Cyberspionage

Spionage, also das Ausspionieren, ist so alt wie der Krieg selbst. Im digitalen Zeitalter müssen Spione jedoch nicht mehr physisch in eine Organisation eindringen. Mit den richtigen Werkzeugen kann ein Angreifer, der Tausende von Kilometern entfernt ist, unbemerkt auf geheime Regierungsdateien zugreifen, firmeneigene Forschungsergebnisse stehlen oder die private Kommunikation von Führungskräften überwachen. Cyber-Spionageangriffe sind typischerweise hochgradig zielgerichtet und sorgfältig geplant. Angreifer investieren viel Zeit und Ressourcen, um unentdeckt zu bleiben, und lauern manchmal monatelang oder sogar jahrelang im Netzwerk eines Opfers. Ihr Ziel ist Informationsgewinnung, nicht Störung, weshalb diese Eingriffe oft erst lange nach dem entstandenen Schaden entdeckt werden.

Jede Organisation, die über wertvolle, sensible oder strategisch wichtige Informationen verfügt, kann ein Ziel sein. Zu den häufigsten Zielen gehören:

• Regierungsbehörden und Verteidigungsministerien: Ausländische Geheimdienste sind auf der Suche nach diplomatischen, militärischen und politischen Geheimnissen.
• Rüstungsunternehmen und die verteidigungsindustrielle Basis: Baupläne für fortschrittliche Waffensysteme und Militärtechnologie sind hochbegehrte Ziele.
• Unternehmen aus dem Gesundheitswesen und der Pharmabranche: Daten aus klinischen Studien, Arzneimittelformeln und Patientenakten besitzen einen enormen wirtschaftlichen Wert.
• Energie und kritische Infrastruktur: Einblicke in Stromnetze, Pipelines und Versorgungsunternehmen können sowohl nachrichtendienstlichen als auch Sabotagezwecken dienen.
• Technologie- und F&E-Unternehmen: Quellcode, Patente und Produkt-Roadmaps repräsentieren jahrelange Investitionen.
• Finanzinstitute: Handelsstrategien, Fusionspläne und Wirtschaftsdaten verschaffen Konkurrenten einen Marktvorteil.

Akteure der Cyberspionage lassen sich im Allgemeinen in drei Kategorien einteilen:

• Nationalstaatliche Akteure: Von der Regierung finanzierte Hacker führen im Auftrag eines Landes Geheimdienstoperationen durch. Beispiele hierfür sind Gruppen mit Verbindungen zu Russland, China, Nordkorea und dem Iran, die öffentlich mit großen Spionagekampagnen in Verbindung gebracht wurden.
• Staatlich geförderte Auftragnehmergruppen: Private Hackergruppen, die halbunabhängig operieren, aber Missionen durchführen, die mit den strategischen Interessen einer Regierung übereinstimmen.
• Industriespione: Insider oder externe Akteure, die von Konkurrenten angeheuert werden, um Geschäftsgeheimnisse, Preisstrategien oder firmeneigene Daten zu stehlen – manchmal auch Industriespionage genannt.

Cyberspionageakteure sind raffiniert und geduldig. Sie verwenden typischerweise eine Kombination der folgenden Methoden:

• Spear-Phishing: Hochgradig personalisierte E-Mails, die darauf abzielen, bestimmte Personen zur Preisgabe von Zugangsdaten oder zum Anklicken schädlicher Links zu verleiten. Im Gegensatz zum Massen-Phishing ist Spear-Phishing recherchiert und gezielt.
• Fortgeschrittene persistente Bedrohungen (APTs): Langfristige Eindringversuche, die darauf abzielen, einen kontinuierlichen, unbemerkten Zugriff auf ein Netzwerk zu gewährleisten. APT-Gruppen etablieren oft mehrere Angriffspunkte, um ihr Fortbestehen zu gewährleisten, selbst wenn ein Einstiegspunkt entdeckt und geschlossen wird.
• Angriffe an Wasserstellen: Kompromittierung einer legitimen Website, die von den beabsichtigten Zielen häufig besucht wird – wie beispielsweise einer Branchennachrichtenseite oder einem Händlerportal – und deren Nutzung zur Verbreitung von Schadsoftware.
• Angriffe auf Lieferketten: Das Eindringen in einen weniger sicheren Anbieter oder Softwareanbieter, um Zugang zu den Netzwerken seiner Kunden zu erhalten. Der SolarWinds-Angriff von 2020 ist ein bekanntes Beispiel.
• Zero-Day-Exploits: Ausnutzung bisher unbekannter Software-Schwachstellen, bevor die Entwickler die Möglichkeit haben, einen Patch zu veröffentlichen.
• Bedrohungen durch Insider: Das Anwerben, Nötigen oder Bestechen von Mitarbeitern mit legitimen Zugriffsrechten, um Informationen aus einer Organisation zu entwenden.

