Cyber-Angriffe: Die Verwundbarkeit der digitalen Welt

Wie anonyme Täter handeln – und wie Strafverfolger die Internet-Kriminalität bekämpfen

Von Elsbeth Tobler

Die Cyber-Kriminalität hat eine neue Dimension erreicht. Alle 4,4 Sekunden gelangt eine neue schädliche Software ins Internet, die nur ein Ziel hat: attackieren, infizieren und erpressen. Betroffen sind Firmen wie private Nutzer. Ermittler versuchen, zu den Akteuren vorzudringen, doch die weltweite Vernetzung ist ein grosses Hindernis.

Was geschieht, wenn Cyberkriminelle in einen Rechner eindringen und ihn kapern, hat Jan M.* leidvoll erfahren. Als sich der Unternehmer abends in den PC einwählen will, wird dieser wie von Geisterhand gesteuert. Nach einem erzwungenen Neustart ist das interne Netzwerk blockiert, alle Dateien sind verschlüsselt. Die Freigabe erfolge erst nach Überweisung eines Lösegelds in der Kryptowährung Bitcoin, droht die Mitteilung auf einem Sperrbildschirm. Verlangt wird ein Betrag von umgerechnet 1'200 Franken.

Jan M.* ist Opfer einer Cybererpressung durch sogenannte Ransomware geworden. Er zahlt nicht, sondern erstattet Strafanzeige. Externe Sicherungskopien retten seine Firmendaten, aber sein Kleinbetrieb ist vorübergehend geschlossen. Dabei dachte er immer: "Uns passiert doch so etwas nicht!"

14'000 Verdachtsmeldungen in der Schweiz

Wie verwundbar die digitalisierte Welt ist, zeigen die Cyber-Grossangriffe, die kürzlich auf dem ganzen Globus Unternehmen und Institutionen lahmlegten und erpressten. Auch wenn die Schweiz nur marginal davon betroffen war, häufen sich auch hierzulande die Delikte im Internet: 2016 registrierte das Bundesamt für Polizei (Fedpol) über 14'000 Verdachtsmeldungen, fast 30 Prozent mehr als im Vorjahr. Davon waren 80 Prozent strafrechtlich relevant. 512 Hinweise betrafen Ransomware, also Kryptotrojaner wie Locky, Petya und Cryptowall. Da viele Vorfälle verschwiegen werden, liegt die Dunkelziffer signifikant höher.

Zentrale Anlaufstelle für solche Meldungen ist Fedpol. Hier werden die Hinweise geprüft, gesichert und danach an die zuständigen Strafverfolgungsbehörden im In- und Ausland weitergeleitet. Ausserdem sind die Beamten selbst auf Cyberstreife und suchen nach strafrechtlich relevanten Inhalten im Internet.

Mensch, die grösste Schwachstelle

Cybertäter zielen auf die grösste Schwachstelle im System – den Menschen. Der Klick auf einen infizierten E-Mail-Anhang mit dem Betreff "Bewerbungsmappe!" hatte den Kryptotrojaner ins Netzwerk von Jans Firma geschleust. Dabei bezog sich die Nachricht auf eine tatsächlich offene Stelle. Und der Inhaber wurde persönlich angeschrieben.

Diese Form von "Social Engineering" ist laut Fedpol zu einer grossen Gefahr geworden. So lockten Erpresser Personen, die sie zuvor über soziale Netzwerke und Wirtschaftsberichte ausgekundschaftet hatten, mit einer massgeschneiderten "Steuerrückerstattungs-Meldung" in die Falle.

Wird im Kanton Zürich Strafanzeige wegen eines komplexeren Internetdelikts erstattet, ist das Kompetenzzentrum Cybercrime zuständig. Staatsanwaltschaft, Kantons- und Stadtpolizei Zürich arbeiten hier in der Zürcher Militär-Kaserne Hand in Hand. Es ist bislang das einzige Zentrum dieser Art in der Schweiz. Co-Leiter ist Staatsanwalt Stephan Walder. Seit 2013 ermitteln er und sein 12-köpfiges Team im Internet – speziell auch im Darknet.

Digital Natives als Ermittler

Im Einsatz ist dabei eine neue Generation von Digital Natives, ausgestattet mit fahndungstechnischen Kompetenzen, moderner Hochleistungs-Infrastruktur und Passion für ihre Arbeit. Gegenwärtig verfolgen sie 190 Fälle. Rund 100 Terabyte Datenmaterial hat sich angesammelt. Die Beamten suchen nach "Übereinstimmungen" und "beweisrelevanten Spuren". Entscheidend ist deren schnelle Auswertung, möglichst innert Stunden.

