Alarm: 1,2 Millionen Cyber-Schwachstellen in Österreich

Cyber-Experten haben 1,2 Millionen potenzielle Schwachstellen in zwei Millionen öffentlichen IP-Adressen und Domains in Österreich entdeckt. Darüber und über fehlende Regelungen für Cyber-Security, die Balance zwischen Sicherheit und Überwachung sowie die Datenhygiene jedes einzelnen sprach die APA mit dem Experten Marc K. Peter, COO von Dreamlab Technologies. Der Schweizer referiert bei der IKT-Sicherheitskonferenz in Linz über den aktuellen österreichischen Cyberraum.

"Das ist eigentlich eine Katastrophe"

Das Unternehmen Dreamlab Technologies entwickelte im Auftrag der Schweiz "CyObs", ein System, das es schafft, Millionen von angeschlossenen Geräten im Land zu analysieren, erklärt Peter. "Unsere Software indexiert alles, was ans öffentliche Internet angeschlossen ist." Für Österreich habe man mit CyObs knapp zwei Millionen Online-Assets wie IP-Adressen, von denen wieder jede 300 bis 1.000 Domains hosten kann, und .at-Domains gescannt und 1,2 Millionen dokumentierte und bekannte Schwachstellen identifiziert. "Das ist eigentlich eine Katastrophe", sagt der Experte, denn es sei allgemein bekannt, dass es diese Schwachstellen gebe. Und in vielen Fällen sei das Hacking-Tool frei verfügbar zum Download im Internet. Die IT-Verantwortlichen müssten hier handeln.

Was teile ich auf sozialen Medien?

Der Experte wünscht sich eine hohe Priorität für Cyber-Security in Politik, Wirtschaft und Gesellschaft. "Denn schlussendlich muss jede und jeder mitmachen. Dazu gehört zum Beispiel auch die Datenhygiene jedes einzelnen auf den sozialen Medien. Was teile ich? Welche Daten gebe ich wem? Werden sie von dieser Institution auch geschützt?", verdeutlicht Peter. In der Politik wäre die Hebelwirkung größer. Die Abwägung zwischen Sicherheit und der Überwachung von Bürgern und Firmen spielt freilich immer mit.

Mit ihrem Vortrag "Der aktuelle österreichische Cyberraum - ein Update" hoffen Peter und Unternehmensgründer und Geschäftsführer Nicolas Mayencourt bei der IKT-Konferenz "einen Impact zu erzielen", weil die wichtigen Leute aus Politik und Wirtschaft, aus allen Teilen Österreichs anwesend seien. "Wir schauen uns das an, was eine cyberkriminelle Organisation oder ein ausländischer Staat sieht, wenn sie oder er einen Angriff auf Österreich vorbereitet, und präsentieren eine große Sammlung von Schwachstellenarten." 

Bahn oder Ampeln lahmlegen

Die Bahninfrastruktur oder das Ampelsystem einer Stadt lahmlegen durften die Experten aus der Schweiz bei ihren Tests natürlich nicht, obwohl das schon möglich wäre. Sie stellten fest, dass nur fünf Prozent der DNS-Server, der Kontrollinfrastrukturen, um Domänen aufzulösen, in Österreich stehen. Auch nur 20 Prozent der Mail-Server befinden sich in Österreich. 80 Prozent der Mail-Server sind im Ausland, auch von Behörden und Gemeinden. E-Mails von Bürgern an Kommunen oder Telekommunikationsunternehmen könnten im Ausland oder von ausländischen Diensten gelesen werden, "weil wir die E-Mails nicht verschlüsseln".  

Über 1.000 Schwachstellen auf Regierungsdomains "gv.at"

Zu den Schwachstellen gehören laut den Experten auch exponierte Infrastrukturkontrollsysteme, zum Beispiel Heizungen, die übers Internet ungeschützt zugänglich sind, Web-Cams, die etwa Wasserkraftwerke, Staudämme, Wasserversorgung beobachten. Auch die Regierungsdomains ".gv.at" wurden analysiert und über 1.000 kritische Schwachstellen identifiziert. 

Der Job der Cybersecurity-Experten

Im Prinzip probieren Cyber-Security-Experten in die zu schützenden IT-Infrastrukturen einzudringen wie ein Hacker - freilich ohne Schaden anzurichten. Dementsprechend viel Verantwortung tragen die einzelnen Firmen. Bei der Auftragsannahme sei es wichtig, "ethische, interne Protokolle festzulegen", das heißt, zu fragen, ob man das Wissen mit dem Auftraggeber - einem Staat, einer Organisation - teilen will. Das sei heute schon teilweise überlebenswichtiges Wissen. Im westlichen Europa beginne jetzt das Bewusstsein zu wachsen, dass es wichtig ist, über solches Technologiewissen im eigenen Land zu verfügen, also seine Cyber-Landesgrenzen verteidigen zu können. "Österreich liegt so wie die Schweiz und viele andere mittelgroße europäische Länder im Mittel- bis hinteren Mittelfeld. Das heißt, wir machen unseren Job schlichtweg nicht", so Peter, der auch das Kompetenzzentrum Digitale Transformation an der FHNW Hochschule für Wirtschaft in Olten leitet.

Angriff auf Kühlschränke und Kaffeemaschinen

Als Vorbild nannte Peter Skandinavien. Dort werden Banken und kritische Infrastrukturen verpflichtet, Informationen über Angriffe mit anderen Organisationen zu teilen, das nenne man "Shared threat intelligence". Geteilt werden die anonymisierten Angriffsmetadaten. Dreamlab habe in den vergangenen drei Jahren mit der EU an einem Projekt gearbeitet, "das die Idee hat, dass jedes Konsumentenprodukt, das jemals in der EU zugelassen werden darf, einen solchen Shared Threat Sensor hat, das heißt jeder Kühlschrank, jede Kaffeemaschine, die ans Internet angeschlossen wird, warnt alle anderen, wenn sie merkt, dass sie angegriffen wird". Das eröffne Fragen wie "Trauen wir dem Staat? Braucht der Staat Kontrollorgane? Das sind neue Themen, die wir noch nicht einmal begonnen haben zu diskutieren", sieht Peter noch viel zu tun.

Alarm-Sensoren an Untersee-Internetkabeln

Eine EU-einheitliche Lösung wäre sinnvoll. Es gebe erste Gespräche und Ideen. "Eigentlich sollten an den EU-Grenzen dort, wo die Unterseekabel ins EU-Territorium kommen, diese Sensoren vorhanden sein, um schon mal die schlimmsten Angriffe abzufangen", wobei hier wieder die Abwägung Sicherheit versus Überwachung zum Tragen komme.