Die Erpressersoftware WannaCry verbreitet sich wie ein Lauffeuer um die Welt. Über 200.000 Rechner in über 100 Ländern sind bis jetzt binnen weniger Tage infiziert worden. Jetzt beginnt die Suche nach den Ursachen. Klassische IT-Sicherheitsunternehmen sehen ihre Stunde als Retter in der Not. Dabei liegt die Ursache dieser rasanten Infektionswelle gerade in den Algorithmen der etablierten IT-Sicherheitslösungen: Sie schützen ausschließlich vor bereits bekannten Gefahren - und sind machtlos gegen unbekannte oder modifizierte Angriffe.
Sandro Gaycken, Leiter des Digital Society Institute an der internationalen Business School ESMT Berlin, warnte angesichts WannaCry in einem Interview mit dem Nachrichtensender n-tv vor dem grundlegenden Problem der gängigen Sicherheitsstrategien: »Es kann natürlich sein, dass die Angreifer den [Angriffsmechanismus] jederzeit anpassen, oder dass es irgendwelche anderen Mechanismen gibt, die man übersehen hat.«, erklärt der IT-Sicherheitsexperte die Schwebe, in der Unternehmen stets stecken. Die Gefahr sei noch nicht gebannt. Wie auch? Seit Jahrzehnten basieren IT-Sicherheitslösungen auf einer riesigen Liste bekannter Gefahren. Das Ergebnis ist ein nicht enden wollendes Katz- und Mausspiel.
WannaCry lässt auf neue Angriffskonzepte schließen
Wanna Decryptor, wie die Schadsoftware ursprünglich heißt, ist ein Verschlüsselungsprogramm. Das Schadprogramm installiert sich auf einem Rechner, verschlüsselt die Daten und Zugänge und gibt diese nur gegen ein Lösegeld wieder frei. Diese sogenannten Erpresserprogramme oder Ransomwares arbeiten in der Regel langfristig und treten meist vereinzelt auf. Das Ausmaß und die Geschwindigkeit der Ausbreitung von WannaCry sind bis dato einzigartig - und vermutlich nur der Anfang neuer Angriffsvektoren und Cyberkriminalitätsaktivitäten.
»Die rasante Verbreitung des jetzt stattfindenden Erpressungsangriffs lässt sich damit erklären, dass das Programm nicht nur über den typischen Weg von Emails bzw. deren Anhängen oder kontaminierte Webseiten auf die Rechner gelangte, sondern sich dann selbst aktiv über SMB-Kommunikation verbreitete.«, konstatiert Dr. Frank Stummer von Rhebo. »Durch diese Kombination mit einem Wurm, der sich nach der Installation aktiv an andere Rechner im Netzwerk und Kontakte des infizierten Nutzerkontos versendet, konnte WannaCry auch auf andere Netzwerkebenen überspringen, was in verschiedenen Industrieunternehmen und Kritischen Infrastrukturen zu Produktions- und Infrastrukturausfällen geführt hat.«
Es gilt, das Unbekannte zu erkennen
Klassische Sicherheitslösungen wie Firewalls und Virenscanner sind gegen diese Form des Angriffsmechanismus nicht gefeit. Sie erkennen weder unbekannte Gefahren - sogenannte Anomalien - noch hätten sie in jedem Fall ausreichend Einblick in die eigentliche Code-Struktur der Schadprogramme.
»Industrieunternehmen müssen sich von der Illusion verabschieden, dass sie mit Firewalls, Virenscanner und Intrusion Detection-Systemen ihre Steuernetze ausreichend absichern können. Die Angriffsvektoren der Cyberkriminellen werden immer spezifischer und ausgeklügelter. Die Detektion wird oft erst möglich, wenn das Kind schon in den Brunnen gefallen ist.«, kritisiert Dr. Frank Stummer die aktuelle Blindheit gängiger Sicherheitslösungen.
