Cyberattacke

Eine Cyberattacke oder ein Cyberangriff ist ein unerlaubter Zugriff auf größere, für eine spezifische IT-Infrastruktur wichtige Rechnernetze von außen. Der unerlaubte Zugriff beruht meist auf einer im System oder in der Software ausgenutzten Sicherheitslücke oder auf menschlichem Versagen.

Begriff

Cyberangriffe sind vorsätzliche Versuche, Daten, Anwendungen oder andere immaterielle Wirtschaftsgüter durch unbefugten Zugriff auf ein Netzwerk, ein Computersystem oder ein digitales Gerät zu stehlen, offenzulegen, zu verändern, zu deaktivieren oder zu zerstören. In der Wissenschaft wird auch der Begriff des Cyber-Ereignisses (engl. cyber incident) verwendet. Das Schulungswerk der Vereinten Nationen unterscheidet dabei „Incident detection, response, recovery and preparedness“, also die Entdeckung von Cyber-Ereignissen, die Reaktion auf Cyber-Ereignisse, die Wiederherstellung nach Cyber-Ereignissen und die Einsatzbereitschaft bezüglich solcher Cyber-Ereignisse.

Beispiele

Beispiele für Auswirkungen erfolgreicher Cyberangriffe sind die Störung von Betriebsabläufen, der Abfluss von Informationen, die Verweigerung von Zugängen sowie die Manipulation, Beschädigung oder Zerstörung von Hardware, Daten, Netzwerken oder technischen Systemen.

Methodik

Trojaner, Viren und Würmer waren seit den späten 1980er Jahren probate kriminelle Angriffsmethoden. Aktuelle Taktiken des Zugriffs auf Zielsysteme sind z. B. Malware-Angriffe, Social Engineering oder Passwortdiebstahl. Kriminelles Hacking und DDoS-Attacken, Phishing, SQL-Injection, Cross-Site Scripting (XSS), Botnets und Ransomware finden ebenfalls vielfach Anwendung. Ein Cyberangriff kann jedoch auch breit gestreut erfolgen, etwa durch massenhaftes Versenden von Malware via E-Mail an viele Empfänger.

Motive

Der Grund für Cyberattacken kann vielfältig sein: ob hinter Cyberkriminalität, Cyberterrorismus, Cyberaktivismus oder staatlichem Hacking (bspw. in einem Cyberkrieg) Sabotage, Informationsgewinnung, Erpressung oder Cyberabwehr stehen, kann in aller Regel erst mit zeitlichem Abstand beurteilt werden.

Auswirkungen

Cyberangriffe können die Geschäftstätigkeit unterbrechen, Unternehmen bzw. Behörden schädigen und sogar ganz zerstören. Die weltweiten Durchschnittskosten eines Datenlecks beliefen sich im Jahr 2024 auf 4,35 Millionen US-Dollar.

Situation in Deutschland

Die polizeilich erfassten Falle von Cyberkriminalität steigen stetig an: waren es 2007 in Deutschland noch rund 34.000 Fälle, sind es 2023 schon rund 134.000 gewesen. Es wird vermutet, dass größere kriminelle Vereinigungen inzwischen Cyberkriminalität betreiben, da diese ein lukratives „neues Geschäftsfeld“ bietet: Betrug der Drogenhandelsumsatz 2023 weltweit rund 500 Milliarden Dollar, lag der Schaden durch Cyberkriminalität allein in Deutschland im Jahr 2023 schon bei 148 Milliarden Euro.

Zur Prävention von Cyberattacken hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein Informationsportal eingerichtet. Das ebenfalls beim BSI angesiedelte Nationale Cyber-Abwehrzentrum (NCAZ) verfügt über nur 10 Mitarbeiter, die laut Bundesrechnungshof weder über die notwendige Expertise sowie klare Arbeitsstrukturen verfügen noch dazu in der Lage sind, die Kompetenzen der beteiligten Behörden zu bündeln.

Zur Verfolgung laufender und schon vollzogener Computerkriminalität haben Polizei und Staatsanwaltschaften von 11 Ländern unter dem Titel Zentrale Ansprechstelle Cybercrime (ZAC) insgesamt 12 landeseigene Zentralstellen eingerichtet. Als einziges Bundesland verfügt Nordrhein-Westfalen sogar über zwei derartige Zentralstellen: das Cybercrime-Kompetenzzentrum beim LKA NRW in Düsseldorf sowie die Zentral- und Ansprechstelle Cybercrime Nordrhein-Westfalen als Hauptabteilung der Staatsanwaltschaft in Köln. Informationen hinsichtlich Koordination und Aufgabenverteilung dieser beiden Behörden sind nicht verfügbar.

Eine dreizehnte Zentralstelle bildet die Cybercrime-Abteilung des Bundeskriminalamts. Im Jahr 2013 zunächst aus 100 Mitarbeitern der Abteilung Schwere und Organisierte Kriminalität (SO) rekrutiert, war geplant, diese Abteilung bis 2022 auf 280 Kriminalbeamte, Analysten und IT-Experten aufzubauen. Laut BKA-Organigramm vom November 2024 umfasst die Cybercrime-Abteilung insgesamt 2 Gruppen mit wiederum insgesamt 10 Referaten. Die Abteilung Cybercrime (CC) ist damit – gleichauf mit der Abteilung Sicherungsgruppe (SG) (zuständig u. a. für: Personenschutz Bundespräsident, Bundeskanzler, Bundesminister, ausländische Gäste) – diejenige Abteilung des BKA mit der vergleichsweise geringsten Anzahl an zugeordneten Referaten. Lediglich 2 Referate der Gruppe Operative Aufgaben innerhalb der Abteilung Cybercrime (CC) arbeiten an „Ermittlungen Cybercrime im engeren Sinne“. Über die Anzahl der aktuell in der Abteilung Cybercrime (CC) insgesamt beschäftigten Mitarbeiter ist keine Information verfügbar.

