DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE 1.2.2 Schadprogramme für den Diebstahl von Identitätsdaten Neben Phishing kommen ebenfalls Schadprogramme für den Diebstahl und den Missbrauch von Identitätsdaten zum Einsatz. Das Schadprogramm Emotet unterstreicht hierbei eindrucksvoll, welchen enormen Mehrwert gesammelte Identitätsdaten als Grundlage für nachfolgende Angriffe haben. Emotet liest die Kontaktbeziehungen und E-Mail-Inhalte aus den Postfächern infizierter Systeme aus. Diese Informationen verwenden die Angreifer im Anschluss daran zur weiteren Verbreitung des Schadprogramms. Der große Erfolg von Emotet beruht darauf, dass die E-Mails besonders authentisch wirken und so die Opfer erfolgreich zum Öffnen verleiten (vgl. Kapitel Emotet: Neue Qualität fortschrittlicher Angriffe, Seite 11). Auch bei Erpressungsversuchen spielt der Diebstahl privater Informationen im Einzelfall eine große Rolle. Dem BSI wurden einige Fälle bekannt, bei denen – neben der Forderung nach Lösegeld für die Entschlüsselung von Daten – zusätzlich damit gedroht wurde, die abgeflossenen privaten Informationen im Internet zu publizieren. Beispiele für dieses Vorgehen sind die Angreifergruppierungen hinter den Ransomwares Sodinokibi und Maze (vgl. Kapitel Ransomware, Seite 11). Aber nicht nur der Einsatz komplexer Schadprogramme stellt eine Gefahr dar. Auch scheinbar einfache Programme wie Browser-Erweiterungen können für Nutzerinnen und Nutzer risikobehaftet sein und den Verlust persönlicher Daten bewirken. Browser-Erweiterungen sind optionale Programme, die den bestehenden, standardmäßigen Funktionsumfang der Browser um zusätzliche Funktionalitäten ergänzen können. Im Berichtszeitraum wurde eine Vielzahl dieser Erweiterungen von Browser-Herstellern gesperrt, weil sie schädliche Eigenschaften aufwiesen. So entfernte beispielsweise der Entwickler des Browsers Firefox, Mozilla, Ende 2019 unter anderem die Browser-Erweiterung eines bekannten Herstellers für IT-Sicherheitssoftware. Diese hatte umfangreiche Daten über das Surf-Verhalten seiner Nutzerinnen und Nutzer erfasst und anschließend für Marketingzwecke verwendet. Insgesamt zeigte sich im Berichtszeitraum erneut, dass die stetig wachsende Anzahl frei verfügbarer Identitätsdaten eine bedrohliche Basis für weitere Angriffe darstellt. Auch scheinbar unbedeutende Programme wie beispielsweise Browser-Erweiterungen können großen Schaden anrichten. 1.2.3 Daten-Leaks Meldungen zum Diebstahl von Kundendaten wurden auch im aktuellen Berichtszeitraum wieder häufig beobachtet. 20 Unter den von einem Daten-Leak betroffenen Unternehmen befanden sich unter anderem namhafte Banken und Zahlungsdienstleister, Technologieunternehmen, Arztpraxen und Krankenhäuser, Hochschulen sowie ein Unternehmen im Elektronik-Versandhandel und ein weiteres in der Autovermietung (vgl. Vorfall Daten-Leak bei einer deutschen Autovermietung, Seite 21). Im Berichtszeitraum stachen neben dem Vorfall bei der Autovermietung besonders die Veröffentlichung großer Mengen privater Krankendaten heraus. Solch hochsensible personenbezogene Daten, insbesondere aus dem medizinischen Sektor, haben einen besonders hohen Schutzbedarf. Die Vielfalt und Häufigkeit von Vorfällen, bei denen immer wieder sensible Daten unfreiwillig veröffentlicht werden, sind besorgniserregend. Auch größere Unternehmen bleiben hiervon nicht verschont. Sicherheitsforscher entdeckten Ende 2019 mehrere ungesicherte Datenbanken eines Technologieunternehmens mit Kunden- und Supportinformationen, die aufgrund von Fehlkonfigurationen öffentlich im Internet verfügbar waren (vgl. Quellenverzeichnis5: www.heise.de). Solche Daten bieten eine hervorragende Grundlage für vorgetäuschte Support-Anfragen. Bei dieser Form des Social Engineering geben sich Angreifer beispielsweise als Mitarbeiter des Unternehmens aus und versuchen, per Anruf oder über im Computer eingeblendete, gefälschte Warnhinweise unter falschem Vorwand, Sicherheitsfunktionen auszuhebeln oder Zugriff auf das System des Opfers zu erlangen. Insbesondere vor dem Hintergrund der COVID-19-Pandemie stellen solche Angriffe eine erneut wachsende Bedrohung dar: Derartige Angriffsmöglichkeiten treffen in dieser Sondersituation unter Umständen vermehrt auf unvorbereitete oder unaufmerksame Personen, die sich gezwungen sehen, schnell zu handeln, ohne die gebotene Sorgfalt walten zu lassen (vgl. Kapitel Gefährdungen der Cyber-Sicherheit durch die COVID-19-Pandemie, Seite 33; vgl. Vorfall COVID-19 Soforthilfe-Maßnahmen durch Cyber-Kriminelle missbraucht, Seite 34). Um im Internet offen erreichbare, exponierte Datenbanken und Systeme zu identifizieren, sind frei erhältliche Tools und Dienste verfügbar. Angreifer können sie beispielsweise nutzen, um unbefugten Zugriff auf solche Datenbanken und Systeme zu erhalten. Die regelmäßigen Meldungen zu Datenabflüssen lassen Diensteanbietern eine große Verantwortung zuteilwerden. Besonders im Gesundheitssektor kann das Öffentlichwerden sensibler Daten auch gleichzeitig negative Auswirkungen auf die jeweils individuelle Gesundheit der Patientinnen und Patienten haben - mit möglicherweise lebenslangen Folgen. Die aktuellen Fälle von Identitätsdiebstahl zeigen jedoch auch, dass die digitale Eigenverantwortung jedes Einzelnen einen wesentlichen Bestandteil der nachhaltigen IT-Sicherheit darstellt.