„Wenn Du so eine Attacke erlebst, bekommst Du Existenzangst“

Es war die Zahl des Tages bei der Cyberabwehrkonferenz Schleswig-Holstein, zu der der Wirtschaftsrat der CDU e.V. nach Kiel in das Technologiezentrum eingeladen hat. 2021 sind in Deutschland durch Cyberkriminalität in der Wirtschaft Schäden mit einer Höhe von 233 Milliarden Euro verursacht worden. Grund genug, dass sich im Kieler Innovations- und Technologiezentrum GmbH fünfzig Experten und Interessierte trafen, um aktuelle Entwicklungen, die Maßnahmen seitens der Politik und der Polizei sowie Erfahrungen aus der Wirtschaft zu berichten.

Diana Pabst, Vorsitzende der Fachkommission Digitalisierung des Wirtschaftsrates Schleswig-Holstein, machte zu Beginn deutlich, dass es „nicht mehr nur die großen Konzerne in Deutschland sind, die durch kriminelle Hacker-Gruppen angegriffen werden, sondern auch immer mehr Handwerksbetriebe, Kanzleien oder Arztpraxen“. Die größte Gefahr sei derzeit, dass die Daten der Unternehmen durch die Kriminellen verschlüsselt werden und dann erst nach der Zahlung von Lösegeld wieder freigegeben werden. Ein weiterer Trend sei, dass immer häufiger mit professionell erstellten falschen Identitäten gearbeitet werden. Pabst: „Die Zahl der Angriffe steigt von Jahr zu Jahr. Die Aufklärungsquote ist heute bisher sehr gering. Für jedes Unternehmen stellt sich die Frage, wie im Falle eines Angriffs mit dem Thema intern und extern umgegangen wird und wie sich der Schaden reduzieren lässt.“ Pabst freute sich, dass es mit der Auswahl der Referenten gelungen sei, aus verschiedenen Perspektiven auf das Thema zu schauen: Unternehmer, IT-Experten sowie Vertreter der Polizei, eines Versicherungsunternehmens und eines Wirtschaftsverbandes machten deutlich, wie komplex die Herausforderung ist.

Basler: Brutalste Erfahrung meines Unternehmerlebens

Gleich der erste Referent, Norbert Basler (Aufsichtsratsvorsitzender Basler AG, Ahrensburg), zeigte auf, wie schnell es gehen kann, Opfer zu werden und wie gravierend die Auswirkungen sind. Sein börsenorientiertes Unternehmen mit etwa 1000 Mitarbeitenden auf der gesamten Welt, sei nachts angegriffen worden. 1000 Server und 3000 Rechner seien betroffen gewesen. „Der Angriff kam aus St. Petersburg von einer der dort geschätzt 60 weltweit tätigen Gruppen. Das Ziel war klar: Mit Ransomware verschlüsseln, klauen und zerstören.“ Sein Unternehmen habe Glück im Unglück gehabt, weil es noch eine Sicherheitskopie gab, die nicht „gekapert“ wurde. Trotzdem habe man zwei Wochen nicht produzieren und acht Wochen im Bereich Forschung und Entwicklung nicht arbeiten können. Basler: „Wenn Du so eine Attacke erlebst, dann bekommst Du Existenzangst und suchst aus einem Ohnmachtsgefühl heraus nach Hilfe. Das war eine der brutalsten Erfahrungen meines Lebens.“

Polizei „glänzt“ mit Formularen und durch Abwesenheit

Das Glück seines Unternehmens sei gewesen, dass „wir eine sehr gute Versicherung haben, die innerhalb weniger Stunden mit einem Team anrückte und aus den Niederlanden viele Aufgaben, z.B. auch die Kommunikation mit den Erpressern, übernommen haben.“ Das seien Profis gewesen, die genau wussten, was sie machen. Basler: „Ich empfehle jedem Unternehmer, sich bei Abschluss einer Versicherung anzusehen, wie im Schadensfall reagiert wird. Die Profis haben sehr schnell viel auf den Weg gebracht.“ Während er bei der Versicherung gute Erfahrung gemacht habe, sei es bei den deutschen Behörden vollkommen anders gewesen. „Ich habe um 8 Uhr das erste Mal versucht, mit der Zentrale Ansprechstelle Cybercrime (ZAK) in Schleswig-Holstein zu telefonieren. Da ging der Anrufbeantworter ran. Man sei nur von 9 bis 15 Uhr erreichbar. Als ich dann jemanden erreicht habe, hieß es: Wir schicken Ihnen per Post einige Formulare zum Ausfüllen.“ Er habe in der gesamten Zeit keinen Beamten in seinem Haus gesehen. „Entschlossenes Handeln und Expertenwissen sieht anders aus. Da hat man uns im Stich gelassen und ich würde auch sagen, dass es keine Chance gab, uns zu helfen“, so Baslers Fazit.

