10 Strategien gegen Hackerangriffe

Impressum

ISBN 978-3-85402-395-1

Auch als Buch verfügbar:

ISBN 978-3-85402-394-4

1. Auflage 2021

Das Werk ist urheberrechtlich geschützt.

Alle Rechte vorbehalten.

Nachdruck oder Vervielfältigung, Aufnahme

auf oder in sonstige Medien oder Datenträger,

auch bei nur auszugsweiser Verwertung,

sind nur mit ausdrücklicher Zustimmung der

Austrian Standards plus GmbH gestattet.

Alle Angaben in diesem Fachbuch erfolgen

trotz sorgfältiger Bearbeitung ohne Gewähr und

eine Haftung der Herausgeber, der Autoren oder des Verlages ist ­ausgeschlossen.

Aus Gründen der besseren Lesbarkeit wird in vorliegendem Werk die Sprachform des generischen Maskulinums angewendet. Es wird an dieser Stelle darauf hingewiesen, dass die ausschließliche Verwendung der männlichen Form geschlechtsunabhängig verstanden werden soll.

© Austrian Standards plus GmbH, Wien 2021

Die Austrian Standards plus GmbH ist ein

Unternehmen von Austrian Standards International.

AUSTRIAN STANDARDS PLUS GMBH

1020 Wien, Heinestraße 38

T +43 1 213 00-300

F +43 1 213 00-818

E service@austrian-standards.at

www.austrian-standards.at/fachliteratur

PROJEKTBETREUUNG

Lisa Maria Heiderer

LEKTORAT

Johanna Zechmeister

COVER – FOTOCREDIT

© iStockphoto.com/alengo

GESTALTUNG

Alexander Mang

DRUCK

Prime Rate Kft., H-1044 Budapest

Inhalt

Abkürzungsverzeichnis

Vorwort

Vom Hacker zum Cyberkrieger

1 STRATEGIE 1: Den Hacker kennen

1.1 WER GREIFT UNS AN?

1.1.1 Kein Angriff ohne Motiv

1.1.2 Kein Angriff ohne die notwendige Fähigkeit

1.1.3 Erst die Angriffsfläche ermöglicht den Angriff

1.2 SIND WIR VOR DEM ANGREIFER SICHER?

2 STRATEGIE 2: Security ist Chefsache

2.1 COMMITMENT

2.2 VORBILDWIRKUNG

2.3 PLANUNG UND LENKUNG

2.3.1 Sicherheitsziele & Risikopolitik

2.3.2 Management-Review und Reporting

2.3.3 Rollen und Ressourcen

3 STRATEGIE 3: Schutz der Kronjuwelen

3.1 ÜBERSICHT ZUR VORGANGSWEISE

3.2 IDENTIFIKATION VON INFORMATIONSWERTEN

3.2.1 Herangehensweise: Top-down und Bottom-up

3.2.2 Gruppieren von Informationswerten

3.2.3 Erhebung der Systeme

3.3 IDENTIFIKATION DES SCHUTZBEDARFS

3.3.1 Definition von Schutzzielen

3.3.2 Bewertung des Schutzbedarfs

3.3.3 Klassifizierung von Informationswerten

3.4 SCHUTZMASSNAHMEN ZUR SICHERUNG DER INFORMATIONSWERTE

3.4.1 Risikoanalyse

3.4.2 Auswahl von Schutzmaßnahmen

3.4.3 Effektivitätsprüfung und Überwachung von Risiken

3.5 GRUNDHYGIENE IN DER CYBERSECURITY

4 STRATEGIE 4: Das Projekt aufsetzen

4.1 WARUM EIN PROJEKT?

4.2 WIE PLANE ICH DAS PROJEKT?

4.2.1 Projektziele festlegen

4.2.2 Das Projekt abgrenzen

4.2.3 Darstellung des Projektkontextes

