Vorwort

Es wird jeden treffen. Jede Familie, jedes Unternehmen, jede Organisation, jede Behörde, jede Regierung. Cyberkriminalität ist eine der größten Herausforderungen der nächsten Jahrzehnte.

Sie wird die Welt ab dem Jahr 2021 jährlich 5,5 Billionen Euro kosten – das entspricht etwas weniger als dem Finanzvermögen aller deutschen Staatsbürger, beziehungsweise etwa einem Viertel des Finanzvermögens von China; oder dem Neunfachen des Finanzvermögens von Österreich.1 Bereits jetzt steht fest, dass dies der größte Transfer wirtschaftlichen Reichtums in der Geschichte der Menschheit sein wird.2 Selbst wenn die Wirtschaft am Boden liegt, das Coronavirus die Börsen auf Talfahrt schickt, Wirtschaftskrisen debattiert und medial heraufbeschworen werden – es gibt einen Wirtschaftszweig, der weiter florieren wird: Cybercrime. Dieses Business trotzt jedem Konjunkturabschwung.

5,5 Billionen Euro sind eine gigantische Summe. Unvorstellbar eigentlich – nicht nur die Höhe, sondern auch die Art, wie diese Summe zustande kommt: Einerseits werden Daten zerstört oder beschädigt; Geld, Informationen und Identitäten gestohlen; Produktionen von Unternehmen lahmgelegt; Produkte verändert; Menschen, Firmen und Regierungen erpresst; illegale Waren gehandelt … Auf der anderen Seite verschlingen Maßnahmen zur Wiederbeschaffung von gelöschten oder verschlüsselten Daten, forensische Untersuchungen sowie erforderliche Imagereparaturen nach Cyberattacken enorme Mittel.

Die Anzahl der Unternehmen, die auf Cybercrimeangriffe nicht vorbereitet sind, ist hoch, weil sich niemand vorstellen kann, selbst Opfer zu werden. Meist muss erst etwas passieren, ehe erkannt wird, dass man auch selbst zur Zielscheibe werden kann. Ähnlich sorglos handeln auch Privatpersonen. Viele können einfach nicht abschätzen, was passiert, wenn sie leichtfertig einen falschen Link anklicken.

Hacker verschlüsseln mit Schadprogrammen unsere Computer und erpressen uns – zahlen wir nicht, zerstören sie unsere Daten. Sie attackieren Bezahlsysteme, greifen Bankomaten an oder schleusen ihre Viren ein, um an unser Geld zu gelangen. Sie analysieren unser Verhalten in den sozialen Medien und »loggen« sich auf Basis dieses Wissens in unsere Gedankenwelt ein, geben sich als Firmenchefs aus und schöpfen so, wie die vielen Fälle von CEO-Fraud zeigen, Millionen ab. Sie stehlen Identitäten und lassen Menschen in der digitalen und analogen Welt verschwinden. Sie beeinflussen Wahlen und bringen Demokratien ins Wanken. Hacker attackieren Herzschrittmacher, Babymonitore oder Computersysteme in Krankenhäusern. Sie legen die Infrastruktur – ganz gleich ob Stromnetz, Verkehrsnetz oder Verkehrsmittel – lahm, manipulieren Überwachungssysteme oder Kommunikationssatelliten und beeinträchtigen die Funktionalität selbstfahrender Automobile.

Hacker verfolgen unterschiedliche Motive. Manche wollen Ruhm erlangen, indem sie Systeme und Unternehmen zerstören oder Politik und Wahlen beeinflussen, andere hacken, um an Geld zu kommen.

Cybercrime betrifft jeden, nicht nur Konzerne und Internet- und Technologie-Granden wie Facebook & Co., sondern auch Kleinunternehmer und jeden einzelnen Bürger – denn praktisch jeder ist im Internet unterwegs und nützt die Tools der digitalen Welt. Selbst in Entwicklungsländern ist die Digitalisierung auf dem Vormarsch.

