Was hält das Jahr 2019 für uns bereit? Bereits 2018 hielt die Welt der Cybersicherheit ein ganzes Bündel von überraschenden Cyberangriffen, Neuheiten, „Zero Day“-Angriffen und weiteren bekannten, aber anders genutzten Methoden bereit. Um eine Prognose für 2019 zu wagen, haben wir uns mit bestimmten Anzeichen, den jüngsten Branchenanalysen und den Überzeugungen unserer Experten auseinandergesetzt. Wir haben daraus vier Tendenzen in Form plausibler Szenarien herausgearbeitet, die die Cybersicherheit in diesem Jahr prägen dürften. Eine Erläuterung, die garantiert ohne Blick in die Kristallkugel auskommt.
Cyberkriminalität als neues Gesellschaftsphänomen
Was bereits 2018 geschehen ist ...
Zu Beginn des Jahres 2018 haben zwei Wissenschaftler Schwachstellen entdeckt bei Tankstellen in den Vereinigten Staaten, die es ermöglichen, Zapfsäulen zu deaktivieren, Zahlungen fehlzuleiten und Kartennummern zu stehlen. Diese Technik kam auch beispielsweise in Nordfrankreich zum Einsatz, wo im Oktober 2018 eine Person auf frischer Tat ertappt wurde.
Im März 2018 bestand ANSSI-Generaldirektor Guillaume Poupard darauf, die gesamte Kette der Energieakteure - einschließlich der Verbraucher - während einer Rede vor dem Ausschuss für nationale Verteidigung und Streitkräfte zu schützen.
Was 2019 geschehen könnte ...
Und wenn die Hacker von morgen auf häufige Konsumgüter oder breit genutzte Dienstleistungen abzielen? Angesichts steigender Lebenshaltungs- und Energiekosten könnten Bürger Antworten finden, die außerhalb des Legalen liegen. Und eine kostenlose Bedienung an der Zapfsäule könnte dann häufiger praktiziert werden als heute.
Parallel dazu und in einer Linie mit dem Hackerangriff auf Sciences Po werden die Aufnahmeprüfungen zu den Eliteuniversitäten käuflich erwerbbar. Nicht etwa, dass die Hochschulleitungen und die Prüfer der Korruption anheimfielen, sondern es werden sich immer mehr Bewerber dafür organisieren, die Server zu hacken, auf denen die Lösungen der Prüfungsfragen gespeichert sind. Und dabei handelt es sich nicht um Hacking-Methoden von Spezialisten, sondern von Bewerbern, die sich im Social Engineering perfektioniert haben. Diesen modernen Piraten wird es gelingen, Zugang zu den Prüfungen zu erlangen, indem sie die online-Existenz ihrer Opfer zerpflücken, oder einfach über Phising-Kampagnen. Anschließend können sie ihre Beute meistbietend verkaufen.
Eine korrumpierte Aktualisierung auf einem sicheren Server
Was bereits geschehen ist ...
2018 haben zwei Wissenschaftler gezeigt, wie man Unternehmensnetzwerke gefährden kann, indem sie Windows Server Update Services gehackt und anstelle von Sicherheitsupdates Malware bereitgestellt haben. Parallel dazu waren Facebook und Google 2018 ebenfalls von gravierenden Sicherheitslücken betroffen, womit sich der Eindruck von IT-Riesen auf tönernen Füßen noch verstärkt hat.
Im Mai 2018 sind falsche mobile Android-Apps des Spiels Fortnite aufgetaucht, zu denen Malware gehört wie beispielsweise Anwendungen zum Schürfen von Bitcoins.
Bereits 2017 hatten manche Quellen verlautbart, dass die Ransomware NotPetya ursprünglich über Aktualisierungen der Buchhaltungssoftware MeDoc verbreitet worden war, die auf dem Server des ukrainischen Softwareanbieters dieser Lösung bereitstanden.
Was 2019 geschehen könnte ...
Um optimalen Schutz zu gewährleisten, ist es immer ratsam, die aktuelle Version einer Software oder Anwendung zu haben. Und was ist, wenn diese Aktualisierung einen Virus enthält? Die Hacker werden sich auf diese Maxime der Cybersicherheit verlassen und eine neue Art von Malware erfinden: eine hochentwickelte, diskrete Ransomware, die auch mit Sandboxing fertig wird und eine Aktualisierung auf einem Server infiziert, dem jeder vertraut, wie etwa der App Store oder Google Play Store. Und sie würden eine App auswählen, die 1,3 Milliarden Benutzer nicht mehr missen möchten: den Kurznachrichtendienst „Messenger“.
Nach einigen Stunden würden die Teams bei Facebook, Apple und Google dies merken und einen Sicherheits-Patch anbieten. Aber die Hacker hätten daran gedacht, in ihre Ransomware eine Funktion einzubauen, die die Anwendung bei einer neuen Aktualisierung deaktiviert. Die Internetnutzer würden in Panik verfallen bei der Vorstellung, etwas zu verpassen, und das Lösegeld bezahlen, um weiterhin ihre täglichen Benachrichtigungen zu erhalten ...
Botnets zum Speisen von künstlicher Intelligenz
Was bereits 2018 geschehen ist ...
