1-Euro-Münze

12.9.2013 | Von:
Arne Schönbohm

Cybercrime: Lukratives Geschäft für die Organisierte Kriminalität

Cyberkriminalität: Zahlen, Fakten, Fragen

Laut polizeilicher Kriminalstatistik 2012 hat die Cyberkriminalität 2011 ein Rekordhoch erreicht. Die Zahl der Fälle sei seit 2007 um 87 Prozent auf knapp 230.000 Fälle gestiegen.[10] Die Dunkelziffer jedoch dürfte weit höher liegen, da längst nicht alle Vorfälle gemeldet oder gar erkannt werden. Den wirtschaftlichen Schaden abzuschätzen, der so entsteht, ist schwierig. Kaum verwunderlich ist es daher, dass die Angaben für Schadenshöhen bei Cybercrime variieren: Gemäß Bundeslagebild Cybercrime des BKA betrug die Schadenssumme 2011 etwa 71 Millionen Euro.[11] Andere Quellen gehen für Deutschland von einem Volumen von 16 bis 24 Milliarden Euro aus – jährlich.[12] Dass die tatsächlichen Kosten, die durch Cyberangriffe entstehen, schwer abschätzbar sind, zeigt indes eine Unternehmensbefragung der Industrie- und Handelskammer Nord, die bestätigte, dass nur ein Bruchteil der Unternehmen (weniger als 15 Prozent) Cyberattacken überhaupt melden, da einerseits Zweifel an Ermittlungserfolgen bestehen und andererseits der Meldeaufwand als schlichtweg zu groß empfunden wird.[13] Gerade der Diebstahl geistigen Eigentums und vertraulicher Geschäftsinformationen schlägt in Industrienationen wie Deutschland zu Buche; dies schädigt nicht nur den Wettbewerb, sondern macht auch technologische Fortschritte zunichte.

Laut Sicherheitsbericht 2011 des internationalen Sicherheitsunternehmens Symantec nimmt Deutschland im Bereich Cybercrime in Europa bezüglich der Häufigkeit von Angriffen den Spitzenplatz ein.[14] Nach Einschätzung von Adam Palmer, Cyber-Sicherheitsberater, stellt sich die Situation so dar: "Allein in den letzten zwölf Monaten sind drei Mal mehr Menschen Opfer von Internet-Betrug geworden als von physischen Verbrechen – und eine Abschwächung des Trends ist nicht in Sicht. Dabei sind die Schäden keineswegs virtuell: Hier geht es nicht ‚nur‘ um Rufschädigung oder Belästigung, sondern um Geld."[15]

In der Polizeilichen Kriminalstatistik (PKS) 2011 wurden alle in Deutschland in diesem Zeitraum verübten Straftaten erfasst. Das sogenannte Dunkelfeld, also die der Polizei nicht gemeldeten Straftaten (und natürlich auch jene, die unbemerkt bleiben), sind nicht beziffert. Ebenfalls nimmt die Kriminalstatistik nur Verdächtige auf, die sich in Deutschland aufhalten. Täter, die sich im Ausland befinden oder einen Server im Ausland nutzen, gehen also nicht in die veröffentlichten Zahlen ein.

Die PKS enthält für 2012 über 229.408 Straftaten in Verbindung mit dem Tatmittel Internet. Dem gegenüber stehen 222.267 Fälle im Jahr 2011, was einer Steigerung von gut 3 Prozent entspricht.[16] Die tatsächliche Fallzahl bleibt indes unbekannt. Aufgrund der vagen Aussagen, die bisher zu IT-Angriffen auf Unternehmen gemacht werden können, steht zur Diskussion, ob eine gesetzliche Meldepflicht für Unternehmen mehr Licht ins Dunkel bringen würde. Doch auch Privatpersonen sind betroffen. Immer häufiger werden im Netz Identitäten geklaut, um über fremde Konten Geschäfte abwickeln zu können. Laut Bundesamt für Sicherheit in der Informationstechnologie (BSI) kam es 2013 innerhalb von drei Monaten zu etwa 250.000 solcher Straftaten; die meisten jedoch bleiben über Monate hinweg unbemerkt.[17]

Die Opfer von Cybercrime sind ebenso vielfältig wie die Täter und ihre Methoden. Von Privatpersonen über kleine und mittelständische Unternehmen (KMU) bis hin zu Großkonzernen oder Regierungsstellen sind alle betroffen. Eine neue Studie des Softwarehauses Symantec offenbart zudem, dass insbesondere KMUs im Fokus der Kriminellen stehen: 50 Prozent aller Cyberangriffe zielten auf Unternehmen mit weniger als 2.500 Mitarbeitern, ein Drittel zielte gar auf Unternehmen mit weniger als 250 Mitarbeitern ab.[18] Weil gerade diese Unternehmen glauben, uninteressant für Hacker zu sein, stoßen Internet-Kriminelle hier auf erstaunlich wenig Widerstand: unzureichende Sicherheitsvorkehrungen öffnen Tür und Tor für Eindringlinge.