4.2.4 Die Tätigkeiten strukturieren

4.2.5 Die Projektorganisation einsetzen

4.3 DIE PROJEKTARBEIT

4.3.1 Zusammenarbeit fördern

4.3.2 Projektmarketing gestalten

4.3.3 Projektfortschritt messen und Risiken aufzeigen

5 STRATEGIE 5: Organisationsstruktur aufbauen

5.1 INFORMATIONSSICHERHEITS-MANAGEMENTSYSTEM

5.2 DIE WICHTIGSTEN ROLLEN IM ISMS

5.2.1 Die Leitung

5.2.2 Informationssicherheitsbeauftragter

5.2.3 Schlüsselpersonal

5.3 STRUKTUREN SCHAFFEN

5.3.1 Logging- und Monitoring-Konzept

5.3.2 Verwaltung von Werten

5.3.3 Compliance-Management

5.4 AUF DEN ERNSTFALL VORBEREITET SEIN

5.5 WAS IST NOTWENDIG, UM RICHTIG REAGIEREN ZU KÖNNEN?

5.5.1 Notfallmanagement

5.5.2 Krisenmanagement

5.5.3 Üben und Testen

5.6 INTEGRIERTER ANSATZ DER BEWÄLTIGUNG

6 STRATEGIE 6: IT-Betrieb sichern

6.1 EINLEITUNG

6.2 WERTEMANAGEMENT

6.2.1 Informationswert

6.2.2 Physischer Wert

6.2.3 Personen

6.3 BACKUPS UND DATENSICHERUNG

6.4 CLOUD SECURITY

6.4.1 Risiken der Cloud

6.4.2 Sicherheit in der Cloud

6.5 SYSTEMHÄRTUNG UND SICHERE KONFIGURATION

6.6 PATCH-MANAGEMENT

6.6.1 Planen der Patches

6.6.2 Testen der Patches

6.6.3 Ausrollen der Patches

6.7 NETZWERKSICHERHEIT

6.8 SCHUTZ VOR SCHADSOFTWARE

6.9 REGELMÄSSIGE ÜBERPRÜFUNGEN UND ÜBUNGEN

6.9.1 Awareness-Trainings

6.9.2 Schwachstellen-Scans

6.9.3 Penetration-Tests

6.9.4 Red-Team-Assessments

7 STRATEGIE 7: Physische Sicherheit etablieren

7.1 EINLEITUNG

7.2 SICHERHEITSZONEN

7.2.1 Firmengelände

7.2.2 Besprechungsräume

7.2.3 Verteilerschränke/-räume

7.2.4 Büros

7.2.5 Kritische Bereiche

7.3 ÜBERGREIFENDE SICHERHEITSMASSNAHMEN

7.3.1 Bauliche Maßnahmen

7.3.2 Zutrittskontrolle

7.3.3 Brandschutz

7.3.4 Stromversorgung

7.3.5 Weitere Schutzmaßnahmen

7.4 AGIEREN STATT REAGIEREN

8 STRATEGIE 8: Mitarbeiter begeistern

8.1 EINLEITUNG

8.2 TRAINING

8.2.1 Inhalte

8.2.2 Methoden

8.2.3 Herausforderung

8.3 MOTIVATION

8.3.1 Updates

8.3.2 Personalisierung

8.3.3 Gamification und Serious-Gaming

8.3.4 Belohnungssystem

9 STRATEGIE 9: Sicher im Homeoffice

9.1 EINLEITUNG

9.2 GOVERNANCE

9.3 IT-SECURITY

9.3.1 Device-Management

9.3.2 Bring-Your-Own-Device

9.3.3 Verschlüsselung bei Mobile Computing

9.3.4 Zugriffsschutz

9.3.5 Netzwerksicherheit

9.3.6 IT-Operations & Technology

9.4 PHYSISCHE SICHERHEIT

9.5 AWARENESS

9.5.1 Sichere Kommunikation

9.5.2 Phishing-Attacken

9.6 DATENSCHUTZ

9.7 KOMMUNIKATION IM HOMEOFFICE

9.8 ZUKUNFT IM HOMEOFFICE

10 STRATEGIE 10: Qualität steigern

10.1 DER KVP-PROZESS

10.2 MESSEN DER INFORMATIONSSICHERHEIT

10.2.1 KPIs entwickeln

10.2.2 Daten sammeln und analysieren

10.2.3 Massnahmen identifizieren und umsetzen

