Island Hopping: Wie Hacker ganze Netzwerke in ihre Gewalt bringen

Eigentlich ist Island Hopping eine militärische Strategie, die die Vereinigten Staaten während des zweiten Weltkriegs im Pazifik einsetzten. Die amerikanischen Streitkräfte eroberten zunächst kleinere, strategisch günstig gelegene Inseln, um auf ihnen neue Militärbasen zu errichten. Anstatt das japanische Festland von einer einzelnen Front aus anzugreifen, konnten sie so von verschiedenen Stützpunkten aus vorrücken und ihren Gegner quasi umzingeln. Dadurch wuchsen ihre Überlegenheit und ihr Einfluss auf das eigentliche Hauptziel.

In der Cyberwelt gehen Kriminelle ähnlich vor. Das von den Hackern ausgesuchte Zielunternehmen wird durch kleinere Unternehmen infiltriert. Dabei handelt es sich beispielsweise um externe Personal-, Gehaltsabrechnungs-, Marketing- oder Gesundheitsunternehmen, die eng mit dem Hauptunternehmen zusammenarbeiten. Da kleinere Firmen häufig über anfälligere Sicherheitssysteme verfügen, sind sie für Hacker ein leichtes Ziel. Wenn die Kriminellen erst einmal ein Partnerunternehmen gehackt haben, können sie durch E-Mails oder gestohlene Zugangsdaten viel leichter an sensible Daten des Hauptunternehmens gelangen.

Dem Quarterly Incident Response Threat Report der IT-Sicherheitsfirma Carbon Black zufolge werden 50 Prozent aller Cyberattacken weltweit dazu genutzt, kleine Firmen für Island Hopping zu missbrauchen. Diese Zahl soll jedoch noch weiter zunehmen, da die Sicherheitssysteme großer Unternehmen verstärkt ausgebaut werden und sie selbst dadurch nicht mehr direkt angreifbar sind.

Eines der bekanntesten Beispiele für Island Hopping ist der Angriff auf den US-Einzelhändler Target. Cyberkriminelle hatten sich in das Point-of-Sale-System eingehackt und Kredit- und EC-Karteninformationen von rund 40 Millionen Kunden gestohlen, woraus dem Unternehmen ein Schaden von fast 300 Millionen US-Dollar entstand. Der Angriff begann jedoch nicht auf den Servern von Target – er begann bei Fazio Mechanical Services, einem Unternehmen, das für die Heizung und Klimatisierung bei Target verantwortlich ist. Durch eine eingeschleuste Malware hatten Hacker dort E-Mail-Zugangsdaten gestohlen und diese wiederrum für den Zugriff auf die Netzwerke von Target verwendet.

Der Schutz von persönlichen Daten muss für Unternehmer eine hohe Priorität haben. Um Daten effektiv vor Kriminellen zu schützen, ist ein erster Ansatz die Schulung und Sensibilisierung der Mitarbeiter für das Thema Informationssicherheit. Ein Unternehmen sollte Richtlinien und genaue Vorgehensweisen festlegen, um Sicherheitsverstößen vorzubeugen. Zudem ist die Einführung einer Zwei-Faktor-Authentifizierung ratsam, um Angreifern das Eindringen in Systeme zu erschweren. Außerdem sollte ein Daten-Back-up auf anderen Speicherorten als dem Arbeitsrechner vorhanden sein. Hierfür können beispielsweise Clouds oder USB-Speichermedien genutzt werden. Auch andere Endprodukte müssen beim Thema Hacking berücksichtigt werden, da nicht nur Computer und Laptops, sondern auch Mitarbeitertelefone, Tablets und andere IoT-Geräte anfällig für Cyberattacken sind. Auch bei Phishing-Mails ist Vorsicht geboten. Mitarbeiter sollten im Vorfeld erfahren, wie sie verdächtige Hyperlinks und Anhänge identifizieren, damit potenziell schädliche E-Mails sofort erkannt und gemeldet werden können.

Generell sollten Software und Antivirenprogramme immer aktuell gehalten werden, um Daten vor Malware zu schützen. Herstellern und Kunden sollte zudem kein direkter Zugriff auf ein Unternehmensnetzwerk gewährt werden, sofern dies nicht unbedingt notwendig ist. In diesem Zusammenhang gehen immer mehr Unternehmer sogar dazu über, für Geschäfte bestimmte Cybersicherheitsstandards in vertraglichen Vereinbarungen festzulegen.