Täglich lauern über 380'000 neue Schadprogramm-Varianten auf Opfer. Sie schlüpfen durch Sicherheitslücken in Betriebssystemen und Internet-Browsern oder infizieren beliebte Websites. Die meisten Attacken bleiben erfolglos, wenn Software-Updates und Virenscanner installiert wurden sowie Firewall und starke Passwörter vorhanden sind. Doch ab und zu schaffen es neueste Schadcode-Versionen an allen Abwehrkonzepten vorbei, noch bevor ein Sicherheits-Patch als Gegenmassnahme zur Verfügung steht, ein "Zero-Day-Exploit" wie wohl bei Jan M.

Ransomware erfüllt mehrere Straftatbestände: Erpressung, unbefugtes Eindringen in ein Datenverarbeitungs-System sowie Datenbeschädigung. Trotzdem zahlen viele Opfer, statt sich an Polizei oder Staatsanwaltschaft zu wenden. Sie befürchten einen Datenverlust sowie Image- und Kollateralschäden, speziell bei angedrohter Veröffentlichung des Diebesgutes oder wenn sensible Infrastrukturen betroffen sind. "Zahlen Sie nicht!", raten Experten, denn eine Freigabe der Daten nach Überweisung sei nicht gewährleistet und weitere Erpressungsversuche nicht auszuschliessen.

Jagd auf dreiste Unsichtbare

"Das Darknet ist kein rechtsfreier Raum", betont Stephan Walder, aber Täter hier zu identifizieren, sei aufwendig. Man habe es oft mit international agierenden Kriminellen zu tun, die sich hinter kryptischen Identitäten verbergen und ihre Kommunikation verschlüsseln. So fehlt den Ermittlern fast alles, was bei analogen Verbrechen zur Aufklärung beiträgt: Täterbeschreibung, Tatort, Fingerabdrücke, DNA-Spuren.

Wer Zugang zum Darknet will, muss sich die notwendigen Programme auf den Computer laden. Eines davon ist "Tor". Die Anonymisierungs-Software hilft, die Spuren beim Datenaustausch innerhalb des Tor-Netzwerkes zu verwischen und Rechnerstandorte sowie IP-Adressen zu verschleiern. Dafür nutzt sie das Zwiebelprinzip ("the Onion Routing"). Das heisst: Die Daten laufen im Tor-Netzwerk über mehrere zufällig ausgewählte Knoten (Server) und werden mehrfach verschlüsselt. Obendrein wechselt die Route rund alle zwei Stunden. Statt eines zentralen Servers verbinden sich viele einzelne Computer zu Netzwerken.

Diese Tarnung kommt vielen zugute, die Wert auf Privatsphäre und Anonymität legen. Für Menschen, die in autokratischen, repressiven Systemen leben, kann das überlebenswichtig sein. Als das Verschlüsselungsprojekt in den 1990er-Jahren von der US-Marine entwickelt wurde, sollte damit die eigene Kommunikation geschützt werden.

Verbrechen als Dienstleistung

Gefährlich wird der "Tor"-Browser beim Missbrauch durch Kriminelle. Wie leicht man in die digitale Unterwelt gelangt, führt Stephan Walder vor. Mit wenigen Mausklicks landen wir in einem illegalen Shop für Drogen, Waffen, Malware und sogar Listen von Unternehmen, die erfolgreich mit Ransomware erpresst wurden. Zudem boomen kriminelle Dienstleistungs-Angebote. Einsatzbereite Botnetze können gemietet oder gekauft werden.

Mit einem solchen Zusammenschluss von gekaperten Computern lassen sich Grossangriffe fernsteuern und Firmenserver mit Datenmengen fluten, bis sie lahmgelegt sind (DDos-Attacke). "Ein lukratives Geschäftsmodell der Underground Economy, das auch Täter ohne vertiefte IT-Kenntnisse befeuern kann", so Walder. Manches werde im Darknet nur zum Schein angeboten, mit geringem Risiko. Denn Betrogene, die illegale Waren bestellt haben, erstatten keine Strafanzeige, aber auch in der Schattenwelt erhalten Händler bei Nichtlieferung schlechte Bewertungen.
 
Anonymität senkt die Hemmschwelle

Immer mehr klassische Deliktfelder verlagern sich ins Internet. Für das Fedpol und das deutsche Bundeskriminalamt (BKA) spielen jedoch die "Hidden Services" im Tor-Netz vermehrt die zentrale Rolle. Im Kampf dagegen hinken die Ermittler zwangsläufig hinterher. Trotzdem erzielen Schweizer Beamte Erfolge, auch in Kooperation mit ausländischen Behörden.

