Nach der weltweiten Welle von Cyberangriffen mit einer erpresserischen Schadsoftware ist das genaue Ausmaß der Schäden in Deutschland noch unklar. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rechnet erst in den kommenden Tagen mit einem Überblick. Die Deutsche Bahn kämpfte am Montag noch immer mit den Auswirkungen. Das Bundeskriminalamt (BKA) ermittelt.

Die beispiellose Cyberattacke hat seit Freitag weltweit Computersysteme lahmgelegt. Europol sprach von mehr als 200.000 Opfern in mindestens 150 Ländern. Die Angreifer nutzten eine Sicherheitslücke im Betriebssystem Windows und setzten eine Schadsoftware ein, Ransomware genannt, die Computerdaten verschlüsselt und nur gegen Geld wieder freigibt. Zunächst wurde der britische Gesundheitsdienst NHS praktisch lahmgelegt, was weltweite Aufmerksamkeit nach sich zog. Betroffen waren aber auch der französische Autobauer Renault, der in einigen Werken die Produktion stoppen musste, der amerikanische Lieferdienst FedEx oder der spanische Telefon-Riese Telefónica sowie Ministerien, Banken und die Eisenbahn in Russland.

Nur eine Frage der Zeit

Der prominenteste Fall in Deutschland ist die Deutsche Bahn und ihre Logistiktochter Schenker. Auf vielen Anzeigebildschirmen der Deutschen Bahn wurden Nachrichten angezeigt, dass das System blockiert sei und nur mit einem Lösegeld von 300 Dollar wieder freigeschaltet werden könne – zu bezahlen in der Digitalwährung Bitcoin. Im russischen Innenministerium waren 1000 Computer betroffen und in Großbritannien sogar 45 Organisationen und damit ein Fünftel des Nationalen Gesundheitsdienstes.

Für Arne Schönbohm, den Präsidenten des BSI, war es nur eine Frage der Zeit, bis wieder eine Cyber-Attacke weltweit für Schlagzeilen sorgt. Sein Amt hatte erst im November 2016 einen Bericht zur Lage der IT-Sicherheit in Deutschland veröffentlicht und dort explizit "auf die Gefahren durch Hackerangriffe insbesondere für sogenannte Kritische Infrastrukturen hingewiesen", sagt Schönbohm. Ein durch erschlichene Passwörter leergeräumtes Bankkonto ist zwar für den Betroffenen ärgerlich, aber keine Gefahr für das Gemeinwohl. Anders sieht das bei Angriffen auf Versorgungssysteme aus, deren Ausfall Leib und Leben gefährden kann.

Alle sind digital verwundbar

Sogenannte "Kritische Infrastrukturen" sind laut Bundesinnenministerium "Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden". Neben den Sektoren Energie und Gesundheit zählt das Ministerium auch die Informationstechnik und Telekommunikation sowie die Wasserversorgung zu den Bereichen, die überlebensnotwendige Infrastrukturen bereitstellen.

Seit Juli 2015 sind einige Betreiber von Kritischen Infrastrukturen dazu verpflichtet, Vorfälle zu melden. Die Einführung der Meldepflicht ist aber immer noch gestaffelt - bisher sind nur Betreiber von Infrastrukturen gemäß Atom-, Energiewirtschafts- und Telekommunikationsgesetz zu Meldungen verpflichtet. Unternehmen aus dem Finanzsektor und aus dem Transport- und Verkehrswesen sind erst ab Ende dieses Jahres verpflichtet, Cyberattacken zu melden.

Weckruf für Unternehmen

"Die aktuellen Angriffe zeigen, wie verwundbar unsere digitalisierte Gesellschaft ist", sagt Schönbohm. Sie sollten ein erneuter Weckruf für Unternehmen sein, "IT-Sicherheit endlich ernst zu nehmen und nachhaltige Schutzmaßnahmen zu ergreifen. Die aktuelle Schwachstelle ist seit Monaten bekannt, entsprechende Sicherheitsupdates stehen zur Verfügung. Wir raten dringend dazu, diese einzuspielen."