Unter dem Schlagwort Hackback wird politisch diskutiert, ob Cyberattacken als staatliches Hacking zur Verteidigung erlaubt sein sollten. Im Koalitionsvertrag der Ampelregierung steht: „Hackbacks lehnen wir als Mittel der Cyberabwehr grundsätzlich ab.“ Die Bundesinnenministerin Nancy Faeser will sich zwar für eine hierzu erforderliche Änderung des Grundgesetzes einsetzen – politische Mehrheiten für Hackbacks existieren derzeit allerdings nicht.

Informationen über Cyberkriminelle

Im März 2023 publizierten elf Medienhäuser, koordiniert vom Nachrichtenmagazin Der Spiegel, die Vulkan Files, geleakte Dokumente über ein russisches Software-Unternehmen, welches für das russische Verteidigungsministerium und für russische Geheimdienste Programme zur Manipulation der öffentlichen Meinung und zur totalen Kontrolle des Cyberraums, aber auch zum Entgleisen von Zügen oder zum Lahmlegen der Stromversorgung entwickelte. Ein früherer Mitarbeiter des Unternehmens behauptete: „Vulkan ist eine Säule des russischen Polizeistaats. Vulkan entwickelt Software, die gegen das eigene Volk und gegen andere Länder eingesetzt werden kann“.

Cyberattacken auf Deutschland

2011

• 2011 brach die deutsche Hacktivisten-Gruppe No-Name-Crew in die IT-Systeme von Bundespolizei und Zoll ein. Die Gruppe behauptete, sie hätte bereits Monate zuvor die komplette Kommunikation der beiden Behörden belauscht. Am 7. Juli 2011 gegen 23:40 Uhr erschienen auf deren Website Softwarepakete, Anwendungshinweise und Einsatzdaten aus dem Ortungssystem „Paip-Tracking-Server“ (Patras). Anonyme GPS-Tracking-Daten, Anwahlnummern eingesetzter Peilsender, Verzeichnisnamen sowie Bezeichnungen sachbearbeitender Dienststellen des Zollfahndungsdienstes konnten eingesehen werden. Dadurch wurde unter anderem bekannt, dass ein Beamter das System dazu missbraucht hatte, seine Tochter zu überwachen.

2015

• Im Juni 2015 kam es zu einem umfassenden Hackerangriff auf den Deutschen Bundestag. Mittels Phishing-Emails wurden Trojaner auf Computer der Linkspartei und der CDU/CSU eingeschleust und in der Folge Admin-Accounts mit sicherheitskritischen Daten gehackt. Insgesamt waren rund 16 Gigabyte Daten auf ausländische Server abgeflossen. In der Folge war das Netzwerk des Bundestages zeitweise abgeschaltet.

2016

• Eine Cyberattacke auf DSL-Router am 27. November 2016 führte zum Ausfall von etwa einer Million DSL-Geräten, wovon hauptsächlich Kunden der Deutschen Telekom betroffen waren.

2018

• Im Februar/März 2018 wurde ein weitreichender Angriff auf den Informationsverbund Berlin-Bonn durch einen Hinweis befreundeter Nachrichtendienste bekannt. Mit der Cyberattacke versuchten Spione gezielt, an Unterlagen aus dem Auswärtigen Amt heranzukommen. „Ich befürchte, die meisten (Bundes-) Länder sind bei der Abwehr komplexer Cyberattacken überfordert“, sagte der innenpolitische Sprecher der SPD-Fraktion, Burkhard Lischka.

2019

• Am 13. September 2019 war der Casualwear-Anbieter Marc O’Polo in Stephanskirchen von einer Ransomware-Attacke krimineller Hacker auf die Firmen-Server sowie auf die Backup-Dateien betroffen. Die komplette kundenseitige Abwicklung musste sofort auf Papierbelege und Bargeld umgestellt werden. Die Firma zahlte das geforderte Lösegeld an die Erpresser und erhielt von diesen einen gültigen Schlüssel. Nach mehreren Wochen waren alle Firmensysteme lauffähig wiederhergestellt. Im Nachgang setzte Marc O’Polo die IT-Infrastruktur neu auf und sicherte diese mit der Hilfe von Spezialisten.

2020

• In der Nacht vom 10. auf den 11. September 2020 griffen unbekannte Kriminelle die Uni-Klinik Düsseldorf an. Sie verwendeten die Schadsoftware DoppelPaymer und nutzten eine Lücke in der Citrix-VPN-Software. Der Klinik-Betrieb kam daraufhin weitgehend zum Erliegen. Die Kriminellen hatten beabsichtigt, die Universität Düsseldorf anzugreifen, da sie ihr Erpresserschreiben an diese adressiert hatten. Die Polizei informierte die Kriminellen über ihren „Fehler“ und teilte ihnen mit, dass Menschenleben in Gefahr seien. Diese schickten daraufhin einen digitalen Schlüssel zur Entschlüsselung der Daten. Die Klinik konnte nach und nach den Betrieb wieder aufnehmen.
• Am 22. Dezember 2020 attackierten kriminelle Hacker Herausgabe und Druck von rund 1 Mio. Zeitungsexemplaren durch die Essener Funke-Mediengruppe – u. a. die WAZ, das Hamburger Abendblatt, die Berliner Morgenpost und die Thüringer Allgemeine. Alle Druckmaschinen, Computer, Telefonanlagen usw. waren verschlüsselt worden und standen daher still. Die gesamte Funke-Mediengruppe war hiervon bundesweit betroffen. In der Folge mussten Druckausgaben telefonisch und über private Infrastrukturen abgestimmt werden. Über mehrere Wochen wurde die Funke-IT-Infrastruktur aus Hardware, Software, Netzwerk und Sicherheitstechnologien neu aufgebaut. Die Erpresser erhielten jedoch kein Lösegeld.