10.3 REPORTING

Ausblick

Literatur- und Normenverzeichnis

DIE AUTOREN

Abbildungsverzeichnis

ABBILDUNG 1: SCHEMATISCHE DARSTELLUNG DES PROZESSES

ABBILDUNG 2: BEISPIELHAFTE MATRIX ZUR BEWERTUNG VON BEDROHUNGEN

ABBILDUNG 3: ZUSAMMENWIRKEN VON BEDROHUNG, SCHWACHSTELLE UND RISIKO

ABBILDUNG 4: BEISPIEL GANTT-DIAGRAMM

ABBILDUNG 5: DREI DIMENSIONEN IN DER PROJEKTSTEUERUNG ALS DREIECK

ABBILDUNG 6: BEISPIEL FÜR SICHERHEITSZONEN

AV Antivirus

BCM Business Continuity Management

BSI Bundesamt für Sicherheit in der Informationstechnik

BIA Business-Impact-Analyse

BYOD Bring Your Own Device

CISO Chief Information Security Officer

CEO Chief Executive Officer

CFO Chief Financial Officer

DoS Denial-of-Service-Attacken

DDoS Distributed-Denial-of-Service-Attacken

DSGVO Datenschutz-Grundverordnung

EDR Endpoint Detection and Response

IDS Intrusion-Detection-System

IEC International Electrotechnical Commission

IKT Informations- und Kommunikationstechnik

IoT Internet of Things

IPS Intrusion-Prevention-System

ISB Informationssicherheitsbeauftragter

ISMS Informationssicherheits-Managementsystem

ISO International Organization for Standardization

KPI Key-Performance-Indicator

KMU Kleine und mittlere Unternehmen

KVP Kontinuierlicher Verbesserungsprozess

NIST National Institute of Standards and Technology

PDCA Plan-Do-Check-Act

SLA Service Level Management

SOC Security Operations Center

ToD Test of Design

ToE Test of Effectiveness

TOMs Technische und organisatorische Maßnahmen

USV Unterbrechungsfreie Stromversorgung

VPN Virtual Private Network

WBT Web-Based-Training

Vorwort

Georg Beham

In den letzten Jahren haben mein Team und ich viele Cyberangriffe für Kunden abgewehrt. In den meisten Fällen werden Angriffe, in denen beispielsweise Lösegelder für das Entschlüsseln von widerrechtlich verschlüsselten Dateien das Ziel sind, nicht mehr nach dem Prinzip von Postwurfsendungen[1] durchgeführt. Unternehmen werden immer häufiger ganz gezielt von Cyberkriminellen ausgewählt. Besonders Unternehmen, die niedrige Einstiegshürden aufgrund von Sicherheitslücken aufweisen bzw. deren Geschäftsfeld eine hohe Digitalisierung und somit eine Abhängigkeit der Wertschöpfung von der IT vermuten lässt, werden zum Opfer.

Den Grad der Digitalisierung kann ein Unternehmen heutzutage nicht reduzieren. Im Gegenteil, ist doch die Digitalisierung einer der Erfolgsfaktoren für die Zukunft. Die Hürde für Cyberkriminelle, nämlich eine funktionierende Cybersecurity, kann jedoch sehr wohl beeinflusst werden. Das Beispiel Ransomware[2] ist nur eine von vielen Varianten, wie sich Cyberkriminelle zu Lasten ihrer Opfer bereichern.

