Cybersicherheit in der Schweiz - Dreifach-Erpressungen: die neue Masche der Hacker

Cyberangriffe in der Schweiz haben sich innerhalb eines Jahres verdoppelt. Unternehmen müssen sich besser schützen – denn die Situation verschlimmert sich zunehmend.

Cyberangriffe verursachen weltweit wirtschaftliche Schäden von über 900 Milliarden Dollar. Es sind vor allem Ransomware-Angriffe, die ganze Unternehmen lahmlegen. Das heisst, dass Hacker die IT-Systeme und Daten ihrer Opfer verschlüsseln.

Bisher konnten sich die Unternehmen mit Back-Ups schützen oder mussten ein Lösegeld bezahlen, um wieder auf die IT-Systeme oder Daten zugreifen zu können. Laut einer neuen Publikation von SwissRe gehen die Hacker neuerdings viel weiter. Anstatt die Daten nur zu verschlüsseln, stehlen sie diese zuerst gleich noch.

Neue Masche: Dreifach-Erpressungen

Wie sogenannte Dreifach-Erpressungen funktionieren, erklärt Fabian Willi. Der Cyberverantwortliche bei der Swiss Re sagt: «Erstens legen die Hacker mit der Verschlüsselung das Unternehmen lahm. Zweitens drohen sie damit, die geklauten, sensiblen Daten zu veröffentlichen.» Und drittens würden sie sich die geklauten Daten genau anschauen und analysieren, welche Personen darin vorkommen.

Cyberangriffe: EU verschärft Regeln

Zum Schutz vor Cyberangriffen etwa auf die öffentliche Verwaltung, Hersteller von Medizinprodukten oder die Abwasserwirtschaft gelten in der Europäischen Union künftig schärfere Regeln. Das Europaparlament billigte am Donnerstag in Brüssel eine Einigung mit den EU-Staaten, welche die Netz- und Informationssysteme besser vor Hackerangriffen schützen soll.

Die neuen Vorgaben sollen die Regeln in den 27 EU-Staaten vor allem vereinheitlichen. Dazu werden Mindestvorgaben sowie Mechanismen für die Zusammenarbeit der Länder geschaffen. Zudem können Bussgelder verhängt werden, wenn Betreiber kritischer Infrastrukturen sich nicht an die Auflagen halten. Die nationalen Behörden müssen die Umsetzung der neuen Regeln strenger überwachen als bisher. Ausserdem wird der Geltungsbereich etwa auf die Arzneimittelproduktion ausgeweitet.

Bevor die neuen Regeln in Kraft treten, müssen die EU-Staaten der Einigung mit dem Parlament noch endgültig zustimmen. Dies gilt als Formsache. Anschliessend haben die Mitgliedstaaten 21 Monate Zeit, die neuen Regeln in nationales Recht umzuwandeln.

Interessant sind da zum Beispiel sensible medizinische Daten oder Finanzinformationen. Damit lassen sich Leute erpressen, die bisher vielleicht gar nicht gewusst haben, dass solche Daten von ihnen irgendwo existieren, geschweige denn, dass diese gehackt wurden.

Cyberangriffe kaum versicherbar

Für Versicherungen ist es schwierig, Unternehmen gegen solche Cyberrisiken zu versichern, weil potenzielle Schäden schwierig zu quantifizieren sind. Weltweit sind 90 Prozent der Unternehmen nicht gegen Cyberangriffe versichert.  

Das heisst, dass Firmen nicht darum herumkommen, sich selbst besser zu schützen. Das gelingt in der Schweiz bisher nicht besonders gut: Die Cyberangriffe haben sich laut dem Nationalen Kompetenzzentrum für Cybersicherheit im Jahr 2021 im Vergleich zum Vorjahr verdoppelt. Und die Erpresserangriffe gehören zu den schwerwiegendsten Bedrohungen.

Schweizer Unternehmen ungenügend geschützt

Florian Schütz, der Delegierte des Bundes für Cybersicherheit, hat ein internationales Treffen zum Thema Ransomware besucht und sich ein Bild der weltweiten Lage gemacht. Beunruhigt von den internationalen Entwicklungen, appelliert er an alle Unternehmen in der Schweiz, sich besser zu schützen. Praktisch alle Cyberangriffe sind erfolgreich, weil Unternehmen ihre Software nicht oder zu spät updaten.

Wie können sich Unternehmen vor Cyberangriffen schützen?

• Cyberschwachstellen analysieren
  Als Erstes gilt es sich zu fragen: Was sind die grössten Cyberrisiken unseres Unternehmens, wie stark sind wir von digitalen Infrastrukturen abhängig, und welche wertvollen, sensiblen Daten besitzen wir? So finden wir unsere Cyberschwachstellen heraus.
• Sich technisch schützen
  Regelmässige Back-Up-Lösungen, die auch Offline gespeichert werden, sind ein Muss. Ebenso regelmässige Software-Updates, Firewall und Antivirus-Systeme sowie ein gutes Passwort-Management-System mit Multifaktorauthentifizierung.
• Mitarbeiterinnen und Mitarbeiter schulen
  Der Faktor Mensch ist und bleibt eine der grössten IT-Schwachstellen. Die Sensibilisierung der Mitarbeitenden ist elementar, um sich besser vor Cyberangriffen zu schützen.

Aber nicht nur die Unternehmen selbst seien gefragt, auch die internationalen Behörden. Man wolle in Zukunft vor allem bei der Strafverfolgung enger zusammenarbeiten. Momentan werden unklare Informationen über Kriminelle ausgetauscht, und die internationalen Behörden müssen in Fliesstexten erst einmal rätseln, wer oder was gemeint ist.

Das ist wenig effektiv gegen hochprofessionelle Cyber-Banden. Die können ein Unternehmen in der Schweiz hacken, und sich das erpresste Lösegeld dann in Bitcoins am anderen Ende der Welt auszahlen lassen.

Die internationalen Behörden bemühen sich deshalb um mehr Standardisierung und bessere Informationsflüsse. Aber das ändert vorerst nichts daran, dass alle Firmen sich primär selbst besser schützen müssen.