Mikko Hypponen: Drei Arten von Online-Angriffen

Mikko Hypponen, Experte in Cyberkriminalität, erklärt uns drei Arten von Online-Angriffen auf unsere Privatsphäre und unsere Daten. Nur zwei davon werden als Verbrechen angesehen. "Vertrauen wir blind jeder zukünftigen Regierung? Denn alle Rechte, die wir abgeben, geben wir endgültig ab."

In den 80er Jahren,

im kommunistischen Ostdeutschland,

musste man, wenn man eine Schreibmaschine besaß,

diese bei der Regierung registrieren.

Sie mussten auch

ein Blatt mit Beispieltext

aus dieser Schreibmaschine registrieren.

Der Grund dafür:

die Regierung konnte zurückverfolgen, wo ein Text herkam.

Fanden sie einen Artikel

mit falschem Gedankengut,

konnten sie den Urheber

dieser Gedanken aufspüren.

Und wir im Westen konnten nicht verstehen,

wie irgendjemand so etwas tun könnte,

und wie sehr das die Redefreiheit einschränken würde.

In unseren eigenen Ländern

würden wir so etwas nie tun.

Aber wenn Sie heute im Jahr 2011

einen neuen Farblaserdrucker

von den führenden Laserdruckerfabrikanten kaufen

und eine Seite ausdrucken,

dann hat diese Seite

helle gelbe Flecke

auf jeder Seite aufgedruckt,

in einem Muster, das die Seite eindeutig

auf Sie und Ihren Drucker rückverfolgen lässt.

Das passiert

uns heute.

Und darüber scheint sich niemand aufzuregen.

Und das war ein Beispiel,

auf welche Weise

unsere eigenen Regierungen

die Technologie

gegen uns, die Bürger, einsetzen.

Und das ist eine der drei Hauptquellen

von den heute existierenden Online-Problemen.

Schauen wir uns einmal an, was wirklich auf der Welt passiert:

Wir können die Angriffe in Kategorien aufteilen.

Wir haben drei Hauptgruppen.

Es gibt Online-Kriminelle.

Zum Beispiel hier, das ist Herr Dimitry Golubow

aus Kiew in der Ukraine.

Und die Motive von Online-Kriminellen

sind sehr leicht zu verstehen.

Diese Leute verdienen Geld.

Sie verwenden Online-Angriffe,

um viel Geld zu verdienen,

einen riesigen Haufen Geld.

Es gibt mehrere bekannte Fälle

von Online-Millionären, Multimillionären,

die ihr Geld durch Angriffe verdient haben.

Das hier ist Wladimir Tsastsin aus Tartu in Estland.

Das ist Alfred Gonzalez.

Stephen Watt.

Björn Sundin.

Das sind Matthew Anderson, Tariq Al-Daour

und so weiter und so fort.

Diese Leute

sind online zu Reichtum gekommen,

aber sie haben es illegal erworben,

indem sie z.B. Trojaner eingesetzt haben,

um Geld aus unseren Bankkonten zu klauen,

während wir unser Online-Banking erledigen,

oder auch Keylogger, die unsere Kredikarteninformationen

bei der Eingabe über die Tastatur gesammelt haben,

während wir über einen infizierten Computer online einkaufen.

Der US-amerikanische Geheimdienst

fror vor zwei Monaten

das Schweizer Konto

von Herrn Sam Jain hier ein,

und auf diesem Konto waren 14,9 Millionen US-Dollar,

als es eingefroren wurde.

Herr Jain selbst ist auf freiem Fuß,

der Aufenthaltsort ist unbekannt.

Und ich behaupte, dass es heute

wahrscheinlicher ist, dass wir

Opfer eines Online-Verbrechens werden,

als eines Verbrechens in der realen Welt.

Und es ist sehr offensichtlich,

dass dies nur noch schlimmer werden wird.

In der Zukunft werden sich die meisten Verbrechen

online abspielen.

Die zweitgrößte Angreifergruppe,

die wir heute beobachten können,

sind nicht durch Geld motiviert.

Sie sind durch etwas anderes motiviert -

Proteste etwa,

eine Meinung,

oder durch ihr Publikum.

Gruppen wie Anonymous

sind über die letzten 12 Monate aufgestiegen

und sind zu einem der Hauptspieler

auf dem Feld der Online-Angriffe geworden.

Das sind also die drei Hauptangriffsgruppen:

Kriminelle, die es des Geldes wegen tun,

Hacktivisten wie Anonymous,

die damit Widerstand leisten,

aber die letzte Gruppe sind Nationen,

Regierungen, die die Angriffe leiten.

Da liegen uns Fälle vor,

wie der von DigiNotar.

