Digital
Schweiz

IT-Sicherheitsexperte über den Schutz vor DDoS-Attacken

Blick in einen Server-Raum: Jedes Unternehmen sollte seine Schwachstellen kennen.
Blick in einen Server-Raum: Jedes Unternehmen sollte seine Schwachstellen kennen.
Bild: STRINGER/REUTERS
Interview

DDoS-Attacken in der Schweiz: «Es meinen immer noch viele, sie seien zu unbedeutend, um Ziel eines Hacker-Angriffs zu werden»

DDoS-Attacken können jeden treffen, die Frage ist, ob man gewappnet ist. Der Schweizer IT-Sicherheitsexperte Stefan Mettler erklärt, worauf man achten muss.
16.03.2016, 18:06
Mehr «Digital»

Herr Mettler, Sie befassen sich beruflich mit DDoS-Attacken. Wie schätzen Sie den jüngsten Angriff auf bekannte Schweizer Online-Shops und die SBB ein?
DDoS-Attacken gibt es seit mehr als 15 Jahren. Sie bleiben aktuell, weil das Internet schlichtweg zu unserem kommerziellen und kommunikativen Lebensnerv geworden ist. Dadurch ergibt sich eine unüberschaubare Opfergruppe, die für Erpressungs- und Sabotagezwecke ausgewählt werden kann.

Das klingt bedrohlich.
DDoS-Attacken sind inzwischen auch sehr variantenreich geworden und sind nicht mehr nur zahlreiche digitale Datenpakete mit derselben Internet-Zieladresse. Attacken erfolgen auf Netzwerk- und Anwendungsebenen, auf spezielle Protokolle, als ganz langsame Angriffe mit wenigen Paketen, oder «über die Bande» eines anderen Unternehmens, das somit sowohl zum Opfer als auch zum Mittäter wird, usw. Je nach Zählweise ergeben sich so über ein Dutzend Hauptvarianten von DDoS-Attacken.

Waren die betroffenen Firmen nicht ausreichend geschützt?
Es meinen immer noch viele Organisationen und Unternehmen, sie seien zu klein oder zu unbedeutend, um Ziel eines Angriffs zu werden. Leider machen sie da die Rechnung ohne den Wirt. Denn der Angreifer entscheidet wann, wie und mit welchem Ziel die DDoS-Attacke durchgeführt wird – und nicht das Opfer.

Was raten Sie?
Wie bei einem Brand geht es darum, für unterschiedliche Szenarien sowohl Präventiv-Massnahmen – zum Beispiel Brandschutztüren –, Bekämpfungs-Massnahmen – zum Beispiel Feuerlöscher – als auch Notfallmassnahmen – etwa Ersatzräume – vorzubereiten und regelmässig zu testen. Es gibt eine ganze Reihe von Anti-DDoS-Lösungen, die bei richtiger Konfiguration ausgewählte Teile von DDoS-Angriffen im Netzwerkbereich reduzieren können.

Zur Person
Der Ostschweizer Stefan Mettler ist Senior Security Consultant und Partner der SEC Consult (Schweiz) AG in Zürich, weltweit arbeiten knapp 100 Angestellten für das internationale Unternehmen. Kunden aus der Privatwirtschaft und staatliche Stellen lassen ihre Computer-Netzwerke auf Schwachstellen überprüfen, indem zum Beispiel ein professioneller Hacker versucht, ins System einzudringen – dies wird «Penetration Testing» genannt. Mettler hat an der Hochschule Luzern Informationssicherheit studiert und ist auf Gefahrenabwehr und Absicherung spezialisiert.
Stefan Mettler.
Stefan Mettler.
bild: zvg

In grossen Unternehmen hat die IT-Sicherheit mehr Gewicht und Aufmerksamkeit, bei KMU und staatlichen Institutionen weniger. Trifft das aus Ihrer Erfahrung zu?
​Es ist tatsächlich so, dass es in kleineren Unternehmen, aber beispielsweise auch in Spitälern, an den erforderlichen Ressourcen mangelt, sei dies Geld oder Fachwissen. Leider stellen wir aber auch immer wieder fest, dass bei den Verantwortlichen eine gefährliche «Das nehmen wir in Kauf»-Haltung besteht.

Was soll der Bund tun, um Schweizer Unternehmen besser vor DDoS-Attacken zu schützen?
Der Bund könnte nur über eine Gesetzgebung die Schweizer Firmen verpflichten, sich gegen DDoS-Angriffe besser zu schützen. Eine gesetzliche Verpflichtung diesbezüglich ist aktuell nicht vorhanden. Der Bund könnte daher die Firmen generell stärker auf das Thema «IT Security» sensibilisieren und entsprechende Gesetze verabschieden, respektive an die Treue- und Sorgfaltspflicht appellieren.

