Autor: Jan Gisbertz

Die Tricks von Cyberkriminellen werden immer besser. Doch die meisten Passwörter geraten immer noch mit vergleichsweise einfachen Angriffsformen wie dem Credential-Stuffing in falsche Hände. Wie das funktioniert und was Sie und Ihre Mitarbeiter:innen darüber wissen sollten, lesen Sie hier.

Auf über 200 Milliarden Euro schätzt der Branchenverband Bitkom den Schaden durch Cyberkriminalität 2022 allein in Deutschland. Viele dieser Angriffe erfolgen mit Schadsoftware, die über das Internet – zum Beispiel per E-Mail – an Computernutzer:innen versendet wird.

Millionen solcher Schadprogramme (Malware) gelangen so täglich in Unternehmensnetze. Zur Gefahr werden sie, wenn die Empfänger:innen diese Dateien öffnen und damit deren geheime Spionagefunktionen unbemerkt aktivieren. Die Programme schnüffeln beispielsweise nach Passwörtern, die sie dann direkt an ihre Programmierer versenden.

Doch immer häufiger brauchen Kriminelle gar keine versteckte Malware mehr, um an Passwörter von Nutzer:innen zu gelangen. Denn viele Passwörter und andere sensible Daten von Anwender:innen befinden sich bereits im Darknet. Die Kriminellen verkaufen sie dort an die Meistbietenden. Mit Credential-Stuffing werden diese Daten dann zur ernsten Gefahr.

Was ist Credential-Stuffing?

Der Begriff Credential-Stuffing beschreibt eine Hackingattacke, bei der Kriminelle gestohlene Zugangsdaten, sogenannte „Credentials“, aus einer bestimmten Quelle benutzen. Mit diesen Daten verschaffen sie sich die Diebe Zugriff auf weitere Nutzerkonten einer Person.

Hierfür erwerben Hacker:innen im Darknet Datenbanken mit Nutzerdaten und Passwörtern aus früheren erfolgreichen Hackingattacken. Anschließend probieren sie mithilfe automatisierter Anmeldeprogramme diese Zugangsdaten bei vielen weiteren Plattformen aus – in der Hoffnung, dass dieselben Nutzerdaten dort auch funktionieren. Dieser Vorgang wird auch als Stuffing (auf englisch: „stopfen“) bezeichnet, weil die gestohlenen Passwörter nacheinander in zahlreiche Anmeldeportale „gestopft” werden. Die Angreifer probieren die Zugangsdaten zum Beispiel für ein Download-Portal oder ein Social-Media-Konto oder bei bekannten Online-Auktionshäusern oder Webshops aus.

Haben die Kriminellen damit Erfolg, stehlen sie mithilfe dieser Zugangsdaten persönliche Informationen der Kontoinhaber:innen, beispielsweise Kreditkartendaten. Sie können aber beispielsweise auch mit den erbeuteten Nutzerdaten Waren und Dienstleistungen auf Kosten der Geschädigten bestellen.

Wie funktioniert ein Credential-Stuffing-Angriff?

Credential-Stuffing-Attacken profitieren von der großen Zahl an Nutzerkonten, die die meisten Anwender:innen mittlerweile haben. Dem gegenüber steht die Schwierigkeit, sich für jede Plattform ein anderes Passwort zu merken.

Viele Anwender:innen greifen heute im Tagesverlauf mit mehreren Endgeräten auf ihre Nutzerkonten zu und verwenden daher bewusst simple oder leicht zu merkende Passwörter, um sich schnell über jede dieser Plattformen anmelden zu können. In etwa jedem fünften Fall werden dieselben Anmeldenamen und Passwörter für verschiedene Benutzerkonten verwendet, hat eine Studie des Hasso-Plattner-Instituts ergeben.

Ein großer Teil der Internetnutzer:innen ist beispielsweise bei Social-Media-Plattformen, Streaming-Anbietern und Internet-Kaufhäusern registriert. Entsprechend hoch ist somit die Chance für Hacker:innen, solche Mehrfach-Nutzungen von Passwörtern durch bloßes Ausprobieren bei weiteren Plattformen aufzuspüren.

Hacker:innen verwenden hierfür sogenannte Bot-Netze, also Netzwerke aus physischen oder virtuellen Computern im Internet, deren Aufgabe es ist, die Passwörter auf vielen weiteren Plattformen auszutesten.

Die Werkzeuge für das automatische Ausprobieren von Nutzerdaten werden dabei immer leistungsfähiger. So täuschen einige Credential-Stuffing-Programme vor, sich im selben IP-Adressraum zu befinden wie die echten Inhaber:innen der Nutzerdaten. So verhindern sie, dass die betroffenen Plattformen verdächtige Anmeldeversuche aus dem Ausland oder verdächtigen Subnetzen erkennen und automatisiert sperren.

Eine Hochrechnung des Softwareanbieters Arkose Labs hat ergeben, dass Credential-Stuffing-Angriffe inzwischen knapp 30 Prozent aller Hackingangriffe ausmachen. Etwa jeder zwanzigste Anmeldeversuch steht im Verdacht, eine solche Hackingattacke per Credential-Stuffing zu sein.

Hacker:innen kaufen im Darknet gestohlene Anmeldedaten und testen diese über Botnetze auf anderen Plattformen aus.