Die Anfänge

Am 12. März 1989 stellte Tim Berners-Lee das World Wide Web vor und am 20. Dezember 1990 ging mit Info.cern.ch die erste Webseite online.3, 4 Gegenwärtig gibt es etwa 1,75 Milliarden Webseiten. 4,6 Milliarden Menschen nutzen das Internet. Pro Tag werden allein auf Google etwa 10 Milliarden Suchanfragen gestellt. Aber – und das ist aufschlussreich und alarmierend zugleich – 56 Prozent des gesamten Internetverkehrs laufen automatisch ab, dafür sorgen Bots, Hackingtools und andere automatisierte Software.5

Smarte Anwendungen und Künstliche Intelligenz (KI) werden künftig Unmengen an Daten generieren. Wurde im Jahr 2018 ein Volumen von 33 Zettabyte digitaler Daten global generiert, so geht man davon aus, dass die im Jahr 2025 jährlich generierte digitale Datenmenge weltweit bei 175 Zettabyte liegen wird.6 Zur Erklärung: 1 Zettabyte sind 1 Billion Gigabyte. Diese Daten müssen einerseits erzeugt, andererseits aber auch entsprechend verarbeitet und gespeichert werden.

Attacken auf das Internet der Dinge

Im Jahr 2017 wurden 310 Millionen Wearables wie Smartwatches oder Headsets verkauft.7 Die Analysten von Gartner gehen davon aus, dass im Jahr 2021 bereits für umgerechnet 58 Milliarden Euro Wearables gekauft werden. Die Menschheit wird immer »digitaler« und die Welt wird von einem Netzwerk »digitaler Dinge« umhüllt sein. Wir stehen erst am Anfang der digitalen Informationsgesellschaft. 99 Prozent der Welt sind laut des US-Konzerns Cisco noch nicht vernetzt. Erst ein Prozent dessen, was digitalisiert werden kann, wurde bis dato überhaupt digitalisiert.8

Die Digitalisierung des Menschen ist bereits in vollem Gange. In absehbarer Zeit wird ein implantierter Chip, der beispielsweise die Gesundheit überwacht oder als Haustürschlüssel genutzt wird, selbstverständlich sein. Parallel dazu werden nicht nur Tiere und Pflanzen von der Digitalisierung erfasst, sondern auch Gegenstände des Alltags wie Küchengeräte, Kleidung, Straßenlaternen, Kanaldeckel oder auch Mülltonnen. Im »Internet der Dinge«9 (IoT), das schon lange zum »Internet of everything«10 (IoE) geworden ist, wird alles – und ich meine wirklich alles – vernetzt und mit Sensoren oder Chips auf die nächste Stufe gehoben. Und diese Welt des IoE wächst in atemberaubendem Tempo. Von zwei Milliarden vernetzten Objekten im Jahr 2006 auf voraussichtlich 200 Milliarden im Jahr 2021 – das sind, rein statistisch betrachtet, etwa 26 »smarte« Objekte, die auf einen Erdenbürger kommen. Und dieses IoE ist die künftige Spielwiese der Cyberkriminellen; nicht nur, weil es Milliarden an verschiedenen Geräten geben wird, sondern auch, weil viele dieser Geräte zu wenig abgesichert und daher anfällig für Attacken sein werden. Allein im ersten Halbjahr 2019 gab es laut IT-Sicherheitsforschungsunternehmen Kaspersky 100 Millionen Cyberangriffe auf IoT-Geräte.11

Die positiven Auswirkungen des Internets liegen aber ebenso klar auf der Hand: Informationen, die für jedermann (mit Internet) abrufbar und frei verfügbar sind. Lexika, für die man früher viel Geld ausgeben musste, wurden durch Wikipedia obsolet, das Wissen wird dort ständig up-to-date gehalten. Ob man eine Sprache lernen, oder sich Texte übersetzen lassen will, wer ein Rezept oder Reparaturanleitungen braucht oder andere »Do-it-yourself«- Tutorials sucht – man wird auf YouTube fündig. Daneben gibt es unzählige fundierte Seiten, auf denen Fortbildungskurse angeboten werden – ob Khan Academy12 oder Coursera13. Wir haben Zugriff auf praktisch alles, was jemals komponiert wurde, können uns Musikbibliotheken nach Lust und Laune zusammenstellen, Filme kurz nach dem Release auf dem Smart-TV zu Hause oder am Smartphone unterwegs sehen, und die Welt auch am (digitalen) Spieleabend zu einem Dorf machen. Zum Beispiel dann, wenn ein Deutscher bei Fifa 20 mit einem Brasilianer zockt oder sich eine Neuseeländerin mit einer Isländerin bei Mario Kart 8 ­Deluxe duelliert.

