers ausgeführt. Browser-Plug-Ins[FN: Ein Browser-Plug-In
41 ist eine Software eines Drittanbieters, die dazu dient, die
42 ursprüngliche vom Hersteller eines Browser vorgegebene
43 Funktionalität zu erweitern.], sind daher bei Virenautoren
44 beliebte Ziele und werden besonders oft angegriffen.
45 Insbesondere ist ein Anstieg an neu bekannt werdenden
46 Sicherheitslücken bei Rich Media-Anwendungen[FN: Unter Rich
47 Media werden multimediale und interaktive Inhalte wie
48 beispielweise Videos und Animationen verstanden.] zu
49 beobachten. So gehört derzeit etwa der Adobe Flash Player zu
50 den Programmen, in denen besonders viele Sicherheitslücken
51 bekannt wurden.[FN: BSI, Lagebericht IT-Sicherheit in
52 Deutschland 2011, S. 6, abrufbar unter:
53 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
54 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
55 e; IBM X-Force 2011 Mid-Year Trend and Risk Report, S. 67,
56 abrufbar unter:
57 http://www-935.ibm.com/services/us/iss/xforce/trendreports]
58 Zusammen mit den ohnehin bereits in den Browsern und
59 Betriebssystemen vorhandenen Sicherheitslücken[FN:
60 Beispielsweise wurden für Mozilla Firefox 2011 60
61 Schwachstellen entdeckt, welche die Ausführung von Schadcode
62 ermöglichen, s. dazu BSI, Lagebericht IT-Sicherheit in
63 Deutschland 2011, S. 6, abrufbar unter:
64 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
65 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
66 e] kumulieren sich damit die Schwachstellen beim Einsatz der
67 Software.
68
69 Eine weitere Form des Ausnutzens von Sicherheitslücken ist
70 der Drive-by-Exploit. Hierbei werden insbesondere auch
71 Sicherheitslücken in Software wie etwa Browsern, in Adobe
72 Flash sowie in der Java-Laufzeitumgebung ausgenutzt. Die
73 besondere Gefahr von Drive-by-Exploits liegt darin, dass die
74 Infektion des Computers herbeigeführt werden kann, ohne dass
75 eine willentliche Interaktion des Benutzers mit der Quelle
76 der Schadsoftware vorliegt. Eine Infektionsquelle kann
77 beispielsweise eine manipulierte Website sein, auf die der
78 Benutzer mittels Spam gelockt wird. Aber auch über eine dem
79 Anwender bereits bekannte Website kann eine Infektion
80 erfolgen, falls diese als Folge eines Angriffs auf den
81 hostenden Webserver manipulierte wurde.
82
83
84 I.3.1.7.2 Social Engineering und Phishing
85 Social Engineering unterscheidet sich fundamental von den
86 anderen beschriebenen Techniken und ist gleichzeitig
87 integraler Bestandteil zahlreicher Angriffe. Social
88 Engineering bezeichnet einen Angriff auf ein IT-System,
89 welcher nicht vorrangig auf technischen Mitteln, sondern
90 vielmehr auf der Beeinflussung eines Anwenders beruht.[FN:
91 Vacca, Computer and Information Security Handbook, 2009, S.
92 55; s. dazu auch Kshetri, The Global Cybercrime Industry,
93 2010, S. 10.] Dabei stehen neben zunehmend raffinierteren
94 technischen Kenntnissen vor allem auch psychologische und
95 sprachliche Fähigkeiten der Angreifer im Mittelpunkt, um
96 etwa bei einem Opfer falsches Vertrauen zu erzeugen und so
97 die gewünschten Informationen zu erhalten.[FN: Kshetri, The
98 Global Cybercrime Industry, 2010, S. 10.] Analysten gehen
99 davon aus, dass Social Engineering mit der weiterhin
100 zunehmenden Popularität von sozialen Netzwerken noch weiter
101 an Bedeutung gewinnen wird.[FN: The e-Crime Report 2011, S.
102 13, abrufbar unter:
103 http://www.kpmg.com/UK/en/IssuesAndInsights/ArticlesPublicat
104 ions/Documents/PDF/Advisory/ecrime-report-2011-accessible-2.
105 pdf] Die Gefahr, die von Social Engineering ausgeht, ist
106 insbesondere deshalb als relevant anzusehen, weil es kaum
107 technische Schutzmittel gegen diese Form des Angriffs gibt.
108 Bei sowohl technisch als auch psychologisch hinreichend
109 ausgeklügelten Social-Engineering-Angriffen stellt sich die
110 Erkennung eines Angriffs selbst für versierte und
111 computeraffine Nutzer als Herausforderung dar.
