Cyberangriffe: die unterschätzte Gefahr

Als Geheimnisträger für ihre Mandaten sind Unternehmervertraute beliebte Ziele von Datendieben und Erpressern. Das Ausmaß der Schäden und der damit verbundene Betriebsausfall können eine Sozietät in die Knie zwingen. Die Kanzlei Kapellmann hat diesen Albtraum gerade durchlebt und ihre Lehren daraus gezogen.

Die Attacke kommt aus heiterem Himmel. Es ist Freitag, der 3. Februar 2023. Alle Partner der Wirtschaftskanzlei Kapellmann sind am Standort Düsseldorf zusammengekommen, um turnusmäßig eine neue Geschäftsführung zu wählen. Heiko Fuchs, Spezialist für Baurecht und Geschäftsführer Marketing der Kanzlei, wird für eine weitere Amtszeit bestätigt. Auch zwei neue Köpfe sind dabei, unter anderem ein Kollege für den Bereich Organisation und IT, dieser wird in den nächsten Tagen seine Feuertaufe erhalten.

Am nächsten Morgen schaltet Fuchs sein Handy ein, um seine E-Mails zu checken, und erhält eine Fehlermeldung: „kein Zugriff auf den Server“. „Ich habe mir zunächst nichts Ernstes dabei gedacht“, erinnert sich Fuchs, dennoch informiert er den IT-Leiter der Kanzlei. Aber auch der Mitarbeiter kann den Server nicht erreichen. Dieser fährt ins Rechenzentrum und eine Stunde später ist klar: Der Worst Case ist eingetreten. Die Daten sind verschlüsselt. Ein Ransomware-Angriff.

Auf dem Hauptserver haben die Erpresser eine Datei mit Lösegeldforderungen hinterlegt: „Instructions_Readme.txt“, die zu einem Chatroom im Darknet führt. Bei Kapellmann werden sofort alle Leitungen gekappt, die gesamte Kanzlei wird vom Netz genommen, doch es ist zu spät, alle sieben Standorte, einschließlich des Büros in Brüssel, sind infiziert – nichts geht mehr. Was jetzt? Ein Krisenstab muss her. Allerdings sind alle Kontaktdaten im IT-System gespeichert und ebenfalls verschlüsselt. Mithilfe von WhatsApp wird ein zehnköpfiges Team zusammengetrommelt. Die ersten 48 Stunden wird rund um die Uhr analysiert und konferiert. Nach und nach wird der gesamte Schaden sichtbar.

Glück im Unglück: Sechs Monate zuvor hatte Kapellmann eine Cyberversicherung abgeschlossen. Das von dem Versicherer durchgeführte Audit bescheinigte, dass alle Sicherheitsvorkehrungen vorschriftsmäßig eingehalten wurden.

Kapellmann erstattet Anzeige und sucht Kontakt zum Landeskriminalamt über eine spezielle Hotline. Allerdings: An jenem Wochenende ist die Stelle nicht besetzt. Hilfe kommt vom Versicherer, der ebenfalls informiert wird und der Kanzlei noch am selben Tag einen erfahrenen Experten samt Erste-Hilfe-Paket zur Seite stellt. Dieser übernimmt auch die Kommunikation mit den Erpressern.

Die Hacker sind keine Unbekannten. Immerhin lässt sich davon ausgehen, dass man es mit Profis zu tun hat. Das ist nicht selbstverständlich: Denn inzwischen sind auch viele Amateure am Werk und es kommt immer wieder vor, dass selbst bei der Zahlung des Lösegelds die Daten nicht vollständig rekonstruiert werden können. Dies zeigt auch eine Befragung von 400 IT-Entscheidern in mittelständischen Unternehmen in Deutschland durch das Softwareunternehmen Sophos aus dem vergangenen Jahr. Demnach entschieden sich 42 Prozent der Unternehmen, die Opfer eines Ransomware-Angriffs geworden sind, dazu, Lösegeld zu zahlen. Doch trotz Lösegeldzahlungen erhielten sie durchschnittlich nur 64 Prozent ihrer Daten zurück.

„Cybererpressung und Datendiebstahl haben sich in den vergangenen Jahren zu einem wichtigen Wirtschaftszweig der organisierten Kriminalität entwickelt“, berichtet Uwe Knebelsberger vom Sicherheitsberatungsunternehmen Corporate Trust aus München. Auf verschiedenen Plattformen im Darknet könnten sich Kriminelle mit Software für Cyberangriffe versorgen und Speicherkapazität zum Ablegen der gestohlenen Daten mieten sowie Chatforen nutzen.

Die Zahl der Cyberangriffe steigt seit Jahren. Nach einer Untersuchung des Digitalverbands Bitkom waren 84 Prozent der befragten Unternehmen 2022 Ziel eines Angriffs. Der deutschen Wirtschaft entstand dadurch ein Schaden von rund 203 Mrd. EUR. Auch Kanzleien sind beliebte Ziele von Hackern. Sie verfügen über sensible Daten und sind häufig nicht ausreichend vor Angriffen geschützt.