Neben der Frage, wie das Unternehmen wieder ins Laufen komme, seien auch Themen wie Kundenkommunikation, Kontakt zu den Mitarbeitern und Medienarbeit wichtig gewesen. „Der einzige Rechner, der zunächst noch lief, war meiner mit einem anderen Betriebssystem. Durch die Profis und das Engagement aller Mitarbeiter kann ich sagen: Es hätte schlechter laufen können.“ Entscheidend sei, im Fall der Fälle durch die Versicherung absolute Profis sehr schnell an seiner Seite zu haben.

Wilke: Manchmal reicht selbst ein doppelter Boden nicht

Von einer Erfahrung, die im Zusammenhang mit dem Ukraine-Krieg, steht, berichtete Utz Wilke (Geschäftsführender Gesellschafter, Filiago GmbH & Co. KG, Bad Segeberg). Er bietet seit 2003 Satellitendienste für Unternehmen an, die über diese Technik anstelle der Festnetz- oder Mobilfunkverbindung Daten austauschen. Wilke: „Katastrophen kommen schneller als man denkt und man kann sich nicht zu 100 Prozent schützen. Uns hat es eine halbe Stunde bevor Russland den Ukraine-Krieg begonnen hat erwischt. Einige unserer Kunden waren nicht mehr handlungsfähig.“ Was war passiert? Zehntausende Anlagen bzw. Modems von Kunden, die europaweit über einen Satelliten kommunizieren und zum Zeitpunkt des Angriffs online waren, wurden durch das Aufspielen neuer Software zerstört. Wilke: „Bei uns hat es nur einen kleinen Teil der Kunden betroffen. Insgesamt hat es 15 Tage gedauert, bis das System wieder lief.“ Größtes Opfer dieser Attacke sei das Unternehmen Enercon gewesen, das Windkraftanlagen nicht mehr wie gewünscht steuern konnte.

Ziel des Angriffs sei Osteuropa gewesen. Wilke: „Für uns stellte sich die Frage, warum ein ziviles Netzwerk angegriffen wurde. Dann hat sich herausgestellt, dass ein Partner aus der Ukraine die Dienste an das ukrainische Militär verkauft hat. Damit hatte niemand gerechnet“. Aus Wilkes Sicht ist die Verletzbarkeit eines IT-Systems nicht vorhersehbar. „Wer sich schützen will, der braucht doppelte Backups bei den Zugangsdaten, der Energieversorgung und der Datenleitung.“ Es sei wichtig, sich in diesen Fragen immer von IT-Spezialisten beraten zu lassen. „Manchmal reicht auch ein doppelter Boden nicht, sondern es braucht einen dritten oder vierten Boden.“ Bei dem beschriebenen Angriff seien die Kunden am schnellsten wieder arbeitsfähig gewesen, die ein Ersatz-Modem vor Ort hatten.  

Weingarten: Wir haben eine Cybersicherheitskrise höchster Stufe

Sehr deutliche Worte formulierte auch Bert Weingarten (Vorstand der PAN AMP AG, Hamburg). Er skizzierte Markt- und Systembeobachtungen eines Sicherheitsdienstleisters und beendete seine Ausführung zu den Möglichkeiten, wie heute Deep-Fake-Attacken mit gefälschten Audio- und Videonachrichten umgesetzt werden, mit den Worten: „Ich denke, ich habe Sie genug verunsichert.“

Weingarten, der sich seit vielen Jahren mit seinem Unternehmen mit dem Thema Sicherheit von Daten und Angriffen auch auf mobile Devices beschäftigt, konzentrierte sich auf die Frage, wie es heute möglich ist, menschliche Kommunikation perfekt digital und realitätsnach zu erzeugen. Weingarten machte deutlich, dass es für Täter, die menschliche Profile erzeugen wollen, trival sei, an Daten zu kommen. Innerhalb von drei bis sechs Monaten könnten Menschen so mit ihrer Persönlichkeit, Stimme und Abbild ausgeforscht werden, dass dann „alles möglich ist.“ Dafür würden Telefonate, Audio-Nachrichten, Videos oder Videokonferenzen gezielt ausgewertet. Weingarten: „Aus diesen Telemetrie-Daten werden dann Botschaften entwickelt, die beispielsweise eine Assistentin veranlassen, 60 Millionen Euro auf ein Konto zu überweisen, weil sie der festen Überzeugung ist, diese Anweisung von ihrem Chef erhalten zu haben.“ Diana Pabst empfahl dazu die Verabredung von Kodewörtern mit den Mitarbeitern.

