Die Anfragen kommen per Mail oder SMS. Wirken unverdächtig. Vielleicht vom deutschen Postdienstleister DHL, der bittet, Porto zu zahlen, wofür man die eigenen Login-Daten eingeben muss. Was man tut, weil man vielleicht tatsächlich auf ein Paket aus dem Ausland wartet. Und schon ist es passiert: Man wird Opfer eines Phishing-Cyberbetrugs. Cyberkriminelle haben meine Daten, können diese nun im Darknet weiterverkaufen.
Solche Vorfälle sind Alltag in der Schweiz. Noch mehr seit Pandemieausbruch, seitdem so viele von zu Hause aus arbeiten. Das sagt der Journalist und Cyber-Experte Otto Hostettler (55). Er weiss: «Die Betrüge laufen mittlerweile so professionell ab, dass jeder darauf reinfallen kann.»
Viele Angriffe während der Pandemie
Phishing ist Teil einer grösseren Entwicklung: Cyberkriminalität boomt in der Schweiz. Die Gemeinden Montreux VD und Rolle VD oder Suisse Velo, die Emil Frey Gruppe und das Casinotheater Winterthur waren in der letzten Zeit Opfer von Cyber-Erpressern, um nur einige zu nennen. Wie viele genau es trifft, ist unklar, in der Schweiz gibt es keine generelle Meldepflicht. Die Zahlen des US-Cybersecurity-Unternehmens Recorded Future aber zeigen eine drastische Zunahme: Für die letzten fünf Jahre konnte es 4799 Hackerangriffe auf Schweizer Unternehmen nachweisen, deren Daten nach dem Hack im Darknet landeten. Allein 2694 davon geschahen zwischen Sommer 2020 und Sommer 2021. Bei den KMU bleibt es nicht. Immer mehr seien Spitäler, Arztpraxen und Altersheime im Fokus, sagt Hostettler. «Die Hacker haben keine Skrupel mehr.» Er berichtete im «Beobachter» darüber.
Die Folgen: ein grosser Schaden für die Erpressten. Oft sechsstellig, sagt der Journalist. Was hinter dem Trend steht, hat er als Co-Autor des Buchs «Underground Economy» herausgearbeitet, das am Montag erscheint. Es zeigt: Die Hackerszene ist zu einer hochprofessionellen Industrie herangewuchert, die Unternehmen, Behörden und den einzelnen Bürger ernsthaft bedroht.
Per Mausklick zum Hacker-Paket
All das fing 2015 an, als das illegale Geschäft mit einer ganz bestimmten Masche Fahrt aufnahm: mit Ransomware-Attacken. Cyberkriminelle hacken sich in das Computersystem der Opfer ein, saugen Daten ab, verschlüsseln die Festplatte. Starten etwa die Angestellten eines KMU ihre Computer auf, geht plötzlich nichts mehr, oder das System spielt verrückt. Darauf folgt die Erpressung: Für die Entschlüsselung verlangen die Gangster Lösegeld. Zahlt das KMU nicht, stellen sie die Daten für alle frei verfügbar ins Darknet. Ein riesiger Rufschaden droht, 40 Prozent der Erpressten zahlen, schätzen Experten.
Daraus haben die Hacker nun ein lukratives Geschäftsmodell mit effizienter Arbeitsteilung geschaffen: «Ransomware as a service». Das funktioniert so: Sie programmieren Schadsoftware – Ransomware – und bieten diese im Darknet an. Andere Kriminelle mieten diese zusammen mit einem ganzen Dienstleistungspaket, das man für einen Erpressungsangriff braucht: Dokumentationen, Updates, Server, Zahlungsportale für die gehackten Opfer und Kundenservice.
Die Folge: Erpressen im Netz ist kinderleicht geworden. Hostettler sagt: «Jeder ganz normale Bürger ohne Programmierkenntnisse kann mittlerweile ins Hacker-Geschäft einsteigen.»