2018 haben Hacker Botnets nicht nur benutzt, um herkömmliche Dienstverweigerungs-Angriffe (DDoS) auszuführen, sondern auch, um IT-Systeme zu hacken. Andere haben mithilfe von Werbemails etwa 100 000 private Router infiziert. Wieder andere haben ein System von drei Botnets errichtet, um auf falschen Websites falschen Datenverkehr zu erzeugen und dabei echte Werbeeinnahmen zu kassieren – und nebenbei Google übers Ohr zu hauen.
Parallel dazu war das Jahresende 2018 auch von zahlreichen Skandalen um Datendiebstähle geprägt. Facebook (mit einem Datendiebstahl von mehr als 200 Millionen Nutzern), Quora (100 Millionen) und Marriott (500 Millionen) reihen sich so in den Top Ten der größten Datenlecks des Jahres ein. Anfang Januar 2019 waren in Deutschland rund hundert Politiker und bekannte Persönlichkeiten betroffen.
Zu guter Letzt war das Jahr 2018 auch von der künstlichen Intelligenz geprägt, die im Cyberspace viel von sich reden macht. Und mit den Ankündigungen von IBM im November 2018 scheint sich das bloße Buzzword zu einer echten Chance zu entpuppen.
Was 2019 geschehen könnte ...
Und wenn ein wichtiges Botnet der Zukunft nicht Zerstörung zum Ziel hätte? Oder besser gesagt, nicht sofort. Um zu existieren, muss künstlicher Intelligenz konstant eine exponentiell wachsende Datenmenge eingespeist werden. Aus der Perspektive einer schädlichen künstlichen Intelligenz könnten diese Daten beispielsweise Verhaltensmuster von Mitarbeitern eines Zielunternehmens sein. Was könnte angesichts der Herausforderung, sie zu beschaffen, besser geeignet sein, als ein Botnet, das massenhaft Server, E-Mail Verkehr und soziale Medien, mit denen die Mitarbeiter an ihrem Arbeitsplatz verbunden sind, scannen kann?
Es geht nicht mehr darum, wer das größte Datenleck des Jahres bewirkt, sondern darum, jeden verfügbaren Datenschnipsel geschickt auszunutzen. Die Botnets der Zukunft könnten also dazu dienen, schädliche künstliche Intelligenz zu speisen und so besser zu verstehen, wie man diese Verhaltensweisen ausnutzen und missbrauchen kann, indem man Cyberangriffe immer mehr automatisiert.
Nachdem das Verhalten bestimmter Mitglieder der Geschäftsführung kopiert wurde, könnte ein E-Mail Wechsel mit dem Vorstandsvorsitzenden oder ein Chat mit dem Finanzchef des Unternehmens selbst die zögerlichsten Charaktere überzeugen. Die Phishing-Kampagnen versprechen also, erfolgreicher zu sein denn je ...
Auf dem Weg zur Aufhebung der Grenzen zwischen digitaler und physischer Welt
Was 2018 geschehen ist ...
Mit der Entstehung des Internets der Dinge greifen Hacker immer öfter Personen an. 2018 hat das Volumen unbeabsichtigter Datenabflüsse nie dagewesene Ausmaße angenommen. Ob es sich nun um bloße Anmeldedaten, medizinische oder auch biometrische Daten handelt, die Zahl der entwendeten Daten geht in die hunderte von Millionen, wenn nicht Milliarden.
Im Januar 2018 wurde die physische Bedeutung dieser Daten einer breiten Öffentlichkeit vor Augen geführt, nachdem eine Sport-App die Geolokalisationsdaten von amerikanischen Militärbasen im Nahen Osten offengelegt hatte.
Was 2019 geschehen könnte ...
Angesichts der massiven Datenlecks des Jahres 2018 greifen IT-Piraten direkt auf Big Data zu und folgen zur besseren Zielgenauigkeit ihrer Angriffe den Marketingprinzipien der zielgerichteten Werbung. Das sogenannte Spearphishing ermöglicht immer präzisere und zielgenauere Cyberangriffe. Und angesichts vernetzter Geräte sind Daten nicht mehr lediglich digital, sie werden auch (wieder) physisch. Es geht nicht mehr um E-Mail Adressen oder Kreditkartendaten, sondern sehr wohl um physische Daten, wie den Aufenthaltsort in Echtzeit, die täglich zurückgelegten Wege, oder die Herzfrequenz usw. Informationen, die gestatten, vom Leben von Personen Profile anzulegen, und ihrem Privatleben übel mitzuspielen.
Das neue Know-how der Hacker würde also in ihrer Fähigkeit bestehen, diese Datenbündel zu analysieren und jene Aktivitäten zu identifizieren, die gelinde gesagt „nicht ganz koscher“ sind (wie Seitensprünge oder Besuche pornografischer Websites) oder sogar illegal. Einmal im Besitz dieser Informationen, brauchen sie nur noch ihre Opfer zu erpressen. Kaum mehr mit den Phishing-E-Mails an der Grenze zur Lächerlichkeit vergleichbar, werden Lösegelderpressungen (die nun auch physischen Charakter annehmen können) auf sehr präzisen und belastbaren Informationen beruhen.
Solche Szenarien und Zukunftsvisionen könnten sich bereits 2019 realisieren – wir sollten sie aufmerksam verfolgen. Was ist mit 2020?