Die meisten Attacken kommen nach wie vor per E-Mail, sagt Marc Maisch, Fachanwalt für IT-Recht und Gründer des Portals datenklau-hilfe.de: „Oft wird es den Hackern viel zu einfach gemacht, denn die Mitarbeiter sind nicht ausreichend sensibilisiert.“ Ein falscher Mausklick und die Schadsoftware installiert sich unbemerkt im Hintergrund. Eine neue beliebte Masche ist „Voice Phishing“ – auch Vishing genannt. Dabei imitieren die Betrüger mittels Software die Stimme eines Entscheidungsträgers und verwenden eine gefälschte Telefonnummer – Caller ID Spoofing genannt. So versuchen die Täter an Geld, Daten und Geschäftsgeheimnisse heranzukommen. „Viele Sekretariatskräfte kennen die Mandanten nicht persönlich. Wird dann noch vonseiten des Anrufers Druck aufgebaut, vergessen die Mitarbeiter oft alle Vorsichtsmaßnahmen“, sagt Maisch. Sogar per Video können gewiefte Profis inzwischen in die Rolle ihrer Opfer schlüpfen, dabei wird manipuliertes Audiomaterial über ein Video gelegt. Noch ausgefeilter sind Deepfake-Videos, bei denen mithilfe von KI die Identität des Opfers imitiert wird. Die Gesprächsteilnehmer bemerken meist nicht oder erst zu spät, dass sie es nicht mit der echten Person zu tun haben.

Wie schützt man sich vor einem Hackerangriff? „Der erste Sicherheitswall sind die Mitarbeiter, daher ist gerade in Kanzleien die regelmäßige Schulung über den Umgang mit Cybergefahren so wichtig“, sagt Maisch. Durch Penetrationstests ließen sich zudem Schwachstellen im System aufdecken. Außerdem sollten alle Softwareprodukte auf dem aktuellen Stand sein. Das bedeutet, die von den Herstellern empfohlenen Updates müssen installiert sein. Das forderten auch die Versicherer von ihren Kunden ein, so Maisch. Back-ups, idealerweise an mehreren Standorten und in regelmäßiger Frequenz, sollten ebenfalls selbstverständlich sein. „Das ungewollte Herunterladen von Malware durch das Anklicken eines Dateianhangs lässt sich z.T. verhindern, wenn die Makroschnittstelle von Office-Produkten deaktiviert wird“, verrät Maisch. Weitere einfache Sicherheitsmaßnahmen sind die Zwei-Faktor-Authentifizierung, insbesondere wenn die Daten extern gespeichert werden, die elektronische E-Mail-Signatur sowie die Verschlüsselung von E-Mails. Zudem gibt es auch die Möglichkeit, über spezielle Programme, z.B. Anwaltssoftware, Datenräume einzurichten, über die Kanzleien und Mandanten ihre Dateien sicher und vertraulich austauschen können. Die meisten dieser Vorsichtsmaßnahmen seien bekannt, so Maisch. Aus Bequemlichkeit werde aber längst nicht alles umgesetzt, was möglich sei. Die Folge: Die Täter haben leichtes Spiel.

„Es hagelt momentan Schäden“, bestätigt Victor Margaritopoulos vom Spezialmakler Gracher. Die Schadensquote sei so hoch, dass die Kollegen aus den Versicherungsunternehmen z.T. die Wochenenden durcharbeiten. Das spiegele sich auch in den Prämien wider. Im Bereich der Cyberversicherung etwa hätten sich die Prämien verdoppelt bei gleichzeitig hoher Selbstbeteiligung. Viele Unternehmen fänden erst gar keinen Versicherer. „Lediglich 30 Prozent der interessierten Unternehmen erfüllen die strengen Anforderungen einer qualifizierten Risikoprüfung und können eine Cyberversicherung abschließen“, berichtet der Versicherungsexperte. Je nach Versicherungssumme müssen die Unternehmen einen Fragenkatalog mit Risikofragen beantworten oder ein Risikoaudit durchführen lassen. Magaritopoulos rät grundsätzlich zum Risikoaudit, um mögliche Obliegenheitsverstöße von Anfang an auszuschließen. Zudem sollte im Vorfeld abgeklärt werden, was von der Vertrauensschadensversicherung und was von der Cyberversicherung abgedeckt werde. Denn auch hier liege der Teufel oft im Detail.

„Ist ein Hackerangriff erfolgt, ist das Wichtigste, erst einmal Ruhe zu bewahren und eine Strategie festzulegen. Viele reagieren in einer Schadenssituation kopflos“, beobachtet Margaritopoulos. „Wichtig wäre es, sich auf verschiedene Angriffsszenarien vorzubereiten, damit im Fall des Falles jeder weiß, was zu tun ist.“ Makler wie Gracher und deren Versicherungspartner begleiten die Unternehmen und Kanzleien auch im Schadensfall und schalten Profis ein, die dann das Krisenmanagement übernehmen.

