Hacktivism as a Service fordert Unternehmen ­heraus

Den Ermittlungsbehörden fällt es nicht leicht, die in einer unsichtbaren Einheitsmaske auftretenden Mitglieder von Anonymous dingfest zu machen. In Szenekreisen haben die Aktivisten mit gezielten Attacken auf Konzerne, Behörden und politische Einrichtungen auf sich aufmerksam gemacht. Zu den Opfern gehörten beispielsweise Visa, MasterCard und Paypal, deren Internetangebote und Services zeitweise sogar offline waren. 

„Die Akteure suchen nach Schwachstellen bei Webseiten und Servern und konstruieren nach dem erfolgreichen Hacking später eine Art politische Rechtfertigung für die Tat“, erläutert Sean Sullivan, ­Security ­Advisor bei F-Secure. Betroffen von dem zunehmenden Hacktivismus seien jedoch Unternehmen aller Branchen und unabhängig von der Größe, also auch jene, die auf den ersten Blick keine politisch relevanten Ziele darstellten. 

So stand das erste Halbjahr 2011 in der politischen Hackerszene ganz im Zeichen der Verschmelzung zwischen den beiden Aktivistengruppen LulzSec und Anonymous ­. Anfang Juli 2011 legte Anonymous die Homepages der beiden Parteien SPÖ und FPÖ teilweise ­erfolgreich lahm. Die Gruppe Lulz Security (kurz: LulzSec) besitzt im Unterschied zu anderen Hack­tivisten-Gruppen indes keine klar erkennbaren, unmittelbar von politischen Inhalten bestimmten operativen Ziele. 

LulzSec zeichnete sich aber bei der Kompromittierung von Netzwerken und Servern sowie beim Diebstahl von Benutzernamen, Kennwörtern und anderen Daten durch ein beachtliches professionelles Geschick aus. Die Gruppe drang unter anderem mehrfach bei verschiedenen Unternehmen ein und griff sogar die IT-Systeme von Polizeibehörden und Geheimdiensten an. 

Nicht nur Konzerne sind betroffen

Ein neues Angriffsziel sehen die ­Sicherheitsexperten von McAfee in Betriebssystemen für mobile IT-Umgebungen wie Android. Modulare Baukästen und Dienstleistungen ließen sich heute bequem über das Netz bedarfsgerecht als „Crimeware as a Service“ und „Hacktivism as a Service“ ordern. 

Betroffen sind dabei auch kleine und mittelständische Betriebe, „vor allem jene, die mit Medien, Copyright und geistigem Eigentum zu tun haben“, präzisiert Sean Sullivan von F-Secure. Was ist zu tun? Unternehmen sollten zunächst ihre IT-Abwehr strategisch und organisatorisch richtig aufstellen. Dazu gehört laut Sean Sullivan von F-Secure eine wirksame Security Policy, beispielsweise für Server-Konfigurationen, aktuelle Server-Software sowie routinemäßige Plugins.

 „Als Ziel sollte wieder verstärkt der Schutz der Daten und nicht nur der Schutz der einzelnen Systeme in den Mittelpunkt rücken. Denn die Identifizierung der besonders schützenswerten Daten bildet den Eckpfeiler für ein erfolgreiches Handeln“, ergänzt Toralf Dirro, Security Strategist EMEA bei McAfee. 

Den vom Hacktivismus möglicherweise betroffenen kleineren Unternehmen rät der Experte jedoch davon ab, alles in Eigenregie zu übernehmen, sondern stattdessen für bestimmte Aufgaben einen externen Dienstleister zu beauftragen. Dadurch ließe sich selbst bei knappen Budgets und einer dünnen Personaldecke ein wesentlich effektiveres Schutzniveau in der IT-Sicherheit und beim Datenschutz erreichen. 

Parallel zu bewusst ausgewählten Managed Services stelle der Bereich der E-Mail-Sicherheit die Basis jeder Anti-Hacking-Strategie dar, gibt Sascha Krieger zu bedenken, Head of Corporate Communications und Mitglied des eleven-Research- Teams. „Ein Großteil solcher Angriffe lässt sich schon durch effektive Spam-Filter und eine lückenlose Anti-Viren-Lösung inklusive Früherkennung vereiteln“, so der Experte weiter. 

Fazit: Ein ungehinderter Zugang für Malware in das Unternehmensnetzwerk kann dieses innerhalb kurzer Zeit vollständig kompromittieren. Deshalb sollte das Augenmerk darauf liegen, keine unfreiwilligen konzeptionellen Steilvorlagen für die Hacktivisten zu offerieren. „Was das Unternehmensnetzwerk nicht erreicht, kann auch keinen Schaden anrichten“, bilanziert Krieger.