Wir brauchen Daten-Backups

Beim Gipfeltreffen der beiden Präsidenten Joe Biden und Wladimir Putin war eines von vielen Themen, dass aus Russland seit einigen Monaten gehäuft Cyberattacken auf Ziele in den USA und teils auch in Europa durchgeführt werden. Angesichts dessen ist es verwunderlich, wie wenig die hiesige Öffentlichkeit informiert und gewarnt wird. Egal, was vor oder hinter den Kulissen in Genf passiert: Backups aller heiklen Daten und deren sichere Archivierung offline sind ein Erfordernis der Stunde für Unternehmen, öffentlichen Einrichtungen und alle Akteure im Umfeld wichtiger Infrastrukturen.

Bei genauerer Betrachtung sind Zahl und Schaden der rezenten Cyberattacken durch Russland-nahe Gruppen so groß, dass Experten schon von einem verdeckten Cyberkrieg sprechen. Daneben geht diesbezüglich auch von China und "normalen" Cyberverbrechern erhöhte Gefahr aus. Daher sollten sich die liberalen Demokratien dieser Welt keine Illusion mehr darüber machen, dass die politische Absicherung der bislang eher selbstläufigen "Digitalen Revolution" jetzt neben dem Klimawandel eine zweite Mammutaufgabe darstellt, deren Bewältigung nicht länger warten kann.

Natürlich ist dies in Zeiten der Corona-Pandemie keine willkommene Mahnung, jedoch: Eine Studie des britischen Royal United Services Institute konstatierte schon vor zwei Monaten, dass die Lage außer Kontrolle gerate. "The Guardian" sprach am 14. Juni vom "Age of the cyber-attack", die "Financial Times" am 15. Juni von einer "new era of information warfare". Dabei geht es einerseits um die zahllosen Versuche, mittels online gestreuten oder gezielt weiterverteilten "Informationen" Unfrieden in liberalen Demokratien zu stiften und Teile der Bevölkerung gegeneinander aufzuhetzen. Sogenannte Troll-Fabriken streuen massiv Fehlinformationen, etwa zur Corona-Impfung.

Andererseits geht es um sogenannte Ransomware-Angriffe, also um Erpressungen von Firmen, Staaten oder Einzelnen durch Eindringen in deren Computersysteme, Abziehen von Daten, Blockade der Weiterverarbeitung sowie schließlich die Drohung, heikle Informationen im Internet zu veröffentlichen. Seit 2019 zählten die USA allein 700 Erpressungsangriffe auf kritische Infrastrukturen, zum Beispiel auf ein Wasserwerk in Florida, wo die Bleiwerte auf gefährliches Niveau erhöht und dies nur gerade noch rechtzeitig entdeckt wurde.

Im heurigen April hat US-Präsident Biden daher Sanktionen gegen 32 Einheiten beziehungsweise Individuen verhängt, die anscheinend im Auftrag Russlands Cyberangriffe durchgeführt hatten. Im Mail setzte er eine Kommission aus dem Innenminister, dem Generalstaatsanwalt sowie hochrangigen staatlichen und privaten Expertinnen und Experten aus dem Bereich Cybersicherheit mit weitreichenden Kompetenzen ein. Und Anfang Juni gab das Weiße Haus bekannt, der US Präsident würde nun auch allfällige Gegenschläge in Erwägung ziehen.

Europa gespalten und blockiert, Österreich uninteressiert?

Laufend geschehen solche Ransomware-Attacken nun auch in Europa und weltweit, zum Beispiel waren auch Indien und Japan massiv betroffen. Am 25. Mai berichtete ich in einem Gastkommentar über den Diebstahl von Daten des Irish Health Service mit dramatischen Folgen für die dortige Bevölkerung. Österreichweit ist aber wenig von den weltweiten Cyberattacken zu hören. Einzig über den Fall der US-Firma Colonial vor einigen Wochen wurde etwas breiter berichtet, als tausende Kilometer an Pipelines unterbrochen, die Versorgung von Flughäfen und Tankstellen gefährdet und
5 Millionen US-Dollar Lösegeld erpresst wurden.

Dies ist aber nur eines von vielen aktuellen Beispiele für das Ansetzen bei strategischen Infrastrukturen mit dem Ziel, maximalen Schaden und entsprechende Gewinne zu ermöglichen. Jahrzehntelang schien es in diesem Spiel noch eine minimale Ethik in der teils einfach kriminellen, teils von "Schurkenstaaten" gesponserten Cybercrime-Szene zu geben. In jüngster Zeit werden aber auch staatliche und soziale Einrichtungen angegriffen, um sie selbst und ihre Klientel mit den gestohlenen Daten in mehrstufigen Verfahren zu erpressen.

So wurden im Oktober 2020 eine psychiatrische Einrichtung in Finnland um 40.000 Patientenakten gebracht und im Februar 2021 zwei französische Spitalsgruppen erpresst. Solche Vorkommnisse machen uns alle zu potenziellen Opfern, jede und jeden Einzelnen. Auf die Erpressung der betroffenen Unternehmen folgt die Erpressung von Kunden oder Angestellten mit gestohlenen Daten. Und darüber hinaus geht es auch immer öfter darum, öffentliche Infrastrukturen akut zu bedrohen.

Angriffe auf Universitätenund Bildungseinrichtungen

Ein relativ junges Phänomen sind dabei Cyberverbrechen an Universitäten und Bildungseinrichtungen. Dabei ist noch unklar, ob es in erster Linie um Erpressung geht oder um Spionage nach Wissen und Patenten. So ist seit einigen Wochen die TU Berlin im Ausnahmezustand, zuvor war es das belgische akademische Belnet, das die öffentliche Verwaltung mit Forschungs- und Bildungsinstitutionen verbindet. Dabei könnte es auch um politische Interessen gegangen sein, weil so ein wichtiges Hearing des außenpolitischen Parlamentsausschusses abgesagt werden musste, das sich mit der Behandlung von Minderheiten in China befasst und Zeugen angehört hätte.

Einer der bisher wohl heikelsten Angriffe auf eine staatliche Institution in der EU betraf das belgische Innenministerium, wie am 26. Mai bekanntgegeben wurde - erst nachdem wiederum Microsoft informiert hatte, dass die wohl China nahestehende Hackergruppe Hafnium via Microsoft Exchange in einer laufenden Attacke weltweit Daten erbeutet hatte. Mindestens 24 Länder und mehr als 150 Organisationen sind betroffen, darunter auch europäische. Österreichs Nachbarland Slowakei wurde im April Opfer eines gravierenden Cyberangriffs. Die dortige offizielle Warnung an alle Firmen und Institutionen sollte weltweit beherzigt werden: "Immediately secure and back up (your) systems!"

Angesichts all dessen scheint es fast gespenstisch, dass auf EU-Ebene noch immer Einstimmigkeitserfordernisse sowie Kompetenzmängel die Arbeit der Agentur für Cybersicherheit sowie von Europol behindern. Eine diskutierte "Joint Cyber Unit" ist umstritten. Wichtige Regelungen (etwa zur Resilienz kritischer Dienstleister) oder Aktualisierungen stehen erst an (etwa die "Network and Information Security"-Richtlinie). Angesichts dessen, wie schnell nationale Grenzen bei gravierenden Cyberattacken irrelevant werden können, sollte hier die Politik des Verdrängens, des Zauderns und der Schrebergärtnerei endlich aufgegeben werden. Konsequentes Handeln ist auf einzelstaatlicher wie auch auf EU-Ebene angezeigt. Es könnte 5 vor 12 sein.