Im Fadenkreuz der Cyberkriminellen

Herr Maßloff, der Lagebricht des BSI spricht von neuen, raffinierten Angriffsszenarien, mit denen Cyberkriminelle zuschlagen. Welche dieser Methoden sind laut Ihrer Einschätzung für Behörden am gefährlichsten?

Da ist zunächst das sogenannte Spear-Phishing, das bildlich an den Speer angelehnt ist, zu nennen. Dabei verfassen die Kriminellen äußerst echt anmutende E-Mails, die zu logisch nachvollziehbaren und dadurch vermeintlich harmlosen Handlungen auffordern. Die aufwändig gefälschten Mails bringen Empfänger letztlich wesentlich schneller dazu, Anhänge zu öffnen oder auf gefährliche Links zu klicken. Als mögliche Folge steht etwaiger Schadsoftware das Tor zu wertvollen Daten weit offen.

Gibt es noch weitere Betrugsmethoden, die derzeit häufiger registriert werden?

Ja, der sogenannte CEO-Betrug liegt leider ebenfalls im Trend. Die Kriminellen geben sich auf Basis einer umfangreichen Informationssammlung als Vorgesetzte eines Mitarbeiters aus. So getarnt, weisen sie ahnungslose Sachbearbeiter zum Beispiel per Mail an, Überweisungen größerer Geldbeträge vorzunehmen.

Fällt das denn den Mitarbeitern nicht auf?

Die Masche ist schwer zu durchschauen. Das BSI schildert einen besonders kritischen Fall: Dabei erhielt die Mitarbeiterin einer Landesbehörde vom vermeintlichen Präsidenten des Amtes per Mail die personalisierte Anweisung, eine „vertrauliche Finanztransaktion“ in Höhe von 961.000 Euro vorzunehmen. Um der falschen Anweisung zusätzlichen Nachdruck zu verleihen, fingierten die Betrüger sogar den Anruf einer angeblichen Anwältin. Ob der Betrug noch rechtzeitig bemerkt wurde, lässt das BSI offen.

Die Attacken zielen vermehrt auf die Mitarbeiter ab – wie können sich Behörden dagegen effektiv schützen?

Wirkungsvolle Maßnahmen müssen einen ganzheitlichen Ansatz verfolgen. Um das Bewusstsein der Mitarbeiter für die gestiegene Gefahrenlage zu sensibilisieren, empfiehlt sich ein konkreter Katalog mit Verhaltensregeln. In diesem Sinne hilft die Implementierung eines sogenannten Informationssicherheits-Managementsystems (kurz: ISMS), das Gefahrenpotenzial zu senken. Denn: Für ein ISMS müssen Unternehmen nicht nur die eigenen IT-Systeme einer kritischen Analyse unterziehen. Vielmehr spielen Schulungen und Audits beim ISMS eine genauso entscheidende Rolle.