"Angriffszeiten werden strategisch gewählt"

Herr Sattler, wie entwickelt sich die Bedrohungslage für Unternehmen durch Cyber-Attacken aktuell?

Die Bedrohungen durch Cyberangriffe nehmen weiter zu. Sowohl quantitativ als auch qualitativ.

Was ist der Grund dafür?

Ein wesentlicher Treiber dieser Entwicklung ist Künstliche Intelligenz. Mittlerweile können KIs auf das Internet zugreifen, entsprechend alle Informationen zu einer Person oder einer Firma recherchieren und dann sehr passgenaue Angriffe fahren, beispielsweise indem per E-Mail Spam-Texte verschickt werden, die psychologisch so angelegt sind, dass die Empfänger mit einer hohen Wahrscheinlichkeit Anhänge oder Links anklicken. Auch technisch werden die Angriffe durch KI-Unterstützung effektiver. KI hat für Angreifer vieles vereinfacht. Im Darknet hat sich mittlerweile eine funktionierende Marktwirtschaft entwickelt, in der Freelancer Cyberattacken als Dienstleistung anbieten. Zwar sind durch KI auch bessere Abwehrmechanismen möglich, aber insgesamt nimmt die Bedrohungslage weiter zu, die Internetkriminalität wächst stetig.

KI liefert hier sehr echt aussehende Fälschungen.

Was sind die neuesten Trends bei den Cyberangriffen?

Es sind nach wie vor DDoS-Attacken, bei denen Server und Websites durch Cyber-Kriminelle überlastet werden, Ransomware-Angriffe und Phishing Mails, mit denen Unternehmen zu kämpfen haben. Das Ganze hat aber eine neue Qualität erreicht. Heute reicht es beispielsweise nicht mehr aus, zu wissen, dass es Phishing Mails gibt. Konnte man sie früher noch an falscher Grammatik oder Rechtschreibfehlern erkennen, ist das heute ungleich schwerer. KI liefert hier sehr echt aussehende Fälschungen. Man muss sehr genau schauen und sich konzentrieren, um Phishing Mails zu identifizieren, insbesondere da sie immer öfter auf einzelne Personen zugeschnitten und sauber formuliert sind. Bei Phishing-Mails ist rund um große Business-Events besondere Vorsicht geboten. Hier wird darauf gesetzt, dass die Leute im Stress sind und nicht immer so genau hinschauen, worauf sie klicken.

Besonders gefürchtet sind Ransomware Angriffe, bei denen Angreifer mit Schadprogrammen die Festplatte ihrer Opfer verschlüsseln und Lösegeld für die Daten fordern. Was tut sich in diesem Bereich?

Im Darknet wird Malware-as-a-Service angeboten. Wer kriminelle Absichten hat, muss also gar nicht mehr selbst ein Hacker sein, sondern kann sich seinen Verschlüsselungstrojaner oder ein Bot-Netz für einen DDoS-Angriff im Darknet mieten und bezahlt den Hacking-Freelancer auf Provisionsbasis. Auch sind die Zeitspannen kürzer geworden. Haben sich Hacker früher zunächst tagelang im System umgeschaut, erfolgt die Verschlüsselung heute deutlich schneller. Außerdem wählen Kriminelle ihre Angriffszeiten zunehmend strategisch aus, zum Beispiel an Wochenenden oder Feiertagen.

Wie können Unternehmen auf die steigende Anzahl von Cyberattacken reagieren?

Das oberste Gebot ist es, Redundanzen zu schaffen. Eine Möglichkeit sind regelmäßige Backups. Aber Achtung, man sollte die Backups nicht nur anlegen, sondern auch ausprobieren, ob man sie wieder einspielen kann. Sonst erlebt man im Ernstfall womöglich eine unangenehme Überraschung. Wichtig ist es auch, sich nicht mit seinen Backups zu verzetteln. Man sollte schon wissen, welches das aktuelle ist und wie man es auf dem Rechner wiederherstellt. Eine Firewall und ein Virensanner, die stets up-to-date gehalten werden, sollten selbstverständlich sein.

Elektronische Signaturen zur Authentifikation von Dokumenten erhöhen die Sicherheit deutlich. Dies erfordert allerding einen gewissen Aufwand, um dies technisch vorzubereiten und umzusetzen. Für sensible Dienste ist eine Mehr-Faktor-Authentifikation sehr effizient.

Wer völlig auf Nummer Sicher gehen möchte, kann eine Zero-Trust-IT-Architektur etablieren. Dieses Sicherheitskonzept misstraut allem und setzt auf eine kontinuierliche Überprüfung und Authentifizierung aller Benutzer und Geräte. Auch eine Segmentierung der Netzwerke ist sinnvoll, um einen möglichen Schaden zu begrenzen. Darüber hinaus gibt es noch weitere ausgeklügelte technische Lösungen, die Bedrohungen in Echtzeit erkennen und diese sofort bekämpfen können. Aber solche „End-to-Endpoint Detection and Response“-Lösungen sind sehr kostenintensiv und eher für große Organisationen sinnvoll. Cybersicherheit ist immer auch eine Ressourcenfrage.