112
113 Im Bereich des Social Engineering ist auch das Phishing
114 anzusiedeln. Ein Phishing-Angriff funktioniert üblicherweise
115 so, dass der Angreifer eine bekannte Website möglichst
116 detailgetreu nachbaut. Hierbei versucht er, die Website
117 unter einer Domain abzulegen, die der Domain der
118 Originalwebsite ähnelt, beispielsweise durch das Vertauschen
119 eines Buchstabens. Nun sendet er eine große Anzahl an
120 E-Mails an beliebige Empfänger. Hierfür werden regelmäßig
121 Botnetze oder ähnliche Spamstrukturen benutzt. In diesen
122 E-Mails, die durch ihr Design und ihre Absenderkennung den
123 Anschein erwecken sollen, sie kämen von dem Betreiber der
124 eigentliche, echten Website,[FN: Der Absender einer E-Mail
125 ist einfach zu fälschen. Für den Laien sind solche
126 Fälschungen kaum auszumachen. Hierzu und zum Ganzen:
127 Jahankhani/Watson/Me, Handbook of Electronic Security and
128 Digital Forensics, S. 401.] wird der Benutzer aufgefordert,
129 aus einem wichtigen Grund einem Link in der E-Mail zu folgen
130 und auf der so besuchten Seite seine Daten einzugeben. Folgt
131 der Benutzer dieser Aufforderung, werden seine Daten vom
132 Täter abgefangen. Dies kann vom vergleichsweise harmlosen
133 Identitätsdiebstahl in sozialen Netzwerken bis hin zu
134 erheblichen Vermögensschäden reichen, wenn etwa das
135 Onlinebanking eines Benutzers betroffen ist. Hierbei hat
136 allerdings nach Informationen des BSI diese einfache Form
137 des Phishing zumindest im Bereich des Onlinebanking fast
138 vollständig an Bedeutung verloren.[FN: BSI, Lagebericht
139 IT-Sicherheit in Deutschland 2011, S. 23, abrufbar unter:
140 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
141 ionen/Lageberichte/Lagebericht2011_nbf.pdf?__blob=publicatio
142 nFile] Einige Studien legen nahe, dass sich das Phishing von
143 der E-Mail-Kommunikation auf soziale Netzwerke und
144 Instant-Messaging ausgebreitet hat.[FN: IBM X-Force 2011
145 Mid-Year Trend and Risk Report, S. 18, abrufbar unter:
146 http://www-935.ibm.com/services/us/iss/xforce/trendreports/]
147
148 Phishing in seiner klassischen Form eines sehr breit
149 angelegten Angriffs, bei dem aufgrund der schieren Anzahl an
150 versuchten Angriffen irgendwann ein Erfolg erzielt wird,
151 ähnelt praktisch nur dem Namen nach dem neueren Spear
152 Phishing. So werden die nach Einschätzung von
153 Sicherheitsexperten zunehmend auftretenden, sehr gezielten
154 und oftmals sehr gut vorbereiteten Angriffe genannt, welche
155 auf ein bestimmtes Opfer zugeschnitten sind.[FN: IBM X-Force
156 2011 Mid-Year Trend and Risk Report, S. 22, abrufbar unter:
157 http://www-935.ibm.com/services/us/iss/xforce/trendreports/;
158 The e-Crime Report 2011, S. 13, abrufbar unter:
159 http://www.kpmg.com/UK/en/IssuesAndInsights/ArticlesPublicat
160 ions/Documents/PDF/Advisory/ecrime-report-2011-accessible-2.
161 pdf]
162
163 Ein weiteres Beispiel für Social Engineering ist die so
164 genannte Scareware. Dabei handelt es sich um Software, die
165 dem Benutzer eine Bedrohung seines Computers vorgaukelt, wie
166 beispielsweise einen Virenbefall. Auf diese Weise will man
167 den Benutzer zu einer bestimmten Aktion bewegen, wie dem
168 kostenpflichten Download eines Antivirenprogramms zur
169 Bereinigung des Computers. Bei diesen Programmen handelt es
170 sich oftmals um Trojaner mit Backdoor-Funktionalität[FN:
