Viren, Trojaner und Sicherheitslücken. Vorgehen und Bedeutung für den Datenschutz.

 Viren und Trojaner befallen immer wieder PCs. Meist vom Nutzer unbemerkt, man bekommt eine Bewerbung als Word Dokument und wundert sich nicht darüber klickt drauf und öffnet die Bewerbung. Bereits hier ist es meist zu spät.

Das eingebettete Schadprogramm lädt beliebige andere Schadsoftware nach oder schafft Zugänge zum PC für den Angreifer. Selbst wenn man jetzt herausfindet welcher Virus oder Trojaner am ursprünglichen Dokument anhängig war, in dem man die Mail weiterleitet mit dem Betreff SCAN an scan@virustotal.com , hat man keinen sicheren PC mehr. Man bekommt auf diese E-Mail-Weiterleitung hin einen Report zurückgesendet, dieser beinhaltet Berichte von allen großen Viren Scannern.

Bedeutet bei Verdacht auf Schadbefall PC aus und einen Profi anrufen. z.B. uns.

Gefahren:

Wenn ein Schadprogramm-Befall unbemerkt bleibt breitet dieses sich meist auf weitere PCs wie Kunden und Mitarbeiter PCs aus. Der Befall nimmt unter Umständen Ihre Daten als Geisel.

Wie macht er das bloß?

Das ist vielseitig, viele Programme schlafen erst einmal nachdem Sie weiteren Schadcode nachgeladen haben und warten auf späte Abendstunden oder Tage später bevor sie Ihre Arbeit beginnen. Damit wird die Infektionsquelle weiter verschleiert.

Schadprogramme sind meist darauf ausgerichtet sich zu verbreiten und dauerhaft im verborgenen zu bleiben. Die Verbreitung geschieht z.B. dadurch das es sich in Dokumente auf dem PC oder Netzlaufwerken einbettet und auf den nächste Kollegen wartet. Verschleierung und Persistenz kann noch vielseitiger sein.

Die Schadprogramme verschlüsseln z.B. all Ihre Daten im Netzwerk und auf Backups an die sie rankommen, sowie natürlich alle Daten auf dem PC. Danach wird Lösegeld für die Daten gefordert.

Falls nichts verschlüsselt wird infiziert die Schadsoftware möglicherweise weitere Word Dokumente und verschickt sich selbst als E-Mail weiter. Der Fantasie sind keine Grenzen gesetzt. Keylogger protokollieren sämtliche Ihrer Eingaben, so kommen die Angreifer z.B. weitere Zugriffe.

Schadprogramme öffnen oft verschlüsselte Tunnel durch sämtliche IT Sicherheitsmaßnahmen der Firma. Damit können Angreifer dann auch aus der Ferne wie bei einer Fernwartung agieren.

Wir als IT Experten und Software Entwickler können in den ersten Schritten Systeme durch Wiederherstellung von unbetroffenen Backups wieder betriebsbereit machen oder durch Analyse jedes einzelnen Dokuments, falls kein Backup vorhanden ist, die Schadprogramme auffinden in Dokumenten. Diese können wir dann bereinigen.

Weiterhin kann man das Netzwerkverhalten beobachten und so Infektionen auffinden. Wenn ein bestimmter PC z.B. nachts immer große Datenmengen nach China schickt ist das ein Anhaltspunkt.

Sicherheitslücken in Software:

Jegliche Software hat früher oder später Sicherheitslücken, egal ob Web Anwendungen oder auf dem PC installierte Software oder Betriebssysteme. Eine Sicherheitslücke ist noch kein meldepflichtiger Vorfall, erst wenn diese aktiv genutzt wurde, kann es ein meldepflichtiger Vorfall sein.

Wie schützt man PCs und Netzwerke?

