Digital
Wir verwenden Cookies und Analysetools, um die Nutzerfreundlichkeit der Internetseite zu verbessern und passende Werbung von watson und unseren Werbepartnern anzuzeigen. Weitere Infos findest Du in unserer Datenschutzerklärung.
Servers for data storage are seen at Advania's Thor Data Center in Hafnarfjordur, Iceland August 7, 2015. As it emerges from financial isolation, Iceland is trying to make a name for itself again, this time in the business of data centres -- warehouses that consume enormous amounts of energy to store the information of 3.2 billion internet users. Picture taken August 7, 2015. REUTERS/Sigtryggur Ari

Blick in einen Server-Raum: Jedes Unternehmen sollte seine Schwachstellen kennen.
Bild: STRINGER/REUTERS

Interview

DDoS-Attacken in der Schweiz: «Es meinen immer noch viele, sie seien zu unbedeutend, um Ziel eines Hacker-Angriffs zu werden»

DDoS-Attacken können jeden treffen, die Frage ist, ob man gewappnet ist. Der Schweizer IT-Sicherheitsexperte Stefan Mettler erklärt, worauf man achten muss.



Herr Mettler, Sie befassen sich beruflich mit DDoS-Attacken. Wie schätzen Sie den jüngsten Angriff auf bekannte Schweizer Online-Shops und die SBB ein?
DDoS-Attacken gibt es seit mehr als 15 Jahren. Sie bleiben aktuell, weil das Internet schlichtweg zu unserem kommerziellen und kommunikativen Lebensnerv geworden ist. Dadurch ergibt sich eine unüberschaubare Opfergruppe, die für Erpressungs- und Sabotagezwecke ausgewählt werden kann.

Das klingt bedrohlich.
DDoS-Attacken sind inzwischen auch sehr variantenreich geworden und sind nicht mehr nur zahlreiche digitale Datenpakete mit derselben Internet-Zieladresse. Attacken erfolgen auf Netzwerk- und Anwendungsebenen, auf spezielle Protokolle, als ganz langsame Angriffe mit wenigen Paketen, oder «über die Bande» eines anderen Unternehmens, das somit sowohl zum Opfer als auch zum Mittäter wird, usw. Je nach Zählweise ergeben sich so über ein Dutzend Hauptvarianten von DDoS-Attacken.

Waren die betroffenen Firmen nicht ausreichend geschützt?
Es meinen immer noch viele Organisationen und Unternehmen, sie seien zu klein oder zu unbedeutend, um Ziel eines Angriffs zu werden. Leider machen sie da die Rechnung ohne den Wirt. Denn der Angreifer entscheidet wann, wie und mit welchem Ziel die DDoS-Attacke durchgeführt wird – und nicht das Opfer.

Was raten Sie?
Wie bei einem Brand geht es darum, für unterschiedliche Szenarien sowohl Präventiv-Massnahmen – zum Beispiel Brandschutztüren –, Bekämpfungs-Massnahmen – zum Beispiel Feuerlöscher – als auch Notfallmassnahmen – etwa Ersatzräume – vorzubereiten und regelmässig zu testen. Es gibt eine ganze Reihe von Anti-DDoS-Lösungen, die bei richtiger Konfiguration ausgewählte Teile von DDoS-Angriffen im Netzwerkbereich reduzieren können.

Zur Person

Der Ostschweizer Stefan Mettler ist Senior Security Consultant und Partner der SEC Consult (Schweiz) AG in Zürich, weltweit arbeiten knapp 100 Angestellten für das internationale Unternehmen. Kunden aus der Privatwirtschaft und staatliche Stellen lassen ihre Computer-Netzwerke auf Schwachstellen überprüfen, indem zum Beispiel ein professioneller Hacker versucht, ins System einzudringen – dies wird «Penetration Testing» genannt. Mettler hat an der Hochschule Luzern Informationssicherheit studiert und ist auf Gefahrenabwehr und Absicherung spezialisiert.