Neuer Umgang erforderlich, da alles „perfekt fakebar ist“

Weingarten ging in diesem Zusammenhang auf die Datenschutzrichtlinien der weltweit führenden Anbieter von Videokonferenzsystem ein. „Mit der Begründung der Qualitätsverbesserung sichern sich alle Anbieter das Recht zu, alle Konferenzen aufzuzeichnen und – nicht EU-konform, die Anbieter sitzen ausschließlich in den USA - auswerten zu dürfen.“ Wer das über die Softwareeinstellungen ablehne, der müsse mit Funktionseinschränkungen leben. Zu den Möglichkeiten einer kriminellen Nutzung entgegenzuwirken, sagte Weingarten trocken: „Diese Kapazitäten haben die Landeskriminalämter aktuell nicht.“ Er gehe davon aus, dass es in den nächsten Jahren ein substanzielles Problem wird, „weil man nicht mehr weiß, wer was sagt.“ Er empfehle, den Gesprächspartner künftig immer in Frage zu stellen und „Quellen stärker auf Zweit- oder Drittmeinung zu verifizieren“. Man werde mit dem Thema komplett anders umgehen müssen. „Alles ist perfekt fakebar.“

Wagemann: 88 Prozent aller Firmen werden attackiert

Wie die Wirtschaft und der Gesetzgeber auf die Zunahme der Angriffe reagieren könnten, dazu referierte Markus Wagemann, Geschäftsführer der Allianz für Sicherheit in der Wirtschaft Norddeutschland (ASW). Es zeige sich, dass bereits jetzt 88 Prozent aller Unternehmen angegriffen würden, beispielsweise auch durch Mail mit schadhaften Anhängen. „Ich höre immer: Ja, ich weiß, dass es da Gefahren gibt. Aber mich wird das nicht betreffen. Nur jeder dritte Firmenchef meint, dass es ihn auch treffen könnte. Dabei ist mittlerweile kein Unternehmen mehr sicher“, so Wagemann. Er regte an, dass der Gesetzgeber – ähnlich wie beim Thema Brandschutz – eine Vorgabe über das Arbeitsschutzgesetz machen sollte, dass Mitarbeitende regelmäßig für den Umgang mit IT-Gefahren unterwiesen werden. Zweimal pro Jahr sollte ein Überblick über die Methoden der Kriminalität gegeben und die Fähigkeiten, sich vor Angriffe zu schützen, geschult werden. Zudem sollten Notfallpläne zur Pflicht werden. Wagemann: „Ich bin überzeugt, dass die Mitarbeitenden bei diesen Schulungen mitmachen, denn sie hätten ja auch im Privatbereich einen Nutzen davon.“ Wichtig sei, dass bei der Gesetzgebung keine Überregulierung stattfinde und die Kostenseite berücksichtigt werde. 

Podzins: Versicherungen werden deutlich teurer werden

Wie sich Firmen gegen die Schäden absichern können und was eine Cyberversicherung kostet, darüber informierte Hauke Podzins (Versicherungsmakler Podzins GmbH & Co. KG, Kaltenkirchen) anhand der fiktiven Firma Maschinenbau SH. Das Unternehmen hat 110 Mitarbeitende und 20 Mio. Euro Jahresumsatz und ist in der Verwaltung, der Logistik und der Produktion digital vernetzt.

