Die Illusion der Sicherheit
– Warum es keine absolut sichere Internetkommunikation gibt

Wir vertrauen täglich auf Verschlüsselung und Sicherheitssoftware, doch die Realität zeigt: Jede Ebene unserer digitalen Kommunikation ist potenziell kompromittierbar und praktisch bereits kompromittiert worden. Wenn es darum geht ihre kommerzielle Anlage vor der Neugier oder dem bösen Willen hochspezialisierter "Kinder" zu schützen, die vielleicht einfach nur "spielen" wollten, empfehlen wir entsprechende Maßnahmen.

Das OSI-Modell: Eine Reise durch die unsicheren Schichten

Die unbequeme Wahrheit: Alles ist kompromittierbar

Die technische Realität zeigt, dass es praktisch unmöglich ist, Daten absolut sicher über das Internet auszutauschen. Selbst die stärkste Verschlüsselung schützt nicht vor:

• Hardware-Backdoors in Prozessoren und Netzwerkgeräten
• Kompromittierte Betriebssysteme und Firmware
• Überwachung der physischen Infrastruktur
• Menschliche Fehler und Social Engineering
• Staatliche Überwachungsprogramme

Hier sind die prominentesten und am besten dokumentierten Fälle der letzten Jahre:

1. Equation Group und das "EquationLaser"-/ "GrayFish"-Toolset (Entdeckt 2015)

• Wer war betroffen? Hochwertige Ziele weltweit, darunter Regierungen, Telekommunikationsanbieter und Finanzinstitute.
• Was wurde manipuliert? Festplatten-Firmware (HDD/SSD).
• Wer war der Urheber? Die Equation Group, die als eine der technisch versiertesten Einheiten der NSA (National Security Agency) gilt.
• Wie funktionierte es? Kaspersky Lab entdeckte diese Malware-Familie. Die Schadsoftware konnte sich tief in der Firmware von Festplattenherstellern wie Seagate, Western Digital, Samsung und anderen einnisten.
• Besonderheit: Dies ist einer der wenigen öffentlichen Fälle, bei dem die Manipulation der Hardware-Firmware auf breiter Basis nachgewiesen wurde. Die Malware war nach einem Neustart oder sogar nach einer Formatierung der Festplatte weiterhin aktiv, da sie sich außerhalb des zugänglichen Dateisystems befand. Sie diente als dauerhafter "Implants", um dann weitere Spionagesoftware nachzuladen.

2. CIA Tools: "Brutal Kangaroo" und "CherryBlossom" (durch die "Vault 7"-Leaks 2017 enthüllt)

• Wer war betroffen? Ziele in Regierungen und Unternehmen, vor allem in abgeschotteten Netzwerken (Air-Gaps).
• Was wurde manipuliert? Cisco Router, aber auch andere Geräte.
• Wer war der Urheber? Die CIA (Central Intelligence Agency), wie durch WikiLeaks' "Vault 7"-Veröffentlichung bekannt wurde.
• Wie funktionierte es?
  • CherryBlossom: Dieses Toolset war darauf spezialisiert, die Firmware von WLAN-Routern (insbesondere von Cisco) zu manipulieren. Ein infizierter Router konnte dann den Datenverkehr des Ziels überwachen, manipulieren und als Sprungbrett für weitere Angriffe im Netzwerk dienen.
  • Brutal Kangaroo: Konzentrierte sich auf Air-Gapped-Netzwerke. Es nutzte USB-Sticks, um Schadsoftware auf Computer zu bringen, die nicht mit dem Internet verbunden waren. Auch hier spielte die Manipulation von Firmware eine Rolle, um die Malware zu verstecken.
• Besonderheit: Diese Enthüllungen zeigten, dass Geheimdienste über ausgefeilte Werkzeuge verfügen, um die Firmware von Netzwerkgeräten gezielt zu kompromittieren und so eine tiefe und persistente Präsenz in einem Netzwerk zu erreichen.

