Gossau im Kanton St. Gallen ist ein unscheinbarer Ort. Im Zentrum die katholische Andreaskirche. Ein paar Fahrminuten entfernt im Industriegebiet die Verteilzentrale der Ostschweizer Supermarktkette Spar und die Fenaco-Fleischverarbeiterin Ernst Sutter AG. Dass von hier aus täglich Hacker-Attacken ausgelöst werden, vermutet niemand.
Dabei sagt IT-Projektleiter Marco Di Giovanni beim Treffen mit BLICK selbstbewusst von sich: «Ich fälsche Tag für Tag E-Mail-Adressen, Signaturen und Logos.»
«Die Mehrheit fällt darauf rein»
Di Giovanni will die Angestellten von Unternehmen dazu bringen, auf seine Links in sogenannten Phishing-Mails zu klicken. Sein Ziel ist es, dass sie ihm ihre Zugangsdaten geben. «Die Mehrheit fällt darauf rein», sagt er. Gerade jetzt in der Corona-Krise habe er ein leichtes Spiel.
Anzeigen muss man Di Giovanni deswegen aber nicht. «Rufen Sie jetzt bloss nicht die Polizei, ich werde von der Geschäftsleitung des jeweiligen Unternehmens beauftragt», erklärt er mit einem Augenzwinkern. Di Giovanni arbeitet beim IT-KMU Inconet. Der Dienstleister mit 25 Mitarbeitern und 1500 Kunden bietet seit acht Jahren IT-Lösungen an. Spezialgebiet: Datensicherheit.
Dank Cyber-Angriffen zur neuen Geschäftsidee
Das mit den Hacker-Angriffen ist ein neues Geschäftsfeld. «Während des Lockdowns in der Corona-Zeit habe ich in der Zeitung vermehrt über Cyber-Angriffe gelesen», sagt Di Giovannis Boss und Inconet-Gründer Walter Neff (36). «Dabei ist mir aufgefallen, dass die Hacker fast immer dank der Unvorsichtigkeit der Mitarbeiter an wertvolle Daten kommen», sagt der Appenzeller.
Neff und sein Team entwickelten ab Mai ein neues Konzept. Mitarbeitende von Firmen übers Internet zu attackieren, verdeckt, aber mit der Erlaubnis von deren Chef. «Die Mitarbeiter dürfen nichts von meiner Aktion wissen», erklärt Di Giovanni. «Wir nutzen den Schreckmoment aus und klären unmittelbar auf.» Daraufhin werde der attackierte Angestellte mit kurzen, interaktiven Tests geschult. In der Hoffnung, dass dieser nicht nochmals in die Falle tappt.
Neues Cyber-Konzept mit viel Potenzial
«Die meisten Chefs rechnen mit einer Trefferquote von 20 Prozent. Häufig fallen aber bis zu 80 Prozent der Mitarbeiter auf die Phishing E-Mails rein», sagt Di Giovanni. Wie er das genau anstellt, ist Geschäftsgeheimnis. «Von den gefälschten E-Mails geht keine Gefahr aus», beruhigt Di Giovanni. Sie dienten allein dem Zweck der Sensibilisierung.
Seine Angriffe hat er als Erstes bei den eigenen Kollegen getestet. Drei Mitarbeiter sind ihm dabei ins Netz gegangen. «Da wusste ich: Es funktioniert.»
Kurz vor dem Lockdown Mitte März gab der Bund die Warnung raus: Cyber-Kriminelle versuchten, mit gefälschten E-Mails im Namen des Bundesamts für Gesundheit (BAG) die Verunsicherung und Ängste rund um das Coronavirus auszunutzen. Auch die Weltgesundheitsorganisation (WHO) warnt vor gefälschten E-Mails in ihrem Namen.
Auch bekannte Firmen wurden unlängst Opfer von Hacker-Attacken, zum Beispiel der Fitness-Tracker-Hersteller Garmin aus Schaffhausen (Juli) und der Schienenfahrzeughersteller Stadler Rail aus Bussnang TG (Mai). Patron Peter Spuhler (61) sprach von einem «Datenabfluss noch nicht genau bekannten Ausmasses» und wahrscheinlichem Datenklau. Spuhler erstattete Strafanzeige. Am Rande eines Video-Calls zum Halbjahresresultat gab es gestern weitere Infos: Insgesamt seien über Wochen rund fünf Gigabite abgezogen wurden. Die Inhalte seien bekannt, und es gab ein Back-up. Im Darknet sei bisher nichts Relevantes publiziert worden.
Spuhler gibt sich gelassen: «Ich denke, die Luft ist raus.» Die Angriffe zeigen: Daten sind so wertvoll und gleichzeitig so bedroht wie noch nie. Laut dem Allianz-Risk-Barometer stieg die Anzahl Cyber-Vorfälle 2020 zum Top-Risiko für Unternehmen in der Schweiz auf. Die Schäden durch Cybercrime gehen in die Milliarden. Zuletzt warnte der Bund im Zusammenhang mit dem Boom von Online-Bestellungen vor betrügerischen E-Mails. Diese täuschten vor, von der Post, DHL oder der Eidgenössischen Zollverwaltung zu sein. Sie verlangten irgendwelche Gebühren. Vorsicht sei angebracht. Auch die SBB warnten jüngst vor Phishing-Mails. Franziska Scheven
Kurz vor dem Lockdown Mitte März gab der Bund die Warnung raus: Cyber-Kriminelle versuchten, mit gefälschten E-Mails im Namen des Bundesamts für Gesundheit (BAG) die Verunsicherung und Ängste rund um das Coronavirus auszunutzen. Auch die Weltgesundheitsorganisation (WHO) warnt vor gefälschten E-Mails in ihrem Namen.