Stefan Mettler, IT-Sicherheitsexperte, SEC Consult

Stefan Mettler.
bild: zvg

In grossen Unternehmen hat die IT-Sicherheit mehr Gewicht und Aufmerksamkeit, bei KMU und staatlichen Institutionen weniger. Trifft das aus Ihrer Erfahrung zu?
​Es ist tatsächlich so, dass es in kleineren Unternehmen, aber beispielsweise auch in Spitälern, an den erforderlichen Ressourcen mangelt, sei dies Geld oder Fachwissen. Leider stellen wir aber auch immer wieder fest, dass bei den Verantwortlichen eine gefährliche «Das nehmen wir in Kauf»-Haltung besteht.

Was soll der Bund tun, um Schweizer Unternehmen besser vor DDoS-Attacken zu schützen?
Der Bund könnte nur über eine Gesetzgebung die Schweizer Firmen verpflichten, sich gegen DDoS-Angriffe besser zu schützen. Eine gesetzliche Verpflichtung diesbezüglich ist aktuell nicht vorhanden. Der Bund könnte daher die Firmen generell stärker auf das Thema «IT Security» sensibilisieren und entsprechende Gesetze verabschieden, respektive an die Treue- und Sorgfaltspflicht appellieren.

Wo sehen Sie sonst noch Handlungsbedarf?
Jede Firma und jede Organisation sollte wissen, wie verletzlich sie gegen DDoS-Attacken ist. Daher muss die erste Aktivität sein, durch einen DDoS-Test zu erfahren, wo man steht. Das Pferd von hinten aufzuzäumen und Anti-DDos-Infrastruktur und -Dienstleitungen zu kaufen, ohne zu wissen, wo die Schwachpunkte sind, macht aus unserer langjährigen Erfahrung keine Sinn und ist dazu noch teurer.

«Investitionen in den Brandschutz sind heute selbstverständlich, in einen umfassenden DDoS-Schutz bei weitem noch nicht.»

Was kostet es denn, wenn ich meine Firma vor DDoS-Attacken absichern möchte?
Die Absicherung ist in jedem Fall deutlich teurer als ein DDoS Angriff durchzuführen, der für wenig Geld im Internet oder Darknet erworben werden kann. In der Regel braucht es ein Beratungsmandat, um die Gesamtsituation abzuklären und individuelle Massnahmen für einen Kunden zu ergreifen. Bei kleineren Betrieben kann dies zwischen 10'000 und 20'000 Franken kosten. Dazu kommen die Kosten für die regelmässige Überprüfung der Sicherheitsmassnahmen.

Gibt's dafür einen 100-prozentigen Schutz?
Völligen Schutz gibt es in keinem Lebensbereich. 100-prozentige Sicherheit als Zielsetzung in der IT-Security oder bei DDoS-Attacken wäre daher unsinnig. Wir unterstützen viele Organisationen im Aufbau eines ausreichenden Schutzes, der sinnvoll und machbar ist. Das erfordert allerdings auch Investitionen.

Investitionen in den Brandschutz sind heute selbstverständlich, in einen umfassenden DDoS-Schutz bei weitem noch nicht. Wesentlich ist, dass ohne regelmässige DDoS-Tests ein Unternehmen nicht weiss, wie es wirklich um die eigene Abwehrkraft bestellt ist. Der Glaube oder die Hoffnung, gut vorbereitet zu sein oder auch die richtige Lösung im Haus zu haben, ist – wie unsere Tests zeigen – leider zu wenig.