3. Der Fall "ShadowHammer" (ASUS Live Update, 2019)

• Wer war betroffen? Spezifisch ausgewählte ASUS-Nutzer (ca. 600 von über einer Million Infizierter).
• Was wurde manipuliert? Die offizielle ASUS-Software "Live Update", die im Motherboard der Rechner integriert ist und Treiber/BIOS-Updates bereitstellt.
• Wer war der Urheber? Eine hochentwickelte APT-Gruppe (Advanced Persistent Threat, mehr Details siehe unten im Text), vermutlich staatlich unterstützt.
• Wie funktionierte es? Hacker drangen in die Build-Server von ASUS ein und platzierten eine bösartige Version des Live-Update-Tools. Dieses wurde dann über die legitime Update-Funktion auf Hunderttausende Computer verteilt. Die Malware überprüfte die MAC-Adresse des Computers und aktivierte sich nur auf spezifischen Zielrechnern, um diese zu infizieren.
• Besonderheit: Dies ist ein Paradebeispiel für eine Supply-Chain-Attacke. Der Angriff erfolgte nicht direkt auf die Hardware, sondern missbrauchte den vertrauenswürdigen Mechanismus der Hersteller-Software, der tief im System verwurzelt ist (und damit hardwarenah agiert).

Warum ist CISCO so oft im Fokus?

 Dafür gibt es mehrere Gründe:

1. Allgegenwärtig: Cisco-Geräte sind das Rückgrat vieler Unternehmens- und Regierungs-Netzwerke weltweit.
2. Strategische Position: Router und Switches kontrollieren den gesamten Datenverkehr eines Netzwerks. Wer diese kontrolliert, kann alles überwachen, blockieren oder manipulieren.
3. Hohe Berechtigungen: Diese Geräte laufen mit hohen Systemberechtigungen und werden oft als "vertrauenswürdige" Komponenten angesehen.
4. Persistenz: Eine infizierte Router-Firmware bleibt auch nach einem Neustart erhalten und ist für herkömmliche Virenscanner unsichtbar.

Fazit

Die realen Bedrohungen in diesem Bereich sind weniger "Viren" im klassischen Sinne, die sich wild verbreiten, sondern hochspezialisierte Implants und Tools von staatlichen Akteuren (NSA, CIA, etc.) oder sehr gut ausgestatteten APT-Gruppen.

Ihre Kernmerkmale sind:

• Persistenz: Sie nisten sich in Firmware oder Boot-Prozessen ein, um Neuinstallationen des Betriebssystems zu überleben.
• Tarnung: Sie sind extrem schwer zu entdecken, da sie nicht im Dateisystem liegen.
• Zielgerichtetheit: Sie werden für gezielte Spionage und nicht für breite Zerstörung eingesetzt.

Die öffentlich gewordenen Fälle sind wahrscheinlich nur die Spitze des Eisbergs. Sie unterstreichen, wie kritisch die Sicherheit der Lieferkette (Supply Chain Security) und die Überprüfung von Firmware-Updates geworden sind.

Die Erkenntnis, dass absolute Sicherheit im Internet nicht existiert, sollte uns nicht in Resignation treiben, sondern zu einem bewussteren Umgang mit unseren Daten führen. In einer zunehmend vernetzten Welt ist informierte Vorsicht der beste Schutz.

*) Zu APT:

Eine APT-Gruppe bezieht sich auf eine organisierte, hochentwickelte Gruppe von Angreifern, die sich über einen längeren Zeitraum hinweg in ein Netzwerk oder System einschleusen, um Daten zu stehlen, zu manipulieren oder zu überwachen. Diese Gruppen sind in der Regel gut ausgerüstet, haben Ressourcen und arbeiten oft mit einem klaren, langfristigen Ziel.

Merkmale von APT-Gruppen:

1. Fortgeschrittene Techniken:
   APT-Gruppen setzen in der Regel hochentwickelte, maßgeschneiderte Tools und Techniken ein, um sich Zugang zu verschaffen und ihre Spuren zu verwischen. Sie verwenden oft Zero-Day-Exploits (Schwachstellen, die noch nicht öffentlich bekannt sind) und andere fortschrittliche Methoden, um Sicherheitssysteme zu umgehen.
2. Langfristige Präsenz:
   Der „persistente“ Teil bedeutet, dass diese Angreifer darauf abzielen, über lange Zeiträume hinweg unentdeckt zu bleiben. Sie infiltrieren Netzwerke schrittweise und mit der Absicht, über Monate oder sogar Jahre hinweg Zugang zu den Systemen zu behalten.
3. Zielgerichtete Angriffe:
   APTs sind oft sehr zielgerichtet. Die Angreifer haben ein spezifisches Ziel im Blick – seien es staatliche Institutionen, Unternehmen, militärische Einrichtungen oder Forschungseinrichtungen. Die Motivation hinter einem APT-Angriff ist in der Regel entweder politischer, wirtschaftlicher oder strategischer Natur.
4. Meist staatlich unterstützt:
   Viele APT-Gruppen sind mit Staaten oder staatlich unterstützten Akteuren verbunden. Sie agieren in der Regel im Auftrag von Regierungen, um nationale Interessen zu schützen, zu spionieren oder Wirtschaftsspionage zu betreiben. Es gibt jedoch auch APT-Gruppen, die von kriminellen Organisationen oder Hacktivisten betrieben werden.

