Hackerangriffe sind weniger rentabel als oft angenommen
Das geht aus einer von Palo Alto Networks beauftragten Studie hervor, für die Angehörige der Hacker-Community befragt wurden. Der Jahresgewinn beträgt im Schnitt weniger als 30.000 Dollar. Die meisten Hacker geben zudem schnell auf, wenn sie nicht an hochwertige Daten gelangen.
Das Ponemon-Institut hat im Auftrag des Sicherheitsanbieters Palo Alto Networks eine Studie zur Wirtschaftlichkeit von Hackerangriffen durchgeführt. Für die Untersuchung mit dem Titel Flipping the Economics of Attacks (PDF) wurden 304 Teilnehmer in Deutschland, Großbritannien und den USA befragt. 79 Prozent davon bezeichneten sich als Teil einer kriminellen Hacker-Community, denen von den Studienautoren Anonymität zugesichert wurde.
Zu den wichtigsten Ergebnissen der Umfrage zählt, dass Kriminelle meist spontan agieren und sich zuerst die einfachsten Ziele aussuchen. So gaben 72 Prozent der Befragten an, dass sie keine Zeit für einen Angriff verschwenden, wenn sie merken, dass sie nicht schnell an hochwertige Daten gelangen, aus denen sie dann einen profitablen Nutzen ziehen. Weitere 73 Prozent der Umfrageteilnehmer haben es zudem auf möglichst einfach zu knackende Ziele abgesehen.
Dazu passt auch, dass mehr als die Hälfte der befragten Hacker (60 Prozent) von ihrem illegalen Vorhaben ablassen, wenn sie feststellen, dass sie länger als 40 Stunden benötigen, um eine erfolgreiche Attacke, etwa auf ein Unternehmensnetzwerk, auszuführen. Die Studienverantwortlichen messen die Zeit dabei ab der erstmaligen Auslieferung einer Schadsoftware, etwa per Phishing-Mail, in einem Firmennetz. Selbst technisch versierte Kriminelle würden einen langwierigen Angriff beenden und sich einem anderen Ziel zuwenden, wenn sie im Schnitt über eine Woche (209 Stunden) ohne Erfolg in ihn investiert hätten.
Damit einher geht, dass eine IT-Sicherheitsinfrastruktur auf hohem Niveau die erforderliche Zeit für das Planen und Ausführen eines Angriffs auf ein Unternehmen laut der Studie verlängert. So dauere es für einen technisch geschickten Hacker im Vergleich zu einer IT-Infrastruktur mit nur durchschnittlichem Sicherheitsniveau mehr als doppelt so lang ein “sehr gut” abgesichertes Firmennetzwerk zu infiltrieren. Während er für Ersteres mehr als 147 Stunden benötigt, kostet ihn Letzteres lediglich 70 Stunden seiner Zeit. Das geht zudem damit konform, dass 72 Prozent der Befragten glauben, die Angreifer würden ihre Anstrengungen beenden, wenn ein Unternehmen starke Abwehrmaßnahmen ergreift.
Hackerangriffe längst nicht so rentabel wie gedacht
Die Untersuchung räumt zudem mit einem weit verbreiteten Mythos auf, laut dem sich mit Cyberangriffen schnell und unkompliziert das ganz große Geld verdienen lässt. Der Umfrage zufolge nimmt der durchschnittliche kriminelle Hacker mit seinen illegalen Aktivitäten nämlich weniger als 30.000 Dollar im Jahr ein. Dies entspreche lediglich knapp einem Viertel des durchschnittlichen Jahresgehalts eines legal beschäftigten IT-Fachmanns mit vergleichbaren Fähigkeiten.
Dennoch ist ein Hackerangriff laut den Studienautoren insofern immer noch rentabel, als die IT-Kosten – etwa für die Rechenleistung – generell gesunken sind, und somit auch die finanziellen Aufwendungen, die erforderlich sind, um in das Netzwerk eines Unternehmens einzudringen.
Palo Alto Networks nennt als Beispiel den Einsatz automatisierter Malware-Bausätze: “Diese Toolkits sind zum einen einfach handzuhaben, da Kriminelle nicht mehr wochenlang selbst schadhafte Skripte zusammenschustern müssen. Hinzu kommt, dass sie Bausätze wie das Angler-Exploit-Toolkit heutzutage einfach auf dem Schwarzmarkt kaufen können – und zwar bei Dienstleistern mit Service-Level. Das alles senkt natürlich die Kosten”, erläutert Thorsten Henning, Senior Systems Engineering Manager bei Palo Alto Networks, auf einer Presseveranstaltung zur Präsentation der Ponemon-Studie in München.
Solche automatisierten Malware-Toolkits seien überdies höchst effektiv, da sie es sogar erlaubten, Security-Software bestimmter Anbieter mit speziellen Parametern auszuwählen, welche nötig sind, um nicht von der so spezifizierten Sicherheitslösung erkannt zu werden. “Die Kosten, die Motivationen und den Profit zu kennen, das wird entscheidend sein, um die Zahl der Vorfälle zu verringern. Nur so können wir das Vertrauen in unser digitales Zeitalter wiederherstellen”, ergänzt Davis Hake, Leiter Cybersicherheitsstrategie bei Palo Alto Networks, in einer Pressemitteilung.
Sicherheitsrelevante Handreichungen für Firmen
Zusätzlich gibt die Studie Firmen auch einige aus ihren Ergebnissen resultierende Empfehlungen an die Hand. So sollten sich Unternehmen zu einem “harten Ziel” machen und den Schwerpunkt ihrer Sicherheitsstrategie auf Prävention statt auf Reaktion und Erkennung von Cyberattacken legen. Auf diese Weise würden Angreifer ausgebremst und dazu veranlasst, sich ein leichteres Ziel zu suchen.
Ferner wird Firmen nahegelegt, in Sicherheitsfunktionalitäten der nächsten Generation zu investieren, da eine Ansammlung an herkömmlichen, nicht Hand in Hand arbeitenden Security-Lösungen keine große Abschreckung mehr darstellte. Diese verließen sich allein auf die Erkennung von Signaturen oder auf statische Abwehrmaßnahmen. Sicherheitsfunktionen der “nächsten Generation” würden hingegen Präventionsmaßnahmen einleiten und diese automatisieren.
Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de