2021

• Ende April 2021 machte dem Lebensmitteleinzelhandelsunternehmen tegut eine Cyberattacke zu schaffen, welche durch den Ausfall des Warenwirtschaftssystems für leere Regale sorgte. Nach erfolgloser Lösegeldforderung veröffentlichten die Angreifer Unternehmensdaten im Darknet. Nach Angaben von tegut handelt es sich hierbei um Kundendaten: u. a. um Kundennummer, Anschrift, Geburtsjahrsgang, Vorname, Nachname, E-Mail-Adresse, Telefonnummer sowie um kundenbezogene statistische Auswertungen.
• Anfang Juni 2021 erfolgten massive DoS-Angriffe auf Rechenzentren der Fiducia & GAD IT, den IT-Dienstleister der Volksbanken, Raiffeisenbanken und weiterer Unternehmen der genossenschaftlichen Finanzgruppe in Deutschland. Sie führten zu zeitweisen Ausfällen des Onlinebankings, Apps und Webseiten waren nicht erreichbar. Insgesamt waren 820 Volks- und Raiffeisenbanken sowie weitere Kunden der Fiducia betroffen.
• Weil eine Cyberattacke die IT-Infrastruktur lahmgelegt hatte, rief der Landkreis Anhalt-Bitterfeld am 9. Juli 2021 – erstmalig in Deutschland – den Cyber-Katastrophenfall aus. Anliegen der Bürgerinnen und Bürger wie zum Beispiel Sozialhilfeanträge konnten nicht bearbeitet werden, da mehrere Server des Landkreises infiziert waren und eine unbekannte Menge an Daten verschlüsselt worden war. Der Landkreis war nurmehr telefonisch oder per Post erreichbar. Zwar gab es eine Lösegeldforderung der Täter, der Landkreis lehnte jedoch eine Geldzahlung zur Beseitigung der Ransomware-Schäden ab. Die Aufwendungen zur Behebung der Schäden beliefen sich auf rund 2,5 Mio. Euro: Datenrettung, Aufbau neuer Infrastruktur, Anschaffung neuer Server, Speichermedien und Laptops sowie neuer Software. Im Februar 2022 - 8 Monate nach der Attacke – wurde der Katastrophenmodus wieder aufgehoben.
• Am 4. August 2021 stahl ein einzelner Krimineller persönliche Daten von rund 50 Mio. ehemaligen, aktuellen und möglicherweise zukünftigen Kunden von T-Mobile. Darüber hinaus wurden ca. 850.000 Telefonnummern und Kontozugangs-PINs von T-Mobile Prepaid-Kunden kompromittiert. Dies war das vierte Datenleck bei T-Mobile seit 2019.

2022

• Das Computersystem der Unfallkasse Thüringen (UKT) – gesetzlicher Unfallversicherer für 850 000 Angestellte im öffentlichen Dienst, Studierende, Schüler und Kindergartenkinder – war am 4. Januar 2022 Ziel eines Hackerangriffs geworden, so dass die Server der Kasse komplett verschlüsselt wurden. Auf Versichertendaten konnte nicht mehr zugegriffen werden, Arbeitsunfälle konnten nicht länger digital gemeldet werden und Zahlungsanforderungen konnten nicht mehr bearbeitet werden. Drei Wochen später war die Systemwiederherstellung immer noch nicht abgeschlossen, eine Erreichbarkeit per Telefon und Email war jedoch wieder gegeben. Nach fünf Wochen konnte wieder auf Versichertendaten zugegriffen werden. Bis Anfang Februar 2023 sollte das System wieder normal laufen. Mit einer verzögerten Bearbeitung von Eingangspost war bis Mitte April 2023 zu rechnen.
• Am 12. April 2022 wurde Wikipedia von dpa zitiert: „Aus den Netzwerken des Bundes und anderer Behörden sind nach einem Bericht der Frankfurt Allgemeinen Zeitung im großen Maßstab Änderungen von Wikipedia-Inhalten vorgenommen worden.“ Es handle sich um 17.000 Bearbeitungen „aus dem Behördenadressraum heraus“. Die u. a. in die Wikipedia-Artikel Bombenlegeraffäre, Gasreserve, Robert Habeck (Vizekanzler), Illegale Einwanderung und illegaler Aufenthalt sowie Journalist von bislang anonymen Urhebern eingefügten Falschdarstellungen und Verunglimpfungen wurden jedoch von der Wikipedia-Community entdeckt und rückgängig gemacht.
• Der Autozulieferer Continental bemerkte am 4. August 2022 einen bereits seit dem 1. Juli laufenden Cyberangriff. Nachdem ein Mitarbeiter einen Browser zusammen mit einer Schadsoftware installiert hatte, konnte die Lockbit-Gruppe Benutzerkonto und Passwort dieses Angestellten abgreifen. Rund 40 Terabyte an Daten – darunter Strategien, Investitionspläne, Aufsichtsratskommunikation, Personaldaten, technische Inhalte von Kunden wie Volkswagen, Mercedes-Benz und BMW – wurden daraufhin entwendet. Im November 2022 forderte Lockbit für die Vernichtung dieser Daten 50 Millionen US-Dollar, worauf Continental jedoch nicht einging. Die hierzu im Darknet veröffentlichte 7,6 Milliarden Zeichen lange Liste mit Dateinamen hatte einen Umfang von acht Gigabyte.