Diese Branchen sind besonders betroffen

Credential-Stuffing als Angriffsform ist nicht auf bestimmte Branchen oder Unternehmen beschränkt, sondern funktioniert grundsätzlich übergreifend in allen passwortgesicherten Zugangssystemen. Trotzdem sind einige Branchen besonders betroffen. Im Einzelnen sind dies:

• Unternehmen, mit sehr vielen Kunden, die sich über Webportale anmelden. Dazu gehören beispielsweise die Gastronomie, sowie Banken und Finanzdienstleister, Online-Kaufhäuser und Vermietungsportale. Angreifer:innen können hier auf fremde Bankkonten zugreifen oder im Namen Dritter Waren einkaufen.
• Unternehmen, die ihre Waren und Dienstleistungen digital über das Internet anbieten, beispielsweise Softwarefirmen und Streaminganbieter. Hier können Angreifer:innen mit gestohlenen Accounts digitale Inhalte bestellen und herunterladen.
• Unternehmen, die ihren Mitarbeiter:innen mobiles Arbeiten ermöglichen und hierfür passwortgeschützte Zugänge in ihr Firmennetz einrichten. Hacker:innen können per Credential-Stuffing in diese Netze eindringen und Unternehmensdaten stehlen.

Credential-Stuffing vs. Brute-Force-Angriffe vs. Password-Spraying

Neben dem Credential-Stuffing wenden Hacker:innen auch andere Verfahren an, um Nutzerkonten zu knacken. Besonders verbreitete Angriffsvektoren sind die Brute-Force-Attacke und das Passwort-Spraying.

Brute-Force-Angriffe

Die Attacke per Brute-Force (auf englisch: „Brutale Gewalt“) basiert auf dem monotonen und sehr schnellen Ausprobieren zahlreicher möglicher Passwörter für ein einzelnes Nutzerkonto. Angreifer:innen verwenden hierfür Wörterbücher in der jeweiligen Landessprache und zusätzlich Listen beliebter Passwörter wie „Gott“, „Admin“, „qwertz“, „letmein“ oder „Passwort“.

Früher rieten Expert:innen daher oft, anstelle von gängigen Passwörtern aus dem Lexikon beispielsweise abweichende Schreibweisen hierfür zu verwenden. Besonders beliebt ist hierfür das sogenannte Leetspeak, das Buchstaben durch ähnlich aussehende Ziffern ersetzt, zum Beispiel das „E“ durch eine „3“, das „A“ durch eine „4“ und das „T“ durch eine „7“. Dabei wird das Wort „Passwort“ zu „P4ssw0r7“ und das Wort „Leetspeak“ zu „13375p34k“.

Inzwischen kennen Brute-Force-Programme aber auch die meisten dieser Tricks und können dank immer schnellerer Programmroutinen komplette Wörterbücher samt ihrer Leet-Varianten in nur wenigen Minuten durchprobieren.

Effizient sind Brute-Force-Attacken überall dort, wo sie in kurzer Zeit sehr viele Passwortvarianten durchprobieren können, ohne dass Websites nach einem dritten erfolglosen Anmeldeversuch das Benutzerkonto sperren oder sogenannte Captcha-Mechanismen als erweiterte Sicherheitsmechanismen zum Einsatz kommen. Hacker:innen verwenden hierfür Programme wie Medusa oder den Brutus-Password-Cracker, die Spezialist:innen auch bei Pentests einsetzen.

Passwort-Spraying

Während die Brute-Force-Attacke gezielt einzelne Anwenderkonten angreift, richtet sich das Passwort-Spraying gegen eine Vielzahl von Nutzerkonten gleichzeitig, geht dafür aber weniger in die Tiefe. So beschränkt es sich auf das Ausprobieren einer kleinen Anzahl besonders gängiger Passwörter, beispielsweise die auch bei der Brute-Force-Attacke zum Einsatz kommenden Wörter „Gott“, „Admin“ oder „Passwort“. Die angreifende Software testet aber keine ganzen Wörterbücher durch.

Das Passwort-Spraying funktioniert besonders gut auf Plattformen mit sehr vielen Nutzerkonten, die Benutzernamen nach festen Regeln bilden. Wenn Sie in Ihrem Unternehmen alle Benutzernamen nach der Regel Vorname.Nachname@Firmenname bilden, dann ist dies ein idealer Angriffspunkt für das Passwort-Spraying.

Entsprechende Software testet einfach alle gängigen Kombinationen aus Vor- und Nachnamen und testet diese mit gängigen Passwörtern. Die Chance ist hoch, dass mindestens eine Person im Unternehmen ein schwaches, bekanntes Passwort nutzt. Wenn Kriminelle dieses Benutzerkonto einmal hacken, können sie anschließend Schadsoftware ins gesamte Unternehmensnetz einspielen.

Schutzmaßnahmen für Unternehmen

Angriffe per Credential-Stuffing sind ein erhebliches Sicherheitsrisiko für Unternehmen. Denn Kriminelle können damit nicht nur an Kreditkartendaten gelangen oder im Namen Dritter Waren bestellen. Sie gelangen auf diesem Weg auch in Unternehmensnetze und können dort sensible Daten stehlen.

Wenn Wettbewerber oder ausländische Nachrichtendienste beispielsweise Geschäftsgeheimnisse per Advanced Persistent Threat (APT) aus Ihrem Firmennetz stehlen wollen, werden sie auch im Darknet gezielt nach Passwörtern von Führungskräften oder anderen Mitarbeiter:innen aus Ihrem Unternehmen suchen und diese Passwörter in Ihrem Netz ausprobieren.

Auch beim Spear-Phishing können Hacker:innen ihre Erfolgschancen erhöhen, wenn sie bereits über dank Credential-Stuffing über gültige Zugänge und Passwörter verfügen, über die sie dann weitere Mitarbeiter:innen Ihres Unternehmens von innen heraus kontaktieren.