Ein Arzt in den USA kann das CT eines Patienten im Norden Thailands befunden, der Urlauber auf dem Kreuzfahrtschiff kann sich mit seinem Smartphone in die Überwachungskamera daheim einloggen oder die Heizung einschalten, der Landwirt von heute kann mit seinem iPad den Mais auf seinen Feldern im Auge behalten. Technologie und Innovation kann im Informationszeitalter die »Global Grand Challenges« lösen.14

Die Digitalisierung hat aber auch ihre Schattenseiten. Mit jedem Tag, an dem wir mehr und mehr Dinge miteinander vernetzen, steigt die Gefahr, dass dieses Netzwerk gestört wird. Haben wir einen Plan, wie wir darauf reagieren? Wie käme die Gesellschaft mit einem Ereignis zurecht, das uns wieder ins analoge Zeitalter zurückkatapultieren würde? Wir haben ein weltweites Netzwerk an Computern geschaffen, das wir kaum mehr kontrollieren können und das die meisten auch nicht verstehen15. Cybersicherheitsexperten einschlägiger Unternehmen, von McAfee über Symantec bis hin zu Kaspersky, warnen, dass vor allem durch die 5G-Technologie und das IoT nicht nur exponentiell steigende Datenmengen anfallen, sondern auch die Attacken exponentiell steigen werden.16, 17 Daten werden in der 5G-Ära bis zu zehnmal schneller übertragen, die Latenzzeiten werden praktisch bei null liegen. Hacker werden deshalb, unbeobachtet und anonym, in nicht ausreichend gesicherte Systeme eindringen können, weil man ihre Attacken nicht erkennen wird. Wenn man sie entdeckt, ist es bereits zu spät und die Kriminellen sind bereits wieder in die Untiefen des Internets abgetaucht. Das ist die große Herausforderung im Internet der Dinge. Denn es gilt inzwischen als Fakt, dass alles, was gehackt werden kann, gehackt werden wird. Das IoT wird die Welt verändern, aber auch die Attacken auf Systeme aller Art werden exponentiell ansteigen.

Cybersecurity ist das nächste große Ding

Cybersecurity ist ein großes Business. Die weltweiten Ausgaben für Produkte und Dienstleistungen im Bereich der Informationssicherheit lagen im Jahr 2019 bei 124 Milliarden US-Dollar.18 Und diese Kosten werden jedes Jahr um etwa zehn Prozent steigen. Gleichzeitig steigt die Nachfrage nach Cybersecurityexperten. »IT-Sicherheitsexperte« ist jetzt schon ein gefragter Beruf, künftig werden Fachleute in dieser Sparte eine noch viel größere Rolle spielen. Bis zum Jahr 2021 wird es laut Palo Alto Networks Research Center weltweit 3,5 Millionen unbesetzte Cybersicherheitsstellen geben.19 Wobei sich die Frage stellt, ob künftig nicht ohnehin jede IT-Position in einem Unternehmen gleichzeitig auch eine Cybersicherheitsposition ist, da sich jeder IT-Mitarbeiter mit dem Schutz der Tech-Infrastruktur und den dazugehörigen Menschen befassen werden muss. Ohne diese allumfassende Herangehensweise kann der Kampf gegen die Cyberkriminalität nicht gewonnen werden. Bisher beschäftigen viele Unternehmen nur einen CIO, einen Chief Information Officer, der für die gesamte IT-Infrastruktur verantwortlich ist. Angesichts der steigenden Zahl von Attacken wird in vielen Firmen nun auch ein CISO installiert, ein Chief Information Security Officer. Doch im Grunde sollte jeder CIO auch ein CISO sein. Denn sie werden sich künftig vor Arbeit kaum mehr retten können.

