Identitätsdiebstahl: Eine ernstere Bedrohung, als Sie denken

Kuna Nallappan

Die Finanzdienstleistungsbranche in Asien gehört zu den am stärksten regulierten Sektoren, und die Einhaltung gesetzlicher Vorschriften wird häufig als Garant für Sicherheit angeführt. Compliance ist jedoch nur ein Aspekt der Sicherheit. Die verschiedenen Vorschriften decken ein breites Spektrum an Themen ab, doch es reicht nicht aus, lediglich Lösungen oder Geräte zu implementieren, um die Compliance-Anforderungen zu erfüllen.

Die zunehmende Verbreitung mobiler Geräte im asiatisch-pazifischen Raum und der damit einhergehende Aufstieg des Onlinebankings haben zu immer raffinierteren Cybersicherheitsbedrohungen geführt. Laut Telstras Mobile Identity Study gaben jedoch 62 Prozent der Führungskräfte im Finanzdienstleistungssektor an, nicht ausreichend in Identitätsmanagement und Sicherheit investiert zu haben. Zudem war weniger als die Hälfte der Verbraucher mit den Sicherheitsmaßnahmen ihres Finanzinstituts zufrieden, da mehr als ein Drittel bereits Opfer von Identitätsdiebstahl geworden ist.

Angesichts von Fällen von Identitätsdiebstahl wie dem Datendiebstahl bei JP Morgan und den südkoreanischen Banken, die im vergangenen Jahr von massiven Kreditkartendatendiebstählen betroffen waren, sowie Identitätsbetrug, durch den Opfern im Jahr 2014 16 Milliarden US-Dollar gestohlen wurden, entwickelt sich Identitätsdiebstahl rasch zu einer immer größeren, aber nach wie vor unterschätzten Bedrohung für den Finanzdienstleistungssektor.

Zunahme der Angriffsfläche und Komplexität

Identitätsdiebstahl ist unter Cyberkriminellen aufgrund der wachsenden Angriffsfläche und der zunehmenden Raffinesse der Angriffswerkzeuge weit verbreitet. Heutzutage erfolgen Cyberangriffe über eine größere Bandbreite an Angriffsvektoren. Da beispielsweise viele Finanzdienstleister den privaten Geräten ihrer Beschäftigten den Zugriff auf Unternehmensnetzwerke gestatten, können mobile Geräte im Rahmen von Bring Your Own Device (BYOD) Cyberkriminellen als Kanal dienen, um sich zu verbergen, Schadsoftware zu verbreiten und Informationen zu stehlen, indem sie die Zugangsdaten von Beschäftigten des Unternehmens missbrauchen.

Ein weiterer Angriffsvektor können unsichere, öffentlich zugängliche Webanwendungen sein, die einen schnellen Identitätsdiebstahl ermöglichen. Dazu gehören Zero-Day-Schwachstellen, die im vergangenen Jahr für Schlagzeilen sorgten, wie etwa Shellshock und Heartbleed. Es genügt, wenn ein Unternehmen eine Schwachstelle nicht rechtzeitig behebt oder nicht über die richtige Technologie zum Schutz seiner Webanwendungen verfügt. Sobald die Cyberkriminellen die Kontrolle erlangt haben, können sie tun, was sie wollen – vom Datendiebstahl bis hin zur Nutzung der Server für Botnet-Angriffe.

Dieser erweiterte „Spielraum“ bietet Cyberkriminellen mehr Möglichkeiten, Anmeldedaten zu stehlen. Sie sind nicht mehr auf Keylogging-Software oder Datenbankangriffe angewiesen, sondern können einfach Web-Injects einsetzen.

Wenn sich ein Benutzer beispielsweise bei Ihrem Onlinebanking-Konto anmeldet, können Cyberkriminelle ein zusätzliches Feld in die Webseite einfügen, das legitim erscheint und zur Eingabe Ihrer Geldautomaten-PIN (persönliche Identifikationsnummer) auffordert, um sowohl technisch versierte als auch weniger technisch versierte Onlinebanking-Nutzer zu täuschen. Gleichzeitig kann eine Schadsoftware im Hintergrund einen „Man-in-the-Browser“-Angriff ausführen, der für die Webanwendung des Anbieters unsichtbar ist.