Wenn Sie nun als verantwortlicher Geschäftsführer oder als Teil des Managements in Ihrem Unternehmen dieses Buch lesen, dann sollten Sie sich die Frage stellen: „Wie hoch ist meine Hürde?”. Auch sollten Sie sich überlegen: „Wer kümmert sich für mich um dieses Risiko?” „Wer ist verantwortlich, wenn meine Produktion aufgrund einer Ransomware ausfällt?”

Sie sehen, worauf ich hinaus möchte: In den 1990er Jahren wurden IT-Bedrohungen vom IT-Verantwortlichen durch technische Maßnahmen abgewehrt. Ransomware ist zwar Software, dahinter stehen allerdings Cyberkriminelle, deren Ziel die Einnahme von Lösegeld ist. Es handelt sich hierbei nicht mehr um eine reine IT-Bedrohung, sondern um eine Unternehmensbedrohung. Auch die Maßnahmen, die das Risiko in Bezug auf derartige Bedrohungen minimieren, sind nur zum Teil technischer Herkunft. Ein Cyberangriff richtet sich nicht gegen die IT Ihres Unternehmens, sondern direkt gegen Ihr Unternehmen, für welches Sie haften.

Cybersecurity ist daher definitiv Chefsache! Übernehmen Sie selbst diese Verantwortung und delegieren Sie dieses Risiko nicht an die IT.

Als leidenschaftlicher Segler möchte ich die Kernaussage des vorliegenden Werks mit einem an ein Zitat von Aristoteles angelehnten Satz zusammenfassen:

„Wir können den Wind nicht ändern, aber die Segel richtig setzen.“

Cyberangriffen werden wir immer wieder ausgesetzt sein. In diesem Buch zeigen wir Ihnen, wie Sie Ihr Unternehmen mit höchstmöglicher Sicherheit für solche Turbulenzen rüsten bzw. es durch diese hindurch steuern können.

Georg Beham

Geschäftsführer

PwC Advisory Services GmbH Österreich

1Das massenhafte Versenden von Post an Empfängergruppen.

2Mittels Ransomware können Daten widerrechtlich verschlüsselt werden.

Einleitung

Georg Beham

An dieser Stelle möchte ich Ihnen das Thema Cybersecurity anhand meiner Erfahrungen und einer kurzen Geschichte dazu näherbringen.

Seit 1989 arbeite ich in der IT-Branche und konnte so die Digitalisierung österreichischer Unternehmen hautnah miterleben. In den frühen 1990er Jahren gab es nur wenige vereinzelte Computersysteme in Unternehmen. Ich selbst war zu dieser Zeit IT-Leiter einer Reisebürokette. EDV, so hieß die Disziplin dazumal, umfasste hauptsächlich das Auftragsbearbeitungssystem; E-Mails gab es keine. Es wurden Briefe geschrieben und Faxe versendet. Flüge und Pauschalreisen wurden zwar vereinzelt schon über vernetzte Software gebucht, fiel diese aus, dann war der Griff zum Telefonhörer eine rasche und effektive Backup-Lösung. Die kritischen Geschäftsprozesse liefen also entweder gar nicht über die IT und wenn, dann konnte ein Ausfall durch manuelle Verfahren ausgeglichen werden.

Diese Zeiten sind in fast allen Unternehmen, ob KMU oder Konzern, längst vorbei. Die wertschöpfenden Geschäftsprozesse sind weitestgehend IT-abhängig. Ein manuelles Verfahren gibt es im Regelfall nicht mehr.

Zudem drehte sich die Geschäftswelt in den 1990er Jahren viel langsamer. Gerade die fehlende IT-Durchdringung und die vielen Medienbrüche durch manuelle Tätigkeiten wirken im Rückblick geradezu entschleunigend. Zu dieser Zeit machten sich KMUs keine Gedanken über „Business-Kontinuität”. In großen Unternehmen wurden zumindest regelmäßig Datensicherungen durchgeführt und jährlich wurde die Wiederherstellung von Daten und Systemen nach einem Notfall geübt. Die Sicherheitsmaßnahmen fanden hauptsächlich auf technischer Ebene statt. Die größten Bedrohungen in dieser Zeit waren defekte Festplatten und dadurch verursachter Datenverlust oder Naturereignisse wie Überschwemmungen im Serverraum. Diese Bedrohungen wurden von den meisten IT-Abteilungen identifiziert und die Risiken durch technische Maßnahmen mitigiert. Dass die Informationssicherheit in der alleinigen Verantwortung der IT-Abteilung liegt, hat niemand bezweifelt.