2023

• Nachdem Rheinmetall bereits im März von einer DDoS-Attacke betroffen war, folgte am 14. April 2023 ein Angriff auf das zivile Geschäft von Rheinmetall, welcher den Betrieb in mehreren Tochterfirmen weltweit teilweise lahmgelegt hatte. Die Automobilzulieferer Kolbenschmidt in Neckarsulm und Pierburg in Neuss mussten ihre Produktion zunächst komplett einstellen, dann auf der Basis von Papierbelegen im Notbetrieb neu starten, was bei den betroffenen Automobilkunden zu Produktionsverzögerungen führte. Weder zu Schwere und Schadensausmaß der Attacke, noch zu den Tätern und deren Hintergründen wurden Informationen bekannt.
• Am 16. Juni 2023 mussten die IT-Verantwortlichen der Rheinische Post Mediengruppe (u. a. Saarbrücker Zeitung, Trierischer Volksfreund, Rheinische Post, Aachener Nachrichten, General-Anzeiger Bonn) die Internetanbindung der IT-Infrastruktur trennen. Deren IT-Dienstleister, die circ IT GmbH & Co. KG., war mit Schadsoftware infiziert worden. Von 1.200 Servern waren Daten abgeflossen: ob hierunter auch Kundendaten (Stammdaten, Kontaktdaten und Bankdaten) sind, konnte das Unternehmen nicht ausschließen. Infolge des Angriffs mussten Printausgaben der unter diesem Dach erscheinenden Tageszeitungen vier Tage lang als Notausgaben erscheinen, das Online-Angebot blieb eine Woche lang eingeschränkt. Bis zur vollen Wiederherstellung aller Medien dauerte es ab dem ersten Angriff insgesamt zehn Tage.
• In der Nacht auf den 31. Oktober 2023 wurden auf den Servern der Südwestfalen-IT (SIT) Ransomware und bereits verschlüsselte Dateien aufgespürt. Die Kriminellengruppe Akira forderte Lösegeld; eine Zahlung wurde jedoch abgelehnt. Die Kommunen waren unterschiedlich betroffen: während der Hochsauerlandkreis schnell wieder arbeitsfähig wurde, waren im Kreis Siegen-Wittgenstein lokale Endgeräte mit der Ransomware verseucht, weshalb die Stadt Siegen parallele Strukturen (ohne Beteiligung der SIT) aufbaute. Laut SIT handelte es sich um „einen der größten Angriffe auf die öffentliche Verwaltung, die es in Deutschland bisher gab“. Gleichzeitig wurde Kritik an der SIT dergestalt laut, dass es auf deren Administrationsebene eklatante Sicherheitslücken gebe.

2024

• Am 1. September 2024 wurde bekannt, dass die DFS Deutsche Flugsicherung mit Sitz in Langen von der vermutlich vom russischen Militärgeheimdienst GRU gesteuerten Gruppe APT28 angegriffen worden war. Der Angriff erstreckte sich auf die administrative IT-Infrastruktur, d. h. die Bürokommunikation, und hat bereits in der Vorwoche stattgefunden. Der Flugverkehr war davon nicht betroffen. Es wurde nicht bekannt, ob sensible Daten kompromittiert wurden.
• Am 14. November 2024 war die deutsche Statistikbehörde destatis von prorussischen Hackern angegriffen worden. Die Kriminellen stahlen 3,8 Gigabyte an Daten deutscher Firmen und boten diese anschließend für 250 Euro je einzelnem Datensatz im Darknet zum Kauf an. Ein solcher Datensatz kann Namen, Adressen, Telefonnummern, E-Mail-Adressen, Log-in-Daten und sogar noch sensiblere Daten deutscher Firmen enthalten, die von diesen im Rahmen der Internet-Datenerhebung im Verbund (IDEV) angeblich „verschlüsselt und somit sicher und vor unbefugten Zugriffen geschützt“ an destatis gesendet werden mussten.

Cyberattacken auf Österreich

2020

• Anfang Januar 2020 waren die IT-Systeme des österreichischen Außenministeriums Ziel eines „schwerwiegenden“ Cyberangriffs. Vonseiten des Ministeriums vermutete man einen Angriff eines „staatlichen Akteurs“. Eine Reihe von Informationen untermauert die Vermutung, dass dieser Cyberangriff und das hochrangige Ziel charakteristisch für die „Turla“-Gruppe alias „Venomous Bear“ („giftiger Bär“) ist, welche aggressive „Auslandsaufklärung“ im Auftrag Russlands betreibt.

2023

• Am 23. Mai 2023 wurden laut US-Zahlungssystemhersteller Diebold Nixdorf Server der österreichischen Bankomaten-Infrastruktur des Hosting-Anbieters Planfocus angegriffen. Planfocus steuert jährlich Bargeldlieferungen im Wert von über 300 Milliarden Euro. Ziel des bislang unbekannten Angreifers war der sensible Bereich der „Cash-Logistik“, d. h. die Verteilung des Bargelds durch und auf einzelne Bankomaten. Dabei wurden unter anderem Identifikationsnummern konkreter Bankomaten, Adressen betroffener Bankfilialen, abgehobene Geldmengen je Bankomat und Zeiteinheit sowie je Bankomat notwendige Bargeldnachlieferungen abgegriffen. Kundendaten waren jedoch nicht betroffen.

Cyberattacken auf die Schweiz

2014

• Ende 2014 drangen IT-Spezialisten, die der Russischen Föderation zugerechnet wurden, in Computer des Schweizer Rüstungskonzerns RUAG ein und verschafften sich unter anderem Daten über geheime Projekte des Verteidigungsdepartements, darunter Informationen zur Elite-Spezialeinheit AAD 10.