Fedpol hat 2016 über 600 Portale mit gefälschten Waren sperren lassen, Europol gar 4'500. Das Cybercrime-Team Zürich rückte mehrfach aus, etwa als ein Student ins Netzwerk der Eidgenössischen Technischen Hochschule (ETH) eindrang. Er wurde verhaftet, sein Notebook beschlagnahmt. "Jeder Zugriff ist das Ergebnis komplexer Ermittlungen – und manchmal von etwas Glück", meint Walder.

Zum operativen Verfahren im Internet gehört die klassische Polizeiarbeit. Fahnder schleusen sich mit gefälschter Identität in illegale Foren ein und interagieren mit Verdächtigen, um ein Scheingeschäft oder ein reales Treffen anzubahnen. Verdeckte Ermittler dagegen infiltrieren ein kriminelles Milieu, um schwere Straftaten aufzuklären. Sie sind mit einer urkundengestützten Tarnidentität ausgestattet und führen quasi ein Doppelleben, das sie und ihr Umfeld sehr beansprucht. Diese Einsätze benötigen einen richterlichen Beschluss. Staatsanwalt Walder kann solche Massnahmen anordnen. Bewilligen muss sie ein Zwangsmassnahmengericht.

Keine regulären Dienstpläne

Die grösste Schwierigkeit sei, das Vertrauen derer zu gewinnen, gegen die sie im Darknet vorgehen, erklärt Walder. Dazu müsse man die szenebekannten Codes kennen. Aus Angst vor eingeschleusten Ermittlern gibt es strenge Regeln: "Viele Darknet-Marktplätze sind nur auf Einladung eines Administrators oder einer Vertrauensperson zugänglich." Die Polizisten kennen zudem keine regulären Dienstpläne: "Wer nur zu Bürozeiten auf Streife ist, wird schnell enttarnt."

Als Agents Provocateurs sind die Beamten nicht zugelassen. Sie dürfen sich für eine Spionage-Software interessieren, selbst aber keine offerieren: Provokation und Begehung einer Tat zu Ermittlungszwecken sind tabu. In den USA und Australien hingegen dürfen sich Cybercops als Käufer und Verkäufer betätigen.

So kam der Hinweis für die Verhaftung des Gewaltstraftäters Tobias K.* in Bern von australischen Behörden. Dort wurden internationale kriminelle Netzwerke überwacht und Scheinangebote für Waffen im Darknet platziert. Auf eines meldete sich Tobias K. Europol informierte die Schweiz und die Berner Kantonspolizei griff zu.

Fahnder spekulieren auf Fehler

Verwundbar seien Cyberkriminelle vor allem an den Schnittstellen zur realen Welt. So sind es immer wieder Fehler oder Unachtsamkeit, die der Polizei helfen, die Betreiber illegaler Marktplätze aufzuspüren und die Portale stillzulegen. Etwa, wenn Kriminelle ihre wahre Identität nicht strikt von der virtuellen trennen. Der "Jungunternehmer" Carl* flog auf, weil er aus Bequemlichkeit illegales Material an die Adresse seiner Tante bestellte. Käufer und Anbieterin konnten auf diese Weise gestellt werden.

Das System "Tor" ist gemäss Walder darauf ausgelegt, dass eine Rückverfolgung nicht möglich ist. Doch die IT-Forensiker versuchen, den Bitcoin-Finanzströmen zu folgen, etwa über die Blockchain, die öffentliche dezentrale Datenbank. Auch wenn die Transaktionen anonymisiert sind, ergeben sich mitunter Spuren. Oft zu den Menschen, die das erbeutete Geld weiterleiten: den "Money Mules", den Geldeseln.

Haben die Beamten einen strafrechtlich relevanten Verdacht, können sie herkömmliche Ermittlungs-Methoden einsetzen: Überwachung von Telekommunikation und Servern, Hausdurchsuchung und Beschlagnahme. "Ob die Bedingungen dafür erfüllt sind, prüft bei den geheimen Überwachungs-Massnahmen das Zwangsmassnahmengericht", sagt Walder. Befinden sich Daten nicht in einem Übermittlungsvorgang, können sie von der Staatsanwaltschaft jederzeit am Speicherort per Editionsverfügung eingefordert werden.