Hacker und Netzkriminelle – eine kleine Typologie

Sobald von einem "Hacker" die Rede ist, denken die meisten Menschen unwillkürlich an eine Art Nerd, der Tag und Nacht vor seinem Computer sitzt und versucht, an Benutzerdaten anderer Leute zu gelangen oder in Firmennetzwerke einzudringen. Ursprünglich stand das Wort "Hacken" für das Anpassen von Geräten oder Hardware. "Hacker" sind damit prinzipiell Technikenthusiasten, die im Zuge der Verbreitung der Informations- und Kommunikationstechnologien begannen, nach Sicherheitslücken in diesen Systemen zu suchen. Generell gilt es, nach zwei grundverschiedenen Hackergruppen beziehungsweise Motivationen zu unterscheiden. Einerseits gibt es sogenannte White hats, die – auch im Auftrag von Unternehmen – die Infrastruktur und Systeme auf ihre Sicherheit prüfen. Es geht dabei nicht darum, eine Schwachstelle auszunutzen, sondern deren Behebung herbeizuführen. Im Gegensatz dazu agieren die Black hats, deren Vorgehensweise zwar die gleiche ist, allerdings nutzen sie die erkannten Schwachstellen zu ihren Zwecken aus und verkaufen diese beispielsweise weiter. Oftmals sind die Grenzen zwischen White und Black hats nicht einfach zu ziehen, sodass viele Hacker in einer Art Cyber-Grauzone agieren. In ihr finden sich noch weitere Typen, die im Folgenden typologisiert werden sollen:

Einsteiger: Niedrigschwellige Hacker und Script Kiddies. Die Tools sind Phishing, Social Engineering, vorprogrammierte Software-Toolkits und Defacement; die Akteure unzufriedene Mitarbeiter, Insider und Einsteiger. Dieser Gruppe geht es vor allem darum, Erfahrungen zu sammeln und die breiten Möglichkeiten des Internets zu erproben. Sie versuchen auch ihr Insiderwissen weiter zu geben, um gezielt – zum Beispiel aus Rache – einen Schaden für ein Unternehmen zu verursachen. Zu dieser Gruppe zählen auch "digitale Straßenräuber": Gewöhnliche Taschen- und Trickdiebe, die durch relativ simple Methoden wie Phishing, an ihre Opfer – und deren Geld – gelangen. Oftmals hat diese Gruppe kein tief gehendes Technikverständnis, weiß aber, der sich online verfügbaren Werkzeuge zu ihrem Vorteil zu bedienen.

Fortgeschrittene: Anspruchsvolle Hacker, organisiertes Verbrechen auf mittlerem bis hohem Niveau. Hierbei handelt es sich um strukturierte oder unstrukturierte Attacken (DDoS[19], Drive-by-exploit, SQL-injections[20]). Bekannte Sicherheitslücken werden ausgenutzt. Die Akteure sind Hobby-Hacker, (un-)ethische Hacker oder organisierte Gruppen. Organisierte Kriminelle führen gezielte Angriffe auf Unternehmen, aber auch staatliche Stellen durch. Lukrative Geschäfte können aufgrund ihres technischen Wissens schnell gemacht werden. Diese Gruppe verfügt über weitreichende IT-Kenntnisse, die es ihnen ermöglichen, an geistiges Eigentum, persönliche Daten, betriebsinterne Informationen oder vertrauliche Regierungsdokumente zu gelangen. Schätzungen zufolge werden 80 Prozent der virtuellen Verbrechen nicht von einzelnen Hackern, sondern Gruppen begangen.[21] Daneben gibt es jedoch auch "Ethische Hacker", denen es vor allem um den freien Zugang zu Informationen, Daten und Wissen geht.