2021

• Am 24. März 2021 fand in der Schweiz ein sogenannter „Rundumschlag“ offenbar vorwiegend auf Gemeinden statt. In Bad Zurzach wurden „sämtliche Abteilungen der Gemeindeverwaltung […] zum Erliegen gebracht.“ Die Verwaltung war „auf elektronischem Weg mehrere Tage nicht erreichbar. Die Telefonleitungen blieben stumm.“ Persönliche Daten der Bürger seien keine entwendet worden, dennoch mussten „gewisse Daten wieder zurückgespielt werden.“ Die Täterschaft forderte „einen nicht genauer festgelegten Betrag von Bitcoins.“ Der Gemeindeschreiber erklärte damals: „Noch unklar ist, wie hoch der entstandene Schaden die Gemeinde Bad Zurzach zu stehen kommt. […] Es war aber vor allem der Arbeitsausfall unserer Angestellten, der in den letzten Tagen ins Gewicht gefallen ist.“.

2023

• Am 24. März 2023 hatte die Ransomware-Bande Play die IT-Infrastruktur von Neuer Zürcher Zeitung und CH Media lahmgelegt. Die Hacker stahlen seit dem 4. März vertrauliche Daten, verschlüsselten Dateien und erpressten dann das Unternehmen. Ebenfalls flossen etwa 5 Gigabyte an Daten ab. Die internen Systeme blieben zwar teilweise wochenlang beeinträchtigt, die Zeitungen konnten aber dennoch erscheinen. Da kein Geld an die Erpresser gezahlt wurde, wurden späterhin heikle Informationen über Mitarbeitende und Kunden ins Darknet gestellt.

Cyberattacken auf andere bzw. mehrere Länder

Das Hubert Lamb Building an der University of East Anglia, in dem die Climatic Research Unit ihren Sitz hat

2006

• Operation Shady RAT (englisch; etwa „zwielichtige Ratte“ oder „verborgener Fernzugriff“) werden Cyberangriffe genannt, bei denen von etwa 2006 bis 2011 weltweit mindestens 72 Unternehmen, Organisationen und Regierungen systematisch ausgespäht wurden. Mittels Phishing-Emails eingesteuerte Trojaner führten zum Diebstahl eines Petabyte-Datenvolumens an Geheiminformationen, Quellcodes, Firmenplänen und Vertragstexten aus der Elektronik- und Rüstungsindustrie.

2007

• Am 27. April 2007 begannen die Internetangriffe auf Estland, die sich gegen estnische Organisationen richteten, darunter das estnische Parlament, den Riigikogu, Banken, Ministerien und Rundfunkanstalten. Die Attacken waren vorwiegend DoS-Angriffe mit Verwendung des Botnetzes und konnten praktisch das ganze Land lahmlegen, da es als das internet-affinste Land Europas gilt. Am 20. März 2009 erklärte sich Konstantin Goloskokow, ein Funktionär der regierungsnahen russischen Jugendorganisation Naschi, als Drahtzieher der Angriffe. Die Wahrheit dieser Aussage ist jedoch umstritten.

2009

• Laut über WikiLeaks veröffentlichten Geheimdokumenten war die iranische Urananreicherungsanlage in Natanz im Frühjahr 2009 Ziel einer Attacke mit dem Rootkit-Computerwurm Stuxnet. Diese Attacke verursachte dort einen nuklearen Störfall, welcher die Produktionskapazität der Anlage um 15 Prozent reduzierte. Ende November 2010 gestand Irans Präsident Mahmud Ahmadinedschad ein, dass der Wurm die Umdrehungsgeschwindigkeit der Uranzentrifugen manipuliert hatte, wodurch diese beschädigt worden waren. Der Stuxnet-Angriff auf iranische Atom- und Industrieanlagen soll insgesamt 16.000 bis 30.000 Computer befallen haben. Als Entwickler des teuren Wurms (Kosten: im 2-stelligen Millionen-Dollar-Bereich) und als Urheber der Attacke werden gleichermaßen westliche Geheimdienste und westliche Industrieunternehmen vermutet.
• Im November 2009 wurden bei einem Hacker-Zwischenfall am Klimaforschungszentrum der University of East Anglia (auch: Climategate) Dokumente von Forschern der Climatic Research Unit (CRU) der University of East Anglia (Vereinigtes Königreich) durch kriminelle Hacker gestohlen und ins Internet gestellt. Der Vorfall und die daraufhin gegen die betroffenen Klimaforscher erhobenen Vorwürfe wissenschaftlicher Unredlichkeit erregten unmittelbar im Vorfeld der UN-Klimakonferenz in Kopenhagen 2009 Aufsehen in Blogs und fanden Erwähnung in internationalen Medien. Die Dokumente – über 1.073 E-Mails und 3.485 andere Dateien – stammen aus einem Zeitraum von 1996 bis 2009 und waren laut Philip D. Jones, dem Direktor der CRU, echt.

2013

• Am 20. März 2013 kam es zu einer Cyberattacke gegen südkoreanische Banken und Fernsehsender. Um etwa 14:00 Uhr (06:00 Uhr MEZ) kam es bei den betroffenen Sendern zu massiven Netzwerkstörungen und blockierten Internet-Zugängen. Geldautomaten betroffener Banken konnten kein Geld ausgeben. Das südkoreanische Verteidigungsministerium erhöhte die Alarmstufe für Cyber-Bedrohungen auf den Wert drei auf einer fünfstufigen Skala.

2014

• Ebenfalls im Jahr 2014 wurden bei Yahoo Daten von 500 Millionen Nutzern entwendet. Das US-amerikanische Justizministerium erhob in diesem Zusammenhang im März 2017 Anklage gegen zwei Mitarbeiter des Russischen Geheimdienstes FSB.