Das könnte dich auch interessieren:

Glück vor Geld – Island treibt Wirtschaft der Zukunft voran

Link zum Artikel

Shaqiri erhält nach Traum-Comeback ein Sonderlob von Klopp – und eine Entschuldigung

Link zum Artikel

Ho ho ho! Der Bundesrat schnürt das Budgetpäckli: Dafür gibt er am meisten Geld aus

Link zum Artikel

Das beste Kamera-Handy gibt's jetzt in der Schweiz – wir haben es getestet

Link zum Artikel

Diese Schweizer Organisationen erhalten am meisten Spendengelder

Link zum Artikel

TikTok zensiert Videos von Menschen mit Behinderung – um sie vor Mobbing zu schützen 🤔

Link zum Artikel

Wegen «Wildwest-Modell» von Uber & Co. – warum bald Millionen in den AHV-Kassen fehlen

Link zum Artikel

Alphabet Inc. – das macht der Mega-Konzern hinter Google wirklich

Link zum Artikel
Alle Artikel anzeigen

Das könnte dich auch interessieren:

Glück vor Geld – Island treibt Wirtschaft der Zukunft voran

100
Link zum Artikel

Shaqiri erhält nach Traum-Comeback ein Sonderlob von Klopp – und eine Entschuldigung

18
Link zum Artikel

Ho ho ho! Der Bundesrat schnürt das Budgetpäckli: Dafür gibt er am meisten Geld aus

56
Link zum Artikel

Das beste Kamera-Handy gibt's jetzt in der Schweiz – wir haben es getestet

31
Link zum Artikel

Diese Schweizer Organisationen erhalten am meisten Spendengelder

12
Link zum Artikel

TikTok zensiert Videos von Menschen mit Behinderung – um sie vor Mobbing zu schützen 🤔

4
Link zum Artikel

Wegen «Wildwest-Modell» von Uber & Co. – warum bald Millionen in den AHV-Kassen fehlen

30
Link zum Artikel

Alphabet Inc. – das macht der Mega-Konzern hinter Google wirklich

0
Link zum Artikel

Das könnte dich auch interessieren:

Glück vor Geld – Island treibt Wirtschaft der Zukunft voran

100
Link zum Artikel

Shaqiri erhält nach Traum-Comeback ein Sonderlob von Klopp – und eine Entschuldigung

18
Link zum Artikel

Ho ho ho! Der Bundesrat schnürt das Budgetpäckli: Dafür gibt er am meisten Geld aus

56
Link zum Artikel

Das beste Kamera-Handy gibt's jetzt in der Schweiz – wir haben es getestet

31
Link zum Artikel

Diese Schweizer Organisationen erhalten am meisten Spendengelder

12
Link zum Artikel

TikTok zensiert Videos von Menschen mit Behinderung – um sie vor Mobbing zu schützen 🤔

4
Link zum Artikel

Wegen «Wildwest-Modell» von Uber & Co. – warum bald Millionen in den AHV-Kassen fehlen