Auch bekannte Firmen wurden unlängst Opfer von Hacker-Attacken, zum Beispiel der Fitness-Tracker-Hersteller Garmin aus Schaffhausen (Juli) und der Schienenfahrzeughersteller Stadler Rail aus Bussnang TG (Mai). Patron Peter Spuhler (61) sprach von einem «Datenabfluss noch nicht genau bekannten Ausmasses» und wahrscheinlichem Datenklau. Spuhler erstattete Strafanzeige. Am Rande eines Video-Calls zum Halbjahresresultat gab es gestern weitere Infos: Insgesamt seien über Wochen rund fünf Gigabite abgezogen wurden. Die Inhalte seien bekannt, und es gab ein Back-up. Im Darknet sei bisher nichts Relevantes publiziert worden.
Spuhler gibt sich gelassen: «Ich denke, die Luft ist raus.» Die Angriffe zeigen: Daten sind so wertvoll und gleichzeitig so bedroht wie noch nie. Laut dem Allianz-Risk-Barometer stieg die Anzahl Cyber-Vorfälle 2020 zum Top-Risiko für Unternehmen in der Schweiz auf. Die Schäden durch Cybercrime gehen in die Milliarden. Zuletzt warnte der Bund im Zusammenhang mit dem Boom von Online-Bestellungen vor betrügerischen E-Mails. Diese täuschten vor, von der Post, DHL oder der Eidgenössischen Zollverwaltung zu sein. Sie verlangten irgendwelche Gebühren. Vorsicht sei angebracht. Auch die SBB warnten jüngst vor Phishing-Mails. Franziska Scheven
Cyber-Angriffe sind Gratis-Werbung
Dass während der Corona-Krise Cyber-Angriffe auf Firmen und Internetnutzer zugelegt haben und für Schlagzeilen in der Presse sorgten, ist für Inconet und den gelernten Informatiker Di Giovanni Gratis-Werbung.
Firmenboss Neff weiss, dass das schwächste Glied der Kette meist der Mitarbeitende ist. «Und dass diese heutzutage nicht gut genug für solche Angriffe vorbereitet sind.» Die Nachfrage wächst, das Potenzial sei natürlich noch gross, heisst es.
Di Giovanni tappte selber mal in die Falle
Offiziell bietet Inconet erst seit sechs Wochen Cyber-Attacken gegen Bezahlung an. Entweder im Abo oder als einmalige Kampagne. «Ich wiederhole meine ‹Angriffe› in regelmässigen Abständen, bis ich schlussendlich keinen mehr ‹erwische›», sagt Di Giovanni. Dann sei sein Job erledigt.
Hacker-Spezialist Di Giovanni ist als 17-Jähriger übrigens selbst Opfer einer Phishing-Attacke geworden. Damals hat er regelmässig das Videospiel «FIFA» gezockt. «Betrüger haben mich dazu gebracht, meine Zugangsdaten preiszugeben.» Danach wurden seine Spieler und etwas Geld geklaut. «So eine Erfahrung prägt», sagt Di Giovanni schmunzelnd. «So etwas würde mir heute natürlich nicht mehr passieren.»
Bei jeglicher Aufforderung zur Eile, wie zum Beispiel, «loggen Sie sich in den nächsten 30 Minuten ein», sollten Sie skeptisch werden.
Kommt eine Forderung per E-Mail zum Login, kontrollieren Sie die URL: Achten Sie darauf, dass sie mit «https://» beginnt und nicht bloss mit «http://» – ein wichtiges Indiz, ob die Seite sicher ist. «Https» steht für «sicheres Hypertext-Übertragungsprotokoll» und ist ein Kommunikationsprotokoll im World Wide Web, mit dem Daten sicher übertragen werden können.
Prüfen Sie die E-Mail-Adresse des Absenders nach Ungereimtheiten. Obwohl das E-Mail beispielsweise vom Chef oder Kollegen mit Signatur und allem drum und dran vertrauenswürdig aussieht, kann es sich trotzdem um eine Falle handeln.
Um das herauszufinden: Nehmen Sie die E-Mail-Adresse unter die Lupe. Hat sich hier ein ungewöhnlicher Zusatz eingeschlichen? Zum Beispiel statt M.Mustermann@gmx.ch steht dort: M.Mustermann@gmx-mailer.ch. In einem solchen Fall sollten die Alarmglocken läuten!
Bei jeglicher Aufforderung zur Eile, wie zum Beispiel, «loggen Sie sich in den nächsten 30 Minuten ein», sollten Sie skeptisch werden.
Kommt eine Forderung per E-Mail zum Login, kontrollieren Sie die URL: Achten Sie darauf, dass sie mit «https://» beginnt und nicht bloss mit «http://» – ein wichtiges Indiz, ob die Seite sicher ist. «Https» steht für «sicheres Hypertext-Übertragungsprotokoll» und ist ein Kommunikationsprotokoll im World Wide Web, mit dem Daten sicher übertragen werden können.
Prüfen Sie die E-Mail-Adresse des Absenders nach Ungereimtheiten. Obwohl das E-Mail beispielsweise vom Chef oder Kollegen mit Signatur und allem drum und dran vertrauenswürdig aussieht, kann es sich trotzdem um eine Falle handeln.
Um das herauszufinden: Nehmen Sie die E-Mail-Adresse unter die Lupe. Hat sich hier ein ungewöhnlicher Zusatz eingeschlichen? Zum Beispiel statt M.Mustermann@gmx.ch steht dort: M.Mustermann@gmx-mailer.ch. In einem solchen Fall sollten die Alarmglocken läuten!