Das Millennium änderte meine Sicht zum Thema Informationssicherheit. Ende der 1990er Jahre gab es großes Aufsehen durch das Auftreten eines Computerfehlers: des sogenannten Millennium Bugs. Es handelte sich dabei um ein Problem verursacht durch alte Computersysteme, die nur zwei Stellen für die Jahreszahlvariable im Datumsfeld reserviert hatten. Die teilweise berechtigte Angst war, dass Software nach Vollzug der Jahrtausendwende falsch rechnen und dadurch ganze Systeme am 1. Januar 2000 lahmgelegt werden würden. Der Digitalisierungsgrad war in meinem damaligen Unternehmen bereits verhältnismäßig hoch. Jeder Mitarbeiter war mit einem Computer ausgestattet und die Geschäftsprozesse liefen ausschließlich über diese – zumindest in der notwendigen Effizienz. Die Bedrohung durch den Millennium Bug war für mich und meinen damaligen verantwortlichen Vorgesetzten offensichtlich. Daher wurde ein großes IT-Projekt zur Behebung des Problems durchgeführt. Dass nicht alle Bedrohungen so einfach zu identifizieren sind, zeigt meine nächste Erfahrung. Im Mai 2000 bekam ich an einem späten Nachmittag ein E-Mail von einer Mitarbeiterin bei Microsoft, mit der ich seit einiger Zeit in einem anderen Projekt zusammengearbeitet hatte. In der Betreffzeile stand „ILOVEYOU“. Aus einem Affekt heraus öffnete ich das E-Mail in Outlook per Doppelklick, um den Text zu lesen. Dies war mein erstes und hoffentlich letztes Mal, dass ich Opfer eines Cyberangriffes wurde.

Innerhalb von nur wenigen Minuten nach Aufruf des E-Mails läutete mehrfach mein Telefon. Einige Kollegen und auch mein Vorgesetzter fragten mich nach der Bedeutung des ominösen E-Mails mit dem Betreff „ILOVEYOU“, das sie eben von mir erhalten hatten. Gemeinsam mit vielen meiner Outlook-Kontakte wurde ich Opfer des Computerwurms „Loveletter”, entwickelt von einem jungen philippinischen Programmierer. Für mich war diese – wenn auch unangenehme – Erfahrung sehr wertvoll. Die gesamte darauffolgende Nacht arbeitete ich daran, all die unfreiwillig generierten E-Mails aus dem Mailserver zu entfernen, um zu verhindern, dass Kollegen, die an diesem späten Nachmittag nicht mehr im Büro waren, am nächsten Morgen in dieselbe Falle tappen würden. Der Schaden hielt sich in Grenzen. Der Computerwurm war, verglichen mit heutzutage kursierender Schadsoftware, absolut harmlos. Der Programmierer hatte keine kriminellen Absichten; er wollte lediglich Aufmerksamkeit erregen.

Seit 2017 erlebe ich immer wieder ähnliche Situationen wie im Fall „Loveletter“. Ich treffe immer mehr neue Opfer, die durch einen Cyberangriff einen Paradigmenwechsel vollzogen haben. Sie realisieren, dass auch ihr Unternehmen im Fokus der Cyberkriminellen steht.