Fatal hierbei: Anders als Attacken per Brute-Force oder Passwort-Spraying hinterlässt gezieltes Crendetial-Stuffing als Teil eines APT so gut wie keine Spuren in ihren Anmeldesystemen. Die meisten Brute-Force-Aufrufe können Sie beispielsweise im Dashboard Ihres Anmeldeservers sehen und gezielt unterbinden. Eine Credential-Stuffing-Anmeldung mit einem kompromittierten Passwort aus dem Darknet können Sie hingegen kaum von einem erlaubten Zugriff der echten Person unterscheiden.

Daher sollten Sie Ihr Unternehmensnetz gegen Credential-Stuffing besonders wirksam schützen. Diese Tipps helfen Ihnen dabei:

• Machen Sie Credential-Stuffing zum Thema in Ihren Sicherheitsschulungen. Viele Anwender:innen kennen die Gefahren dieser Attacke nicht und verwenden daher Passwörter mehrfach.
• Gestalten Sie Ihr Unternehmensnetzwerk ergonomisch. Wenn Ihre Mitarbeiter:innen sich nach der Anmeldung im Benutzerkonto noch einmal bei allen weiteren Anwendungen separat anmelden müssen, ist die Gefahr groß, dass sie dafür mit der Zeit immer dieselben Passwörter verwenden. Wird dann beispielsweise das Portal Ihres Mietwagen-Anbieters gehackt, werden einige der dort verwendeten Passwörter auch den Zugang zu Ihrem Firmennetz ermöglichen.
• Führen Sie alle Kommunikationsplattformen im Unternehmen mittels Unified Communications (UC) zusammen und verwenden Sie auch für mobile Endgeräte ein einheitliches Rechtemanagement über ein Unified Endpoint Management (UEM). Dies reduziert die Anzahl der notwendigen Anmeldevorgänge und Passwörter.
• Im Internet finden Sie Listen bekannter Passwortdiebstähle aus den vergangenen Jahren. Betroffen waren beispielsweise Firmen wie Adobe, Facebook oder die Marriot-Hotels. Beachten Sie, dass Kriminelle einmal gestohlene Passwörter auch nach vielen Jahren noch im Darknet handeln. Diese Passwörter sind damit für alle Zeiten unbenutzbar.
• Viele Unternehmen geben in ihren internen Passwort-Richtlinien vor, wie oft Mitarbeiter:innen ihre Passwörter ändern müssen. Doch der Zwang zu häufigem Wechsel kann auch gefährlich sein. Denn wenn sich Ihre Mitarbeiter:innen jeden Monat neue Passwörter ausdenken müssen, werden viele diese Passwörter nach festen Regeln bilden. Sie hängen beispielsweise fortlaufende Nummern an oder verändern jeweils nur einen Buchstaben im Passwort oder schreiben das Passwort auf einen Zettel, der unbeaufsichtigt am Arbeitsplatz liegt. Oder sie werden – um die Zahl der immer wieder neu zu merkenden Passwörter klein zu halten – diese auf verschiedenen Systemen wiederverwenden. Doch gerade dies erhöht die Gefahr erfolgreicher Credential-Stuffing-Attacken. Daher empfiehlt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Grundschutz-Kompendium inzwischen keinen turnusmäßigen Wechsel des Passworts mehr. Stattdessen schlägt das BSI einen anlassbezogenen Passwortwechsel vor – beispielsweise beim Verdacht, dass es eine Hackingattacke gegeben haben könnte.
• Mithilfe eines Passwortmanagers und -generators können Ihre Mitarbeiter:innen individuelle und schwer zu knackende Passwörter für jeden Einsatzzweck erzeugen. Die unterschiedlichen Passwörter für die einzelnen Anwendungen werden dann im Passwortmanager verwahrt und der Zugriff hierauf mit einem einzelnen und somit leichter zu merkenden Masterpasswort geschützt. Idealerweise sollte das Passwortprogramm auf einer sicheren, verschlüsselten Plattform liegen, etwa in der Private Cloud Ihrer Firma. Ihre Mitarbeiter:innen sollten mit allen ihren Endgeräten auch von unterwegs darauf zugreifen können. Andernfalls ist die Gefahr groß, dass Team-Mitglieder einzelne Passwörter doch auf einen Zettel notieren und im Portemonnaie oder der Smartphonehülle ablegen.
• Richten Sie, wo immer dies möglich ist, eine Zwei-Faktor-Authentifizierung (2FA) ein. So können Angreifer:innen mit einzelnen gestohlenen Passwörtern noch nicht auf Ihre Systeme zugreifen. Ein sehr effizienter Schutz ist die Kombination von biometrischen Verfahren wie einem Fingerabdruckscan am mobilen Endgerät mit einer Passwortabfrage auf dem Notebook oder Desktop-PC. Die Wahrscheinlichkeit, dass Angreifer:innen gleichzeitig auf Ihren Arbeitsplatzrechner und Ihr Mobilgerät zugreifen können, ist sehr gering. Damit ist 2FA einer der besten Schutzmechanismen gegen Passwortdiebstahl und Credential-Stuffing.

Das Wichtigste zu Credential-Stuffing in Kürze

• Credential-Stuffing ist eine verbreitete Hackingattacke, die mit kompromittierten Passwörtern arbeitet.
• Die Angriffsform Credential-Stuffing kann alle Branchen betreffen. Besonders betroffen sind beispielsweise Unternehmen mit Webportalen.
• Credential-Stuffing ist verwandt mit Angriffsformen wie Brute-Force und Password-Spraying, aber es hinterlässt weniger Datenspuren in Ihren Systemen.
• Unternehmen können die Gefahren des Credential-Stuffing minimieren, indem sie ihre Mitarbeiter:innen entsprechend schulen und ihre Passwort-Richtlinien anpassen.
• Durch den Einsatz einer Zwei-Faktor-Authentifizierung reduzieren Sie die Gefahren von Hackingattacken auf Ihr Unternehmensnetz.