Obwohl es sich in beiden Fällen um unbefugten Zugriff auf Systeme handelt, unterscheiden sich die Motivationen und Methoden erheblich:

• Motivation: Cyberkriminelle versuchen in erster Linie, durch Ransomware, Betrug oder den Verkauf gestohlener Daten an Geld zu gelangen. Cyberspionageakteure sind auf der Suche nach Informationen, Einfluss oder Wettbewerbsvorteilen.
• Sichtweite: Cyberkriminelle wollen oft, dass ihr Angriff bemerkt wird (z. B. durch eine Lösegeldforderung). Spionage-Darsteller unternehmen große Anstrengungen, um unauffällig zu bleiben.
• Zeithorizont: Bei Cyberkriminalität handelt es sich meist um einen schnellen Angriff, bei dem die Daten extrahiert und dann weitergezogen wird. Cyberspionage ist langsam und anhaltend, Angreifer behalten manchmal jahrelang Zugriff.
• Raffinesse: Spionageoperationen werden typischerweise durch erhebliche Ressourcen und Fachkenntnisse unterstützt, die oft die Fähigkeiten gewöhnlicher krimineller Hacker übertreffen.

• SolarWinds (2020): Staatlich geförderte Angreifer, die weithin dem russischen Geheimdienst SVR zugeschrieben werden, kompromittierten den Software-Update-Mechanismus von SolarWinds Orion und nutzten ihn, um Malware an etwa 18.000 Organisationen, darunter mehrere US-Bundesbehörden, zu verteilen.
• Operation Aurora (2009–2010): Eine ausgeklügelte Kampagne, die sich gegen mindestens 20 große Unternehmen, darunter Google, richtete, mit dem Ziel, Zugang zu Quellcode und Gmail-Konten von Menschenrechtsaktivisten zu erhalten.
• Datenschutzverletzung im Office of Personnel Management (OPM) (2014–2015): Die Angreifer – vermutlich mit Verbindungen nach China – stahlen Sicherheitsfreigaben und persönliche Daten von über 21 Millionen US-Regierungsangestellten und Auftragnehmern.
• Hafnium/Microsoft Exchange (2021): Eine staatlich geförderte chinesische Gruppe nutzte Zero-Day-Schwachstellen im Microsoft Exchange Server aus, um auf E-Mail-Konten von Regierungsbehörden, Rüstungsunternehmen und Forschern im Bereich Infektionskrankheiten zuzugreifen.

Keine einzelne Kontrollmaßnahme kann einen entschlossenen, gut ausgestatteten Gegner aufhalten. Eine effektive Verteidigung erfordert mehrschichtige Sicherheit – mehrere Kontrollmechanismen müssen zusammenarbeiten, um einen Angriff zu erkennen, zu verlangsamen und einzudämmen. Zu den wichtigsten Maßnahmen gehören: • Multi-Faktor-Authentifizierung (MFA): Gestohlene Zugangsdaten sind der häufigste Einfallstor. Die Multi-Faktor-Authentifizierung (MFA) führt einen zweiten Verifizierungsschritt ein, der den Wert kompromittierter Passwörter erheblich reduziert.

• Netzwerksegmentierung: Die Aufteilung Ihres Netzwerks in Zonen begrenzt die Reichweite eines Angreifers, sobald er sich im Netzwerk befindet. Ein Sicherheitsverstoß in einem Bereich muss nicht zwangsläufig einen Sicherheitsverstoß in allen Bereichen zur Folge haben.
• Endpunkterkennung und -reaktion (EDR) EDR-Tools überwachen Geräte auf verdächtiges Verhalten und helfen Sicherheitsteams so, versteckte Malware zu erkennen, die herkömmliche Antivirenlösungen umgeht.
• Patch-Management: Viele Spionagekampagnen nutzen bekannte Sicherheitslücken aus. Durch die Aktualisierung von Software und Firmware werden die Einfallstore geschlossen, auf die Angreifer setzen.
• Privileged Access Management (PAM): Die Beschränkung des Zugangs zu sensiblen Systemen und die Durchsetzung des Prinzips der minimalen Berechtigungen verringern das Ausmaß eines erfolgreichen Eindringens.
• Sicherheitsschulung: Spear-Phishing ist dann erfolgreich, wenn Mitarbeiter nicht darauf vorbereitet sind, es zu erkennen. Regelmäßiges, realitätsnahes Training schafft eine menschliche Schutzbarriere.
• Bedrohungsanalyse: Die Kenntnis der Taktiken, Techniken und Vorgehensweisen (TTPs) bekannter Spionagegruppen ermöglicht es den Verteidigern, die richtigen Kontrollmaßnahmen zu priorisieren und Anzeichen einer Kompromittierung frühzeitig zu erkennen.
• Zero-Trust-Architektur: Die Annahme „Vertrauen ist gut, Kontrolle ist besser“ durch „Vertrauen ist besser, Kontrolle ist besser“ zu ersetzen, verringert das Risiko durch kompromittierte Konten oder Insiderbedrohungen.