Vielmehr hilft Industrieunternehmen eine Lösung, die das Steuernetz kontinuierlich auf Anomalien überwacht und jede Abweichung von der Standardkommunikation im Steuernetz meldet. Auch das Bundesministerium für Sicherheit in der Informationstechnologie (BSI) bezeichnete die selbstlernende Anomalieerkennung auf der diesjährigen Hannover Messe als eine zentrale Sicherheitsstrategie für das industrielle Internet der Dinge und die Industrie 4.0. Mit diesem Ansatz hätte auch der Angriff durch WannaCry frühzeitig erkannt werden können. Er wäre sofort als abweichende Kommunikationsstruktur im Netzwerk gemeldet worden, so dass Gegenmaßnahmen frühzeitig eingeleitet hätten werden können.
»Die Überwachung muss lückenlos erfolgen. Das heißt, wirklich jede verdächtige Aktion im Steuernetz muss gemeldet werden – ganz unabhängig davon, ob diese bereits als Gefahr gelistet ist oder nicht. Alles andere wird in Zukunft unzureichend sein. WannaCry hat soeben diese Zukunft eingeläutet.«, ist Dr. Stummer überzeugt.
Über Dr. Frank Stummer
Dr. Frank Stummer ist Mitgründer und Business Developer beim deutschen Technologieunternehmen Rhebo. Er promovierte am Fraunhofer Institut für Systemtechnik und Innovationsforschung, bevor er 2006 mit der ipoque sein erstes Unternehmen für Netzwerksicherheit gründete und als CFO erfolgreich zum Exit führte.
Über Rhebo
Die Rhebo GmbH ist ein Technologieunternehmen, das sich auf die Ausfallsicherheit industrieller Steuersysteme mittels Überwachung der Datenkommunikation spezialisiert hat. Ihre Gründer Klaus Mochalski (CEO), Martin Menschner (CTO) und Frank Stummer (Business Development) greifen auf über zehn Jahre Erfahrung in der Entwicklung und Vermarktung von Technologien für Netzwerkmanagement und -sicherheit zurück. Klaus Mochalski und Frank Stummer waren zuvor als Gründer im Management der IT-Sicherheitsfirmen ipoque und Adyton Systems tätig, die heute zusammen über 150 Mitarbeiter zählen. Martin Menschner verantwortete im selben Zeitraum bei Adyton Systems als CTO und bei ipoque als Projektleiter die Produktentwicklung in den Bereichen Netzwerksicherheit und Deep Packet Inspection.
Kontakt
Rhebo GmbH
Kristin Preßler (Leiterin Marketing)
Spinnereistr. 7
04179 Leipzig
Tel. +49-341-393-790-180
Mobil: +49-162-1002085
www.rhebo.com
press@rhebo.com
Sandro Gaycken, Leiter des Digital Society Institute an der internationalen Business School ESMT Berlin, warnte angesichts WannaCry in einem Interview mit dem Nachrichtensender n-tv vor dem grundlegenden Problem der gängigen Sicherheitsstrategien: »Es kann natürlich sein, dass die Angreifer den [Angriffsmechanismus] jederzeit anpassen, oder dass es irgendwelche anderen Mechanismen gibt, die man übersehen hat.«, erklärt der IT-Sicherheitsexperte die Schwebe, in der Unternehmen stets stecken. Die Gefahr sei noch nicht gebannt. Wie auch? Seit Jahrzehnten basieren IT-Sicherheitslösungen auf einer riesigen Liste bekannter Gefahren. Das Ergebnis ist ein nicht enden wollendes Katz- und Mausspiel.
WannaCry lässt auf neue Angriffskonzepte schließen
Wanna Decryptor, wie die Schadsoftware ursprünglich heißt, ist ein Verschlüsselungsprogramm. Das Schadprogramm installiert sich auf einem Rechner, verschlüsselt die Daten und Zugänge und gibt diese nur gegen ein Lösegeld wieder frei. Diese sogenannten Erpresserprogramme oder Ransomwares arbeiten in der Regel langfristig und treten meist vereinzelt auf. Das Ausmaß und die Geschwindigkeit der Ausbreitung von WannaCry sind bis dato einzigartig - und vermutlich nur der Anfang neuer Angriffsvektoren und Cyberkriminalitätsaktivitäten.