Das Besondere an der Ransomware "WannaCry" ist, dass sie sich selbst weiter verbreiten kann, ohne weiteres Zutun des Nutzers. "Dies kann insbesondere in Netzwerken von Unternehmen und Organisationen zu großflächigen Systemausfällen führen", warnt das BSI. Betroffen seien Systeme mit dem Betriebssystem Microsoft Windows - was kein Zufall ist. Denn die Software des amerikanischen Konzerns läuft auf Millionen Rechnern rund um die Welt.

Der Mechanismus der Weiterverbreitung der Schadsoftware wird zwar seit März durch einen Software-Patch von Microsoft verhindert. Das BSI rät auch dringend zum Aufspielen dieses Patches, doch viele Unternehmen und Behörden haben das Update noch nicht installiert. Um die IT-Kompetenz von Krankenhäusern, Autokonzernen oder der Bahn ist es schlecht bestellt - der digitale Schutz wird oft noch als reiner Kostenfaktor ohne unmittelbaren Nutzen gesehen - und nicht als mögliches Alleinstellungsmerkmal im Wettbewerb, um das Vertrauen von Kunden zu gewinnen.

Auch Geheimdienste sind Täter

Die zunehmende Digitalisierung und Vernetzung durch Entwicklungen wie dem Internet der Dinge, Industrie 4.0 oder Smart Everything bieten Cyber-Angreifern fast täglich neue Angriffsflächen und weitreichende Möglichkeiten, Informationen auszuspähen, Geschäfts- und Verwaltungsprozesse zu sabotieren oder sich anderweitig auf Kosten Dritter kriminell zu bereichern. Die Tätergruppen variieren von gelangweilten Jugendlichen über organisierte Kriminalität bis hin zu Geheimdiensten.

Informationen und Handlungsempfehlungen zum Schutz vor Ransomware hat das BSI bereits vor einem Jahr in einem Dossier zusammengefasst, das auf der BSI-Webseite heruntergeladen werden kann. Ransomware ist die Attacke der Stunde, bestätigen Sicherheitsexperten. Mehrere Studien messen eine jährliche Steigerung dieser Angriffe um 35 bis 50 Prozent. Eine ganze Industrie hat sich auf Ransomware spezialisiert, man kann für wenig Geld die Waffen für den digitalen Angriff kaufen.

Bitcoin machts möglich

Der finanzielle Anreiz für Kriminelle ist hoch, häufig bezahlen Unternehmen das geforderte Lösegeld. Früher gab es Fahndungserfolge, weil man die Empfänger der Lösegeldzahlungen dingfest machen konnte. Heute anonymisiert die Internetwährung Bitcoin den Zahlungsverkehr derart, dass Fahnder so gut wie keine Erfolgschancen mehr haben. Woher die Angriffe kommen, ist fast nicht mehr nachzuvollziehen, selbst Behörden wie das BSI grenzen die Angreifer immer nur grob ein, etwa auf "russischsprachige Hacker", was aber noch nichts über tatsächliche Standorte aussagt. Täter eindeutig zu identifizieren ist praktisch unmöglich.

Die Frankfurter Allgemeine Zeitung beklagt vor allem die dubiose Rolle von Geheimdiensten im Cyber-War. Sie weist darauf hin, dass die Sicherheitslücke dem amerikanischen Geheimdienst NSA schon lange bekannt war. Es sei ein akutes Problem im Cyberkrieg, dass Geheimdienste Lücken, die sie fänden, für sich behielten und Unternehmen nicht informierten, selbst wenn sie aus dem eigenen Land kämen. Denn: "Wer seine eigene Sicherheitsmauer hochzieht und die Schutzmaßnahmen veröffentlicht, stärkt auch die Abwehr des Gegners. Jeder kann auf die gleiche Software zugreifen."

Das BSI bietet unter www.bsi-fuer-buerger.de ein speziell für die Bürger zugeschnittenes Internetangebot und für Notfälle eine Telefon-Hotline (0800 274 1000 Montag bis Freitag von 8:00 bis 18:00 Uhr). Die vielfältigen Themen werden dort so behandelt, dass sie auch für technische Laien verständlich sind. Neben der reinen Information bietet das BSI auch konkrete und umsetzbare Handlungsempfehlungen an, beispielsweise zu Themen wie E-Mail-Verschlüsselung, Smartphone-Sicherheit, Smart Home oder der Umgang mit Sozialen Netzwerken.