2015

• Im Dezember 2015 kam es zu einem Hackerangriff auf die ukrainische Stromversorgung, der zu mehrstündigen Blackouts in der Westukraine führte. Für die Angriffe wurde Russland verantwortlich gemacht.

2016

• 2016 versuchten Kriminelle mehrfach, in den Datenverkehr des globalen Zahlungssystems SWIFT einzubrechen. Bei einem erfolgreichen Versuch stahlen sie im Februar 2016 mindestens 81 Mio. Dollar von der Bangladesh Bank, der Zentralbank Bangladeschs.

2017

• Im Mai 2017 gab es eine weltweite Cyberattacke durch das Schadprogramm WannaCry, das eine Sicherheitslücke von Windows ausnutzte. Hiervon waren 75.000 Rechner in rund 100 Ländern betroffen.
• Im Rahmen eines Großangriffes auf ukrainische Firmen am 27. Juni 2017 konnte sich die Schadsoftware NotPetya vorerst ungehindert verbreiten. Sie befiel tausende Computer in der Ukraine, in Deutschland, Frankreich, Italien, Polen, Russland, im Vereinigten Königreich, in den Vereinigten Staaten und in Australien. Es wurden Schäden in Höhe von 300 Mio. US-Dollar verursacht.

2018

• Am 4. Juli 2018 wurde bekannt, dass Cyberkriminelle 1,5 Millionen nicht-medizinische Patientendaten der Jahre 2015 bis 2018 aus der Datenbank des Integrated Health Information System (IHiS) in Singapur gestohlen hatten. Der Angriff selbst war am 27. Juni 2018 begonnen worden. Zusätzlich waren Medikamentenverordnungen von rund 160.000 Patienten abgeflossen. Insbesondere die Patientendaten von Premierminister Lee Hsien Loong standen im Fokus der Kriminellen.
• Im September und Oktober 2018 mussten die Fluggesellschaften British Airways und Cathay Pacific Datenlecks einräumen. Demnach wurden bei British Airways 380.000 Bank- und Kreditkartendaten von Buchungen des 21. August sowie des 5. September 2018 gestohlen. Cathay Pacific gab Ende Oktober ein Datenleck bekannt, welches Daten von 9,4 Mio. Kunden betrifft. Entwendet wurden nach Unternehmensangaben neben persönlichen Daten auch E-Mail-Adressen, Kreditkarteninformationen sowie Personalausweis- und Reisepass-Nummern. Die Cyberattacke hatte bereits zwischen März und Mai 2018 stattgefunden und war bis zu deren Entdeckung fortgeführt worden.
• Der US-amerikanische Hotelkonzern Marriott International gab am 30. November 2018 den Diebstahl von rund 327 Millionen Kundendaten über die IT-Konzerntochter Starwood bekannt, darunter auch Bezahlinformationen. Betroffen waren Kunden der Starwood Hotels & Resorts Worldwide mit den Marken W Hotels, St. Regis Hotel, Sheraton Hotels & Resorts, Westin Hotels & Resorts, Element Hotels, Aloft Hotels, The Luxury Collection, Tribute Portfolio, Le Méridien Hotels & Resorts, Four Points by Sheraton und Design Hotels. Die Cyberattacke wurde bereits am 8. September 2018 entdeckt.

2019

• Am 7. Mai 2019 gab es eine Cyberattacke auf die Computersysteme der Stadt Baltimore (Maryland, USA). Die Kriminellen nutzten eine Variante der Erpressungssoftware (Ransomware) RobinHood. Diese infizierte die meisten Computersysteme der Stadtverwaltung, welche daraufhin ausfielen oder aus Sicherheitsgründen heruntergefahren werden mussten. Mit der Hilfe von Sicherheitsfirmen konnte Baltimore die Computersysteme in mehreren Wochen wiederherstellen, so dass etwa 70 Prozent der Angestellten ab Mitte Juni 2019 wieder online waren.

2020

• Am 9. Dezember 2020 wurde bekannt, dass es Unbekannten gelungen war, in das IT-System der Europäischen Arzneimittelbehörde (EMA) in Amsterdam einzudringen und Dokumente über die Corona-Impfstoffe der Mainzer Firma Biontech und des US-Pharmakonzerns Pfizer zu stehlen. Der Diebstahl des „Bauplans“ eines wirksamen Coronaimpfstoffs kann für ein „diebisches Pharmaunternehmen“ von enormem wirtschaftlichen Nutzen sein.
• Der Solarwinds-Hack 2020, ein breit angelegter und monatelang unbemerkter Cyberangriff auf die Vereinigten Staaten: betroffen waren u. a. zahlreiche US-Ministerien, darunter das Heimatschutzministerium und Teile des Pentagon, öffentliche Institutionen und Großunternehmen, darunter der Konzern Microsoft. Der Einbruch in hochsensible Datennetze erfolgte durch eine Nobelium genannte Hackergruppe, diente anscheinend der Informationsgewinnung und richtete einen Schaden bislang unbekannten Ausmaßes an. Nobelium gilt als Arm des zivilen russischen Auslandsgeheimdiensts SWR.

