Wie "funktionieren" Innentäter? Wir erzählen die Geschichten von sieben Angestellten, die die Systeme ihres eigenen Unternehmens kompromittiert haben. [...]
Sie können so viele Mauern bauen wie Sie wollen und alle Ressourcen aufwenden, die Ihnen zur Verfügung stehen: Wenn Ihr Feind im Inneren des Gemäuers lauert, blüht Ihnen nichts Gutes. Die Chancen, dass Ihr Unternehmen es eines Tages mit einem Innentäter zu tun bekommt, stehen übrigens ziemlich gut: Laut McAfee liegt der Anteil der Insider an der Gesamtheit aller Sicherheitsvorfälle bei 43 Prozent. Das Information Security Forum beziffert den Innentäter-Anteil seinerseits auf 54 Prozent. Und laut einer Studie des Sicherheitsanbieters Balabit gehen 69 Prozent der befragten IT-Entscheider davon aus, dass Innentäter die größte Bedrohung für ihre Netzwerke darstellen.
Ihre Systeme gegen einen „Insider Threat“ abzusichern, ist jedoch eine völlig andere Sache, als es gegen externe Gefahren zu wappnen. Denn die Bedrohungen sind äußerst schwierig zu definieren und zu identifizieren. Und mit besserem Soft- und Hardware Equipment lässt sich diesen ebenfalls nicht Herr werden. Gegen Mitarbeiter die zu Hackern mutieren und/oder den Datenklau anstreben helfen nur: Wissen, Strategien und interne Protokolle.
Der erste Schritt zur Härtung gegen Hackerangriffe von Innen besteht folglich darin, Ihren Feind kennen und verstehen zu lernen. Deshalb haben wir an dieser Stelle sieben ungeheuerliche Beispiele für Innentäterschaft zusammengetragen.
Autonomer Wandertag
Die Geschichte von Anthony Levandowski könnte signifikanten Einfluss auf die Wahrnehmung und Entwicklung autonomer Mobilität nehmen. Sie handelt mutmaßlich von einem der größten, bislang bekannt gewordenen Fälle von Datenklau durch einen Innentäter.
Levandowski arbeitet zunächst für Google an autonomen Autos – die Abteilung wird später zu Waymo. Dort ist er wesentlich an der Entwicklung eines Lidar-Systems beteiligt, damals eine essenzielle Errungenschaft für den gesamten Mobilitätssektor. Im Mai 2016 verlässt Levandowski Waymo, um mit Otto Motors sein eigenes Unternehmen zu gründen. Selbiges Unternehmen wird dann – überraschend kurzfristig – im Juli 2016 von Uber akquiriert.
In dieser Übernahme liegt dann auch der Knackpunkt der Geschichte: Es dauert nicht lange, bis Anschuldigungen die Runde machen, dass der damalige Uber-CEO, Travis Kalanick, sich hinter den Kulissen mit Levandowski zusammengetan hat, um an das geistige Eigentum von Waymo zu kommen und so sein eigenes Programm für autonomes Fahren auf die Straße zu bringen. Levandowski soll vor seinem Abgang bei Google tausende von Dokumenten und Dateien heruntergeladen und sie zu Otto Motors „mitgenommen“ haben – mit dem Ziel sie an Uber zu veräußern. Google zieht daraufhin vor Gericht, Levandowski wird wenig später von Uber entlassen, weil seine Kooperationsbereitschaft bei der internen Untersuchung der Ereignisse scheinbar zu wünschen übrig lässt.
Im Februar 2018 einigen sich Waymo und Uber im Rahmen eines außergerichtlichen Vergleichs. Der jetzige Uber-CEO Dara Khosrowshahi entschuldigt sich öffentlich und verspricht, „der Integrität bei jeder zukünftigen Geschäftsentscheidung von Uber Priorität einzuräumen“. Darüber hinaus erhält Waymo Aktienanteile im (geschätzten) Wert von 245 Millionen Dollar.
Business as usual
Dass es durchaus sinnvoll sein kann, beim Abgang eines Mitarbeiters Maßnahmen gegen Datenklau zu treffen, zeigt der Fall von Jason Needham. Der ist bis zum Jahr 2013 beim Ingenieurs- und Architekturbüro Allen & Hoshall in Memphis, Tennessee, USA angestellt. Dann beschließt er, seine eigene Firma zu gründen.
Das Problem dabei ist nur, dass Needham über den Zeitraum von zwei Jahren – unbemerkt (!) – weiterhin auf die Server seines ehemaligen Arbeitgebers zugreift. Dabei lädt er Entwürfe und Designstudien (geschätzter Wert: circa 425.000 Dollar) herunter und verschafft sich Zugang zum E-Mail-Konto eines Ex-Kollegen. Vor Gericht behauptet Needham später, er habe nur „aus Gewohnheit“ und „Besorgnis“ auf seine alten Projekte zugreifen wollen. Der Fakt, dass Needham zuvor einem potenziellen Kunden ein Angebot unterbreitet hat, das enorme Ähnlichkeiten zu einem von Allen & Hoshall aufweist, lässt die Aussage des Innentäters eher ungläubig wirken.
Mit Hilfe des FBI gelingt es Allen & Hoshall, die Innentäterschaft vor Gericht zu beweisen. Seine Lizenz ist Jason Needham inzwischen los, seine Freiheit auch: 18 Monate Gefängnis lautete das Urteil.
Hilfe zur Selbsthilfe
Wieviel Schaden ein als vertrauenswürdig eingestufter Mitarbeiter anrichten kann, wenn er zum Innentäter wird, zeigt die Geschichte von Jiaqiang Xu. Der Chinese ist 2015 eine von wenigen, ausgewählten Personen, die bei IBM den Quellcode für ein Cluster-Dateisystem entwickelt. Die proprietäre Software ist für „Big Blue“ so wertvoll, dass sie mit eigens entwickelten Schutzmaßnahmen gesichert wird.
Nachdem Xu sich das Vertrauen des Unternehmens erschlichen hat, fertigt er eine Kopie der IBM Software an, kündigt und bietet die Raubkopie zum Verkauf an. Um sein Heimatland zu unterstützen. Und sich selbst natürlich. Dummerweise offeriert Xu „seine“ Software unwissentlich verdeckten FBI-Ermittlern. Denen bietet er an, den Quellcode so anzupassen, dass dessen ursprüngliche Quelle nicht zurückverfolgt werden kann. Kurz nach diesem Business Meeting wird der Übeltäter verhaftet.
Im Januar 2018 wurde Jiaqiang Xu wegen Diebstahl geistigen Eigentums und Industriespionage zu fünf Jahren Haft verurteilt.
„Das können wir jetzt auch“
Als Dejan Karabasevic seinen Job beim Energieunternehmen AMSC aufgibt und zum chinesischen Windturbinenhersteller Sinovel wechselt, ist das alles andere als ein normaler Vorgang. Denn als ehemaliger Chef der Abteilung, die bei AMSC für Windturbinen zuständig ist, hat er Zugang zu proprietärer Technologie, die wesentlich zu deren Effizienz beiträgt. Karabasevic wird daraufhin von Sinovel (bis zu diesem Zeitpunkt übrigens einer der größten Kunden von AMSC) mit dem Ziel abgeworben, diese Software „mitzubringen“.
Das tut dieser dann auch, lädt die Software vor seinem Abgang auf einen externen Rechner – und wird so zum Werkzeug eines beauftragten Datendiebstahls. Nachdem Sinovel dann in Besitz des Quellcodes ist, rüstet das Unternehmen seine Windturbinen selbst mit der Technologie aus – und spart sich so circa 800 Millionen Dollar. Die Vorgänge fliegen erst auf, als ein weiterer Zulieferer, den Sinovel mit der Nachrüstung beauftragen will, misstrauisch wird.
Der Schaden für AMSC ist beträchtlich: Rund eine Milliarde Dollar Börsenwert lösen sich in nichts auf, knapp 700 Jobs gehen verloren (die Hälfte der weltweiten Belegschaft), wie beim resultierenden Gerichtsverfahren klar wird. In diesem Fall hätte ein einziger Innentäter durch den Diebstahl von geistigem Eigentum beinahe ein gesamtes Unternehmen zu Fall gebracht.
Schmieriges Spiel
David Kent baut ein Social Network für Experten aus der Ölindustrie namens Rigzone auf. Im Jahr 2010 verkauft er das Netzwerk an die DHI Group (damals noch Dice Holdings) – für 51 Millionen Dollar. Teil des Deals ist damals auch eine Wettbewerbsverbotsklausel. Diese Klausel respektiert Kent auch vorbildlich. Nachdem sie ausgelaufen ist, baut er eine ganz ähnliche Plattform namens Oilpro auf – in der Hoffnung, ein weiteres Akquisitionsziel für DHI zu schaffen. Ein paar Jahre später ist die Mitgliederzahl von Oilpro auf über 500.000 angewachsen und DHI bietet erneut für die Plattform – diesmal rund 20 Millionen Dollar.
Allerdings ist Kent nicht das Social-Networking-Genie, das er vorgibt zu sein, sondern ein krimineller Hacker. Mit der Hilfe eines ehemaligen Kollegen (jetzt Mitarbeiter bei Rigzone) kompromittiert er die Seite, die er vorher veräußert hat und stiehlt 700.000 Kundendatensätze.
Das fliegt nur durch Zufall auf, als sich ein Rigzone-Kunde über Spam-Mails von Oilpro beschwert, obwohl er mit letzterer Plattform nie zuvor etwas zu schaffen hatte. Bei Rigzone setzte man daraufhin einige Fake Accounts auf, um den Schuldigen in die Falle zu locken. Das Ende vom Lied: FBI-Ermittlungen, Gerichtsverfahren, drei Jahre Haft für David Kent.
Die Wutprobe
Wie gefährlich verärgerte Mitarbeiter für ein Unternehmen werden können, zeigt die Story um Christopher Grupe. Der ist bis zum Dezember 2015 System Administrator bei der Canadian Pacific Railway (CPR). In erster Linie zeichnet er sich dabei aber durch seinen Nicht-Teamgeist aus, weswegen er zuerst suspendiert und im Anschluss gefeuert wird. Irgendwie schafft es Grupe aber dennoch, seinen Boss davon zu überzeugen, dass er selbst kündigen darf. Bevor er seinen Arbeitsrechner zurückgibt, nutzt er ihn aber noch, um sich Zugang zum Unternehmensnetz zu verschaffen, löscht dort verschiedene Dateien von essenzieller Bedeutung, entfernt Administratorrechte und ändert Passwörter. Anschließend löscht er die Festplatte seines Computers, um seine Spuren zu verwischen.
Das Netzwerk bricht in der Folge zusammen – das IT Team hat keinerlei Zugriff mehr auf die Systeme und muss tatenlos zusehen. Nachdem es über Umwege schließlich gelingt, die Systeme zur Räson zu bringen, heuert CPR einen externen Dienstleister für die Untersuchung der Vorfälle an. Logdateien entlarven schließlich den Innentäter, der in der Konsequenz für ein Jahr hinter schwedische Gardinen wandert.
Viele Wege führen zum Datenklau
Manchmal kommt es vor, dass der Innentäter nicht wirklich „inside“ ist und auch nicht wirklich für den „breach“ verantwortlich zu machen ist. Das lässt sich hervorragend am berüchtigten Target-Datenklau aus dem Jahr 2014 veranschaulichen, bei dem die Anschriften, Telefonnummern, E-Mail-Adressen und Kreditkartendaten von circa 70 Millionen Menschen gestohlen werden.
Kriminelle Hacker haben es zuvor geschafft, die Point-of-sale-Gerätschaften von Target-Filialen mit Software auszustatten, die die eingegebenen Daten aufzeichnet. Um an die Daten ranzukommen, brauchen die Cybergangster nur noch eines: Zugang zum Unternehmensnetz. Und den holen sie sich, indem sie ein schwächeres System angreifen.
Bei diesem System handelt es sich um das eines Zulieferers von Target: Fazio Mechanical. Ein Mitarbeiter des Zulieferers fällt auf eine Phishing-Mail herein, Sekunden später befindet sich eine Malware namens Citadel im Netzwerk. Die späht die Login-Daten aus, die nötig sind um Zugang zum Netz von Target zu erhalten. Der Rest ist Geschichte.
Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.
*Christina Wood schreibt als freiberufliche Autorin unter anderem für unsere US-Schwesterpublikationen CIO.com, InfoWorld.com und CSO Online.
**Florian Maier beschäftigt sich mit vielen Themen rund um Technologie und Management. Daneben betätigt er sich auch in sozialen Netzen.
Be the first to comment