Oft entstehen Sicherheitslücken auch, weil Menschen eine Software nicht richtig bedienen oder weil individuell nötige Sicherheitsfunktionen schlicht nicht aktiviert werden

Wie gefährdet sind Steuerkanzleien für Cyberangriffe?

Zwar sind die Daten sensibel und haben meist einen höheren Schutzbedarf als in anderen Firmen, aber der Gefährdungsgrad unterscheidet sich deshalb nicht von klassischen Unternehmen. Allerdings sollte verhindert werden, dass durch die Digitalisierung der Kanzleien neue Einfallstore entstehen. Die digitale Kommunikation einer Steuerkanzlei mit ihren Mandanten sollte stets verschlüsselt erfolgen. Ebenso sollte man darauf achten, dass die Plattformen, auf denen man sich mit seinen Mandanten vernetzt oder mit ihnen zusammenarbeitet, sicher sind. Oft entstehen Sicherheitslücken auch, weil Menschen eine Software nicht richtig bedienen oder weil individuell nötige Sicherheitsfunktionen schlicht nicht aktiviert werden. Generell kommt der Sensibilisierung der Mitarbeiter eine Schlüsselrolle im Kampf um Cybersicherheit zu.

… welche Maßnahmen bieten sich hier an?

Alle zwei bis drei Jahre müssen alle Mitarbeiter in Sachen Cybersicherheit auf den neusten Stand gebracht werden – und zwar wirklich alle, auch die Führungskräfte und Administratoren. Solche regelmäßigen Schulungen sind unumgänglich und werden auch vom Bundesamt für Sicherheit in der Informationstechnik BSI empfohlen.

Falls es doch zum Worst Case kommt: Welche Strategien empfehlen Sie, um Reputationsschäden nach einem Cyberangriff zu minimieren?

Naturgemäß möchte man so wenig wie möglich über einen solchen Vorfall kommunizieren. Aber langfristig ist eine offene Kommunikation der richtige Weg. Wenn später irgendwann bekannt wird, dass Informationen zu einem Cyberangriff oder womöglich einen damit zusammenhängenden Datenverlust, verheimlicht wurden, ist der Reputationsschaden meist noch größer. Sind personenbezogene Daten von dem Vorfall betroffen, muss er innerhalb von 72 Stunden den zuständigen Behörden des jeweiligen Bundeslandes gemeldet werden.

Auch kleine Kanzleien sollten sich überlegen, was im Falle eines Cyberangriffs zu tun ist.

Sollten betroffene Steuerkanzleien aktiv informieren oder nur auf Nachfrage?

Gegenüber den betroffenen Mandanten muss aktiv und offen kommuniziert werden. Ihnen sollte man auch mitteilen, was man gegen die Bedrohung unternimmt. In der Regel ist es ratsam externe Sicherheitsexperten hinzuzuziehen, die einen anderen Blick auf die Vorfälle haben. Als Betroffener kann man in einer Stress-Situation die Folgen in der Regel nicht richtig einschätzen und entsprechend auch nicht die besten Maßnahmen ableiten. In jedem Fall muss es ein Notfall-Management geben, das bereits im ruhigen Zeiten aufgesetzt wird.

Wo und wie werden die Daten gehalten, sollen die Backups auch Prozesse oder nur die Daten enthalten, wo werden die Backups gespeichert, wie werden sie wieder eingespielt? Das sind alles Dinge, die definiert und festgeschrieben werden müssen. Für den Fall der Fälle sollte es fertige Notfallpläne geben, in denen die Verantwortlichkeiten und Abläufe für den Cyber-Notfall geregelt sind. Notfallpläne sind übrigens nicht nur für große Steuerkanzleien sinnvoll. Auch kleine Kanzleien sollten sich überlegen, was im Falle eines Cyberangriffs zu tun ist. Zwar ist die Realität eines Angriffes oft sehr individuell, aber der Standard eines Notfallplanes spart wertvolle Zeit und hilft, einen klaren Kopf zu bewahren.

Lesen Sie auch:

Cyberkriminalität in der Steuerberatung: So schützen Sie Ihre Daten

Tipp der Redaktion: Besuchen Sie das Online-Seminar Cyber Security mit Götz Sattler

Sie erhalten in dieser Veranstaltung Cyber Security einen Überblick über grundlegende Prinzipen der Informationssicherheit, typische Angriffsvektoren, Methoden der Angreifer, Abwehrstrategien und die Kernthemen, in denen es die Mitarbeiterinnen und Mitarbeiter zu schulen/sensibilisieren gilt.