Es zeigt beispielhaft, was passiert,

wenn Regierungen

ihre eigenen Bürger angreifen.

DigiNotar ist ein Vollmachtszertifikat

aus den Niederlanden –

bzw. war es das.

Im letzten Herbst

musste es Insolvenz anmelden,

denn DigiNotar war gehackt worden.

Jemand war eingebrochen

und hatte das System gründlich gehackt.

Und letzte Woche in einem Treffen

mit niederländischen Regierungsvertretern stellte ich

einem der Leitenden dieser Gruppe die Frage,

ob er es für möglich hielte,

dass aufgrund des DigiNotar-Hacks

Leute gestorben waren.

Und seine Antwort war "Ja".

Nun, wie sterben Leute

in Folge eines solchen Hacks?

DigiNotar ist eine Zertifizierungsstelle.

Sie verkaufen Zertifikate.

Was macht man mit Zertifikaten?

Nun, ein Zertifikat benötigt man,

wenn man eine Webseite mit HTTPS,

mit SSL-verschlüsselten Diensten hat,

zum Beispiel Gmail.

Nun verwenden wir alle, oder viele von uns,

Gmail oder einen ihrer Konkurrenten.

Doch diese Dienste sind besonders verbreitet

in totalitären Staaten

wie dem Iran,

wo Dissidenten

ausländische Anbieter wie Gmail verwenden,

da sie wissen, dass sie denen mehr vertrauen können als lokalen Anbietern

und dass sie über SSL-Verbindungen verschlüsselt sind,

so dass die lokale Regierung

nicht in ihren Gesprächen herumschnüffeln kann.

Können sie aber doch, wenn sie sich in eine ausländische

Zertifizierungsbehörde hacken und gefälschte Zertifikate ausstellen.

Und genau das ist im Falle von

DigiNotar passiert.

Wie verhält es sich mit dem arabischen Frühling

und den Dingen, die zum Beispiel in Ägypten passiert sind?

Nun, in Ägypten

plünderten die Aufständischen im April 2011

das Hauptquartier

der ägyptischen Geheimpolizei.

Und dabei fanden sie eine Menge Akten.

In diesen Akten befand sich

ein Ordner namens "FINFISHER".

Und in diesem Ordner befanden sich Notizen

einer in Deutschland ansässigen Firma,

die der ägyptischen Regierung

ein paar Programme verkauft hatten,

mit denen sie –

in sehr großem Rahmen –

jegliche Kommunikation der ägyptischen Bürger abfangen konnten.

Sie hatten dieses Programm

für 280.000 Euro an die ägyptische Regierung verkauft.

Das Firmenhauptquartier ist genau hier.

Also versorgen westliche Regierungen

totalitäre Regierungen mit Hilfsmitteln,

damit die gegen ihre eigenen Bürger vorgehen können.

Aber westliche Regierungen helfen sich auch selbst.

Zum Beispiel in Deutschland

nur vor ein paar Wochen

der sogenannte Staatstrojaner gefunden.

Das war ein Trojaner,

der von deutschen Regierungsvertretern verwendet wurde,

um ihre eigenen Bürger zu bespitzeln.

Wenn Sie in einem Kriminalfall verdächtigt werden,

dann wird mit ziemlicher Sicherheit Ihr Telefon angezapft.

Aber heute sind wir weit jenseits dessen.

Sie zapfen Ihre Internetverbindung an.

Sie verwenden Mittel wie den Staatstrojaner,

um Ihren Computer mit einem Trojaner zu bespielen,

der es ihnen erlaubt,

Ihre gesamte Kommunikation zu überwachen,

Ihre Online-Diskussionen abzuhören,

Ihre Passwörter zu sammeln.

Wenn wir also weiter

über solche Dinge nachdenken,

dann wäre die offensichtliche Antwort der Leute:

"Ok, das klingt schlecht,

aber es betrifft mich ja nicht, weil ich ein braver Bürger bin.

Ich muss mir keine Sorgen machen!

Ich habe nichts zu verstecken."

Und diese Argumentation

ergibt keinen Sinn.

Privatsphäre muss gegeben sein.

Privatsphäre steht nicht zur Debatte.

Es ist keine Entscheidung

zwischen Privatsphäre

und Sicherheit.

Es ist eine Entscheidung zwischen Freiheit

und Kontrolle.

Und während wir heute, im Jahr 2011,

unseren Regierungen vertrauen mögen,

ist doch jedes Recht, das wir abgeben, für immer abgegeben.

Und vertrauen wir, vertrauen wir blind

einer jeden zukünftigen Regierung,

einer Regierung, die wir vielleicht

in fünfzig Jahren haben werden?

Das sind die Fragen,

mit denen wir uns die nächsten 50 Jahre beschäftigen müssen.