BSI Lagebericht zur Cybersicherheit 2021: Bedrohungslage angespannt bis kritisch

„Im Bereich der Informationssicherheit haben wir Alarmstufe Rot.“

Mit dem BSI Lagebericht 2021 macht das Bundesamt für Sicherheit in der Informationstechnik deutlich, dass die Cyber Bedrohungslage angespannt bleibt.

BSI-Präsident Arne Schönbohm wird deutlich: „Im Bereich der Informationssicherheit haben wir – zumindest in Teilbereichen – Alarmstufe Rot.“ Cyberangriffe auf Krankenhäuser, lahmgelegt Lieferketten und digitale Schutzgelderpressung treffen auf gravierende Schwachstellen in verfügbaren IT-Produkten. So wurde vor kurzem eine gefährliche Sicherheitslücke in Microsoft-Exchange festgestellt, die auf 98 % - also so gut wie allen – geprüften Systemen vorgefunden wurde. Anfang des Jahres musste das BSI den höchsten jemals gemessenen Wert an neuen Schadprogrammen notieren – und rund 553.000 neue Schadprogramm-Varianten, die täglich neu in Umlauf gelangen. Das BSI zählte im Berichtszeitraum sagenhafte 144 Millionen (!) neue Varianten von Schadprogrammen, was einem Plus von 22 % gegenüber dem Vorjahreszeitraum entspricht. Arne Schönbohm ist zurecht alarmiert – zumal mit fortschreitender Digitalisierung ein weiterer Anstieg der Zahlen so gut wie sicher ist.

Die Cyber Bedrohungslage wird dominiert von cyberkriminellen Erpressungsmethoden

Einen „Trend“, der bereits 2020 spürbar wurde und der sich in 2021 nochmals verstärkt hat, sieht das BSI im Bereich der cyberkriminellen Erpressung. Der Erfindungsreichtum der Cyberkriminellen in Sachen Schutzgeld, Schweigegeld und Lösegeld kennt dabei kaum Grenzen:

• Im Herbst 2020 begann eine weltweite Kampagne von Cyberkriminellen, die unter Androhung von DDoS-Angriffen Schutzgelder von ihren Opfern erpressten.
• Im Herbst und Winter 2020 startete gleichzeitig eine globale Angriffswelle mit der zu zweifelhafter Berühmtheit gelangten Schadsoftware Emotet. Durch die Angriffe wurden Lösegelder im großen Stil erpresst.
• Eine neue Angriffsstrategie richtete sich gezielt gegen Unternehmen, die sich mit regelmäßigen Backups gegen Ransomware und mögliche Verschlüsselung ihrer Daten durch Cyberkriminelle absichern wollten. Die Cyberkriminellen speicherten die Daten vor der Verschlüsselung ab und drohten ihren Opfern damit, die erbeuteten Daten zu veröffentlichen – sofern keine entsprechenden Schweigegelder gezahlt werden würden.
• Auch Spam-Kampagnen sprangen auf den Zug der Erpressungsversuche auf. Die Cyberkriminellen gaben in den Spam-Mails vor, Daten der Opfer abgegriffen zu haben und drohten damit, diese zu veröffentlichen. Die Daten waren zwar zu keiner Zeit in der Hand der Cyberkriminellen, dennoch genügte die Drohkulisse, um viele Opfer zu einer Zahlung von Schweigegeld zu bewegen.

Outsourcing und bedrohlicher Einfallsreichtum gefährden die Cybersicherheit 2021

Unter dem Begriff Proliferation erfasst das BSI die Verbreitung von cyberkriminellen Methoden, Technologien und Know-How zwischen unterschiedlichen Hacker-Gruppen. Was in der Privatwirtschaft als Outsourcing bekannt ist, nämlich eine Arbeitsteilung und die Auslagerung von einzelnen Bestandteilen einer Aufgabe, wird auch bei Cyberkriminellen immer beliebter. Cybercrime-as-a-service ist hier das „Geschäftsmodell“ des Jahres. Auf bestimmte Techniken spezialisierte Hackergruppen übernehmen hier als Auftragsarbeit Teile eines komplexen Cyberangriffs, während andere Gruppierungen abgegriffene Daten auf extra eingerichteten Leak-Seiten veröffentlichen. Die geleakten Daten wiederum können bequem von weiteren Angreifern eingekauft und für neue Cyberangriffe genutzt werden. Die Cyber Bedrohungslage 2021 zeichnet sich leider durch immer raffiniertere Geschäftsmodelle der Cyberkriminellen aus.