Quelle:

https://www.vodafone.de/business/featured/digitales-business/digitaler-arbeitsplatz/was-ist-credential-stuffing-und-wie-schuetzen-sie-ihr-unternehmen-davor/

Welche Haftung trifft mich als Geschäftsführer in Deutschland, wenn ich das Thema IT-Sicherheit vernachlässige?

In der heutigen digitalen Ära ist die Sicherheit von Informationstechnologie (IT) für Unternehmen von entscheidender Bedeutung. Als Geschäftsführer tragen Sie eine hohe Verantwortung, insbesondere wenn es um den Schutz der Unternehmensdaten und die Einhaltung von Datenschutzvorschriften geht. Die Vernachlässigung des Themas IT-Sicherheit kann erhebliche rechtliche Konsequenzen haben. In diesem Artikel werden wir die Haftung eines Geschäftsführers in Deutschland untersuchen, wenn er das Thema IT-Sicherheit vernachlässigt.

Rechtliche Grundlagen

1. Gesetzliche Bestimmungen: Deutschland hat verschiedene Gesetze und Verordnungen, die den Schutz von Daten und die Gewährleistung der IT-Sicherheit regeln. Dazu gehören das Bundesdatenschutzgesetz (BDSG), die Datenschutz-Grundverordnung (DSGVO) und das IT-Sicherheitsgesetz. Diese Gesetze legen Standards fest und geben klare Anforderungen für den Umgang mit personenbezogenen Daten und den Schutz vor Cyberangriffen vor.
2. Haftung des Geschäftsführers: Als Geschäftsführer tragen Sie die Verantwortung für die ordnungsgemäße Organisation und Überwachung des Unternehmens. Dies schließt auch den Bereich IT-Sicherheit ein. Im Falle einer Verletzung von Datenschutzbestimmungen oder eines Cyberangriffs kann Ihre Haftung als Geschäftsführer sowohl zivilrechtlicher als auch strafrechtlicher Natur sein.

Zivilrechtliche Haftung

1. Schadensersatzansprüche: Bei Verletzung von Datenschutzvorschriften können betroffene Personen Schadensersatzansprüche geltend machen. Dies kann zu erheblichen finanziellen Verlusten führen, da das Unternehmen für den entstandenen Schaden haftet. Als Geschäftsführer können Sie persönlich für den entstandenen Schaden haftbar gemacht werden, wenn Ihnen eine Pflichtverletzung nachgewiesen wird.
2. Organisationspflichten: Als Geschäftsführer sind Sie verpflichtet, angemessene organisatorische Maßnahmen zur Gewährleistung der IT-Sicherheit zu treffen. Dazu gehört die Implementierung von Sicherheitsmaßnahmen wie Firewalls, Verschlüsselung, Zugangskontrollen und regelmäßige Datensicherungen. Wenn Sie diese Organisationspflichten vernachlässigen, kann dies zu Ihrer persönlichen Haftung führen.
3. Sorgfaltspflicht: Sie haben auch eine Sorgfaltspflicht gegenüber Ihren Kunden, Partnern und Mitarbeitern, um deren Daten und Informationen angemessen zu schützen. Wenn Sie diese Sorgfaltspflicht verletzen, indem Sie beispielsweise unzureichende Sicherheitsvorkehrungen treffen oder bekannte Schwachstellen ignorieren, können Sie persönlich zur Verantwortung gezogen werden.

Strafrechtliche Haftung

1. Verstöße gegen Datenschutzgesetze: Bei groben Verstößen gegen Datenschutzgesetze wie die DSGVO können auch strafrechtliche Konsequenzen drohen. Wenn Sie als Geschäftsführer bewusst oder fahrlässig personenbezogene Daten unrechtmäßig verarbeiten, unzureichende Sicherheitsmaßnahmen implementieren oder nicht auf Datenschutzverletzungen angemessen reagieren, können Geldstrafen von bis zu 20 Millionen Euro oder bis zu 4% des weltweiten Jahresumsatzes Ihres Unternehmens verhängt werden.
2. Verstöße gegen das IT-Sicherheitsgesetz: Das IT-Sicherheitsgesetz legt bestimmte Anforderungen für die Gewährleistung der IT-Sicherheit in kritischen Infrastrukturen fest. Wenn Ihr Unternehmen zu einer solchen kritischen Infrastruktur gehört und Sie die dort vorgeschriebenen Maßnahmen nicht erfüllen, können Sie strafrechtlich belangt werden. Dies kann Geldstrafen oder sogar Freiheitsstrafen nach sich ziehen.
3. Fahrlässige oder vorsätzliche Handlungen: Je nach Schwere des IT-Sicherheitsverstoßes und dem daraus resultierenden Schaden können Ihnen auch fahrlässige oder vorsätzliche Handlungen zur Last gelegt werden. In schweren Fällen können strafrechtliche Konsequenzen wie Geldstrafen oder Freiheitsstrafen drohen.

Es ist wichtig zu beachten, dass die strafrechtliche Haftung nicht nur auf den Geschäftsführer beschränkt ist, sondern auch andere Verantwortliche im Unternehmen betreffen kann, die an den Sicherheitsverletzungen beteiligt waren oder sie zugelassen haben.

