Cybercrime as a Service – der Krimi unterm Weihnachtsbaum.

Der Weihnachtsurlaub ist bereits seit Sommer eingetragen, geschäftliche Projekte finden allmählich ihr Ende – und die Familie ist erleichtert, dass du zumindest über die Feiertage mal ein paar Tage frei hast. Es wird sich gemütlich auf das Jahresende vorbereitet, die Vorfreude aufs Ausschlafen steigt, die Pläne mit den Liebsten rücken näher – und der Adventskalender neigt sich dem Ende zu. Einfach schön. Die Arbeit kann bis nächstes Jahr warten! Zur selben Zeit, in einem 1,5-Zimmer-Dachgeschoss-Apartment eines Mehrfamilienhauses irgendwo in Reda-Wiedenbrück, denkt sich der Hacker Matthias: „Oh geil, dann kann ich ja jetzt in Ruhe den Rechner dieser Abteilung durch Verschlüsselung in Geiselhaft nehmen, um Lösegeld zu erpressen, jippie!“

Matthias ist klug, denn er weiß: An Feiertagen sind viele Firmen nicht oder weniger reaktionsfähig und die Köpfe der Menschen sind mit anderen Dingen beschäftigt. Für Cyber-Kriminelle Anlass genug, um gezielt die Begeisterung, Neugier und Hilfsbereitschaft von Menschen auszunutzen. „Insbesondere Feiertage, Urlaubszeiten und auch Wochenenden wurden in der Vergangenheit wiederholt für Cyber-Angriffe genutzt, da viele Unternehmen und Organisationen dann weniger reaktionsfähig sind. Jetzt ist die Zeit, entsprechende Schutzmaßnahmen umzusetzen.“ Betonte noch-BSI-Präsident Arne Schönbohm bereits im Winter 2021.
 

Cybercrime entwickelt sich ständig weiter.

Die Cybercrime-Landschaft hat sich zu einem sehr lukrativen und top organisierten Geschäft entwickelt. Mit dem As-a-Service-Geschäftsmodell bieten Cyberkriminelle ihre Dienste und Hacking-Tools nun jedem Menschen an, der bereit ist, dafür zu bezahlen oder die Gewinne aufzuteilen. Dies macht Cybercrime jeder Privatperson zugänglich, die einen Cyberangriff starten möchte – auch dir, auch mir und auch zu Weihnachten.

Internetkriminelle verkaufen ihre Dienstleistungen und Angebote über aufgeräumte und übersichtliche Shops oder Marktplätze im Darknet sowie in einschlägigen Foren. Auch öffentliche Foren haben bis heute eine große Bedeutung für den Bereich Hacking, da auch hier geklaute Datenpakete angeboten oder versteigert werden. Da sich die meisten Hacker besonders gut anonymisieren und schützen können, kann die Öffentlichkeit hier meist nur tatenlos zusehen.

Wie definieren wir Cybercrime eigentlich?

Cybercrime hat viele Gesichter und entwickelt sich ständig weiter. Doch im Großen und Ganzen fallen alle Verbrechen, die in der digitalen Welt passieren, unter den Oberbegriff Cybercrime. Bei diesen Verbrechen handelt es sich z.B. um Erpressung, Diebstahl, Rufmord, Verbreitung von illegalen Medien, illegalen Handel, Fälschung oder Spionage, allerdings technisiert und im digitalen Raum stattfindend. Cybercrime richtet sich dabei grundsätzlich gegen das Vermögen oder die persönliche Integrität. Auch Phänomene wie das Cybergrooming, Cyberstalking und Cybermobbing – also kriminelle Gewalttaten – haben hier ihren Ursprung und nehmen immer größere Ausmaße an. Und wer über ausreichend Mittel und Wege sowie Kontakte verfügt, muss sich nicht einmal die eigenen Hände schmutzig machen und kann für jedes dieser Verbrechen einen gezielten Auftrag erteilen. Für Kriminelle ist Cybercrime as a Service so gesehen nur eine erweiterte Form von Software as a Service, also ganz normales Tageschgeschäft. Uff!

