Keine Zeit verlieren: Wieso gerade KMU im Visier der Hacker sind

Unsere Autorin Claudia Gabler staunte nicht schlecht, als sie ihre E-Mail-Adresse beim Quick-Scan von DQ Solutions im Darknet rumtanzen sah. Welche Gefahren sich daraus ergeben, wie ihr Cyberkriminellen zuvorkommt und warum Cyber­sicherheit weniger anstrengend ist als gedacht: ein Interview über Verantwortung, Schutz und die Frage, wen wir mit unserer Ignoranz eigentlich unterstützen.

Ladies Drive: Dave, bei deiner Keynote im Rahmen der League of Leading Ladies-Konferenz wurde mir bewusst: Mit Cyberangriffen ist es wie mit dem Alter. Es trifft uns alle. Irgendwann. Es ist nur eine Frage der Zeit.

Dave Gleixner: Das ist so! Zu hoffen, dass es nur die anderen erwischt, ist keine Strategie. Bereits heute sind drei Viertel der Schweizer Unternehmen in irgendeiner Art und Weise von Cybersecurity-Vorfällen betroffen. Wir beobachten, dass immer mehr mittelständische Unternehmen Ziel von Cyberattacken werden. Über zehn Prozent der KMU wurden bereits erfolgreich gehackt.

Mittelstand ist ja noch das eine. Aber ich habe ein Ein-Personen-Unternehmen und bei eurem Quick-Scan entdeckt, dass meine E-Mail-Adresse im Darknet kursiert. Wie ernst ist das?

Sehr ernst. Es bedeutet zwar nicht automatisch, dass jemand gehackt wurde – aber dass Zugangsdaten wie E-Mail-Adresse und Passwort in einer geleakten Liste im Darknet kursieren. Und das ist ein echtes Risiko, denn viele nutzen dieselben Zugangsdaten auf mehreren Plattformen. Ein ge­­fundenes Fressen für Hacker.

Welche Sofortmassnahme empfiehlst du in so einem Fall?

Ich empfehle eine einfache Passwort-App wie zum Beispiel 1Password. Die gibt es im App Store, auch als Family-Version. Und: Passwörter besser nicht im Webbrowser abspeichern. Password Stealer lesen diese gerne aus.

Warum sind gerade mittelständische Unterneh­­men besonders gefährdet?

Weil sie denken, sie seien „nicht interessant ge­­­nug“. Das Gegenteil ist der Fall: KMU sind meist technisch schwächer geschützt. Für Hacker ist das ideal. Und weil sie so schnell reinkommen – wir sprechen von zwei Minuten –, können sie sich dort oft bis zu zwei Jahre unbemerkt bewegen.

Zwei Minuten?

Ja. Wir nennen das die „2-2-Regel“: Für gut ge­­schützte Unternehmen braucht der Hacker bis zu zwei Jahre und ist maximal zwei Minuten ­unentdeckt im System. Schlecht geschützte Unternehmen lassen sich ab zwei Minuten hacken – und merken es oft erst nach bis zu zwei Jahren. Das ist keine Ausnahme, sondern leider Alltag. Die Kriminellen kennen deine Bücher, deine Abschlüsse, deine Ebit-Zahlen und wissen daher auch, wie viel Prozent sie einfordern können, ohne dass die Firma in Konkurs geht. Grössere Unternehmen, bei denen viel zu holen ist, werden gezielt angegriffen; KMU ganz beliebig, per zufälliger Ransomware-Attacke. Hier erzielen die Cyberkriminellen mit wenig Aufwand viel Ertrag über die Menge.

Saubere Arbeit! Was machen Hacker mit diesen Daten?

Sie verkaufen sie im Darknet – für wenig Geld. Oder sie versuchen, mit diesen Daten auch andere Konten zu übernehmen. Viele Menschen nutzen dieselben Passwörter für verschiedene Plattformen – ein grosses Sicherheits­risiko. Andere Daten werden gezielt für Cyberattacken zum Beispiel auf einen Server oder ein Back-up verwendet.

Wie können sich KMU schützen – und wie gelingt der Schutz auch ohne grosses IT-Team im Haus?

Es braucht kein Vermögen, sondern ein Bewusstsein, um sich zu schützen. Geschäftsführer tragen die Verantwortung. Sie können diese delegieren und sogar auslagern, aber sie müssen sie übernehmen, indem sie eine stabile Cyberdefense aufbauen lassen.

