Warum sich die Welt bereits im Cyberwar befindet

Obwohl einige Experten wie der Politikwissenschaftler Thomas Rid glauben, dass ein Cyberwar nicht stattfindet, glauben 87 Prozent der befragten Sicherheitsexperten auf die RSA-Konferenz 2019, dass sich die Welt schon im Cyberwar befindet. Und die Auswirkungen sind bereits sichtbar. IT-Sicherheitsfachkräfte befinden sich alltäglich in einem Kriegszustand.

Cyberangriffe von nationalstaatlichen Akteuren wie Russland, Nordkorea und dem Iran haben an Komplexität und Intensität zugenommen; einige haben sogar Schäden an kritischen Infrastrukturen der US-Navy angerichtet. Infolgedessen empfiehlt General Paul Nakasone, Leiter des US-Cyber-Kommandos, dass die Vereinigten Staaten besser darauf vorbereitet werden müssen, ihre Angreifer aggressiv zurück zu hacken (hack back). Die Situation, in der sich die IT-Security-Branche derzeit befindet, ist für Sicherheitsverantwortliche in Unternehmen aber auch in der öffentlichen Verwaltung eine sehr angespannte Zeit.

Auf der diesjährigen RSA-Konferenz wollte Venafi sehen, wie Sicherheitsexperten auf Cyberwar-Drohungen und offensive Hacking-Vorschläge reagieren. Insgesamt wurden die Meinungen von über 500 Kongressteilnehmern ausgewertet. Ergebnis der Befragung war unter anderem, dass 87 Prozent der Befragten zu Protokoll gaben, dass sich die Welt derzeit mitten in einem Cyberwar befindet.

Sind Hack Backs in den USA legal?

Darüber hinaus glauben 72 Prozent, dass Nationalstaaten das Recht haben sollten, „zurückzuschlagen“, indem sie sich gegen die Cyberkriminellen und Gruppierungen wenden, die Angriffe auf ihre Infrastruktur durchführen. 58 Prozent sind außerdem der Meinung, dass betroffene Unternehmen genauso das Recht haben sollten einen Hack Back durchzuführen.

Mit der zunehmenden Komplexität und Häufigkeit von Cyberangriffen, die auf Unternehmen abzielen, ist früher oder später die gesamte Branche in den Cyberwar verwickelt. Einem Cyberwar, in dem nicht immer klar ist, wer der Aggressor ist und welche Absichten er verfolgt. Unternehmen wie öffentliche Verwaltungen müssen sich also vorbereiten. Zu den üblichen Schutzmaßnahmen ist Relatiatory Hacking (erweiterte Form des Hack Backs) eine kontroverse Maßnahme. Diese Art der Reaktion im Cyberspace ist jedoch mit Risiken behaftet. Diese reichen von unkontrollierten nachrangigen Effekten, Unsicherheit bei der zuverlässigen Beeinflussung gegnerischer IT-Systeme und – vielleicht am wichtigsten – der Unfähigkeit, jede Art von Eskalation bei Vergeltungsangriffen kontrollieren und dominieren zu können.

Die Gesetzeslage in den USA

Auch wenn Unternehmen versuchen, ihre Sicherheitsmaßnahmen zu verbessern, um sich gegen Cyberwarrior zu verteidigen, müssen die Nationalstaaten ein unterstützendes Rechtssystem schaffen, das es ihnen ermöglicht, nicht nur defensive, sondern auch offensive Strategien umzusetzen. Aber derzeit verbietet der „Computer Fraud and Abuse Act“, beispielweise, viele vergeltende Cyberabwehrmethoden in den USA, einschließlich des Zugriffs auf einen Angreifer-Computer ohne Autorisierung.

Momentan werden trotzdem viele Gesetzesentwürfe vorgeschlagen, um einen ordnungsgemäßen Verteidigungsmechanismus für Unternehmen sowie Privatpersonen bereitzustellen. Der „Active Cyber Defense Certainty (ACDC) Act“ befasst sich mit aktiven Methoden der Cybersicherheitsabwehr und wurde im Oktober 2018 im Repräsentantenhaus der USA eingeführt. Der ACDC Act schlägt vor, „eine Verteidigung gegen Betrug und damit verbundene Aktivitäten im Zusammenhang mit Computern für Personen bereitzustellen, die sich gegen unbefugtes Eindringen in ihre Computer verteidigen“.

Was können Unternehmen tun?

Selbst wenn diese Art von Maßnahmen legal werden sollten, sind die meisten Unternehmen zu optimistisch, was ihre Fähigkeiten angeht, den richtigen Eindringling zu treffen. Selbst mit der fortschrittlichsten Sicherheitstechnologie ist es fast unmöglich, eine klare Zuweisung von Angriffen nachzuweisen. Die Angreifer sind versiert darin, eine Vielzahl von Technologien zu nutzen, um Sicherheitsexperten in die Irre zu führen. Für viele Unternehmen wäre es besser, sich auf die Etablierung stärkerer Abwehrmechanismen zu konzentrieren.

Sicherheitsexperten sollten in Cloud-, DevOps- und Computer-Identitätstechnologien investieren. Diese Technologien ermöglichen es, digitale Geschäftsdienste im Falle eines Verstoßes neu zu starten und so einen defensiven K.O.-Schlag gegen Angreifer zu setzen.

Bisher haben private Unternehmen kein gesetzliches Recht, aktiv gegen Cyberangriffe vorzugehen und die Angreifer zurück zu hacken. Die Umsetzung solcher Gesetze wird Unternehmen sicherlich stärken, jedoch sind die Folgen solcher Gegenangriffe völlig unkontrollierbar. Cyberangriffe werden nicht offen, sondern ähnlich wie Spionage-Aktionen im kalten Krieg im geheimen ausgeführt. Maschinenidentitäten sind eine solche Cyberwaffe, um sich vor den Verteidigern zu tarnen.

Fazit

Ein anscheinend harmloser Ausfall eines Teil-IT-Systems kann dann auf einmal keinen Cyberkriminellen, sondern einen Cyberwar-Hintergrund haben. Deshalb stellt sich auch nicht die Frage, mit wem die Welt im Cyberwar ist oder wer gegen wen kämpft. Die alte Kalter Kriegs-Rhetorik führt in eine Sackgasse. Vielmehr müssen vielschichtige Untersuchungen angestellt werden, um die wahren Ziele einer solchen Aktion aufdecken zu können.

Ein Hack Back durchzuführen, sollte generell gut überlegt werden. Vielmehr macht es für Unternehmen Sinn, sich ordentlich gegen solche Angriffe zu rüsten und im Notfall einen Incident Response-Plan aus der Schublade ziehen zu können, ähnlich wie es die Verantwortlichen bei Norsk Hydro konnten. Pläne für Hack Backs sind der Mühe nicht wert und sorgen im Zweifel für internationale Spannungen. Die Behörden sollten im Falle eines Angriffs natürlich unverzüglich verständigt werden, wie es Sony bei dem Angriff 2015 ebenfalls getan hat. Darüber hinaus, müssen die Unternehmensleitung, vor allem in security-affinen Ländern wie Deutschland, IT-Sicherheitsfachkräfte so unterstützen, als würden sie um das Überleben ihres Unternehmens kämpfen (was IT-Sicherheitsfachkräfte tatsächlich tun!).

Kevin Bocek, Vice President of Security Strategy and Threat Intelligence, Venafi, www.venafi.com/de