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erläutert das Cybercrime-as-a-Service Modell wie folgt:

„Cybercrime-as-a-Service (CCaaS; Cybercrime als Dienstleistung) beschreibt einen Phänomenbereich des Cybercrime, bei dem Straftaten von Cyber-Kriminellen auftragsorientiert begangen bzw. dienstleistungsorientiert ermöglicht werden. So wird beispielsweise bei der dem CCaaS untergeordneten Malware-as-a-Service (MaaS) einem Cyber-Kriminellen von einem Außenstehenden oder einer darauf spezialisierten Angreifergruppe die Malware für die Begehung einer Straftat gegen Entgelt zur Verfügung gestellt und ggf. auch mit Updates und weiteren ähnlichen Services versorgt, ganz so, wie die legale Software-Industrie. Eine Art des MaaS ist Ransomware-as-a-Service (RaaS), bei dem oft die Malware für die Verschlüsselung eines infizierten Systems, Aktualisierungen dieser Malware, die Abwicklung der Lösegeldverhandlungen und -zahlungen und weitere Erpressungsmethoden gegen Entgelt zur Verfügung gestellt werden. Die mit CCaaS einhergehende Zergliederung eines Cyber-Angriffs in einzelne Services ermöglicht auch wenig IT-affinen Angreifern technisch anspruchsvolle Cyber-Angriffe.“ (Quelle: Bericht des BSI „Die Lage der IT-Sicherheit in Deutschland 2022“
 

Ok, ok. Aber was bedeutet das für mich und mein Weihnachtsfest?

Cyberattacken betreffen in erster Linie Unternehmen, Organisationen und öffentliche Einrichtungen. Doch Cybergangster und Onlinebetrüger wie Matthias warten geradezu auf die Weihnachtszeit, um auch Privatpersonen möglichst profitabel abzuzocken.

Wer Geschenke online kauft, könnte also durchaus auf einem Fakeshop landen, der plötzlich die Dinge anbietet, die in anderen Shops nicht lieferbar sind. Inflationsbedingt planen Shopper in Deutschland zudem sparsamer einzukaufen und könnten sich somit durch falsche Sparangebote und Festtags-Deals fehlleiten lassen. Falls du einem Shop mal nicht trauen solltest, überprüfe die Richtigkeit des Impressums und vielleicht auch, ob der Shop verifiziert ist oder in unabhängigen Bewertungsplattformen bewertet wurde.

Auch kommt es vor, dass Konten von Anbietern gehackt werden und darüber Ware angeboten und verkauft wird, die es gar nicht gibt – beispielsweise über die Riesen Amazon, Zalando oder ebay. Das Ergebnis ist dann dasselbe wie beim Fake Shop: von der gekauften Ware fehlt jede Spur, genauso wie von deinem Geld.

Auch die Weihnachtspost ist nicht mehr die, die sie mal war! Über das Anklicken der freudigen, elektronischen Festtagsgrüße könnte dich ein ganz besonderes Geschenk erreichen: eine Ransomware Attacke. Das Problem ist hierbei, dass es oft nicht so einfach ist, seriöse von unseriösen Grüßen zu unterscheiden. Im Zweifel solltest du die Weihnachtsgrüße also gar nicht erst öffnen – und selbst lieber Karten per Post verschicken.

Ebenfalls per E-Mail oder über andere Kommunikationskanäle können dich gefälschte Spendenaufrufe erreichen. Besonders mies, da hier die Gutmütigkeit der Menschen zum Fest der Liebe ganz gezielt ausgenutzt wird.

Wenn Cybercrime Realität wird

Ganz übel, aber leider auch nicht selten, sind Fake-Profile auf Dating-Portalen, die gezielt zur Zeit der Hoffnung zuschlagen. Wenn du online nach der großen Liebe oder einem Kuschelpartner suchst, kannst du durchaus auf eine betrügerische Fake-Love hereinfallen, die dir deine Zeit und dein Vertrauen stiehlt, um sich mit deinem Geld einen Weihnachtsbonus zu erschleichen. Achte also verstärkt auf Red Flags beim Dating, versende keinerlei deiner Bank-Informationen und überweise niemandem Geld, der dich gerade erst kennengelernt hat und immense Geldprobleme vorweist. Wirklich. Es ist erschütternd, was Menschen anderen Menschen diesbezüglich vorlügen und antun.

Gefährdet sind außerdem alle, die zu viele Details aus ihrem Leben auf Facebook, Instagram und Co. dokumentieren. Deine Instagram Story aus dem Skigebiet vermittelt einem Profieinbrecher unter Umständen, dass du gerade nicht zu Hause bist. Ironischerweise könnte eben dieser Profieinbrecher durch die lückenlose Dokumentation deiner neuen Errungenschaften auch bereits eine klare Vorstellung davon haben, was bei dir zu holen ist.
Klingt abwegig? Dafür ist es leider schon zu oft vorgekommen.