PCs:

• die Software immer aktuell halten
• massiv auf Verschlüsselung setzen
• starke Passwörter und Zweifaktor Authentifizierung nutzen
• Antiviren Software nutzen, das ist aber kein Allheilmittel, selbst wenn Antiviren Software im Einsatz ist, bedeutet das nicht das nicht bereits weitere Komponenten nachgeladen worden oder ein Zugang geschaffen wurde, die nicht entdeckt werden
• Passwort Manager nutzen um für jede Anwendung ein einzigartiges Passwort festlegen und verwalten zu können

Netzwerke:

• UTMS, Verhalten im Netzwerk zu regulieren und zu überwachen, Alarmierungen usw. https://de.wikipedia.org/wiki/Unified_Threat_Management
• Firewall regeln, den Netzwerk Verkehr regulieren
• VLANs, den Netzwerk Verkehr trennen
• Verschlüsselung im Netzwerk verwenden

Meldekette:

Die größte Frage ist immer ab wann muss ich melden. Fakt ist Software ist immer von Sicherheitslücken betroffen, egal ob es große Software Anbieter wie Microsoft sind, die jeden zweiten Dienstag im Monat mit Ihren Patch Days zahlreiche Sicherheitslücken schließen oder kleine Software Anbieter die meist auch gar nicht nachbessern.

Wenn es einen Schaden gibt, dann ist der zu melden als Vorfall. Wenn jedoch rechtzeitig reagiert werden konnte und es kein Schaden gibt, dann ist auch nichts zu melden.

Ransomware: Die größte Bedrohung für Unternehmen

Ransomware-Angriffe haben sich in den letzten Jahren zur größten Cyberbedrohung für Unternehmen entwickelt. Bei einem Ransomware-Angriff werden sämtliche Daten auf dem befallenen System und allen erreichbaren Netzlaufwerken verschlüsselt. Die Angreifer fordern dann ein Lösegeld, häufig in Kryptowährungen wie Bitcoin, für die Entschlüsselung der Daten.

Besonders gefährlich ist die sogenannte „Double Extortion“-Methode: Dabei werden die Daten nicht nur verschlüsselt, sondern vorher auch kopiert und exfiltriert. Die Angreifer drohen dann mit der Veröffentlichung der gestohlenen Daten, wenn das Lösegeld nicht gezahlt wird. Für Unternehmen bedeutet dies neben dem direkten Schaden durch den Betriebsausfall auch ein erhebliches Datenschutzrisiko, da personenbezogene Daten von Kunden, Mitarbeitern und Geschäftspartnern betroffen sein können.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät dringend davon ab, Lösegeld zu zahlen. Es gibt keine Garantie, dass die Daten nach der Zahlung tatsächlich entschlüsselt werden. Zudem finanziert jede Lösegeldzahlung die kriminelle Infrastruktur und macht weitere Angriffe wahrscheinlicher.

Social Engineering als Einfallstor

Die meisten erfolgreichen Cyberangriffe beginnen mit Social Engineering. Dabei nutzen Angreifer menschliche Schwächen wie Vertrauen, Hilfsbereitschaft oder Zeitdruck aus, um Mitarbeiter zu manipulieren. Die häufigste Form ist das Phishing, bei dem täuschend echt aussehende E-Mails den Empfänger dazu verleiten, auf schädliche Links zu klicken oder infizierte Anhänge zu öffnen.

Spear-Phishing ist eine besonders gefährliche Variante, bei der die Angriffs-E-Mail speziell auf das Zielunternehmen oder sogar eine bestimmte Person zugeschnitten ist. Die Angreifer recherchieren vorab Informationen über das Unternehmen, die Organisationsstruktur und die Mitarbeiter, um die E-Mail möglichst glaubwürdig zu gestalten. CEO-Fraud oder Business Email Compromise (BEC) ist eine weitere Variante, bei der sich Angreifer als Geschäftsführer ausgeben und Überweisungen anweisen.