Uwe Knebelsberger verantwortet bei Corporate Trust den Bereich Risiko- und Krisenmanagement und wird häufig als Berater bei Cyberangriffen hinzugezogen. „Gerade Unternehmen oder Kanzleien, die ein Cyberangriff unvorbereitet trifft, sind schnell bereit, auf die Lösegeldforderungen einzugehen“, weiß der Sicherheitsexperte aus der Praxis. Dann komme es darauf an, erst einmal den Puls runterzubringen, sich einen Überblick über die tatsächlichen Risiken zu verschaffen und eine Strategie festzulegen: Welche Systeme sind überhaupt betroffen? Gibt es Back-ups? Gibt es Meldepflichten? Wie soll die Kommunikationsstrategie aussehen?

Sind nach einem Cyberangriff personenbezogene Daten betroffen, müssen Unternehmen dies nach der DSGVO innerhalb von 72 Stunden bei der zuständigen Behörde melden. Welche zuständig ist, variiert von Bundesland zu Bundesland. Grundsätzlich empfiehlt Knebelsberger, offen mit einen Cyberangriff umzugehen. Von Verlautbarungen zu „vorübergehenden IT-Ausfällen oder Wartungsarbeiten“ hält er nichts. „Die Mitarbeiter werden ohnehin schnell informiert und am Ende bekommen die Kunden und Geschäftspartner diese Informationen ebenfalls. Dann hat man aber keine Kontrolle über die Kommunikation.“

Entscheidet sich das betroffene Unternehmen oder die Kanzlei, Kontakt mit den Erpressern aufzunehmen, wird ein Verhandlungsführer bestimmt. Wichtig sei es, sich zeitlich nicht unter Druck setzen zu lassen. Handelt es sich um einen Ransomware-Angriff, wird in der Regel ein „Proof of Data“ von einem unkritischen Datensatz gefordert, als Nachweis, dass die Täter in der Lage sind, die Daten wieder zu entschlüsseln. Ebenso sollten geleakte Dateien von den Tätern abgefragt werden. Wenn keine rechtlichen Ausschlussgründe vorliegen, kann in Abstimmung mit den Strafverfolgungsbehörden eine Verhandlung über die Zahlung des Lösegeldes beginnen. Nach Knebelbergers Erfahrung bleiben am Ende meist 40 bis 60 Prozent der ursprünglichen Forderung übrig. Bezahlt wird i.d.R. in Bitcoin über eine Krypto-Bank. Die Transaktion muss bei der Bafin angemeldet werden. „Um straffrei zu bleiben, müssen zudem Polizei und Staatsanwaltschaft immer eingebunden werden“, sagt Knebelsberger. Weiterhin müsse geprüft werden, ob gegen Sanktionen oder Embargos verstoßen werde. Erhält der Sicherheitsexperte grünes Licht, macht er erst einmal eine Probeüberweisung, um zu schauen, ob die Bitcoins auch bei den Erpressern ankommen. Möglicherweise hat sich ein Trittbrettfahrer Zugang verschafft und leitet das Geld auf ein anderes Konto weiter. Ist die Transaktion abgeschlossen, erhalten die Unternehmen ihre Daten unverschlüsselt zurück, sofern den Tätern kein Softwarefehler unterlaufen ist.

Und was, wenn die Erpresser die Daten trotz Lösegeldzahlung im Darknet veröffentlichen? „Es besteht immer ein Restrisiko, dass die Daten weitervermarktet werden“, sagt Knebelsberger. „Allerdings – so seltsam es klingt: Auch Verbrecher haben eine Reputation zu verlieren.“

Der Kanzlei Kapellmann gelang es schließlich, ihre Daten zu entschlüsseln. Nach vier, fünf Wochen konnten die rund 360 Mitarbeiter wieder einigermaßen normal arbeiten. Dennoch entschied sich die Kanzlei, alle Systeme komplett neu aufzusetzen. Inzwischen sind die Daten mit einer doppelten Firewall geschützt. Die IT-Administratoren arbeiten über ein separates Netzwerk über VPN und Zwei-Faktor-Identifikation. Zudem werden die Mitarbeiter zukünftig regelmäßig in Sachen Cybersicherheit geschult. Den Krisenstab hat Kapellmann institutionalisiert und die Krisenpläne liegen fertig in der Schublade. „Wir sind auf weitere Angriffe vorbereitet“, sagt Fuchs. „Hätten wir im Vorfeld alle Szenarien durchdacht und die Abläufe detaillierter geplant, wären wir noch schneller gewesen.“ Der Illusion, dass die Kanzlei nie wieder Opfer einer Cyberattacke wird, gibt sich Fuchs indes nicht hin: „Wir machen es den Angreifern so schwer wie möglich, einen hundertprozentigen Schutz gibt es aber nicht.“

Illustration: Stefanie Schwary