Podzins machte deutlich, dass die meisten Schäden durch falsches oder unbewusstes Verhalten von Mitarbeitenden entstehen. „Bei kleineren Firmen steht meistens der technische Schutz im Vordergrund. In fast 60 Prozent sind Mitarbeitende und ihr Verhalten der Grund für den Erfolg der Angreifer“, so der 28-Jährige. Die Cyberversicherung unterscheide sich von den meisten anderen Versicherungsarten dadurch, dass der Versicherer Kompensation bzw. Reduzierung des Schadens für das Unternehmen oder für Dritte durch professionelle Hilfe und Analyse der Umstände direkt eingreift. Zudem werde bei Abschluss einer Police und dann regelmäßig auch eine Analyse der Gefahren zur Erhöhung der Resilienz vorgenommen. Aktuell gebe es in Deutschland etwa 40 Anbieter für diesen Versicherungstyp und „jeder hat für die Versicherungsleistung sein Baukastensystem“. Aktuell müsste ein Handwerksbetrieb wie die Maschinenbau SH mit jährlichen Versicherungskosten von etwa 1000 Euro rechnen. Für Steuerberater oder Arztpraxen werde der Schutz aktuell für etwa 500 Euro pro Jahr angeboten. Podzins: „Es ist allerdings davon auszugehen, dass die Absicherung tendenziell in den nächsten Jahren deutlich teurer wird und sich die Bedingungen weiterentwickeln werden.“ So sei nicht klar, wie geregelt werde, wenn ein Angriff im Zuge eines Krieges gezielt durch ein anderes Land erfolge.

Röhrl: Vertraulichkeit, Verfügbarkeit und Verlässlichkeit sichern

Während der Konferenz kamen auch Vertreter der Polizei und des Landes Schleswig-Holstein zu Wort. Sie hatten angesichts der geschilderten Erfahrungen aus der Wirtschaft einen schweren Stand. Peter Röhrl (Informationssicherheitsbeauftragter für die Landesverwaltung Digitalisierung und zentrales IT-Management der Landesregierung) machte deutlich, dass aus Sicht des Landes die Informationssicherheit im Fokus stehe. Es gehe neben der Cybersicherheit um die Frage, wie im Zuge der Demokratie und Rechtsstaatlichkeit sichergestellt werden kann, wie - so wie in der analogen Welt - ein Schutz der Vertraulichkeit, eine Verfügbarkeit und Verlässlichkeit von Infos und deren Verarbeitung gewährleistet werden kann. Das Land setzte auf die Handlungsfelder Prävention, Detektion, und Reaktion. Dabei komme es auf eine gute Verzahnung der drei Säulen Strafverfolgung (Landes- und Bundeskriminalamt), Informations- und Cybersicherheit (Bundesamt für Sicherheit in der Informationstechnik und Wirtschaftsschutz (Bundesamt für Verfassungsschutz) an. „Digitale Resilienz ist eine gesamtstaatliche Aufgabe. Der Fokus muss auf der Widerstandsfähigkeit einschließlich der Notfallplanung liegen. Dabei spielen auch die Unternehmen eine wichtige Rolle.“

Oeffner: Kein Blaulicht und keine Hardware-Beschlagnahmung

Für Lars Oeffner (Dezernatsleiter Cybercrime und Digitale Spuren Landeskriminalamt Schleswig-Holstein, Kiel) ging es darum, Vertrauen zurückzugewinnen und die Unternehmen zu ermuntern, bei Angriffen immer die Polizei mit an den Tisch zu holen. Oeffner: „Als erstes entschuldige ich mich bei Herrn Basler. Das ist absolut nicht gut gelaufen. Die Zentrale Ansprechstelle Cybercrime habe sich weiterentwickelt. Heute würde die Reaktion auf den Anruf anders ausfallen.“ Oeffner machte deutlich, dass die Zahl der Angriffe, die der Polizei gemeldet wurden, in Schleswig-Holstein zuletzt sehr stark und über dem Bundesdurchschnitt angestiegen sei. Leider könne er das über die Aufklärungsquote nicht sagen, aber „das liegt auch daran, dass 95 Prozent der Täter aus dem Ausland kommen.“ Bei Cybercrime sei man bei einer Quote von 30 Prozent, bei Ransomware bei lediglich zwei Prozent. Trotz dieser Zahlen ermunterte Oeffner die Teilnehmer der Konferenz, die Polizei immer mit an den Tisch zu holen. „Wir haben verstanden, dass es bei einem Angriff bei Ihnen brennt und wir mit unserer Ermittlungsarbeit der Täter nicht an erster Stelle stehen. Wir bringen unsere Kenntnisse ein und beraten beispielsweise im Umgang mit den Tätern.“ Für die Ermittler sei es dabei selbstverständlich, „nicht mit Blaulicht zu kommen, auch nicht im Unternehmen nach anderen Informationen oder Straftaten zu schnüffeln, Hardware zu beschlagnahmen oder die Handlungsfreiheit im Umgang mit Erpressern einzuschränken“. Er machte deutlich, dass nur die Einbindung der Ermittler dafür sorgen könne, dass „wir mehr Täter zur Rechenschaft ziehen können, denn nur dann gibt es keine Lösegelder mehr und die Fallzahl steigt nicht weiter“.