»Cybersecurity ist die Grundlage für eine erfolgreiche und nachhaltige Digitalisierung«, sagt Andreas Tomek, Partner bei KPMG-Österreich und dort für den Bereich Cybersecurity verantwortlich. Tomek ist darüber hinaus Initiator und Organisator des europäischen Sicherheits-Start-up-Wettbewerbs Security Rockstars. »Unternehmen müssen sich so aufstellen, dass Cybersicherheit und Digitalisierungsinitiativen stets miteinander gedacht werden – nur so kann ein stabiles Wachstum gelingen.« Das scheint derzeit nicht wirklich der Fall zu sein, wie die Cyber Security Studie 2020 ergeben hat, bei der mehr als 600 Unternehmen teilgenommen haben.

Auf der einen Seite hat Cybersicherheit nach wie vor für ein Drittel der befragten Firmen noch nicht den Stellenwert, den das Thema haben sollte – es fehlt hier an dedizierten und gut ausgebildeten Experten. Das Unternehmen vor Angriffen zu schützen, spielt – Ransomware hin und Phishing-Kampagne her – für sie noch nicht wirklich eine Rolle; mit Phishing werden Unternehmen übrigens am häufigsten konfrontiert.

Auf der anderen Seite hat ein Drittel der Unternehmen mittlerweile aber erkannt, welche langfristigen finanziellen Folgen Cyberattacken haben können. »Dieses Drittel hat entweder eine Cyberversicherung abgeschlossen oder spezifische Rückstellungen gebildet«, bestätigt Tomek. Denn, und das zeigt auf, wie dramatisch Hackerattacken gesehen werden – jeder dritte Unternehmer glaubt, dass es mehr als einen Monat dauern kann, um einen Angreifer aus dem System zu werfen und die Probleme, die die Cyberattacke verursacht hat, zu lösen. Als »besonders interessant« bezeichnet Tomek die Tatsache, dass drei von vier Unternehmen sich mehr Unterstützung vom Staat wünschen würden. Trotz NIS-Gesetz (Netz- und Informationssystemsicherheitsgesetz) und Datenschutzgrundverordnung fehlt es hier vor allem an praktischer Unterstützung, Förderung europäischer Technologien und Wissensvermittlung seitens des Staates.

Denn die Waffen der Cyberkriminellen werden nicht nur raffinierter und heimtückischer, sondern auch immer zugänglicher. Cyberwaffen kann man in Darknet-Shops fast so einfach kaufen wie ein Tetrapak Milch im Supermarkt. Das Darknet ist ein Umschlagplatz für Drogen, Falschgeld, Waffen und all diejenigen Tools und Programme, die Hacker dafür nutzen, um in unsere Computer, Smartphones oder auch in Systeme von Regierungen einzudringen. Das wurde sowohl bei den Hackerangriffen auf den Deutschen Bundestag 201520 als auch auf das österreichische Außenministerium Anfang 202021 offensichtlich. Sind die Zugänge und Passwörter erst einmal geknackt, können Unternehmen und andere Internet-User – Stichwort »Ransomware«22 – damit erpresst werden

Derzeit heftig diskutierte Technologien, wie 5G, Artificial Intelligence (AI), Big Data, Blockchain und Kryptowährungen, wie beispielsweise Bitcoin oder Monero, eröffnen nicht nur Menschen mit guten Absichten neue Chancen und Möglichkeiten. Sie beflügeln ebenso die Kreativität »der Bösen«, die immer neue Methoden und Tricks entwickeln, um den Ermittlungsbehörden stets einen Schritt voraus zu sein.

Cybercrime ist die am schnellsten wachsende Kriminalitätssparte.23 Anders als bei analogen Verbrechen müssen Kriminelle nicht »vor Ort« sein. Eine Attacke kann von überall aus gestartet werden – ein Internetanschluss reicht aus. Gegenwärtig sind 4,6 Milliarden Menschen im Web, 2022 werden 6 Milliarden Menschen das Web nutzen, 2030 sollen es bereits 7,5 Milliarden sein.24, 25 Es gibt heute also bereits 4,6 Milliarden Ziele – sowie dementsprechend 4,6 Milliarden potenzielle Täter.