Angriff aus der Supply-Chain

Ob die 70 Millionen US-Dollar, die die in Russland vermutete Hackergruppe REvil mit der Kaperung des IT-Dienstleisters Kaseya im Juli 2021 erpressen wollte, gezahlt worden sind, ist ungewiss. Denn urplötzlich sind Website und sonstige Aktivitäten von REvil „offline“ gegangen. Immerhin: Kaseya hat inzwischen den „Schlüssel” erhalten, mit dem die von der Attacke betroffenen Kunden des IT-Dienstleisters wieder Zugriff auf ihre Daten bekommen. Was dahinter steckt, darüber kann bisher nur spekuliert werden. Sicher ist jedoch: Das Problem mit Hackern, die gezielt die Supply Chain von Unternehmen angreifen, wird damit nicht verschwinden. Im Gegenteil: Obwohl die Strategie nicht neu ist, wird sie immer öfter eingesetzt. Allein REvil hat in diesem Jahr eine Handvoll großer Unternehmen angegriffen, darunter den IT-Hersteller Asus, den Fleischkonzern JBS oder die Harris Foundation.

Der jüngste Großangriff auf Kaseya ist besonders perfide. Denn Kaseya selbst ist Zulieferer vieler anderer IT-Dienstleister für operative Unternehmen. Darum ist nicht nur Kaseya selbst betroffen, sondern auch die Kunden und die Kunden der Kunden. Insgesamt wird die Anzahl der Geschädigten auf 800 bis 2.000 Unternehmen geschätzt. Ein Super-Gau, der unter anderem in der zeitweiligen Schließung der schwedischen Supermarktkette Coop resultierte. Zugriff auf die eigenen Daten gibt es erst dann wieder, wenn die Erpressungssumme gezahlt worden ist. Besonders gefährdet sind Unternehmen, die über die finanziellen Mittel verfügen, dass sich eine Erpressung auch lohnt. Dabei geht es den Angreifern nicht immer um Erpressungsgelder. Auch Wirtschaftsspionage ist ein häufiges Motiv; kein Wunder, dass Deutschlands Unternehmen besonders im Fadenkreuz der Kriminellen stehen.

Die Angreifer arbeiten sich teils systematisch durch die gesamte Supply-Chain, bis sie ihr wahres Ziel erreicht haben. Von „Island Hopping“ sprechen Experten – von Zulieferer zu Zulieferer hüpfen die Kriminellen vorwärts. Das ist gerade bei besonders sensiblen Unternehmen wie Finanzdienstleistern oder Innovationsmarktführern offenbar die zielführendere Variante als der direkte Angriff von außen und deutlich effizienter für den Angreifer, weil er gleich mehrere Ziele parallel ins Visier nehmen kann.

Weil viele Mittelständler Schwierigkeiten haben, eigene IT-Fachkräfte anzuwerben, lagern sie selbst zentrale IT-Funktionen an entsprechende Spezialisten aus. Diese externen Dienstleister müssen, um ihre Arbeit erledigen zu können, umfassende Zugriffsrechte auf die Unternehmens-IT erhalten. Das gilt allerdings nicht nur für IT-Dienstleister, sondern auch für fast jeden Austausch von Daten und Software zwischen Lieferanten und Kunden. Auch die Buchhaltungssoftware muss regelmäßig aktualisiert werden – der Nutzer selbst hat aber kaum eine Möglichkeit zu erkennen, ob die korrekte Software gegen Schadsoftware ausgetauscht worden ist. Updates aus der Ferne sind ein beinahe täglicher Vorgang in Zeiten des Cloud Computings. Da der Absender vertrauenswürdig ist, hat die IT-Sicherheit entsprechende Öffnungen im Abwehrwall gelassen. Einem Bericht von eSecurity Planet zufolge hatten schon 2017 durchschnittlich 181 unterschiedliche Lieferanten Zugriff auf das Netzwerk eines Kunden. Doch selbst die IT eines Unternehmens hat meist keinen vollständigen Überblick, wer eigentlich alles von extern zugreifen kann. Kein Wunder bei diesen Dimensionen: Bei jedem vierten kleinen und mittleren Unternehmen sollen in einer normalen Woche so viele externe Lieferanten auf das Netzwerk zugreifen wie die Unternehmen Mitarbeiter haben.

Nicht nur Cloud Computing, auch die höhere Innovationsgeschwindigkeit führt zu häufigeren Updates (bei denen vielfach auch neue Sicherheitslücken geschlossen werden sollen) und damit externen Zugriffen. In der Produktion wird zudem die Entwicklung der Industrie 4.0 den Austausch innerhalb der Supply Chain intensivieren. Dabei wird nicht nur das Schreckensszenario wildgewordener, weil fremdgesteuerter Roboter mit entsprechender Gefährdung von Arbeitern in der Produktion wahrscheinlicher, wie bereits der Stuxnet-Angriff aus dem Jahr 2010 gezeigt hatte. Selbst relativ kleine Elemente in der Supply Chain können ganze Unternehmen lahmlegen. Die bisherigen Risikoanalysen von Lieferanten – können sie ihre Vorprodukte zuverlässig liefern? – müssen um die Cyber-Security-Komponente erweitert werden. Keine einfache Aufgabe, wenn die IT-Kompetenz dazu nicht im Hause vorhanden ist. Und vor allem, wenn selbst die Security-Spezialisten selbst vielleicht zum Risiko werden könnten – siehe Kaseya. Sogar quelloffene Software, die also transparenten Blick in den Programmier-Code gewährt, scheint vor den Angreifern nicht sicher zu sein – denn diese verschleiern ihre Schadsoftware beispielsweise mit skurrilen Dateiformaten, die niemand genau überprüft.

Wem können Unternehmen also noch vertrauen? Und wie sich wehren? Die Empfehlungen der Sicherheits-Spezialisten reichen vom Naheliegenden wie Schulungen der Mitarbeiter bis zum Einsatz von Künstlicher Intelligenz. Microsoft beispielsweise empfiehlt, alle Sicherheits-Updates sofort zu installieren, digitale Signaturen und für den Notfall die Definition eines Prozesses, wie auf eine Sicherheitsverletzung sofort reagiert werden sollte. Aber auch klare Vorgaben, nach denen beispielsweise die Integrität eines Software-Codes geprüft werden kann, damit nur sichere Applikationen etc. im Unternehmen genutzt werden können. Weitere Tipps sind regelmäßige Backups zur Datensicherung, die Definition klarer Zuständigkeiten, die umfassende Einführung von Monitoring- und Reporting Programmen, die jegliche Dritt-Anwenderzugriffe überprüft und nicht zuletzt ein direkter Draht zu den Zulieferern, damit diese schneller reagieren können. Das alles ist keine einfache, schnelle Lösung – doch die Angriffe werden nicht weniger werden. Ohne den nachhaltigen Schutz vor Cyberattacken ist die Zukunft des vernetzten Arbeitens, wie IoT (Internet of Things) und 5G es immer einfacher und schneller erlauben, in Gefahr.

Der Beitrag erschien erstmals online bei „results. FinanzWissen für Unternehmen“, Deutsche Bank AG; Autor: Bastian Frien