Regelmäßige Mitarbeiterschulungen und Sensibilisierungsmaßnahmen sind der wirksamste Schutz gegen Social-Engineering-Angriffe. Mitarbeiter müssen lernen, verdächtige E-Mails zu erkennen und im Zweifelsfall den IT-Verantwortlichen oder den Datenschutzbeauftragten zu kontaktieren.

Datenschutzrechtliche Meldepflichten bei Cyberangriffen

Bei einem erfolgreichen Cyberangriff mit Zugriff auf personenbezogene Daten besteht nach Art. 33 DSGVO eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde. Die Meldung muss innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls erfolgen. Bei einem hohen Risiko für die betroffenen Personen müssen auch diese unverzüglich nach Art. 34 DSGVO benachrichtigt werden.

Die Meldung an die Aufsichtsbehörde muss mindestens folgende Informationen enthalten: eine Beschreibung der Art der Datenschutzverletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen, den Namen und die Kontaktdaten des Datenschutzbeauftragten, eine Beschreibung der wahrscheinlichen Folgen der Verletzung sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Eindämmung.

In Sachsen ist die Sächsische Datenschutz- und Transparenzbeauftragte die zuständige Aufsichtsbehörde. Die Meldung kann online über das Formular auf der Webseite der Behörde erfolgen. Eine verspätete oder unterlassene Meldung kann als eigenständiger DSGVO-Verstoß mit einem Bußgeld geahndet werden.

Präventive Maßnahmen und Notfallplanung

Ein umfassendes IT-Sicherheitskonzept ist die beste Vorsorge gegen Cyberangriffe. Dazu gehören regelmäßige Backups nach der 3-2-1-Regel (drei Kopien auf zwei verschiedenen Medien, davon eine außerhalb des Standorts), eine konsequente Patch-Management-Strategie, Netzwerksegmentierung, Zugriffskontrollen nach dem Prinzip der minimalen Berechtigung und eine Multi-Faktor-Authentifizierung für alle kritischen Systeme.

Ebenso wichtig ist ein dokumentierter Notfallplan, der klare Handlungsanweisungen für den Ernstfall enthält. Wer muss informiert werden? Welche Systeme werden zuerst isoliert? Wer koordiniert die Wiederherstellung? Diese Fragen sollten bereits im Vorfeld geklärt sein, damit im Ernstfall schnell und strukturiert gehandelt werden kann.

Ein externer Datenschutzbeauftragter kann sowohl bei der Erstellung des IT-Sicherheitskonzepts als auch bei der Entwicklung des Notfallplans wertvolle Unterstützung leisten. Er kennt die aktuellen Bedrohungsszenarien und die Anforderungen der Aufsichtsbehörden und sorgt dafür, dass Ihr Unternehmen optimal aufgestellt ist.

Zero-Day-Schwachstellen und ihre Bedeutung

Besonders gefährlich sind sogenannte Zero-Day-Schwachstellen. Dabei handelt es sich um Sicherheitslücken in Software, die dem Hersteller noch nicht bekannt sind und für die daher noch kein Sicherheitsupdate existiert. Angreifer können solche Schwachstellen ausnutzen, bevor ein Patch zur Verfügung steht. Der Name „Zero-Day“ bezieht sich darauf, dass dem Hersteller null Tage zur Behebung zur Verfügung standen.

Zero-Day-Exploits werden auf dem Schwarzmarkt für erhebliche Summen gehandelt. Staatliche Akteure und organisierte Kriminalität setzen sie gezielt ein, um in Unternehmensnetzwerke einzudringen. Der beste Schutz gegen Zero-Day-Angriffe ist eine Defense-in-Depth-Strategie mit mehreren Sicherheitsebenen, damit der Ausfall einer einzelnen Schutzmaßnahme nicht zum vollständigen Kompromittierung des Systems führt. Zusätzlich sollten Intrusion-Detection-Systeme eingesetzt werden, die anomales Verhalten erkennen und Alarm schlagen, auch wenn die zugrunde liegende Schwachstelle noch nicht bekannt ist.