171 Vgl. zum Beispiel Heise News: BKA hilft bei Zerschlagung von
172 Scareware-Bande. 23. Juni 2011. Online abrufbar unter:
173 http://www.heise.de/newsticker/meldung/BKA-hilft-bei-Zerschl
174 agung-von-Scareware-Bande-1266523.html]. Grundsätzlich
175 gehören auch solche Trojaner in den Bereich des Social
176 Engineering.
177
178
179 I.3.1.7.3 Ausnutzen des Anwenderverhaltens/Fehlendes
180 Sicherheitsbewusstsein
181 Große Sicherheitsrisiken bei IT-Systemen basieren darüber
182 hinaus regelmäßig auf dem Verhalten der Anwender. Diese
183 sorgen in vielen Fällen unbewusst dafür, dass auch die am
184 besten ausgearbeitete Sicherheitsstrategie scheitert.[FN:
185 Gaycken, Cyberwar, 2011, S. 52.]
186 Dabei spielt häufig auch unachtsames und von fehlendem
187 Risikobewusstsein geprägtes Verhalten eine Rolle (siehe dazu
188 das Fallbeispiel zu manipulierter Hardware). Dazu zählt auch
189 das Nichtdurchführen von Systemupdates trotz bereits
190 erfolgter Bereitstellung von Seiten der
191 Hersteller/Produzenten,[FN: Für mobile Endgeräte s. BSI,
192 Lagebericht 2011, S. 18, abrufbar unter:
193 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikat
194 ionen/Lageberichte/Lagebericht2011.pdf?__blob=publicationFil
195 e] sowie das unachtsame Installieren von
196 Drittanbietersoftware, beziehungsweise die unachtsame
197 Rechtezuweisung an diese und die Ignorierung von
198 Warnhinweisen.[FN: Ebenf. Für mobile Endgeräte s. Eckert,
199 IT-Sicherheit, 7. Aufl. 2012, S. 87 f.]
200
201 __________________________
202
203 Fallbeispiel – manipulierte Hardware:
204 Mittels manipulierter Computermäuse, die im Rahmen eines
205 Tests als vermeintliches Geschenk an die Mitarbeiter einer
206 Firma geschickt wurden, konnte ein Angriff auf
207 Firmennetzwerke erfolgreich vorgetragen werden. Die Mäuse
208 enthielten einen Mikrocontroller, der bei Anschluss an die
209 USB-Schnittstelle des Computers einen Trojaner auf den
210 Rechner schleuste. Erfolgreich war der Angriff auch deshalb,
211 weil die von dem angegriffenen beziehungsweise getesteten
212 Unternehmen mit der Überprüfung des Sicherheitskonzepts
213 beauftragte Firma den Trojaner speziell auf die verwendete
214 Virenscanner-Software zuschneiden konnte, da Mitarbeiter
215 sich vorher öffentlich auf Facebook über das Programm
216 beschwert hatten.[FN:
217 http://www.spiegel.de/netzwelt/web/0,1518,772462,00.html ]
218 Ähnliche Fälle sind schon des Öfteren bekannt geworden. Auch
219 andere der oben genannten Methoden setzen die Interaktion
220 des Anwenders voraus.
221 __________________________
222
223
224
225 I.3.1.7.4 Sonderproblem: Anbieter-/Produzentenverhalten
226 Gerade – aber nicht ausschließlich – im Bereich der
227 Betriebssysteme für mobile Endgeräte zeigt sich ein Problem,
228 dass selbst grundsätzlich sorgfältig mit der Sicherheit
229 ihrer Systeme umgehenden Nutzern keine Möglichkeit an die
230 Hand gegeben wird, ihrer Sorgfalt überhaupt erst
231 nachzukommen, da die Anbieter/Produzenten der Produkte gar
232 keine oder nur stark verzögert Updates zur Verfügung
233 stellen.[FN: Zur Updateproblematik bei mobile Endgeräten s.
234 Eckert, IT-Sicherheit, 7. Aufl. 2012, S. 88; s. weiter
235 Wirtgen, Warum Android-Smartphones so selten Updates
236 bekommen, 2011, abrufbar unter:
237 http://www.heise.de/mobil/artikel/Warum-Android-Smartphones-
238 so-selten-Updates-bekommen-1337858.html] Damit bleiben die
239 bereits bekannten Sicherheitslücken entweder dauerhaft oder
240 zumindest für eine lange Zeit im System. Für die Anwender
241 verbleibt dann lediglich die Möglichkeit, auf die Nutzung
242 der Geräte mit dem veralteten System zu verzichten, sofern
243 nicht zumindest zwischenzeitig vom Hersteller ein Workaround
244 als provisorische Lösung zur Wiederherstellung der
245 Sicherheit angeboten wird.

Vorschlag

  1. Bewerten Sie die Original- und die eingebrachten Versionen eines Papiers, indem Sie über die Pfeile Ihre Zustimmung (hoch) oder Ablehnung (runter) ausdrücken. Sie können dabei auch mehreren Versionen zustimmen oder diese ablehnen.

  2. Wählen Sie, ob Änderungen im Vergleich zur Originalversion hervorgehoben werden sollen.

  3. Sie können hier auch eine neue Version des Papiers einbringen.