Sind Hacker seelenlose Verbrecher?

Da Cyberkriminelle meist alleine und in ihrer gewohnten Umgebung agieren – ohne sich in eine Lage zu bringen, in der sie erwischt bzw. erkannt werden könnten, weglaufen oder sich verstecken müssen oder gar auf jemand anderes achten müssen – erleben sie ihre Straftaten nicht als richtige Straftat. Wer aufgrund einer schlimmen Gewalttat eine Geldstrafe zahlen oder eine Gefängnisstrafe absitzen muss, erlebt seine Tat immer wieder selbst und empfindet in den meisten Fällen, früher oder später, Gefühle wie Scham, Reue oder Mitleid.
Bei Cybercrime ist das anders. Denn die Täter sehen ihre Opfer nicht, sie haben keinen Blick für das Leid, das sie anrichten, für die Existenzen, die sie zerstören und für die dauerhafte Angst, die sie verbreiten.

Zudem kommt das Gefühl der Macht und Herrschaft, wenn ein Hacker Systeme lahmlegt und kontrolliert. Das heißt, dass sich die Täter im Zweifel sogar richtig gut und anderen meilenweit überlegen fühlen, wenn sie etwas steuern können, was sie niemals hätten steuern können sollen. Die Machtlosigkeit von betroffenen Personen, Unternehmen und Behörden können dir als Hacker einen enormen Push geben, noch größer und stärker werden zu wollen.
Das schlechte Gewissen hat also oft gar keine Chance zu entstehen oder zum treuen Begleiter zu werden. Im Gegenteil. Hacker wissen oft nicht, wieso sie aufhören sollten.

Wie kann man sich nun vor so viel digitalem Unheil schützen?

Es hört sich etwas hart an. Aber schalte zu allererst deinen "gesunde Menschenverstand" ein und vertraue ihm, wenn dir ein Werbeversprechen, ein Dating-Chat, eine E-Mail oder ein neuer Online-Shop verdächtig vorkommt.

Wir leben in einer Zeit, in der das Wort „Cyberkrieg“ bereits im Duden steht. Und nicht nur dieser Fakt weist darauf hin, dass dieses Internet nicht nur ein vorübergehender Trend ist. Wie kann es sein, dass wir so viel Technik nutzen, aber so wenig über sie und ihre Sicherheit wissen?
Was können wir tun, damit Cyberkriminalität uns nicht die Laune verdirbt, unsere Existenzen auslöscht oder unsere Demokratie gefährdet?
Mit ihr arbeiten. Denn Cybercrime is real.
Und deswegen sollten wir selbstverständlich regelmäßige Awareness Trainings mit unseren Mitarbeitenden, aber auch mit unseren Eltern und Kindern machen. Wir sollten viel mehr Aufklärungsarbeit leisten, Fragen stellen, uns austauschen – und Notfallpläne erstellen.

Wir brauchen bessere Schutzmaßnahmen, kontinuierliche Kontrolle, mehr Back-Ups, sicherere Passwörter – und wir müssen im Notfall schneller und besser reagieren. Wir müssen uns um Schwachstellen kümmern, und zwar direkt und direkt richtig.

Niemand hat das Recht die fortschreitende digitale Vernetzung auszunutzen, um sich am Schaden der anderen zu bereichern. Weder heute noch in Zukunft. Auch Matthias nicht.

Wenn du einen Sicherheits-Vorfall bemerkst, zögere nicht und kontaktiere unser IT-Notfallhilfe-Team, um umgehend Hilfe zu erhalten – auch beim bloßen Verdacht.

Notfallnummer +49 (0) 21 56 / 97 49 110

Gemeinsam die digitale Welt zu einem sicheren Ort machen?
Hier geht’s zu unseren aktuellen Stellenangeboten.

Und hier entlang geht’s zu unseren Security Services.

PS: Weitere Informationen zur Bedrohung durch Cybercrime in Deutschland findest du in diesem Bericht des BSI. Dieser Bericht zieht eine Bilanz für die Zeit vom 1. Juni 2021 bis zum 31. Mai 2022. Er bewertet auch die IT-Sicherheitslage im Kontext des russischen Angriffskrieges auf die Ukraine.