»Die rasante Verbreitung des jetzt stattfindenden Erpressungsangriffs lässt sich damit erklären, dass das Programm nicht nur über den typischen Weg von Emails bzw. deren Anhängen oder kontaminierte Webseiten auf die Rechner gelangte, sondern sich dann selbst aktiv über SMB-Kommunikation verbreitete.«, konstatiert Dr. Frank Stummer von Rhebo. »Durch diese Kombination mit einem Wurm, der sich nach der Installation aktiv an andere Rechner im Netzwerk und Kontakte des infizierten Nutzerkontos versendet, konnte WannaCry auch auf andere Netzwerkebenen überspringen, was in verschiedenen Industrieunternehmen und Kritischen Infrastrukturen zu Produktions- und Infrastrukturausfällen geführt hat.«
Es gilt, das Unbekannte zu erkennen
Klassische Sicherheitslösungen wie Firewalls und Virenscanner sind gegen diese Form des Angriffsmechanismus nicht gefeit. Sie erkennen weder unbekannte Gefahren - sogenannte Anomalien - noch hätten sie in jedem Fall ausreichend Einblick in die eigentliche Code-Struktur der Schadprogramme.
»Industrieunternehmen müssen sich von der Illusion verabschieden, dass sie mit Firewalls, Virenscanner und Intrusion Detection-Systemen ihre Steuernetze ausreichend absichern können. Die Angriffsvektoren der Cyberkriminellen werden immer spezifischer und ausgeklügelter. Die Detektion wird oft erst möglich, wenn das Kind schon in den Brunnen gefallen ist.«, kritisiert Dr. Frank Stummer die aktuelle Blindheit gängiger Sicherheitslösungen.
Vielmehr hilft Industrieunternehmen eine Lösung, die das Steuernetz kontinuierlich auf Anomalien überwacht und jede Abweichung von der Standardkommunikation im Steuernetz meldet. Auch das Bundesministerium für Sicherheit in der Informationstechnologie (BSI) bezeichnete die selbstlernende Anomalieerkennung auf der diesjährigen Hannover Messe als eine zentrale Sicherheitsstrategie für das industrielle Internet der Dinge und die Industrie 4.0. Mit diesem Ansatz hätte auch der Angriff durch WannaCry frühzeitig erkannt werden können. Er wäre sofort als abweichende Kommunikationsstruktur im Netzwerk gemeldet worden, so dass Gegenmaßnahmen frühzeitig eingeleitet hätten werden können.
»Die Überwachung muss lückenlos erfolgen. Das heißt, wirklich jede verdächtige Aktion im Steuernetz muss gemeldet werden – ganz unabhängig davon, ob diese bereits als Gefahr gelistet ist oder nicht. Alles andere wird in Zukunft unzureichend sein. WannaCry hat soeben diese Zukunft eingeläutet.«, ist Dr. Stummer überzeugt.
Über Dr. Frank Stummer
Dr. Frank Stummer ist Mitgründer und Business Developer beim deutschen Technologieunternehmen Rhebo. Er promovierte am Fraunhofer Institut für Systemtechnik und Innovationsforschung, bevor er 2006 mit der ipoque sein erstes Unternehmen für Netzwerksicherheit gründete und als CFO erfolgreich zum Exit führte.
Über Rhebo
Die Rhebo GmbH ist ein Technologieunternehmen, das sich auf die Ausfallsicherheit industrieller Steuersysteme mittels Überwachung der Datenkommunikation spezialisiert hat. Ihre Gründer Klaus Mochalski (CEO), Martin Menschner (CTO) und Frank Stummer (Business Development) greifen auf über zehn Jahre Erfahrung in der Entwicklung und Vermarktung von Technologien für Netzwerkmanagement und -sicherheit zurück. Klaus Mochalski und Frank Stummer waren zuvor als Gründer im Management der IT-Sicherheitsfirmen ipoque und Adyton Systems tätig, die heute zusammen über 150 Mitarbeiter zählen. Martin Menschner verantwortete im selben Zeitraum bei Adyton Systems als CTO und bei ipoque als Projektleiter die Produktentwicklung in den Bereichen Netzwerksicherheit und Deep Packet Inspection.
Kontakt
Rhebo GmbH
Kristin Preßler (Leiterin Marketing)
Spinnereistr. 7
04179 Leipzig
Tel. +49-341-393-790-180
Mobil: +49-162-1002085
www.rhebo.com
press@rhebo.com