Und die Chancen auf Erfolg stehen gut, weil die Schweiz in der Cybersicherheit hinterherhinkt. Die Cybersicherheitsexpertin Myriam Dunn Cavelty sagte vor einem Jahr in einem Blick-Interview: «Viele KMU geben zu wenig für Cybersicherheit aus. Bei ihnen fehlt das Bewusstsein dafür.»
Underground Economy. Otto Hostettler und Abdelkader Cornelius. NZZ Libro. 34 Franken.
- Machen Sie regelmässig Updates.
- Nutzen Sie starke Passwörter. Merken Sie sich Ihr Passwort mit einem Satz: «Letzten Sommer sah ich im Tierpark 3 Affen & 4 Tiger» – ergibt: LSsimT3A&4T
- Vorsicht beim E-Banking. Wählen Sie zur Erledigung Ihrer E-Banking-Geschäfte die Internetseite Ihrer Bank immer manuell an und nicht über einen Link oder über eine Google-Suche. Betrüger erstellen täuschend echte Klonseiten.
- Spam und Phishing. Öffnen Sie keine Anhänge in E-Mails von Absendern, die Sie nicht kennen. Und seien Sie skeptisch, wenn Sie unerwartet aufgefordert werden, einen Link oder eine Datei zu öffnen. Geben Sie grundsätzlich keine personenbezogenen Daten per E-Mail bekannt.
- Machen Sie regelmässig Updates.
- Nutzen Sie starke Passwörter. Merken Sie sich Ihr Passwort mit einem Satz: «Letzten Sommer sah ich im Tierpark 3 Affen & 4 Tiger» – ergibt: LSsimT3A&4T
- Vorsicht beim E-Banking. Wählen Sie zur Erledigung Ihrer E-Banking-Geschäfte die Internetseite Ihrer Bank immer manuell an und nicht über einen Link oder über eine Google-Suche. Betrüger erstellen täuschend echte Klonseiten.
- Spam und Phishing. Öffnen Sie keine Anhänge in E-Mails von Absendern, die Sie nicht kennen. Und seien Sie skeptisch, wenn Sie unerwartet aufgefordert werden, einen Link oder eine Datei zu öffnen. Geben Sie grundsätzlich keine personenbezogenen Daten per E-Mail bekannt.
- Halten Sie die Software auf dem neusten Stand.
- Schränken Sie die Möglichkeiten für Ihre Mitarbeiter ein, Applikationen auf Geräten zu nutzen sowie Software auf das Firmennetzwerk herunterzuladen und zu installieren.
- Überprüfen und bewerten Sie in Ihrem Unternehmen regelmässig und systematisch die Risiken für Cybervorfälle.
- Sichern Sie regelmässig Ihre Daten (online, offline), auch wenn Sie als kleine Firma denken, das sei nicht nötig.
- Benutzen Sie für Ihre Angestellten eine Zwei-Faktor-Authentifizierung, insbesondere, wenn sie sich von extern ins Firmennetzwerk einloggen.
- Sensibilisieren Sie Ihr Personal, keine Anhänge von unbekannten Absendern zu öffnen (Phishing). Und starke Passwörter zu verwenden.
- Halten Sie die Software auf dem neusten Stand.
- Schränken Sie die Möglichkeiten für Ihre Mitarbeiter ein, Applikationen auf Geräten zu nutzen sowie Software auf das Firmennetzwerk herunterzuladen und zu installieren.
- Überprüfen und bewerten Sie in Ihrem Unternehmen regelmässig und systematisch die Risiken für Cybervorfälle.
- Sichern Sie regelmässig Ihre Daten (online, offline), auch wenn Sie als kleine Firma denken, das sei nicht nötig.
- Benutzen Sie für Ihre Angestellten eine Zwei-Faktor-Authentifizierung, insbesondere, wenn sie sich von extern ins Firmennetzwerk einloggen.
- Sensibilisieren Sie Ihr Personal, keine Anhänge von unbekannten Absendern zu öffnen (Phishing). Und starke Passwörter zu verwenden.
