Denken wie ein Angreifer

Denken wie ein Angreifer

Das Schadprogramm Stuxnet sabotierte 2010 iranische Atomanlagen. Nun wurde bekannt, dass das Virus offenbar selbst nur ein Teil eines geheimen Cyber-Angriffsplans war, der den ganzen Iran komplett lahmlegen sollte. Auch im Bereich der Wirtschaftskrimininalität sind deutsche Betreiber von kritischen Infrastrukturen vor Cyberattacken nicht gefeit. Wie sollen sich Betreiber kritischer Infrastrukturen am besten aufstellen, um sich vor solchen Angriffen zu schützen?

Ansprechpartner

Director, Security Consulting

KPMG AG Wirtschaftsprüfungsgesellschaft

Kontakt

Verwandte Inhalte

two men fighting

Kraftwerke abschalten, Krankenhäuser lahmlegen, Industrieanlagen sabotieren: Viele aktuelle Konflikte finden zunehmend im digitalen Raum statt. Die Stuxnet-Attacke von 2010 gilt als der erste erfolgreiche „Cyber-Erstschlag" in der Militärgeschichte: Das Schadprogramm Stuxnet zerstörte zahlreiche Zentrifugen in der iranischen Atomanlage bei Natanz. 

Damals wurden die Laptops von externen Service-Technikern unbemerkt infiziert, welche die Schadsoftware dann ungewollt in die Atomanlage einschleusten. Das Virus war so programmiert, dass die Geräte einen normalen Betriebsablauf anzeigten, während die empfindlichen Maschinen zur Anreicherung von Uran zu Hunderten ausfielen – ein Rückschlag für das iranische Atomprogramm. 

Infrastruktur in Mitleidenschaft ziehen

Wie die New York Times vor kurzem berichtete, war Stuxnet womöglich selbst nur Teil eines sehr viel weitergehenden Angriffsplans der USA. Demnach hätten auch Stromversorgung, Kommunikationsnetze und weitere zentrale Infrastruktur im Iran lahmgelegt werden sollen, wenn der Befehl zur Umsetzung des Plans gegeben worden wäre. Es fehlte die politische Entscheidung.

Ein Angriff dieser Art hätte weitreichende Folgen auch für Irans Zivilbevölkerung gehabt. Der Plan mit dem Codenamen „Nitro Zeus“ bestätigt somit Szenarien, vor denen Experten seit Jahren warnen. 

Digitale Wirtschaftsspionage und Internet-Kriminalität gehören zum Alltag

Nicht nur im Iran, auch in Deutschland sind kritische Infrastrukturen im Falle eines Cyberkriegs erheblich gefährdet – man denke nur an die Attacke auf ein deutsches Stahlwerk oder an den Hacker-Angriff auf den Bundestag im Mai vergangenen Jahres.

„Aus technischer Sicht können die gleichen Maßnahmen verwendet werden, um ganze Anlagen lahmzulegen, Städte und Regionen vom Strom abzuschneiden, oder moderne Kommunikationsnetze zu stören“, erklärt KPMG-Sicherheitsexperte Marko Vogel.

Auch einzelne, gezielte Angriffe mit fortgeschrittenen Methoden, sogenannte APTs (Advanced Persistent Threats), stellen eine erhebliche Gefahr dar. Nicht nur Staaten kommen hierbei als Verursacher in Betracht, sondern in zunehmendem Maße auch Terrororganisationen, professionelle Hackergruppen und die organisierte Kriminalität.

Standardmaßnahmen reichen nicht mehr aus

Der Schutz gegen Cyberwaffen und APTs erfordert ein radikales Umdenken im Sicherheitsbewusstsein. Standardmaßnahmen der Unternehmenssicherheit wie etwa Virenscanner, Firewalls und Sicherheitsupdates sind bei Weitem nicht mehr ausreichend. Vielmehr gilt es, die Denkweise eines Angreifers selbst anzunehmen und aus dieser Perspektive die vorhandene Infrastruktur Schritt für Schritt zu härten. 

Nur wenn Betreiber kritischer Infrastrukturen das Thema Cybersicherheit ganzheitlich angehen, können sich Sicherheitsverantwortliche von der traditionellen Angriffsbekämpfung lösen und eine modernere Abwehrstrategie entwickeln, ist Vogel überzeugt. Dazu gehört auch, realitätsnahe Cyber-Attacken zu simulieren, um Schwachstellen in Unternehmensnetzwerken und -systemen aufzuspüren und die gezielte Analyse neuartiger Angriffsvektoren. „Dabei konzipieren wir in enger Abstimmung mit unseren Kunden maßgeschneiderte und transparente Sicherheitsanalysen“, erklärt Vogel. Der Angriff auf sich selbst ist somit die beste Verteidigung.

 

Cyber Security

Cyber Security

Risiken managen kann nur, wer sie kennt.

So kontaktieren Sie uns

 

Angebotsanfrage (RFP)

 

Absenden

KPMG's neue digitale Plattform

KPMG's neue digitale Plattform