Einfacher Postbote oder Reinigungskraft? So schleichen sich Hacker in Ihr Büro

Bei einem Cyberangriff stellen sich die meisten von uns einen klassischen Hacker vor - einen Mann in einem Kapuzenpulli, der über seinen Computer gebeugt aus der Ferne auf das Netzwerk eines Unternehmens zugreift.

Aber das ist nicht immer der Fall.

Trotz der Sicherheitsschalter in den Büros ist es leicht, sich zu tarnen und einfach hineinzugehen, so ein Cybersicherheitstrainer gegenüber Euronews.

"Viele Leute denken, wenn sie ein gut sichtbares Oberteil sehen: 'Oh, diese Person ist ein Ingenieur' oder so etwas in der Art, und lassen sie dann einfach durchgehen."

Tarnung als Ablenkung

Wir sind uns zwar alle der Cyberangriffe und der zunehmenden Bedrohung, die sie für Unternehmen darstellen, bewusst - insbesondere angesichts der jüngsten Angriffe auf Pandora, Chanel, Adidas und Victoria's Secret -, aber die meisten von uns unterschätzen die physischen Möglichkeiten, wie unsere Verteidigungsmaßnahmen durchbrochen werden können, erheblich.

Laut den neuesten Daten von Gartner, Inc. werden die weltweiten Ausgaben für Cybersicherheit im Jahr 2025 voraussichtlich 213 Mrd. US-Dollar (183 Mrd. Euro) erreichen, gegenüber 193 Mrd. US-Dollar (166 Mrd. Euro) im Jahr 2024. Dennoch sind laut dem Cisco-Bereitschaftsindex 2025 für Cybersicherheit nur 4 % der Unternehmen weltweit vollständig auf moderne Cyberbedrohungen vorbereitet.

Nach Ansicht der Sicherheitsexperten von Sentinel Intelligence ist die physische Sicherheit ein kritischer blinder Fleck in unserer Verteidigung, und die Folgen einer Vernachlässigung dieses Angriffsvektors können katastrophal sein.

Die physische Frontlinie der digitalen Sicherheit

Laut einem kürzlich geführten Interview mit dem Softwareunternehmen Splunk wird die gesamte Cyberbedrohung in Europa im Jahr 2025 schätzungsweise 10 Billionen Euro kosten, und sie wird weiter zunehmen.

Was physische Cyberangriffe angeht, so ist die Bedrohung real und gefährlich, wie der World Security Report 2023 zeigt. Die Untersuchung ergab, dass große globale Unternehmen, d. h. solche mit einem Gesamtumsatz von 20 Billionen US-Dollar, im Jahr 2022 Umsatzeinbußen in Höhe von 1 Milliarde US-Dollar (860 Milliarden Euro) zu beklagen haben, die direkt durch physische Sicherheitsvorfälle verursacht werden.

Das könnte bedeuten, dass sich ein Hacker Zugang zu Ihrem Bürogebäude verschafft, um Ihre digitale Infrastruktur anzugreifen.

Penetrationstests sind eine gängige Dienstleistung, die von Unternehmensleitern in Auftrag gegeben wird, um ihre internen Verteidigungsmaßnahmen zu testen. Wenn Sie in einem großen Büro arbeiten, ist dies wahrscheinlich schon einmal passiert, ohne dass Sie es gemerkt haben.

Euronews Business sprach mit Daniel Dilks, Director of Operations bei Sentinel Intelligence, um zu erfahren, was genau einige der jüngsten Tests beinhalteten.

Fall 1: Einbruch in einen Firmensitz durch Tailgating und Zutritt

"Sentinel-Mitarbeiter, die in Geschäftskleidung gekleidet waren, betraten das Gebäude, indem sie den Mitarbeitern während des morgendlichen Ansturms auflauerten und gefälschte Ausweise und eine Laptoptasche bei sich trugen, um nicht aufzufallen. Sobald sie drinnen waren, suchten sie einen ungesicherten Besprechungsraum auf, verbanden sich mit dem Gäste-Wi-Fi und hinterließen ein bösartiges Gerät (ein Netzwerkimplantat)", so Dilks gegenüber Euronews.

Fall 2: Lockpicking außerhalb der Geschäftszeiten und Datenexposition

"Außerhalb der Geschäftszeiten verschafften sich die Tester Zugang, indem sie ein standardmäßiges Euro-Zylinderschloss an der Seitentür knackten. Sobald sie drinnen waren, verschafften sie sich Zugang zu einem unverschlossenen Aktenschrank, der gedruckte Kundenverträge und Passwörter enthielt. Es wurde kein Alarm ausgelöst", erklärte Dilks.

Und wenn ein Krimineller erst einmal herausgefunden hat, wie er in ein Gebäude eindringen kann, kann er dies potenziell bei zahlreichen Gelegenheiten tun und jedes Mal mehr Informationen sammeln oder mehr Schaden anrichten.