2021

• Am 7. Mai 2021 begann eine Gruppe krimineller Hacker einen Ransomware-Angriff auf das US-Unternehmen Colonial Pipeline. Colonial ist der größte Pipeline-Betreiber in den USA, dessen Netz fast die Hälfte des Kraftstoffs für die Ostküste der Vereinigten Staaten transportiert. Die Attacke legte den Pipeline-Betrieb für insgesamt 5 Tage lahm. Die Regierung Biden rief einen regionalen Notstand aus, damit der Kraftstoff ersatzweise mit Tankwagen transportiert werden konnte. Am 7. Mai 2021 überwies Colonial Pipeline 75 Bitcoin an eine Gruppe namens Darkside. Nach Unternehmensangaben funktionierte die Pipeline am 15. Mai 2021 wieder normal. Am 7. Juni teilte das FBI mit, es habe 63,7 Bitcoins (im damaligen Kurswert von 2,3 Mio. US-Dollar) vom Darkside-Konto beschlagnahmt.
• Am 14. Mai 2021 wurde der öffentliche Gesundheitsdienst Irlands Health Service Executive angegriffen, woraufhin HSE sämtliche IT-Systeme herunterfahren musste. HSE war seit 18. März 2021 von der Conti-Gruppe angegriffen worden, wie die Verantwortlichen eingestehen mussten. Basis war der bösartige Anhang einer Phishing-E-Mail, der jedoch von der HSE-Antiviren-Software nicht blockiert worden war. So konnte sich der Angreifer über einen Zeitraum von acht Wochen frei in den IT-Netzwerken von HSE und den verbundenen Kliniken bewegen. Nach Verschlüsselung durch die Ransomware am 14. Mai 2021 war der Betrieb an mehreren Kliniken und Gesundheitsdiensten unterbrochen und die Zahl der Termine war um 80 % zurückgegangen. Nach Bekanntwerden der Lösegeldforderung in Höhe von 20 Mio. US-Dollar im Austausch für den digitalen Schlüssel und einem öffentlichen Aufschrei hatte Conti den Schlüssel HSE ohne Lösegeldzahlung überlassen. Die Wiederherstellungskosten des HSE-IT-Systems sollen sich auf rund 530 Mio. Euro belaufen haben.
• Am 30. Mai 2021 wurde die brasilianische Firma JBS, der größte Fleischproduzent der Welt, Opfer einer Cyberattacke. In der Folge musste JBS den Betrieb in Australien einstellen und schickte dort 10.000 JBS-Beschäftigte ohne Lohnausgleich nach Hause. Am 1. Juni 2021 musste JBS in den USA 13 fleischverarbeitende Betriebe schließen. Die Attacke hatte bereits im Februar 2021 begonnen. Vom 1. März bis 29. Mai 2021 wurden insgesamt mehr als 45 GB Daten abgezogen. In Verbindung mit anderen Quellen benannten die USA die russische Kriminellen-Gruppe REvil als Verantwortliche. Ende Mai bezahlte JBS USA schlussendlich 11 Mio. US-Dollar Lösegeld an diese Gruppe.
• Am 2. Juli 2021 sorgte die Cyberattacke auf die VSA-Server des IT-Dienstleisters Kaseya für Schäden in den USA, in Deutschland, Großbritannien, Kanada und Kolumbien. Der Umfang des Angriffs wurde aufgrund des Nationalfeiertages in den USA erst am 5. Juli festgestellt. Es waren zwar nur 1 % der Kaseya-Kunden betroffen. Da es sich hierbei jedoch um Managed Services Provider handelte, waren wiederum deren Kunden – insgesamt 1.500 kleine bis mittelgroße Betriebe – während eines langen Wochenendes offline. Verantwortlich für diese Attacke ist die REvil-Gruppe, welche Lösegeld von 70 Mio. US-Dollar in Bitcoins gefordert hatte.
• Am 9. Juli 2021 legte eine Malware-Attacke den Betrieb der Eisenbahngesellschaft der Islamischen Republik Iran lahm. Eine Malware der Gruppe MeteorExpress löschte zunächst Daten von infizierten Computern und machte diese anschließend unbrauchbar. Ferner manipulierten die kriminellen Hacker Fahrgastanzeigen an Bahnstationen, um dort eine falsche Rufnummer anzuzeigen. Infolgedessen wurden Anschlüsse des obersten iranischen Führers mit Anrufen frustrierter Reisender überflutet.
• Am 10. August 2021 wurden die Visa-Daten der französischen Behörden angegriffen, wodurch eine Vielzahl personenbezogener Daten von Visumantragstellern, darunter Namen, Geburtsdaten, Nationalitäten, Passnummern und E-Mail-Adressen kompromittiert wurden. Nach Aussagen eines Cybersicherheitsexperten kann ein Datensatz pro Person je nach Aktualität und Nationalität im Darknet Preise von 10 bis mehrere Dutzend Euros erzielen. Nach Angaben des französischen Innenministeriums waren mindestens 8.700 Personen von diesem Cyberangriff betroffen.
• Am 6. September 2021 wurde das 'Südafrikanische Ministerium für Justiz und konstitutionelle Entwicklung' Opfer einer Ransomware-Attacke. Es waren mehrere Dienste betroffen, darunter das E-Mail-System und die Kautionsverwaltung. Sämtliche elektronischen Dienste, sowohl intern als auch für die Öffentlichkeit, waren nicht mehr verfügbar. Weder Justizangelegenheiten noch private Angelegenheiten konnten bearbeitet werden. Im Zuge des Notfallplans wurden u. a. Verhandlungen und Anhörungen sowie die Ausstellung von Dokumenten auf manuelle Bearbeitung umgestellt.
• Am 16. Oktober 2021 legte eine russische Ransomware-Attacke das US-amerikanische Medienunternehmen Sinclair Broadcast Group lahm, das landesweit 21 Sportsender und 185 lokale Fernsehsender betreibt. Nach der Sicherheitsverletzung mussten interne Dienste wie E-Mail, Telefonsystem und Datennetz abgeschaltet werden. Dadurch musste ein Großteil der Programme und Live-Übertragungen vom Netz genommen werden. Sinclair hat die Ransom-Forderung der russischen Evil Corp. nicht bezahlt. Aufgrund der Attacke verlor Sinclair 63 Mio. Dollar an Werbeeinnahmen im vierten Quartal 2021. Weitere 11 Mio. Dollar mussten für Untersuchung, Schadensbeseitigung (bis Ende November 2021) und Sicherheitsverbesserungen aufgewendet werden. Da nicht alle Kosten von Versicherungen gedeckt waren, verzeichnete die Firma Bilanzverluste in Höhe von 24 Mio. Dollar.
• Am 3. November desselben Jahres wurde der US-amerikanische Finanzdienstleister Robinhood Opfer einer Attacke durch einen einzelnen Kriminellen, der sich bei einem Telefonanruf als Kundendienstmitarbeiter ausgab, eine Fernwartungssoftware installierte und damit Zugang zum Kundensupportsystem des Unternehmens bekam. Es gelang ihm dabei, fünf Millionen E-Mail-Adressen und weitere zwei Millionen Namen (davon: einige tausend mit Telefonnummern, über 300 mit Name, Geburtsdatum und Postleitzahl) zu stehlen. Aufgrund eklatanter Sicherheitslücken war Robinhood daraufhin einer 20 Mio. Dollar-Schadensersatzklage unterlegen, welche die Interessen von rund 40.000 geschädigten Kunden vertrat.
• Gegen Ende Dezember 2021 wurde der US-amerikanische Fotodienstleister Shutterfly von der russischen Ransomware Conti angegriffen. Von der Ransomware waren über 4.000 Computer und 120 VMware Server betroffen. Die Kriminellen behaupteten, dass sie den Source-Code des Shutterfly-Online-Shops gestohlen hätten. Sie drohten, diesen Code sowie gestohlene Daten zu veräußern, sollte sich Shutterfly weigern, das geforderte Lösegeld zu bezahlen. Die Conti-Gruppe veröffentlichte von Shutterfly gestohlene Daten im Umfang von 7 Gigabyte auf ihrer Tor-Leaks-Webseite, inklusive mehrerer Archive, welche offensichtlich Mitarbeitervereinbarungen, Finanz- und Vertragsdaten, Gehaltsinformationen usw. enthielten.

