Der BSI Jahresbericht 2019: Emotet & Co richten Milliardenschaden an

Und in der Tat wird dem Leser leicht schwindelig, wenn er sich durch den 80 Seiten starken Bericht wühlt, der voll ist von erschreckenden Fallbeispielen aus dem vergangenen Jahr und astronomischen Zahlen, die kaum mehr in die menschliche Vorstellungskraft passen. Eine Einordnung der Fakten: schwierig, angesichts der fast erschlagend wirkenden Aneinanderreihung von Cyberbedrohungen. Nur ein Name zieht sich durch den ganzen Jahresbericht: Emotet, eine Schadsoftware, die Ransomware-, Banking-Trojaner- und Botnetz-Verhalten zeigen kann.

Emotet ist die vielleicht gefährlichste Malware der Welt

 Beinahe selbstgefällig wirkt es, wenn der Bericht wiederholt darauf hinweist, dass die prognostizierten Schreckensszenarien der vergangenen Jahre allesamt eingetreten sind. So auch, wenn der Bericht auf Emotet zu sprechen kommt: „Schon 2018 hatte das BSI die Schadsoftware Emotet als eine der größten Cyber-Bedrohungen der Welt bezeichnet und vor einer professionellen Weiterentwicklung gewarnt“, heißt es im aktuellen Jahresbericht. Tatsächlich liest man im Text keinen anderen Malware-Namen so häufig wie diesen. Ende September gab das BSI eine Cyber-Sicherheitswarnung für Emotet an Unternehmen, Behörden und kritische Infrastrukturen aus. Kurz zuvor hatte Emotet die komplette Stadtverwaltung von Neustadt am Rübenberge unter seine Kontrolle gebracht. Weitere Geschädigte sind unter anderem das Online-Portal Heise, die medizinische Hochschule in Hannover und das Kammergericht in Berlin. Die Malware wird in aktuellen Versionen in erster Linie über infizierte Office-Dokumente in plausibel wirkenden E-Mails verbreitet. Auf den angegriffenen Systemen kann sie selbstständig weitere Schadprogramme nachladen, Identitäten und Zugangsdaten abgreifen und sich weiter ausbreiten.

Ransomware bleibt relevant 

Emotet ist auch deshalb so gefährlich, weil mit der Schadsoftware häufig noch weitere unerwünschte Schädlinge ins System eindringen, beispielsweise aktuelle Ransomware-Varianten. Die Erpressertrojaner baten auch 2019 wieder Unternehmen und Privatpersonen gleichermaßen zur Kasse. Mehrere Unternehmen, darunter der Automatisierungs-Spezialist Pilz, sollen Opfer dieser Emotet-Ransomware-Kombo geworden sein. Statt zu zahlen empfiehlt das BSI nach wie vor auf Backups zurückzugreifen. Dass nicht alle Betroffenem diesem Rat Folge leisten, zeigt das Beispiel „Ryuk“. Mindestens 600.000 US-Dollar hat dem BSI zufolge alleine diese Ransomware erbeutet. Ein norwegischer Aluminiumkonzern traf – trotz Backups – der sprichwörtliche Worst Case: Hier richtete LockerGoga einen Schaden von 40 Millionen Euro an.

Botnetze breiten sich aus

Wenn Emotet keine Bankdaten abgreift oder als Ransomware in Erscheinung tritt, hat die Malware noch einen weiteren Hauptauftrag: Im vergangenen Jahr war sie maßgeblich an der  Ausweitung großer Windows-basierter Botnetze beteiligt. 110.000 Botinfektionen täglich identifizierte das BSI im vergangenen Jahr. Die Dunkelziffer dürfte weit größer sein und die allgemeine Tendenz ist auch in diesem Bereich steigend. Die Botnetze werden unter anderem dazu genutzt, DDoS-Angriffe auszuführen oder in den Kryptowährungsmarkt einzugreifen. Die bevorzugten Ziele der Angreifer haben sich zuletzt etwas verlagert. Besonders gefährdet sind demnach aktuell mobile Endgeräte und IoT-Produkte. Im vergangenen Jahr wurden außerdem vermehrt Fälle festgestellt, in denen vorkonfigurierte Geräte ab Werk mit entsprechender Schadsoftware ausgestattet wurden. Betroffene Geräte konnten so teils komplett aus der Ferne gesteuert werden. Häufungen konnten bei Android-Betriebssystemen festgestellt werden.

Cyber-Sicherheit ist die Antwort

 Die genauen Schäden zu beziffern, die Cyberkriminelle im vergangenen Jahr angerichtet haben, ist problematisch. Zu hoch wird die Dunkelziffer nicht gemeldeter Angriffe eingeschätzt. Experten gehen aber von Zahlen von über 100 Milliarden Euro Verlust für die Wirtschaft auf. Demzufolge kommt der wichtigste Satz im Jahresbericht fast zum Schluss: „Cyber-Sicherheit ist die Antwort auf die neuen Herausforderungen, vor denen Behörden, Unternehmen, Kritische Infrastrukturen und Privatanwender jeden Tag aufs Neue stehen, um die Vorteile ihrer digitalen Geschäftsprozesse oder die Vorzüge ihres digitalen Lebens zu nutzen.“ Zugegeben – eine Neuigkeit ist das nicht. Aber dass eine Erinnerung auch in diesem Jahr wieder angebracht ist, beweisen Emotet & Co.