Fall 3: Simulation von Social Engineering und Diebstahl von Zugangsdaten

"Ein Mitarbeiter gab sich als Auftragnehmer für das Heizungs- und Lüftungssystem des Gebäudes aus. Nachdem er sich mit einer Warnweste und einem gefälschten Arbeitsauftrag Zutritt verschafft hatte, wurde er von Mitarbeitern, die glaubten, der Besuch sei geplant, in einen Serverraum eskortiert. Dort fotografierten sie die offengelegten Zugangsdaten und schlossen eine USB-'Dropbox' an eine Workstation an", fügte er hinzu und erklärte, dass es üblich sei, dass Penetrationstester USB-Stifte in den Büros verstreut zurückließen.

Viele Mitarbeiter stecken sie in der Hoffnung, ihnen zu helfen, an ihre Computer an, um zu sehen, wem sie gehören. In einem realen Angriffsszenario könnte auf diese Weise Malware direkt in Ihr Unternehmensnetzwerk eingeschleust werden.

In all diesen Beispielen können unzureichende physische Sicherheitsmaßnahmen, die mangelnde Bereitschaft, unbekannte Personen herauszufordern oder zu überprüfen, und einfache Fehler wie das Schreiben von Passwörtern auf Post-it-Zettel zu schwerwiegenden Folgen führen.

Was sind die Folgen eines Cyberangriffs?

Auch wenn es schwierig ist, die genauen Kosten einer Sicherheitsverletzung aufzuschlüsseln, haben Angriffe kurz- und langfristige Folgen für ein Unternehmen.

Da sind zunächst die direkten Kosten, die mit physischen Schäden verbunden sein könnten.

"Jemand schafft es, in Ihr System einzubrechen, es zu sabotieren und im Grunde zu zerstören, richtig? Es gibt also direkte Kosten für die eigentliche Ausrüstung", erklärt der Experte für Cybersicherheit.

"Aber wenn die Beschädigung der Geräte bedeutet, dass Sie mehrere Tage lang nicht arbeiten können, ist das ein Geschäftsverlust. Und wenn ein Kunde Sie mehrere Male nicht erreichen kann, entscheidet er sich vielleicht, woanders hinzugehen.

Ganze Systeme von Unternehmen können zusammenbrechen

Der Experte erklärt, dass sich die Folgen schnell verschärfen können, wenn Daten gelöscht werden und Backups nicht funktionieren, und fügt hinzu, dass Unternehmen ohne ihre Systeme zusammenbrechen können.

Auch die indirekten Kosten könnten nachhaltige Auswirkungen haben.

"Nehmen wir an, jemand stiehlt Ihre Daten, und dann gibt es geistiges Eigentum oder vertrauliche Dokumente, die durchsickern. Was sind die Kosten für die Organisation? Es entstehen Kosten für den Ruf, sie könnten Verträge verlieren, wenn die Kunden ihr Vertrauen in sie verlieren.

Unternehmen können für diese Art von Datenschutzverletzungen auch mit Geldstrafen belegt werden.

Überraschende Angriffsvektoren

Der Cybersicherheitsexperte berichtete von einigen besonders überraschenden Methoden, mit denen Kriminelle in den letzten Jahren in Unternehmenssysteme eingedrungen sind.

"Es gab einen Fall, in dem sich Angreifer in einem Kasino in den USA Zugang zum Netzwerk verschafften, und zwar nicht direkt über den Hauptteil des Netzwerks, sondern über ein Wasserregulierungsgerät in einem Aquarium, das mit dem System verbunden war.

Auch wenn wir nicht alle Aquarien in unseren Häusern und Büros haben, können Smart-Home-Geräte ebenfalls anfällig sein.

"Als die ersten 'intelligenten' Wasserkocher auf den Markt kamen, war die Sicherheitsgemeinschaft sehr interessiert", erklärt der Experte.

"Wenn Sie eine Cyber-Sicherheitskonferenz besuchen, werden Sie manchmal eine Demo sehen, in der ein Wasserkocher gehackt und das WiFi-Passwort entschlüsselt wird, um dann mit dem WiFi-Pass in ein Netzwerk einzudringen, und von dort aus können sich viele Dinge entwickeln.

Wenn Sie ein Unternehmen leiten, sollten Sie sich über alle möglichen Angriffsmethoden informieren.

Der Experte betonte jedoch, dass wir zwar vorsichtig sein müssen, aber nicht aus Angst unhöflich oder unfreundlich zu Fremden am Arbeitsplatz sein sollten.

"Seien Sie einfach wachsam und aufmerksam. Wir müssen nicht unser Wesen ändern und zu jedem unfreundlich sein, aber wir müssen uns einfach bewusst sein, dass es da draußen einige bösartige Menschen gibt.