Maßnahmen zur Minimierung der Haftung

1. Implementierung einer umfassenden IT-Sicherheitsstrategie: Entwickeln Sie eine umfassende IT-Sicherheitsstrategie, die auf die spezifischen Anforderungen Ihres Unternehmens zugeschnitten ist. Diese sollte Sicherheitsrichtlinien, regelmäßige Risikobewertungen, Schulungen für Mitarbeiter und klare Verantwortlichkeiten enthalten.
2. Einhaltung von Datenschutzbestimmungen: Stellen Sie sicher, dass Ihr Unternehmen die einschlägigen Datenschutzgesetze, insbesondere die DSGVO, vollständig einhält. Dazu gehört die Implementierung geeigneter technischer und organisatorischer Maßnahmen zum Schutz personenbezogener Daten.
3. Regelmäßige Sicherheitsaudits: Führen Sie regelmäßige Sicherheitsaudits durch, um Schwachstellen und Risiken frühzeitig zu identifizieren. Dadurch können Sie proaktiv Maßnahmen ergreifen, um Sicherheitslücken zu schließen und potenzielle Angriffspunkte zu minimieren.
4. Schulung und Sensibilisierung der Mitarbeiter: Schulen Sie Ihre Mitarbeiter regelmäßig in Bezug auf IT-Sicherheit und Sensibilisierung für potenzielle Bedrohungen wie Phishing-Angriffe oder Social Engineering. Ein gut informiertes und geschultes Team kann dazu beitragen, Sicherheitsrisiken zu minimieren.

Fazit

Die Haftung des Geschäftsführers in Bezug auf IT-Sicherheitsverstöße ist ein ernstes Thema, das nicht unterschätzt werden sollte. Die Vernachlässigung der IT-Sicherheit kann nicht nur erhebliche finanzielle Schäden verursachen, sondern auch rechtliche Konsequenzen nach sich ziehen. Als Geschäftsführer tragen Sie eine Verantwortung für den Schutz der Unternehmensdaten, die Einhaltung von Datenschutzbestimmungen und die Gewährleistung der IT-Sicherheit.

Um die Haftungsrisiken zu minimieren, sollten Sie folgende Maßnahmen ergreifen:

1. Implementieren Sie eine umfassende IT-Sicherheitsstrategie, die auf die spezifischen Bedürfnisse und Risiken Ihres Unternehmens zugeschnitten ist.
2. Sorgen Sie für eine angemessene Schulung und Sensibilisierung Ihrer Mitarbeiter in Bezug auf IT-Sicherheit, um das Bewusstsein für potenzielle Bedrohungen zu schärfen und sicherheitsbewusstes Verhalten zu fördern.
3. Überprüfen Sie regelmäßig Ihre IT-Systeme auf Schwachstellen und führen Sie Sicherheitsaudits durch, um potenzielle Risiken zu identifizieren und geeignete Maßnahmen zur Behebung zu ergreifen.
4. Halten Sie sich über aktuelle Gesetze und Bestimmungen zur IT-Sicherheit sowie Datenschutzgesetze auf dem Laufenden und setzen Sie diese konsequent um.
5. Holen Sie gegebenenfalls fachkundigen Rat ein, um sicherzustellen, dass Ihr Unternehmen die erforderlichen Standards erfüllt und rechtliche Anforderungen erfüllt.

Indem Sie proaktiv handeln und angemessene Sicherheitsmaßnahmen ergreifen, können Sie nicht nur die Sicherheit Ihrer Unternehmensdaten gewährleisten, sondern auch Ihr Unternehmen vor potenziellen Haftungsrisiken schützen.

Denken Sie daran, dass die IT-Sicherheit ein fortlaufender Prozess ist und regelmäßige Überprüfungen und Aktualisierungen erfordert. Nehmen Sie Ihre Verantwortung als Geschäftsführer ernst und investieren Sie in die IT-Sicherheit, um die Integrität, Vertraulichkeit und Verfügbarkeit Ihrer Unternehmensdaten zu gewährleisten. Durch eine proaktive Herangehensweise können Sie Risiken minimieren, das Vertrauen Ihrer Kunden stärken und langfristigen Erfolg für Ihr Unternehmen sicherstellen.

Der Begriff des Darknets dient verallgemeinernd zur Beschreibung von abgeschlossenen Netzwerken, die nicht aus dem offenen Internet erreichbar sind. Das Darknet wird häufig auch als „dunkle Seite des Internets“ bezeichnet. Hier sind Personen aktiv, die keine Spuren hinterlassen möchten. Doch blühen dort deshalb zwangsläufig kriminelle Aktivitäten wie der Handel mit verbotenen Waren und Substanzen? Ist das Darknet tatsächlich ein Sammelpunkt für Hacker:innen, die ihre nächste Aktion planen? Und welche Gefahren entstehen daraus für Ihr Unternehmen?

Allein im wohl bekanntesten Darknet namens Tor bewegten sich Ende 2022 schätzungsweise rund 2,3 Millionen Personen täglich (Quelle: The Tor Project). Doch dabei handelt es sich mitnichten nur um Kriminelle, sondern generell um Personen, die ihre Informationen und Kommunikation vor dem Einblick Dritter schützen wollen. Darunter fallen also auch Journalisten und deren Quellen, Oppositionelle aus diktatorisch geführten Staaten sowie Whistleblower.

Wie das Darknet entstanden ist, wie es genau funktioniert und welche Gefahren davon für Unternehmen ausgehen, erfahren Sie in diesem Artikel.

Was ist das Darknet und wie funktioniert es?