Diese Cyberangriffe wurden von Hackern meistens mittels sogenannter Ransomware[3], ausgeführt. Dabei handelt es sich um Schadsoftware, mit deren Hilfe Daten und Systeme in „Geiselhaft“ genommen werden können. In der Praxis bedeutet dies, dass alle Daten, die diese Schadsoftware findet, verschlüsselt werden. Den Schlüssel zum Dechiffrieren geben Cyberkriminelle gegen Lösegeldzahlung preis. Warum erinnert mich Ransomware an „ILOVEYOU“? Das Thema Cybersecurity bekommt plötzlich eine hohe Aufmerksamkeit von Vorständen und Geschäftsführern. Dachten viele bis vor kurzem noch „Mein Unternehmen ist doch unwesentlich. Was soll ein Hacker von mir wollen?”, so wird im Falle der Ransomware klar: Cyberkriminelle wollen Geld!

Die erste große Welle an Ransomware wurde durch die Schadsoftware „WannaCry“ und deren Nachfolger ausgelöst. Diese Software funktionierte wiederum nach dem Prinzip von Postwurfsendungen: Sie verbreitete sich wahllos und massenhaft auf Windows-Systemen, und zwar sowohl auf Firmen- als auch auf Privatgeräten. Die benutzte Schwachstelle im Betriebssystem von Microsoft Windows[4] war dazumal schon bekannt. Die Lösegeldforderung, mit deren Begleichung das Opfer das Entschlüsselungspasswort erhält, betrug wenige hundert US-Dollar. Für Privatpersonen waren diese Forderungen keine Bagatelle mehr. Der drohende Verlust von Fotosammlungen oder anderer für das Opfer wertvolle Daten bewegte viele dennoch zu einer Zahlung.

In Unternehmen war der Schaden durch die verschlüsselten Systeme unerwartet hoch. So wurden bei Automobilherstellern ganze Produktionsanlagen lahmgelegt, Krankenhäusern wurde der Zugriff auf deren Röntgenarchive und Laborergebnisse verwehrt und Logistiker hatten keine Möglichkeit mehr, auf ihre Hochregallager zuzugreifen. Das Lösegeld wurde hier meist „gerne” bezahlt.

WannaCry war nur der Anfang. Ransomware und andere Schadsoftware werden heute ganz gezielt eingesetzt. Der Sourcecode wird angepasst, um Abwehrmechanismen zu umgehen bzw. ganz konkrete Systeme beim Opfer zu kompromittieren.

Cyberkriminelle entwickeln sich stetig weiter. Dies sollten besser die Verteidiger übernehmen, um durch die Erweiterung ihrer Fähigkeiten Cyberangreifern den entscheidenden Schritt voraus zu sein. Die in diesem Buch aufgezeigten zehn Strategien helfen Ihnen dabei.

3Im weiteren Verlauf dieses Buches werden die Autoren immer wieder auf diese verweisen.

4Kaspersky: Was ist WannaCry-Ransomware, https://www.kaspersky.de/resource-center/threats/ransomware-wannacry (abgerufen am 03.10.2020)

Vom Hacker zum Cyberkrieger

Philipp Mattes-Draxler

Information als Wert

Bevor die Strategien zur Abwehr von Hackerangriffen vorgestellt werden, ist es sinnvoll, einen Blick in die Vergangenheit zu werfen, um zu verstehen, wie es überhaupt dazu kam, dass wir uns vor Hackern schützen müssen.

Es ist schon bezeichnend, dass die als älteste bekannte Form der Verschlüsselung als „Cäsar-Chiffre“ bekannt ist.[5] Bereits Julius Cäsar verschlüsselte mit einfachen Mitteln Botschaften an seine Heerführer und Kommandanten, sodass nur ein berechtigter Empfänger über die Befehle und geplanten Aktionen am Gefechtsfeld Bescheid wusste. Es kann davon ausgegangen werden, dass er nicht der erste und im Lauf der Geschichte auch sicher nicht der letzte Herrscher und Befehlshaber war, der auf diese Weise dafür Sorge getragen hat, dass seine Geheimnisse auch geheim bleiben. Gerade das berühmte Beispiel der „Enigma“, einer Maschine zur Verschlüsselung des Nachrichtenverkehrs der Wehrmacht im zweiten Weltkrieg, zeigt, mit welchem Aufwand Informationsschutz und Kryptoanalyse betrieben wurde bzw. immer noch betrieben wird.