Malware und Trojaner vergrößern heutzutage nicht nur die Angriffsfläche, sondern können auch über Mobile-Banking-Apps Anmeldedaten stehlen, um auf Guthaben bei Banken und anderen Finanzdienstleistern zuzugreifen. Cyberkriminelle können einfach eine mobile App erstellen, die einer Banking-App ähnelt, und mithilfe von Spear-Phishing Anmeldedaten stehlen. Manche Schadprogramme wie Dyre oder Dyreza zielen direkt auf Firmenbankkonten ab und haben ahnungslosen Unternehmen bereits mehr als eine Million Dollar gestohlen.

Bedrohungen mit mehrschichtiger Abwehr, proaktiven Maßnahmen und strengen Richtlinien für Mobilgeräte begegnen

Da Insider-Bedrohungen für die Mehrheit der Sicherheitsverletzungen im ersten Halbjahr 2015 verantwortlich waren, ist es wichtiger denn je, dass Unternehmen mit den schnell agierenden Cyberkriminellen von heute Schritt halten und die erforderlichen Maßnahmen zum Schutz ihrer mit dem Internet verbundenen Anwendungen ergreifen. Dies sollte ganz oben auf ihrer Prioritätenliste stehen, da solche Anwendungen ein naheliegendes Einfallstor für Cyberkriminelle darstellen, die stets nach Möglichkeiten suchen, in ein Netzwerk einzudringen. Insbesondere sollte auch vom Jailbreaking von Geräten abgeraten werden, da dies Cyberkriminellen in der Regel einen weiteren Zugang zu Netzwerken eröffnet.

Zunächst ist eine mehrschichtige Verteidigungsstrategie unter Einsatz der richtigen Technologien unerlässlich. Viele gehen fälschlicherweise davon aus, dass eine Technologie wie eine Firewall ausreicht, um die Netzwerke eines Unternehmens zu schützen. Dies trifft heute jedoch nicht mehr zu. Unternehmen müssen weitere Technologien wie Web Application Firewalls in Betracht ziehen. Angriffe auf Webanwendungen werden häufig gezielt auf eine bestimmte Anwendung zugeschnitten und von herkömmlichen Sicherheitsmaßnahmen nicht erkannt.

Auch wenn die Behebung – also das Beseitigen von Problemen nach einem Sicherheitsvorfall – eine wichtige Rolle spielt, lohnt es sich noch mehr, Ihre Netzwerke proaktiv abzusichern. Ein Behebungsszenario ist naturgemäß reaktiv: Das Forensikteam ermittelt die Ursache des Sicherheitsvorfalls, erstellt einen Bericht und behebt die Probleme im Nachgang. Eine proaktive Absicherung Ihres Unternehmens kann zwar nicht alle Angriffe abwehren, doch bereits eine Verringerung der Erfolgsquote von 100 Prozent auf einen niedrigeren Wert ist als Erfolg zu werten.

Schließlich gilt es auch, Selbstgefälligkeit entgegenzuwirken und die Haltung „Mir wird das schon nicht passieren“ abzulegen, bei der man zwar sieht, wie andere angegriffen werden, aber dennoch davon ausgeht, selbst verschont zu bleiben.

Organisationen sollten Sicherheitsrichtlinien für Mobilgeräte festlegen, die Vorgaben, Grundsätze und Verfahren für den Umgang mit Mobilgeräten definieren – unabhängig davon, ob diese vom Unternehmen bereitgestellt werden oder sich im Besitz von Einzelpersonen befinden. Diese Richtlinien sollten Bereiche wie Rollen und Verantwortlichkeiten, Infrastruktursicherheit, Gerätesicherheit und Sicherheitsbewertungen abdecken.

Durch die Einführung von Sicherheitsrichtlinien können Organisationen einen Rahmen für den Einsatz von Verfahren, Tools und Schulungen schaffen, der die Sicherheit drahtloser Netzwerke unterstützt. Indem sie ihre Mitarbeitenden zu den Richtlinien für mobile Sicherheit schulen, können Organisationen zudem sicherstellen, dass mobile Geräte sicher und angemessen konfiguriert, betrieben und genutzt werden.

Über den Autor

Kuna Nallappan

Weitere Blogbeiträge von Kuna Nallappan