Das Internet besteht grundlegend aus zwei Bereichen: Einerseits aus dem World Wide Web, das verkürzt als „das“ Internet bekannt ist. Expert:innen bezeichnen es auch als „Visible Net“, also als „sichtbares Netz“. Hier bewegen sich die meisten Benutzer:innen und steuern über gewöhnliche Browser wie Chrome, Edge oder Firefox Inhalte an, die sich auf zentralen Servern finden.

Neben dem allgemeinen Netz existiert das sogenannte „Deep Net“, das zur Abgrenzung vom übrigen Internet auch häufig unter der Bezeichnung „Invisible Net“, also „unsichtbares Netz“, läuft. Die Inhalte dieses Internetbereichs liegen mitunter ebenfalls auf zentralen Servern, sind aber nicht öffentlich zugänglich.

Als Darknet bezeichnet man ganz allgemein Netzwerke innerhalb des Deep Nets, die über normale Browser nicht erreichbar sind. Hier schließen sich einzelne Rechner zu separaten Netzwerken zusammen. Der Zugang erfolgt über spezielle Programme, die einen verschlüsselte Verbindung zu diesen abgeschlossenen Inhalten herstellen. Die eigentliche IP der Nutzer:innen ist dabei nicht zu erkennen und erschwert damit die Verfolgung durch Straf- und Zensurbehörden.

Eines der bekanntesten Darknets ist das Tor-Netzwerk mit rund 5.000 Servern. Es sollte ursprünglich als abhörsicheres Netzwerk für das US-Militär dienen. 2003 gaben die Behörden jedoch den Code von Tor frei. Seitdem entwickelten zahlreiche Institutionen und Einzelpersonen die Anwendungen des Netzwerks weiter. Das primäre Ziel dabei ist bis heute, die Identität der Benutzer:innen zu verschleiern und eine abhörsichere Kommunikation zu ermöglichen.

Eine bekannte Anwendung zur Verbindung mit dem Tor-Netzwerk ist beispielsweise der frei erhältliche gleichnamige Browser Tor, der auf dem verbreiteten Open-Source-Browser Firefox basiert. Die Benutzung des Netzwerks und des Browsers ist prinzipiell legal, solange man dabei keiner strafbaren Tätigkeit nachgeht.

Neben rechtlich unbedenklichen Foren, Blogs und Wikis finden sich im Tor-Netzwerk allerdings auch Kommunikationsseiten und Handelsplattformen, die aufgrund der nahezu garantierten Anonymität der Koordination und Abwicklung von kriminellen Aktivitäten dienen.

Die Unterschiede von Darknet, Deep Web und Clear Web

Viele, die schon einmal vom Darknet gehört haben, setzen den Begriff mit dem Deep Web gleich. Im deutschsprachigen Raum finden die Bezeichnungen häufig sogar eine synonyme Verwendung. Das ist allerdings nicht korrekt, denn beim Darknet handelt es sich lediglich um einen kleinen Teil des Deep Webs.

Die öffentlichen Bereiche des Internets umfassen nur einen kleinen Teil. Das Darknet ist ein Teilbereich des Deep Web.

Generell kann man die Bereiche folgendermaßen unterscheiden:

• Clear Web / Visible Net: Das öffentliche Internet, das die meisten Benutzer:innen vorzugsweise nutzen. Umfasst indexierte Seiten, die normale Suchmaschinen finden können. Diese sind gewöhnlich frei zugänglich. Darunter fallen gängige Webseiten wie zum Beispiel YouTube, Wikipedia, Amazon und Google.
• Deep Web / Invisible Net: Nicht indexierte Seiten, die aber über gängige Browser ansteuerbar sind. Der Zugang erfolgt durch die korrekte Web-Adresse und entsprechende Zugangsdaten. Dazu gehören unter anderem Datenbanken, E-Mail-Konten, Cloud-Speicher, gesicherte Bibliotheken, Online-Banking-Accounts sowie gesicherte Bereiche von Regierungen und Behörden.
• Darknet: Kleiner Teil des Deep Webs, der aus dem Verbund einzelner Server besteht und nicht mit den üblichen Browsern aufgerufen werden kann. Stattdessen benötigt das Darknet spezielle Programme wie Tor, um Seiten mittels einer verschlüsselten Verbindung aufzurufen. Viele Seiten sind sogar lediglich durch Einladung und Passwort nutzbar. Das Darknet beinhaltet beispielsweise militärische Kommunikation, Netzwerke für Journalisten und politisch Verfolgte sowie illegale Daten und Handelsplattformen.

Die Gefahren des Darknets für Unternehmen

Das Darknet ist durchaus ein Ort, an dem Gefahren für Unternehmen entstehen können. Aus diesem Grund sollten Sie, beziehungsweise Ihre IT-Verantwortlichen, sich verschiedener Dinge bezüglich der dortigen Aktivitäten bewusst sein.

Handel mit geleakten Daten

Kommt es in einem Unternehmen zu einem Sicherheitsleck, bei dem sensible Geschäfts- oder Kundendaten zugänglich waren, ist die Wahrscheinlichkeit recht hoch, dass diese bald im Darknet zu finden sind. Kriminelle handeln auf speziellen Handelsplattformen explizit mit den Daten, die Sie normalerweise keinesfalls Dritten zugänglich machen wollen:

• Daten von Mitarbeiter:innen
• Daten von Kund:innen
• (geschäftliche) Kreditkartendaten
• Details finanzieller Transaktionen / Kontoauszüge
• Zugangsdaten und Passwörter
• E-Mails
• Interne Unternehmenspapiere, die sich auf dessen Bewertung auswirken können (zum Beispiel am Aktienmarkt)

Durch die vermehrte Arbeit aus dem Homeoffice und deren spezifische Herausforderungen an die Cyber-Sicherheit hat sich die Angriffsfläche für Kriminelle enorm vergrößert. Besonders Phishing-Attacken haben in den vergangenen Jahren deutlich zugenommen. Für Unternehmen ist es aus diesem Grund wichtig, nachzuvollziehen, wo derartige Angriffe erfolgreich waren und welche Daten möglicherweise in die Hände von Kriminellen gelangt sind. Ist dies der Fall, hilft es zu wissen, ob und wo die Daten im Darknet gehandelt werden.