Informationsschutz im Sinne von Geheimnisschutz hat also bereits eine lange Geschichte und gewinnt heute insofern an Bedeutung, als die Informationsverarbeitung unsere wirtschaftlichen, politischen und sozialen Interaktionsprozesse immer mehr durchdringt. Als Beispiel sei hier die Diskussion rund um die Ende-zu-Ende-Verschlüsselung bzw. die Sicherheit von Messangerdiensten wie WhatsApp und ähnlichen angeführt.[6]

Bewegt man sich in der digitalen Welt, wird landläufig vom „Cyberraum“ gesprochen. Der Cyberraum umfasst dabei alle weltweit über das Internet hinweg erreichbaren Informationsstrukturen. Betrachtet man nun die Sicherheitsaspekte im Cyberraum, so spricht man von „Cybersecurity“. Dies schließt klassischerweise alle möglichen Arten und Ausprägungen von Informationssicherheit und IT-Sicherheit in der digitalen Welt mit ein, im Besonderen auch die Informationssicherheit von Organisationen und Unternehmen im geschäftlichen Umfeld.

Obwohl die Begriffe „Cybersecurity“ und „Informationssicherheit“ oft synonym verwendet werden und es sehr viele Schnittstellen gibt, besteht doch ein wichtiger Unterschied zwischen den beiden Konzepten. Informationssicherheit umfasst den Schutz von Daten unabhängig von der Art der Daten (auch analoge Daten), während sich Cybersecurity ausschließlich mit dem Schutz von Daten in digitaler Form beschäftigt. Im Rahmen dieses Buches werden sowohl Maßnahmen für die Cybersecurity als auch übergreifende Maßnahmen im Rahmen von Informationssicherheit dargestellt.

Cybercrime

Die starke Durchdringung des Cyberraums und die damit einhergehenden Gefahren und Bedrohungen haben längst auch unser Privatleben erreicht. Cyberkriminelle nutzen die stetig wachsenden technischen Möglichkeiten, um Informationen zu stehlen und sich finanziell zu bereichern.

+Geht Cybercrime uns alle an?

Während sich Cyberkriminelle im geschäftlichen Umfeld vornehmlich auf die Schädigung von Unternehmen fokussieren, werden im privaten Umfeld alle Individuen zu potenziellen Opfern. Ob es sich bei den Tätern aber immer um klassische Hacker handelt, wie sie aus den Medien bekannt sind, kann gerne am Ende der ersten Strategie selbst beurteilt werden (siehe Kapitel 1).

Eine allgemein gültige Definition des weit gefassten Begriffs „Cybercrime“ gibt es nicht.[7] In der Regel werden darunter alle Straftaten, die unter Ausnutzung des Internets bzw. von Informations- und Kommunikationstechnik (IKT) begangen werden, verstanden. Die österreichischen Sicherheitsbehörden unterscheiden darüber hinaus zwischen Cybercrime im engeren Sinn und Cybercrime im weiteren Sinn.

Cybercrime im engeren Sinn meint jene Straftaten, bei denen Angriffe auf Daten oder Computersysteme unter Ausnutzung von verschiedenen Techniken begangen werden (z. B. Datenbeschädigung, Hacking oder Angriffe auf die Verfügbarkeit von Daten).

Im weiteren Sinn werden unter Cybercrime aber auch Straftaten verstanden, bei denen die Informations- und Kommunikationstechnik zur Planung, Vorbereitung und Ausführung von herkömmlichen Kriminaldelikten eingesetzt wird (z. B. Betrugsdelikte, Kinderpornografie, Cybergrooming[8] oder Cybermobbing).