Beispiele für bekannte APT-Gruppen:

1. APT28 (Fancy Bear):
   Diese Gruppe wird oft mit Russland in Verbindung gebracht und ist für eine Reihe hochkarätiger Angriffe verantwortlich, darunter die Angriffe auf die Demokratische Partei der Vereinigten Staaten während der US-Wahlen 2016. Sie sind bekannt für ihre Fähigkeiten in der Informationskriegsführung und Spionage.
2. APT29 (Cozy Bear):
   Ebenfalls russisch-assoziiert, ist APT29 bekannt für ihre Angriffe auf Regierungseinrichtungen, insbesondere im Bereich der Außenpolitik und der nationalen Sicherheit. Sie gelten als besonders geschickt in der Nutzung von Spear-Phishing-Techniken und Malware.
3. Charming Kitten (APT34):
   Diese iranische Gruppe wurde in Verbindung mit Angriffen auf Energieunternehmen und geopolitische Ziele im Nahen Osten gebracht. Sie sind bekannt dafür, sich in Kommunikationskanäle von Regierungen und Unternehmen einzuschleusen.
4. Lazarus Group:
   Eine nordkoreanische APT-Gruppe, die für eine Reihe von Angriffen bekannt ist, einschließlich des berüchtigten Hacks der Sony Pictures 2014 und der Wannacry-Ransomware-Attacke von 2017.

Ziel von APT-Gruppen:

• Datenexfiltration: Der Diebstahl von sensiblen Daten (z. B. geistiges Eigentum, strategische Informationen, staatliche Daten).
• Spionage: Politische oder militärische Informationen sammeln.
• Sabotage: Die Zerstörung oder Manipulation von Infrastruktur und Systemen.
• Einflussnahme: Beeinflussung von politischen Prozessen oder wirtschaftlichen Entscheidungen (z. B. durch Desinformation).

Wie funktionieren APT-Gruppen?

• Initialer Zugang: Häufig erhalten sie Zugang durch Phishing-E-Mails, Schwachstellen in Software oder durch Social Engineering.
• Lateral Movement: Nachdem sie einen Fuß in der Tür haben, bewegen sich APT-Gruppen seitlich durch das Netzwerk, um weitere Systeme zu kompromittieren.
• Eskalation von Rechten: Sie erhalten zunehmend höhere Privilegien, um auf mehr Daten und Systeme zugreifen zu können.
• Daten exfiltrieren oder Überwachung: Schließlich sammeln sie Daten oder überwachen die Aktivitäten der Zielorganisation über längere Zeiträume hinweg.
• Verdeckung: APT-Gruppen arbeiten oft darauf hin, ihre Präsenz zu verbergen, indem sie Spuren verwischen und Antivirus-Software oder andere Sicherheitsmaßnahmen umgehen.

Gegenmaßnahmen:

APT-Gruppen stellen eine große Herausforderung für Unternehmen und Organisationen dar. Um sich zu schützen, müssen Organisationen proaktive Cybersicherheitsstrategien anwenden, die mehr als nur auf die Abwehr von einmaligen Angriffen ausgerichtet sind. Einige Maßnahmen umfassen:

• Regelmäßige Sicherheitsüberprüfungen und Penetrationstests
• Einsatz von Intrusion Detection Systemen (IDS)
• Monitoring und Analyse des Netzwerkverkehrs
• Schulung der Mitarbeiter, um Phishing und Social Engineering zu erkennen
• Implementierung von Zero Trust-Sicherheitsmodellen, bei denen jeder Benutzer und jedes Gerät ständig überprüft wird.

APT-Gruppen sind extrem bedrohlich, weil sie gezielt und mit hochentwickelten Techniken arbeiten. Ihre Entdeckung ist oft sehr schwierig und ihre Auswirkungen können gravierend sein, wenn sie erfolgreich sind.