Vier aufsehenerregende Cyberangriffe aus dem BSI Lagebericht 2021

Unter den unzähligen Cyberangriffen, die in den Jahren 2020/2021 stattfanden, stachen vier Fälle besonders hervor. Das BSI führt im Lagebericht 2021 diese vier Cyberangriffe detailliert auf.

Cyberangriff auf ein Krankenhaus
Im Herbst 2020 geriet ein Universitätsklinikum in NRW in das Fadenkreuz von Cyberkriminellen. Das Klinikum behandelt jährlich rund 50.000 stationäre Patienten und Patientinnen und wird beim BSI als „Kritische Infrastruktur“ geführt. Am 10. September 2020 wurde gemeldet, dass das Uni-Klinikum einem Ransomware-Angriff zum Opfer gefallen ist. Die Angreifer verwendeten eine Schwachstelle auf dem Citrix NetScaler-Gateway – einem Netzwerkprodukt, dass im Klinikum unter anderem für Fernzugriffe eingesetzt wird. Das Uni-Klinikum reagierte umgehend, trennte die Internetverbindung und fuhr die meisten der eingesetzten Windows-Server herunter. Nachdem die Erpresser ein Schreiben übermittelt hatten, wurde klar, dass sich der Angriff nicht an das Klinikum direkt richtete, sondern eigentlich die Universität im Fokus hatte. Nachdem die Ermittlungsbehörden die Cyberkriminellen auf diesen Umstand aufmerksam gemacht hatten, wurde der digitale Schlüssel für die Wiederherstellung der Daten und IT-Systeme ausgehändigt.

Passdatendiebstahl
Im August 2020 wurde die argentinische Einwanderungsbehörde Opfer eines Ransomware-Angriffs. Eine Hackergruppe namens NetWalker bekannte sich zu dem Cyberangriff, bei dem Passdaten von rund 100.000 Personen erbeutet wurden. Für die Freigabe der persönlichen Daten förderten die Cyberkriminellen ein Lösegeld in Höhe von vier Millionen Dollar. Die Einwanderungsbehörde kam dieser Forderung nicht nach. Eine Woche später wurden die Daten auf eine Website hochgeladen und der Link inklusive Passwort zu der Website im Darknet veröffentlicht.

Angriff auf Pipeline-Betreiber
Der US-amerikanische Pipeline-Betreiber Colonial Pipeline Company betreibt das größte Pipeline-System für raffinierte Produkte in den USA. Im Mai 2020 wurde die Verwaltung des Unternehmens Ziel eines Cyberangriffs mit der Ransomware Darkside. Darkside ist ein Ransomware-as-a-service-Produkt und galt in 2020 als eines der fortschrittlichsten Ransomware-Varianten. In der Folge des Angriffes musste die Colonial Pipeline Company das Verwaltungsnetz abschalten und setzte rein vorsorglich den Betrieb der Pipeline aus. Das sorgte in einigen Teilen der USA für regionale Engpässe und Hamsterkäufe. Nach dem Angriff gaben die Betreiber des RaaS-Angebotes Darkside bekannt, dass der Angriff durch einen Affiliate durchgeführt wurde und das Ausmaß des Schadens nicht beabsichtigt gewesen ist.

Ransomware-Angriff auf Mediengruppe
Kurz vor Weihnachten 2020 musste sich eine große deutsche Mediengruppe mit einem Ransomware-Angriff auseinandersetzen. Der Cyberangriff legte innerbetriebliche Abläufe lahm, so dass Print- und auch Onlinemedien nicht mehr in vollem Umfang bereitgestellt werden konnten. Die unter dem Namen Doppel Spider bekannten Angreifer setzten auf Double Extortion, eine Kombination aus Verschlüsselung und der Veröffentlichung von im Vorfeld abgegriffenen Daten. Auch wenn sich die Mediengruppe um eine schnelle Wiederherstellung ihrer Systeme bemühte, konnte das Medienangebot erst Ende Januar 2021 vollumfänglich wieder ausgeliefert werden.