Ankündigung von Cyber-Attacken

Das Darknet bietet Cyber-Kriminellen durch seine nahezu vollständige Anonymität die Möglichkeit, unerkannt über ihre Aktivitäten zu sprechen. Dadurch fühlen sich beispielsweise Hacker:innen deutlich sicherer, wenn sie mit Gleichgesinnten über mögliche Pläne und Vorhaben sowie konkrete Angriffsziele und deren Sicherheitsvorkehrungen sprechen.

Die Anerkennung und die Etablierung eines respektierten Namens spielen in diesen Kreisen mitunter eine wichtige Rolle. Aus diesem Grund sprechen viele Kriminelle mehr oder weniger unverhohlen über ihre Pläne oder erfolgreichen Aktionen gegenüber Unternehmen.

Eine andere Möglichkeit für Kriminelle ist es, bereits erlangte Zugänge zu sicheren Netzwerken zu benennen und diese an Interessent:innen zu verkaufen. Hört man sich an den richtigen Stellen um, kann man dadurch Kenntnis über bereits gehackte Systeme erlangen. Konkrete Informationen oder gar Zugangsdaten kann man allerdings nahezu ausschließlich durch Zahlungen erwerben.

Jedes Unternehmen kann ein Angriffsziel sein

Möglicherweise haben Sie bislang gedacht, dass Ihr Unternehmen kein Ziel für Angreifer:innen aus dem Darknet darstellt. Vielleicht, da Sie nur eine kleine Firma betreiben oder weil Sie nicht mit sensiblen Daten arbeiten. Beides spielt heutzutage nahezu keine Rolle mehr.

Natürlich sind große Unternehmen ein besonders attraktives Ziel für Kriminelle, da dort im Erfolgsfall mehr Geld zu holen ist. Gerade aber bei kleinen und mittleren Unternehmen spekulieren Hacker:innen darauf, dass die Sicherheitsvorkehrungen nicht hoch und dadurch einfacher zu umgehen sind.

Die Digitalisierung begünstigt dabei ihre kriminellen Vorhaben: Die lokale Offline-Festplatte hat mittlerweile nahezu ausgedient. Auch Start-ups und kleinere Firmen haben viele Geschäftsprozesse und Daten in die Cloud verlagert. Auch die Rechner von Mitarbeiter:innen im Homeoffice und externen Personen bieten Möglichkeiten, Zugriff auf geschäftliche Netzwerke zu erlangen.

Dabei entwendete Daten können zum Beispiel immer dazu dienen, Ihr Unternehmen zu erpressen oder Handel mit dem „Diebesgut“ zu treiben, ganz gleich, wie groß Ihre Firma ist oder wie viel Umsatz Sie machen.

Je weniger Sie annehmen, ein Angriffsziel zu sein, desto weniger räumen Sie Ihren Sicherheitsmaßnahmen Priorität ein. Genau diese Informationen können auch im Darknet bekannt sein. Das macht Sie unter Umständen zu einem lukrativen Ziel für Kriminelle, die sich bis dahin überhaupt nicht mit Ihrem Unternehmen beschäftigt hatten.

So schützen Sie Ihr Unternehmen vor Darknet-Aktivitäten

Das Darknet kann also eine Gefahr für Ihr Unternehmen darstellen, egal, wie groß es ist und in welcher Branche Sie tätig sind. Es gibt allerdings einige Methoden, um Ihre Daten vor Kriminellen zu schützen, die aus dem Darknet heraus operieren.

Dark-Web-Monitoring: Überprüfung Ihrer Daten im Darknet

Gewöhnlich verfügen Unternehmen über keine Präsenz im Darknet. Dennoch kann es wichtig sein, Informationen über Pläne und dort gehandelte potenzielle Angriffsziele zu erhalten. Dies kann durch ein Monitoring geschehen, das auf die Nennung Ihres Firmennamens ausgerichtet ist.

Entsprechende Software-Lösungen durchsuchen das Darknet permanent nach geplanten Attacken auf Ihr Unternehmen, Informationen zu akuten Bedrohungen sowie Daten, die aus Ihrer Firma stammen könnten. Sicherheitsdienstleister bieten darüber hinaus auch individuelle Services durch geschulte Mitarbeiter:innen sowie die Zusammenarbeit mit Insider:innen an, um herauszufinden, ob Ihnen eine Gefahr droht.

Security-Awareness-Training: Die Schulung von Mitarbeiter:innen

Der Hauptgrund, warum Kriminelle Sicherheitsmaßnahmen überwinden können, liegt in menschlichem Versagen. Die überwiegende Angriffsfläche bietet also die Belegschaft Ihres Unternehmens. Die Gründe dafür sind vielfältig: So kann beispielsweise ein mangelndes Bewusstsein möglicher Gefahren für Nachlässigkeiten im Umgang mit geschäftlichen Daten sorgen. Auch Unwissenheit in Bezug auf Angriffsmöglichkeiten und Sicherheitsbrüche kann Lücken in Ihrer Cyber-Security verursachen.

