BSI-Lagebericht: „Cyberangriffe sind ein Dauerstresstest“

Neue Angriffsmethoden in der Pandemie

In der Homeoffice-Situation nahmen insbesondere Identitätsdiebstähle zu. Beispielsweise gaben sich Hacker bei Nutzer*innen telefonisch als Servicemitarbeitende von großen Softwarekonzernen aus und konnten sich so mithilfe von ausgefeilten Fragen und verbal ausgeübtem Druck Zugang auf Computersysteme ahnungsloser Anwender*innen verschaffen. Daneben gelang es Cyberkriminellen auch, Soforthilfe-Maßnahmen für ihre Zwecke zu nutzen: Sie fälschten Antragswebseiten amtlicher Stellen und verschafften sich Zugriff auf unternehmensbezogene Daten. Diese gestohlenen Daten gaben sie anschließend bei den tatsächlichen amtlichen Stellen im Namen der Hilfesuchenden an, strichen die Zahlung der Hilfsgelder jedoch für sich ein.

 „König der Schadsoftware“ Emotet zerschlagen

Laut des BSI geht die größte Gefahr nach wie vor von Angriffen mit Schadsoftware aus. Mittlerweile übersteigt die Zahl der weltweit bekannten Schadprogramme die Milliardengrenze. Im Berichtszeitraum von Juni 2019 bis Mai 2020 kamen rund 117 Millionen neue Varianten hinzu. Die IT-Sicherheitsbedrohungen dominierte der Trojaner Emotet. Erst im Januar 2021 ist es deutschen Ermittler*innen im Rahmen einer internationalen Zusammenarbeit gelungen, die Emotet-Infrastruktur erfolgreich zu zerschlagen. Emotet wurde per E-Mail verbreitet. Mit nur einem Klick auf einen Link oder Dateianhang wurde er im Hintergrund installiert und war in der Lage, die Kommunikationsverläufe des angegriffenen Users zu scannen. Der Trojaner konnte dann den Korrespondenzpartner*innen täuschend echt aussehende Antworten auf frühere E-Mails mit schädlichen Anhängen und Links zusenden. Sobald ein System erfolgreich infiziert war, lud Emotet weitere Schadsoftware nach – vor allem Trickbots, die über Spionage- und Sabotagefähigkeiten verfügten. Daraus resultierten Produktionsausfälle, Umsatzeinbußen und die notwendige Wiederherstellung der Systeme damit Schäden in Millionenhöhe.

Schutz im Cyberraum erhöhen

Aus dem Lagebericht zur IT-Sicherheit leitet das BSI geeignete Aktivitäten und Gegenmaßnahmen ab, um die Digitalisierung in Deutschland sicher zu gestalten – angefangen beim digitalen Verbraucherschutz über technische Richtlinien bis hin zu Kooperationen mit Wirtschaft und Forschung. Eine weitere Maßnahme in diesem Zusammenhang ist das IT-Sicherheitsgesetz 2.0. Aus dem Gesetzesentwurf geht hervor, dass die Bundesregierung die Fähigkeiten des BSI künftig ausbauen und seine Funktion als Cybersicherheitsbehörde des Bundes nachhaltig stärken will. Daher wird der Verbraucherschutz in das neue Aufgabenfeld des BSI fallen, ebenso wie die Einführung eines einheitlichen IT-Sicherheitskennzeichens. Betreiber Kritischer Infrastrukturen erhalten fortan weitere Vorsorgepflichten und müssen Systeme zur Angriffserkennung einsetzen. Auch die staatliche Schutzfunktion soll weiter erhöht werden. Die Beschlussfassung des IT-Sicherheitsgesetzes 2.0 wurde bereits am 16. Dezember 2020 vom Bundeskabinett verabschiedet. Die erste Lesung des Gesetzes im Bundestag fand am 28. Januar dieses Jahres statt.