7 unbequeme Fakten zum Internet Security Report von Swisscom. Nr. 1: Wir sind alle verloren

Spearphishing – hat nichts mit Angeln zu tun – wird zunehmen, warnt der Experte.bild: shutterstock

7 unbequeme Fakten zum Internet Security Report von Swisscom. Nr. 1: Wir sind alle verloren

Der Schweizer Sicherheitsexperte Stefan Frei hat einen Bericht zur Bedrohungslage verfasst. Hier sind einige interessante Details.

Daniel Schurter

Die Swisscom hat am Dienstag einen Bericht zur aktuellen Bedrohungslage im Internet vorgestellt. Verfasser ist der Sicherheitsexperte Stefan Frei (siehe Box unten). Wir präsentieren knackige Zitate und Kernaussagen aus der Studie und sagen, was sie wirklich bedeuten.

«Wir müssen davon ausgehen, dass Teile der kritischen Infrastruktur in unserem Land bereits kompromittiert sind.»

Soll heissen: WIR SIND ALLE VERLOREN.

Im Ernst: Wie wir dank Edward Snowdens Enthüllungen wissen, ist die Schweiz eine Drehscheibe für die Massenüberwachung. Und wir wissen, dass die USA aktiv an digitalen Waffen forschen, um die Steuerungen von Elektrizitätswerken und anderen Betrieben lahmzulegen. Wann es so weit sein könne? Dazu gleich mehr.

Stefan Frei, Sicherheits-Experte

Vom White-Hat-Hacker zum Swisscom-Kadermann: Stefan Frei nimmt beim grössten Schweizer Telekom-Unternehmen die Position des Security Architect ein. Der Informatiker mit Doktortitel doziert seit zehn Jahren an der ETH über Netzwerk-Sicherheit und beschäftigt sich intensiv mit der Frage, wie die Schweiz besser vor Angriffen aus dem Internet zu schützen ist. Frei beschreibt sich selbst als (ehemaligen) Ethical Hacker, also als Computer-Eindringling mit guten Absichten. Er ist Verfasser des aktuellen Berichts «Cyber Security – die aktuelle Bedrohungslage und ihre Entwicklung» (PDF), den die Swisscom am 1. September vorgestellt hat. Darin gibt er eine Einschätzung für die nächsten zwei Jahre ab.

«Das Risiko eines Internet-Totalausfalls besteht, wenn auch vielleicht nur für eine Stunde oder für einen Tag.»

Soll heissen: Wir dürfen uns nicht zu sicher fühlen. Es kann auch die Schweiz oder Teile des Landes treffen.

Stefan Frei spricht von einem «Konzentrationsproblem», das von den USA und China ausgeht. Sollte dort kritische Infrastruktur ausfallen, droht eine Kettenreaktion, die weite Teile des weltumspannenden Netzes mitreissen könnte.

«Beim Internet der Dinge sehe ich ein grosses Problem.»

Soll heissen: Wir haben die Sicherheit noch nicht einmal bei den herkömmlichen Computern und Smartphones im Griff. Wie wird das herauskommen, wenn wir im grossen Stil Rasenmäher und Haushaltsgeräte vernetzen ...

«Phishing-Attacken werden psychologisch raffinierter und in Darstellung, Inhalt und Zeitpunkt genau auf das Opfer abgestimmt (‹Spearphishing›).»

Soll heissen: Es geht nicht nur den Rasenmähern an den Kragen. Der Sicherheitsexperte rechnet mit gezielten Angriffen. Wirklich gefährlich sind nicht die Spam-Mails des nigerianischen Ölscheichs, der 20 Millionen ausser Land bringen will. Gefährlich ist die persönliche Mail, die angeblich von einem eigenen Kontakt kommt. Sprich: Man sollte keine Dokumente (unbekannten Inhalts) mehr öffnen. Oder zumindest nicht ohne Vorsichtsmassnahmen.

«Die Vorhersehbarkeit von Bedrohungen wird abnehmen.»

Soll heissen: Wir sind nicht nur verloren, sondern WIR WISSEN AUCH NICHT, WIE UND WANN ES UNS ERWISCHEN WIRD.

Der Report ist im Internet verfügbar.bild: watson

«Geheimdienste werden vermehrt Kill Switches oder andere Vorbereitungs-Massnahmen treffen, um eine Sabotage (...) vorzubereiten.»

Der Sicherheitsexperte definiert Kill Switch als versteckte Software, die auch auf Befehl von aussen reagieren kann und die Funktionsweise eines Systems stört oder dieses gar unbrauchbar macht. Und wieder mit Blick Richtung USA und China:

„Können nicht ausschliessen, dass kritische Hard- und Software bereits vom Hersteller kompromittiert sind“, Stefan Frei #medienfrühstück

— Swisscom Medienteam (@Swisscom_Medien) 1. September 2015

Es bleibt die beunruhigende Bilanz:

«Trotz grosser Fortschritte und Investitionen (...) schafft es die Industrie bislang nicht, von Haus aus sichere Software zu erstellen (...)»

Die folgende Tabelle mit den zehn grössten Herstellern spricht Bände. Nur bei dreien ist die Zahl der Sicherheitslücken in den letzten fünf Jahren gesunken. An der unrühmlichen Spitze stehen Microsoft, Apple und Oracle. Der grösste Zuwachs ist bei SAP sowie bei Adobe zu verzeichnen, das unter anderem die in Verruf geratene Web-Technologie Flash anbietet.

screenshot: techzoom.net

Nachdem schon vielerorts auf den Nachfolgestandard HTML5 gesetzt wird, blockiert der Google-Browser Chrome seit Neustem auch Flash-Inhalte im Vornherein.

Gut zu wissen: Bei der Swisscom sind Sicherheitsexperten fortlaufend damit beschäftigt, nach Schwachstellen in den Computer-Systemen zu suchen. Das sogenannte Red Team führt sogenannte «Penetration Tests» durch, man versucht also, unbemerkt in das Netzwerk einzudringen.