30
Link zum Artikel

Alphabet Inc. – das macht der Mega-Konzern hinter Google wirklich

0
Link zum Artikel

Abonniere unseren Newsletter

7
Bubble Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 48 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
7Alle Kommentare anzeigen
    Alle Leser-Kommentare
  • naim rashiti 20.03.2016 07:57
    Highlight Highlight Viel interessanter ist, dass sich einige Firmen weigern hier ihre Verpflichtungen ernst zu nehmen. Natürlich eine Webseite kann angegriffen werden und somit nicht erreichbar gemacht werden (technisch kann man das umgehen, aber es scheinen eben nur Wochenendadmins zu existieren...).
    So weigert sich zB. ricardo.ch meine Gebühren zurück zu erstatten, obwohl bewiesen ist, dass meine 2 Angebote für total 15.- CHF, mindestens die letzten 3 Tage kaum erreichbar war. Das Kerngeschäft und die Dienstleistung wird nicht erbracht, aber man will fröhlich und stinkfrech trotzdem voll kassieren.
  • oXiVanisher 17.03.2016 07:49
    Highlight Highlight Die Frage, wie wichtig die Website eines Unternehmens ist wurde in diesem Interview komplett ausgelassen. Dies ist schlussendlich der entscheidende Faktor. In den meisten Fällen kann die Website relativ losgelöst von der internen IT betrieben werden und somit das normale Tagesgeschäft unbeeinträchtigt gelassen werden. Dass sich jedes KMU einen 10k-20k DDOS-Schutz kauft, ist natürlich des IT-Sicherheitstypen feuchter Traum, aber IMHO weder sinnvoll noch nötig.
    Die Ursache ist meiner Meinung nach jedoch zu oft (besonders bei KMUs) dass viele IT-Verantwortlichen einfach zu wenig Ahnung haben.
  • SomeoneElse 16.03.2016 21:22
    Highlight Highlight ist das ein selfie? evtl. mal bisschen geld für einen fotografen ausgeben oder der staat könnte dazu gesetze verabschieden. generell sollten sie die leute sensibilisieren bessere fotos von sich zu schiessen.
  • koks 16.03.2016 19:37
    Highlight Highlight it-fachleute müssen halt auch ihr geld verdienen. sobald eine kmu eine it-fachperson engagiert, kostet alles - beratung, aber auch backup-lösungen etc - sofort recht viel geld. für viele kleine firmen reicht es bei etwas knowhow locker aus, die software und hardware selbst zusammenzustellen.
    dass aber der typ gar noch verlangt, dass der staat vorschriften für private firmen zu erlassen habe, ist die höhe. ich schätze, er ist auch noch gleich fdp-parteimitglied und ruft am stammtisch nach weniger staat.
    • koks 17.03.2016 10:09
      Highlight Highlight jaja, patrick.
      nur über eine gesetzgebung.
      die uns dann zwingt, geld zu verlochen.
      aber "nur" ein neues gesetz, ist schon gut.
      sorry, bin nicht so naiv wie ihr lobbyisten gerne hättet.
    • anonymous3 17.03.2016 14:41
      Highlight Highlight @Koks: Deine Aussagen sind völlig unüberlegt. Niemand will Firmen zwingen "ihr Geld zu verlochen". Im Endeffekt ist die Frage wie hoch die Kosten sind, die durch den Ausfall von Webshops (E-Commerce) entstehen und ob diese Kosten nicht höher sind als die Kosten für die IT-Sicherheitsexperten, die die Firmen davor schützen.
      In diesem Fall sind die Kosten durch den Ausfall ziemlich sicher höher als die Kosten für die Absicherung. Hinzu kommt, dass es in der Verantwortung der IT und der Geschäftsleitung liegt, dass die Systeme entsprechend geschützt werden. Mit Lobyismus hat das nichts zu tun.
  • Murri 16.03.2016 18:32
    Highlight Highlight Da hat auch jemand ne gratis werbeplattform gesucht und erhalten... IT Sicherheit ist immer ein Abwägen zwischen Kosten und Ertrag... Resp. zu erwartenden Schaden...

SBB-Personal demonstriert gegen Meyer: «Chefs sind meilenweit von Realität entfernt»

Verschmutzte und verspätete Züge machen nicht nur die Passagiere, sondern auch das Personal sauer. Am Montag gehen darum SBB-Angestellte auf die Strasse. Barbara Spalinger, Vizepräsidentin der Eisenbahner-Gewerkschaft SEV, sagt, was sich jetzt bei den Bahnen ändern muss.

Frau Spalinger, SBB-Angestellte demonstrieren am Montag vor dem Hauptsitz in Bern gegen «schädliche Reorganisationen» und gegen die SBB-Führung. Woher kommt diese Wut?Barbara Spalinger: Im August wurde ein Zugbegleiter in Baden von einer defekten Zugtüre eingeklemmt und tödlich verletzt. Der Unfall hat viele Mängel bei den SBB aufgedeckt und hallt beim Personal immer noch nach. Bei den Lokführern, im Unterhalt oder bei den Zugbegleitern: Es fehlt laut unserer Analyse im SBB-Betrieb an …

Artikel lesen
Link zum Artikel