Mit welchem Budget ist zu rechnen?

Für kleinere Unternehmen reichen oft wenige Tausend Franken pro Jahr, um eine wirksame Cyberdefense aufzubauen – inklusive Back-up-, Defense- und Response-Strategien. Auf Wunsch auch im Abo. Das reduziert den internen Aufwand und stellt sicher, dass die Cybersecurity immer auf dem neuesten Stand ist.

Was ist zu tun, wenn man zu spät dran ist und die Hacker sich schon zwei Jahre im System breitgemacht haben?

Wir stehen im Fall eines Angriffs sofort zur Seite. Wir helfen bei der Notfallkommunikation, Verhandlungen mit Hackern, Datenrettung – und manchmal gelingt sogar ein „Hackback“, wie bei einem Kunden aus Österreich: Da hat unser Security-Partner die gestohlenen Daten aus den Händen der Angreifer zurückgeholt – bevor überhaupt Lösegeld gefordert wurde.

Das klingt wie ein Thriller! Ich habe gehört, dass mit den Gewinnen aus den Ransomware-Attacken Kriege und Atomprogramme wie beispielsweise jenes von Nordkorea finanziert werden.

Das ist kein Thriller, das ist Realität. Es geht beim Thema Cybersecurity nicht „nur“ um den Schutz der Kunden- und Mitarbeiterdaten, um sensible Daten und Technik, sondern um viel mehr: um Ethik, Reputation und Verantwortung. Wer sich, seine Mitarbeitenden und Kunden nicht schützt, unterstützt das ungewollt mit.

Was war für dich das grösste Aha-Erlebnis an der League of Leading Ladies-Konferenz?

Viele Unternehmerinnen waren nach dem Pre-Check er­­schrocken, sind aber auch wachgerüttelt worden. Es gab Hunderte Darknet-Funde; auf einigen Geräten waren sogar Keylogger aktiv, also Spionagesoftware, die jede Tastatureingabe aufzeichnet – und damit selbst die Multi-­Faktor-Authentifizierung kompromittiert.

Irgendwie habe ich das Gefühl, dass die Angreifer immer einen Schritt voraus sind. Wie kann man sich das Darknet vorstellen?

Ja, es ist ein ewiges Katz-und-Maus-Spiel. Das Darknet kann man sich ein bisschen wie den Amazon Marketplace vorstellen. Ein Gemischtwarenladen, wo du alles kaufen kannst: gestohlene Kreditkartennummern oder Reisepässe, einen Schützenpanzer, Maschinengewehre oder Drogen. Für 20.000 Euro kann man jemanden ermorden lassen, für 1.700 eine Identität ruinieren. Es ist ganz einfach. Die Verkäufer werden mit Sternen bewertet. Reputation ist auch im Darknet etwas sehr Wichtiges. Es gibt sogar professionelle Service Desks. Diese helfen den betroffenen Firmen, ein Bitcoin-Konto einzurichten und die Daten sauber zu entkrypten. Wenn das Geld geflossen ist, wird man für zwei Jahre in Ruhe gelassen, um sein Security-Dispositiv hochzufahren und sich besser zu schützen. Eine Art Ehrenkodex. Sonst würde ja keiner mehr bezahlen.

Was hält deiner Meinung nach KMU wider besseres Wissen davon ab, das bisschen Geld in ihre Cyberdefense zu investieren? Das ist doch in jedem Fall günstiger als der Schaden, der hier angerichtet werden kann?

Drei Dinge: Unterschätzung der Gefahr, Angst vor dem Aufwand – und der Glaube, IT sei „nicht mein Thema“. Aber das ist ein Irrtum. Als Unternehmerin und Geschäftsführerin trägst du die Verantwortung. Und eine vernachlässigte IT-Security kann dich in Haftung bringen – mit deinem Privatvermögen.

Was sind deine drei wichtigsten Tipps für Unternehmerinnen und Entscheiderinnen?

1. Verantwortung übernehmen. Auch wenn du nicht IT-affin bist – du bist verantwortlich, dass für das Thema gesorgt ist.
2. First-Scan machen. Am besten heute – du wirst überrascht sein, was wir finden. Und wenn wir nichts finden, ist das für den Moment super – aber erst eine regelmässige Überprüfung bringt Sicherheit.
3. Sicherheits-Dispositiv anlegen. Wenn du ein kleines Team hast, lagere das Thema aus. Wir helfen dir dabei – es ist einfach und preislich völlig schmerzfrei.