Täter handeln grenzüberschreitend

Dabei stossen die Fahnder buchstäblich immer wieder an Grenzen. Cybercrime-Fälle sind häufig länderübergreifend, Rechtshilfegesuche also Alltag, dauern auf bilateraler Ebene aber oft zu lange, wie Walder bedauert. Mit fatalen Folgen: Digitale Spuren verlieren sich oder beweisrelevante Daten wurden gelöscht.

Der Umgang mit globalen internet- und cloudbasierten Diensten sowie ferngesteuerte Techniken stellen die Strafverfolger vor grosse Herausforderungen. Akuter Diskussions- und Handlungsbedarf besteht gemäss Walder bei der Herausgabe von Daten: "Hier sollte nicht der Speicherort ausschlaggebend sein, sondern zwingend der Ort der Verfügbarkeit."

Fahnder in der Weiterbildung

Leztztes Jahr schloss das Cybercrime-Zentrum Zürich 109 Strafermittlungen ab; es kam zu vier grossen Anklagen und 18 Strafbefehlen. Fedpol zufolge ist die Aufklärungsquote von Straftaten im Internet geringer als bei üblichen Delikten, weshalb mehr Cyberermittler gefordert werden. In Planung sind weitere Cybercrime-Zentren in der Deutsch- und Westschweiz, eine Aufstockung von Stephan Walders Team sowie die Aufrüstung verschiedener kantonaler Dienste.

Peter Gill, Sprecher der Basler Staatsanwaltschaft (Stawa), erklärt, dass IT- und Forensik-Spezialisten bereits regelmässig Weiterbildungskurse im In- und Ausland besuchen. Und auch die Polizei Basel-Landschaft ist dabei, Cyberspezialisten auszubilden. Ziel ist es laut Mediensprecher Adrian Gaugler, mittelfristig einen Fachbereich "Cyberkriminalität" aufzubauen.

Doch weil Repression niemals allein greifen wird, ist Prävention das Gebot der Stunde. IT-Konzerne wie Microsoft und Apple sowie Antiviren-Spezialisten wie Kaspersky und McAfee investieren Milliarden in ihre Sicherheitsarchitektur. Sie stellen Software-Aktualisierungen bereit und bieten individuelle Sicherheitskonzepte für Unternehmen an.

Unterschätzte Cyberkriminalität

Zur umfassenden Prävention rät auch Max Klaus, stellvertretender Leiter der Melde- und Analysestelle Informationssicherung des Bundes (Melani). Investitionen in IT-Sicherheit und Risikomanagement seien elementar. "Dabei hängt das Konzept vom eigenen IT-Know-how, den finanziellen Ressourcen und der Firmenstruktur ab", erklärt Klaus.

Relevant seien nicht nur technische Massnahmen, sondern auch organisatorische und personelle Aspekte. "Sensibilisierung und Schulung, die 'Security Awareness', muss jeden Internetnutzer verständlich erreichen", so Klaus. "Surfen mit gesundem Menschenverstand" ist seine Maxime: zur Sicherheit einen unbekannten Absender über einen öffentlichen Telekomanbieter eruieren und ihn vor dem Anklicken eines E-Mail-Anhangs anrufen. Regelmässig externe Backups erstellen.

Viele Firmen – Grosskonzerne oft mit eigener IT-Abteilung – haben bereits umfangreiche Abwehrkonzepte implementiert. Doch nach wie vor unterschätzen Schweizer Unternehmen die Bedrohung durch Cyberkriminalität, wie die neue Studie "Clarity on Cyber Security" der Wirtschaftsprüfungsfirma KPMG feststellt. 88 Prozent der befragten Firmen sind in den letzten zwölf Monaten Opfer einer Cyberattacke geworden. Teils mit gravierenden Störungen der Geschäftsprozesse, finanziellen Schäden und womöglich nachhaltigen Reputationseinbussen. Werden persönliche Inhalte abgegriffen, geht es auch um ideelle Werte und somit um einen schwerwiegenden Eingriff in die Privatsphäre.

Die Digitalisierung eröffnet ungeahnte Chancen und birgt gleichzeitig grosse Gefahren. Selbst bei besten Schutzmassnahmen bleibt immer ein Restrisiko. Staatsanwalt Walder geht deshalb mit seinen eigenen Daten im Internet vorsichtig um und nutzt privat zwei Computer: einen für das Allgemeine, einen für Vertrauliches. Bei allzu verlockenden Web-Angeboten rät er zur alten Devise: "Was allzu schön klingt, um wahr zu sein, ist meist nicht wahr."

* Namen geändert

Weiterführende Links: