»Wir brauchen mehr Austausch«

Mandiant unterstützt Firmen auf der ganzen Welt dabei, sich gegen Cyberattacken zu schützen. Wie lautet Ihr wichtigster Rat an Unternehmen?

Ransomware ist momentan das dringendste Problem. Etwas, auf das man sich vorbereiten muss. Als Unternehmen sollten Sie mit Ihren Entscheidern Trainings durchführen und proben, wie Sie im Falle einer Ransomware‑Attacke vorgehen. Sonst kann Sie ein tatsächlicher Angriff eiskalt erwischen. Unternehmen sollten zudem prüfen, wie gut sie ihre Netzwerke segmentiert haben. Die Kronjuwelen …

... sensible Daten und Informationen ...

... sollten isoliert werden von den Netzwerken, in denen die tägliche Arbeit erledigt wird. Und schließlich sollten Sie als Unternehmen in der Lage sein zu erkennen, wenn ein Einbruch in Ihr IT-System stattfindet. Wenn das nicht der Fall ist, sorgen Sie dafür, dass diese Kompetenz in Ihrem Unternehmen vorhanden ist. Denn die meisten Angreifer:innen werden erst nach einiger Zeit aktiv, je nachdem, welche Ziele sie verfolgen. Wenn sie Ransomware einschleusen wollen, agieren sie so schnell wie möglich, aber auch das kann immer noch mehrere Stunden oder Tage dauern. Wenn die Angreifer:innen darauf aus sind, Informationen zu erhalten und Spionage zu betreiben – sie etwa im Auftrag von Regierungen agieren –, bleiben sie jahrelang im Netzwerk und beobachten und sammeln Daten.

Wie genau unterstützt Mandiant Unternehmen gegen Cyberattacken?

Wir arbeiten in zwei großen Bereichen: Incident Response und Threat Intelligence. Wenn ein Unternehmen von einem Sicherheitsvorfall betroffen ist, kann es sich an uns wenden. Dann unterstützen wir es dabei, die Angreifer:innen im Netzwerk aufzuspüren und die Lage zu entschärfen, und wir machen Vorschläge, wie das Netzwerk neu aufgesetzt und die Situation geklärt werden kann. Unsere andere Kernkompetenz ist proaktiver: Wir suchen im Internet ständig nach verdächtigen Aktivitäten von Angreifer:innen. Wir beobachten das Deep- und das Darknet, wo sich Hacker:innen austauschen. Wenn diese beispielsweise Daten anbieten, die sie erbeutet haben, warnen wir die betroffenen Unternehmen, dass sie ein Sicherheitsproblem haben – manchmal sogar, bevor sie das Problem überhaupt bemerken.

Wie gelangen Sie in diese Darknet-Foren?

Wir sind dort notwendigerweise unter falscher Identität unterwegs und lesen mit, wenn Hacker:innen sich austauschen.

2022 hat Google Cloud Mandiant übernommen. Was bringt Mandiant mit zu Google und den Kunden von Google Cloud?

Wir sind immer noch ziemlich neu bei Google, aber wir sind schon dabei, mithilfe unserer Erkenntnisse Einzelpersonen über Bedrohungen zu informieren, Googles eigene Cyberabwehr zu stärken und die Sicherheitsprodukte für Google Cloud und seine Kunden zu erweitern. Mit unserem Wissen können wir einen wichtigen Beitrag leisten, denn wir kennen Bedrohungen aus der ganzen Welt, nicht nur aus der Google‑Umgebung.

Inwieweit verändert die gegenwärtige politische Lage die Cybersicherheit?

Der Angriffskrieg Russlands gegen die Ukraine etwa hat die Cyberabwehr anfangs in erhöhte Alarmbereitschaft versetzt. Es besteht die Gefahr russischer Cyberaggression über das ukrainische Kampfgebiet hinaus. So gab es bereits einige Angriffe auf die Internetseiten von US-Flughäfen, die von Hacktivist:innen mit Verbindungen zur russischen Regierung verübt wurden. Aber die Auswirkungen in diesen und anderen Fällen waren bis heute minimal. Hacker:innen versuchen auch, falsche Informationen zu streuen; russische Hacktivist:innen konzentrieren sich darauf, einen Keil zwischen die Ukraine und ihre Verbündeten zu treiben.

Wie steht es um die »Big Four« im Cyberraum, Russland, Iran, China und Nordkorea? Was können wir in Zukunft von ihnen erwarten?

Alle vier sind relevant und zurzeit sehr aktiv. Russland ist dieser Tage ziemlich selbsterklärend mit seinem Vorgehen in der Ukraine. Nordkorea nutzt Kryptowährungsbörsen und Infrastrukturen für Kryptomining aus, um die Aktivitäten der Regierung zu finanzieren. Iran ist allgemein sehr agil, wir beobachten hier eine ständige Aktivität und haben mit dem Iran verbundene Akteure entdeckt, die Länder wie Albanien im Visier haben. Und wir sehen, dass China wieder viel Spionage und Diebstahl von geistigem Eigentum betreibt.

Wie schätzen Sie die gegenwärtige Situation im Bereich Cybersicherheit in Deutschland ein?

Wie viele Länder erfährt Deutschland gerade eine zunehmende Anzahl von Ransomware-Angriffen. Auf den Seiten, auf denen gestohlene Daten getauscht werden, zählen wir regelmäßig die Betroffenen nach Ländern. In Deutschland hat sich ihre Zahl seit 2020 verdoppelt. Die Länder, die im Bereich Cybersecurity äußerst erfolgreich sind, haben sehr enge Verbindungen zum privaten Sektor – national und international. Weil Cybersicherheit ein »Mannschaftssport« ist, kann man sie nicht alleine bewerkstelligen. Deutschland ist auf dem Weg dahin.