Cyberkriminalität: "Wir sind um Längen hinterher"

In Berlin findet das Jahresforum der privaten Hochschule "European School of Management and Technology" (ESMT) statt. Das Thema in diesem Jahr ist die Digitalisierung. Sandro Gaycken ist Direktor des "Digital Society Institutes" an der ESMT und gilt als renommierter Experte beim Thema Internetkriminalität.

Herr Gaycken, wo sehen Sie bei der Kriminalität im Internet die größte Herausforderung für Unternehmen?

Es gibt eine ganze Reihe von neuen Angriffsmodellen, die wir beobachten. Was gerade sehr viel verbreitet wird, ist eine sogenannte "Ransomware". Das sind Angriffe, die Daten eines Unternehmens verschlüsseln. Nur gegen Zahlung eines Lösegeldes kommt man dann wieder an die Daten heran. Das kann große, kleine und mittelständische Unternehmen treffen.

Im Bereich Banking und Finance sehen wir vermehrt Angriffe, die sich mit Börsenmanipulation beschäftigen und mit der Übernahme von Überweisungsprozessen. Erst vor Kurzem gab es den Versuch, bei einer Bank aus Bangladesch in New York, eine Milliarde US-Dollar zu überweisen. 80 Millionen haben sie tatsächlich transferiert. Wenn die Milliarde geklappt hätte, dann wäre das der größte Bankraub der Geschichte gewesen.

Sie beraten Unternehmen. Von welcher Art Angreifern berichten die?

Wir haben die normalen Kleinkriminellen. Die arbeiten vor allem mit der Erpressungssoftware. Dann sind da auch noch die organisierten Kriminellen. Die haben jetzt stärkeres Interesse an Cyberkriminalität entwickelt - vor allem im Bereich Banking und Finance. Sie wollen ein bisschen weg von den klassischen Geschäftsmodellen - hin zu Innovativem. Und dann gibt es auch noch die staatlichen Angreifer, die sich im Bereich strategische Spionage und Industriespionage tummeln.

Wer stellt in Unternehmen ein größeres Sicherheitsrisiko dar: Der Mensch oder die Maschine?

Das Sicherheitsrisiko besteht auf beiden Ebenen. Man sagt immer pauschalisierend, der Mensch ist das größte Risiko. Menschen kann man leicht angreifen, damit sie dann Eingriffe weiter in die IT tragen. Aber wenn die Menschen nicht angreifbar sind, dann ist die IT auch immer noch reichlich angreifbar. Also von daher ist beides gleich zu gewichten.

Haben große Unternehmen beim Thema Cybersicherheit einen Vorteil vor kleineren und mittelständischen Unternehmen?

Kleine und mittelständische Unternehmen haben das Problem, dass sie sich nicht so gut wappnen können wie die Großkonzerne. Dafür bieten die großen natürlich mehr Angriffsfläche. Die Kleinen haben allerdings häufig gar nicht die Expertise im Haus, um gut informiert einzukaufen. Sie wissen oft gar nicht genau, was ihre Risiken und ihre Probleme sind und wo sie was absichern müssen. Viele der Sicherheitstechnologien, die empfohlen werden, sind außerdem viel zu teuer für die kleinen und mittelständischen Unternehmen. Das wissen die Angreifer auch und setzen gezielt dort an.

Stichwort 4.0., also Maschinen, die miteinander kommunizieren, werden für die Industrie immer wichtiger. Ist das die nächste offene Flanke für potenzielle Cyberangriffe?

Sicherlich! Es gibt schon eine ganze Menge Angriffe. Es gab in letzter Zeit zum Beispiel einen versehentlichen Angriff auf einen deutschen Nuklearreaktor. Da wurde der Ladekran für Nuklearmaterial infiziert. In Schweden ist die Luftsicherheit angegriffen worden und war mehrere Stunden offline. Auch ein sehr hohes Risiko. Von den Betreibern kritischer Infrastruktur gibt es immer mehr Meldungen und mehr Besorgnis.

Glauben Sie, dass die Cyberkriminalität Einfluss auf die Entwicklung der Digitalisierung haben wird?

Ich hoffe, dass positive Lektionen daraus gelernt und die Systeme sicherer und besser gebaut werden. Aber da ist die IT-Industrie noch nicht Willens, weil die Prozesse, alles noch mal neu und sicherer zu bauen, sehr aufwendig und teuer sind.

Unternehmen könnten sich als Reaktion ja auch weigern, die Digitalisierung weiter mitzugehen.

Da gibt es durchaus auch Firmen, die sagen: Mir reicht es jetzt. Ich gehe bis hierhin und nicht weiter. Man merkt es bei Industrie 4.0, wo viele Maschinenbauer sagen, dass sie das gar nicht brauchen und darin nicht den zusätzlichen Nutzen sehen.

Die Sicherheitsindustrie ist in den letzten Jahren sehr stark gewachsen. Kommt sie dennoch mit den Entwicklungen der "Angreifer" noch mit?

Die kommt nicht mit! Die müsste vor allem neue Ideen entwickeln. Das ist die gleiche Soße wie aus den 90er-Jahren, die seit Jahren versagt. Alle tun so als hätten sie etwas Neues erfunden, aber am Ende verkaufen die Unternehmen Altes unter neuen Labels. Die müssten dringend etwas Geld in die Hand nehmen und neue Ansätze entwickeln. Da ist das Problem aber, dass es meisten kleine und größere mittelständische Firmen sind, die kein Budget für Entwicklung ausgeben. Dadurch ist dieser Bereich den Angreifern immer um Längen hinterher.

Sandro Gaycken ist Direktor des Digital Society Instituts an der ESMT. Er forscht vor allem zum Thema Cyberkriminalität und berät Unternehmen, Organisationen und den deutschen Staat. So war er beispielsweise beim No-Spy-Abkommen zwischen China und Deutschland beteiligt.

Das Interview führte Nicolas Martin.