Profis: Industriespione und (Cyber-)Terroristen. Unter den Profis finden sich sowohl staatlich gelenkte Hacker als auch terroristische Gruppen und Hackivisten. Diesen geht es vor allem darum, Aufmerksamkeit für politische, soziale oder gesellschaftliche Anliegen zu generieren. Sie verfolgen weniger einen dauerhaften Schaden als vielmehr kurzzeitiges Interesse zur Durchsetzung ihrer Ziele. Eine der bekanntesten Gruppen in diesem Umfeld ist Anonymous, ein anonymes Kollektiv von Aktivsten und Hackern, die mit ihren Aktionen großes mediales Interesse erzeugen konnten. Neben Anonymous gibt es jedoch viele kleinere Gruppen, die versuchen, ihre Ansichten oder politischen Interessen durch gezielte Angriffe zu untermauern. Zuletzt machte sich die Gruppe der Izz ad-Din al-Qassam Cyber Fighters durch mehrere DDoS-Attacken auf US-amerikanische Finanzinstitute wie J.P. Morgan Chase oder die Bank of America einen Namen. Die aus dem Iran operierenden Banken-Gegner verfolgen dabei nicht das Ziel einer persönlichen Bereicherung, sondern haben vielmehr die Absicht, Schaden anzurichten. Als Folge ihrer Angriffe brechen die Websites der Banken zusammen.[22]

Es zeigt sich: Die Betrugspraktiken im Cyberspace entwickeln sich mit einer hohen Geschwindigkeit; stetig kommen neue hinzu.[23] 80% der digitalen Verbrechen sind organisiert.[24] Es ist also naheliegend, dass das organisierte Verbrechen seine Methoden und "Geschäftsfelder" auch auf die virtuelle Welt übertragen hat. Um das Ausmaß organisierter Cyberstraftaten darzustellen, möchte ich auf die zwei Beispiele, Silk Road und Liberty Reserve, näher eingehen.

Fußnoten

10.
Vgl. Cyberkriminalität steigt um 7,5 Prozent, 15.5.2013, http://www.zeit.de/politik/deutschland/2013-05/Kriminalstatistik-Friedrich« (12.8.2013).
11.
Vgl. BKA, Cybercrime Bundeslagebild 2011, Wiesbaden 2012, S. 8. Für 2012 liegen noch keine erfassten Zahlen vor.
12.
Vgl. 16,4 Milliarden Euro Schaden durch Netzkriminalität, 13.9.2011, http://www.focus.de/digital/computer/computer-16-4-milliarden-euro-schaden-durch-netzkriminalitaet_aid_664834.html« (12.8.2013).
13.
Vgl. IHK Nord e.V., Unternehmensbefragung zur Betroffenheit der norddeutschen Wirtschaft von Cybercrime, Hamburg 2013.
14.
Vgl. Michal Piontek, Symantec-Sicherheitsbericht: Deutschland ist Cybercrime-Europameister, München 2012.
15.
Vgl. ebd.
16.
Vgl. Cyberkriminalität steigt um 7,5 Prozent (Anm. 10).
17.
Cyber-Attacken in Deutschland: Eine Viertelmillion Identitäten in drei Monaten geklaut, 7.8.2013, http://www.spiegel.de/netzwelt/netzpolitik/cyber-attacken-250-000-identitaeten-in-drei-monaten-geklaut-a-915409.html« (12.8.2013).
18.
Vgl. Symantec Corporation, Internet Security Threat Report 18/2013.
19.
Bezeichnet einen "Angriff auf einen Computer mit dem erklärten Ziel, die Verfügbarkeit außer Kraft zu setzen." Siehe auch http://www.computerlexikon.com/begriff-ddos-attacke« (12.8.2013).
20.
Das Ausnutzen von Sicherheitslücken bei SQL-(structered query language)-basierten Datenbanken.
21.
Vgl. Tom Espiner, Detica: 80 percent of internet crime is ‚co-ordinated‘, 29.3.2012, http://www.zdnet.com/detica-80-percent-of-internet-crime-is-co-ordinated-3040154918/« (12.8.2013).
22.
Vgl. Rolf Benders, Der Angriff der Hacker auf amerikanische Banken, in: Handelsblatt vom 8.8.2013, S. 32.
23.
Für detaillierte Ausführungen zu Angriffsarten und Methoden vgl. Arne Schönbohm, Wie das Internet unser Leben verändert. Perspektiven aus den Bereichen Politik, Sicherheit, Recht, Wirtschaft und Medien, Münster 2013.
24.
Vgl. BAE Systems Detica and The John Grieve Centre, Organized Crime in the Digital Age, März 2012, http://www.baesystemsdetica.com/resources/organised-crime-in-the-digital-age/« (12.8.2013).
Creative Commons License

Dieser Text ist unter der Creative Commons Lizenz veröffentlicht. by-nc-nd/3.0/ Der Name des Autors/Rechteinhabers soll wie folgt genannt werden: by-nc-nd/3.0/
Autor: Arne Schönbohm für bpb.de
Urheberrechtliche Angaben zu Bildern / Grafiken / Videos finden sich direkt bei den Abbildungen.