Wo sehen Sie sonst noch Handlungsbedarf?
Jede Firma und jede Organisation sollte wissen, wie verletzlich sie gegen DDoS-Attacken ist. Daher muss die erste Aktivität sein, durch einen DDoS-Test zu erfahren, wo man steht. Das Pferd von hinten aufzuzäumen und Anti-DDos-Infrastruktur und -Dienstleitungen zu kaufen, ohne zu wissen, wo die Schwachpunkte sind, macht aus unserer langjährigen Erfahrung keine Sinn und ist dazu noch teurer.

«Investitionen in den Brandschutz sind heute selbstverständlich, in einen umfassenden DDoS-Schutz bei weitem noch nicht.»

Was kostet es denn, wenn ich meine Firma vor DDoS-Attacken absichern möchte?
Die Absicherung ist in jedem Fall deutlich teurer als ein DDoS Angriff durchzuführen, der für wenig Geld im Internet oder Darknet erworben werden kann. In der Regel braucht es ein Beratungsmandat, um die Gesamtsituation abzuklären und individuelle Massnahmen für einen Kunden zu ergreifen. Bei kleineren Betrieben kann dies zwischen 10'000 und 20'000 Franken kosten. Dazu kommen die Kosten für die regelmässige Überprüfung der Sicherheitsmassnahmen.

Gibt's dafür einen 100-prozentigen Schutz?
Völligen Schutz gibt es in keinem Lebensbereich. 100-prozentige Sicherheit als Zielsetzung in der IT-Security oder bei DDoS-Attacken wäre daher unsinnig. Wir unterstützen viele Organisationen im Aufbau eines ausreichenden Schutzes, der sinnvoll und machbar ist. Das erfordert allerdings auch Investitionen.

Investitionen in den Brandschutz sind heute selbstverständlich, in einen umfassenden DDoS-Schutz bei weitem noch nicht. Wesentlich ist, dass ohne regelmässige DDoS-Tests ein Unternehmen nicht weiss, wie es wirklich um die eigene Abwehrkraft bestellt ist. Der Glaube oder die Hoffnung, gut vorbereitet zu sein oder auch die richtige Lösung im Haus zu haben, ist – wie unsere Tests zeigen – leider zu wenig.

Hol dir jetzt die beste News-App der Schweiz!

  • watson: 4,5 von 5 Sternchen im App-Store ☺
  • Tages-Anzeiger: 3,5 von 5 Sternchen
  • Blick: 3 von 5 Sternchen
  • 20 Minuten: 3 von 5 Sternchen

Du willst nur das Beste? Voilà:

DANKE FÜR DIE ♥
Würdest du gerne watson und unseren Journalismus unterstützen? Mehr erfahren
(Du wirst umgeleitet, um die Zahlung abzuschliessen.)
5 CHF
15 CHF
25 CHF
Anderer
twint icon
Oder unterstütze uns per Banküberweisung.
Das könnte dich auch noch interessieren:
7 Kommentare
Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 24 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
Die beliebtesten Kommentare
avatar
koks
16.03.2016 19:37registriert August 2015
it-fachleute müssen halt auch ihr geld verdienen. sobald eine kmu eine it-fachperson engagiert, kostet alles - beratung, aber auch backup-lösungen etc - sofort recht viel geld. für viele kleine firmen reicht es bei etwas knowhow locker aus, die software und hardware selbst zusammenzustellen.
dass aber der typ gar noch verlangt, dass der staat vorschriften für private firmen zu erlassen habe, ist die höhe. ich schätze, er ist auch noch gleich fdp-parteimitglied und ruft am stammtisch nach weniger staat.
269
Melden
Zum Kommentar
avatar
Murri
16.03.2016 18:32registriert Februar 2014
Da hat auch jemand ne gratis werbeplattform gesucht und erhalten... IT Sicherheit ist immer ein Abwägen zwischen Kosten und Ertrag... Resp. zu erwartenden Schaden...
249
Melden
Zum Kommentar
7
Warum Forscher vor diesem Garnelen-Jesus auf Facebook warnen
Mithilfe von KI-generierten Bildern erreichen Betrüger auf Facebook Hunderttausende Nutzerinnen und Nutzer. Dabei hilft ihnen der Facebook-Algorithmus.

Eine Jesusfigur, geformt aus Garnelen. Jesus mit dem Körper eines Krebses, wie er von anderen Krebsen angebetet wird. Diese und ähnliche KI-generierte Bilder überfluten gerade Facebook und bekommen oft Hunderttausende Likes.

Zur Story