In diesem Zusammenhang sollten also ein Security-Awareness-Training und die Aufklärung von Mitarbeiter:innen wichtige Aspekte Ihrer Sicherheitsstrategie sein.

Dazu zählt vor allem, das Bewusstsein für Gefahren zu stärken: Sie sollten alle Personen mit Zugang zu Unternehmensdaten darüber aufklären, welche Gefahren drohen können, wie sie darauf reagieren sollten und wie sie für die Sicherheit von Daten sorgen. Ein Beispiel dafür ist der richtige Umgang mit Phishing-E-Mails anhand von Theorie und praktischen Beispielen.

Passwortsicherheit

Ein weiteres verbreitetes Problem ist die mangelhafte Sicherheit der in Unternehmen verwendeten Passwörter. Selbst wenn Ihre IT-Abteilung für eine hohe Passwortsicherheit bei Ihren internen Systemen sorgt, können zum Beispiel die Rechner und Accounts von externen Mitarbeiter:innen eine Gefahr darstellen.

Ein wesentlicher Punkt ist hierbei die Verwendung eines möglichst sicheren Passworts: Weder der eigene Name oder der naher Verwandter noch die Daten von Geburtstagen oder etwa generische Zahlenfolgen wie „12345678“ sollten als Passwörter dienen.

Stattdessen bietet eine Kombination aus Klein- und Großbuchstaben sowie Zahlen und Sonderzeichen einen deutlich besseren Schutz, zum Beispiel ein Passwort wie „z6Hbn3?Go2!d“.

Zudem sollten Sie und Ihre Mitarbeiter:innen Passwörter regelmäßig erneuern. Haben Kriminelle diese einmal entwendet, können sie durch den Handel im Darknet zu einem sehr einfachen Einfallstor für weitere Personen dienen, die Ihrem Unternehmen schaden wollen.

Auch durch eine Multi-Faktor-Authentifizierung (MFA) können Sie die Sicherheit von Passwörtern erhöhen: Ein gestohlenes Passwort allein nützt Unberechtigten in diesem Fall nichts. Personen, die das Passwort verwenden möchten, müssen dabei zusätzlich ihre Identität durch einen Code oder eine Bestätigung auf einem authentifizierten (Mobil-)Gerät nachweisen.

Identity-Access-Management

Die Anzahl der in Unternehmen verwendeten Rechner und Mobilgeräte ist deutlich gestiegen. Daneben gibt es mittlerweile viele Modelle, Mitarbeiter:innen mit eigenen Rechnern oder Leihgeräten am Geschäftsprozess zu beteiligen, wie etwa „Bring Your Own Device“ (BYOD). Voraussetzung muss allerdings immer sein, dass auch deren Sicherheit gewährleistet ist. Dies garantieren Sie unternehmensweit durch ein zentral gesteuertes Identity-Access-Management (IAM).

Dadurch verhindern Sie, dass Unbefugte sich Zugang zu Ihren Daten verschaffen. Das IAM erfolgt meistens im Zuge einer sogenannten Zero-Trust-Architektur Ihres Netzwerks. Statt eines pauschalen Zugangs für Berechtigte überprüfen Zero-Trust-Systeme die Authentifizierungen permanent anhand unterschiedlicher Parameter. Diese können Sie nach den Bedürfnissen Ihres Unternehmens definieren. Ob Ihre Daten on-premises oder in der Cloud zur Verfügung stehen, ist dabei unerheblich.

Damit Ihr Netzwerk aber die Authentifizierungen prüfen kann, müssen diese bekannt sein. Mit einem IAM-System können Ihre IT-Administrator:innen transparent Authentifizierungen verwalten und nach Bedarf ändern. Dazu gehören zum Beispiel Anwendungen für das Passwort-Management, Apps zur Implementierung von Sicherheitsrichtlinien sowie Reporting- und Monitoring-Apps.

Darknet: Das Wichtigste in Kürze

• Das Darknet ist ein kleiner Bereich des Deep Net, des nichtöffentlichen Teils des Internets.
• Der Zugang zum Darknet ist nicht mit normalen Browser-Programmen möglich. Stattdessen benötigt man spezielle Software wie den Tor-Browser.
• Im Darknet ist die Anonymität der User:innen weitgehend gewährleistet. Die Identität und Aktivitäten können Dritte nur sehr schwer nachverfolgen. Zum Beispiel können sich Journalist:innen und politisch Verfolgte unter diktatorischen Regimes aus diesem Grund dort bewegen und äußern, ohne Repressalien fürchten zu müssen.
• Neben rechtlich unbedenklichen Seiten wie Foren und Blogs gibt es im Darknet allerdings auch illegale Sammelpunkte und Handelsplattformen. Dort tauschen Kriminelle und Hacker:innen unter anderem verbotene Waren und Substanzen, gestohlene Daten und mögliche Angriffsziele aus.
• Jedes Unternehmen kann das Ziel einer im Darknet geplanten Cyber-Attacke sein. Mögliche Ziele der Kriminellen sind dabei Daten- und Passwortdiebstahl sowie die Erpressung von Unternehmen auf Grundlage dieses Wissens.
• Sie können Ihr Unternehmen allerdings durch ein gutes Sicherheitsmanagement vor Angriffen aus dem Darknet schützen. Dazu zählen unter anderem die Schulung DEEP Ihrer Mitarbeiter:innen, erhöhte Passwortsicherheit sowie ein Identity Access Management auf Basis von Zero-Trust.

Quelle:

https://www.vodafone.de/business/featured/digitales-business/digitale-geschaeftsprozesse/darknet-entstehung-bedeutung-und-risiken-fuer-unternehmen/