2022

• Im Zusammenhang mit dem Russischen Überfall auf die Ukraine 2022 kam es ab Januar 2022 zu einem Cyberkrieg zwischen den beiden Staaten mit mehreren Cyberattacken, hauptsächlich von russischer Seite.
• Am 17. Januar 2022 wurden die Konten von beinahe 500 Kunden des Kryptowährungshandelsunternehmens Crypto.com mit Hauptsitz in Singapur im Rahmen einer Cyberattacke gehackt. Insgesamt wurden Bitcoin im Wert von 18 Mio. US-Dollar und Ether im Wert von 15 Mio. US-Dollar gestohlen.
• Das in Seattle ansässige US-amerikanische Logistikunternehmen Expeditors International wurde im Februar 2022 Opfer einer gezielten Cyberattacke, sodass verschiedene Dienstleistungen eingestellt werden mussten.
• Am 23. März 2022 erlitt das IT-System der Ferrovie dello Stato Italiane (FS) eine Ransomware-Attacke, welche den Fahrkartenverkauf in den Bahnhöfen, die Passagierinformationsbildschirme und die Tabletcomputer des Personals lahmlegte.

2023

• Am 7. Januar 2023 fiel der YouTube-Account HandOfBlood einem Hackingangriff zum Opfer und übertrug einen Livestream, der vorgab, er würde von Elon Musk stammen. Dieser zielte darauf ab, Leute dazu zu bewegen, in Bitcoin zu investieren.
• Im August 2023 wurde die dänische Hosting-Firma CloudNordic Opfer eines verheerenden Ransomware-Angriffs. Durch diesen Angriff gingen deren Kundendaten vollständig und unwiederbringlich verloren. Die Ransomware verschlüsselte die Daten der Kunden und forderte ein hohes Lösegeld, um die Daten wiederherzustellen. Leider waren die Sicherheitsvorkehrungen der Firma nicht ausreichend, um die Bedrohung abzuwehren, und somit waren die Kundendaten verloren.
• Im September 2023 gab der internationale Strafgerichtshof (ICC) in Den Haag bekannt, Opfer einer Cyberattacke geworden zu sein. Der ICC stellte auf seinen Systemen ungewöhnliche Aktivitäten fest, welche diese beeinträchtigten. Der ICC gab jedoch keine weiteren Details zu dem Cyberangriff bekannt und plant, die Cybersicherheitsmaßnahmen in Zukunft zu verstärken.

Siehe auch

• Computerbetrug
• Computerkriminalität
• Computersabotage
• Cyberabwehr
• Cyber-Grooming
• Cyberkrieg
• Cyber-Terrorismus
• Datendiebstähle (Liste)
• Hacktivismus
• Online-Durchsuchung

Weblinks

Wiktionary: Cyberattacke – Bedeutungserklärungen, Wortherkunft, Synonyme, Übersetzungen

• European Repository of Cyber Incidents (EuRepoC) Datenbank zu Cybervorfällen weltweit seit dem Jahr 2000
• Hackerangriffe auf Unternehmen, Firmen, Organisationen und Behörden Datenbank zu Cyberangriffen in Deutschland und weltweit, KonBriefing
• Sicherheitsvorfälle: Datenpannen, Cyber-Angriffe und Schwachstellen Datenbank zu Cyberangriffen in Deutschland und weltweit, DSGVO-Portal
• Technical Report about the Espionage Case at RUAG Offizielles Whitepaper der Schweizer Eidgenossenschaft, GovCERT
• Cyberbedrohungen: Live-Karte Visualisierung weltweit laufender Cyberangriffe, Kaspersky