Angst vor Daten-Terroristen

BERLIN. Das Unternehmen operierte global. In Estland saß ein Hacker und drang in die Server einer Restaurantkette in Dallas ein. Die Kreditkarteninformationen, die er dort klaute, wurden in Litauen und in der Ukraine gelagert. Von dort verkauften die Datendiebe sie übers Internet weiter. Einer der Köpfe des Netzwerks: Maksym Yastremskiy alias "maksik", Mitte 20, aus der ukrainischen Industriestadt Kharkiv. Innerhalb von drei Jahren soll er elf Millionen Dollar an den illegalen Geschäften verdient haben. Mitte 2007 nahmen ihn US-Geheimdienstagenten in der Türkei fest. Er galt er als einer der größten Händler in der Online-Unterwelt.Auch wenn sich der Skandal um die verschollenen Kreditkartendaten der Landesbank Berlin gestern als Skurrilität entpuppte, hat die Branche ein enormes Sicherheitsproblem. Kreditkartennummern zählen unter Cyber-Kriminellen zu den am häufigsten gehandelten Waren, hat ein aktueller Report der IT-Sicherheitsfirma Symantec festgestellt. 5,3 Milliarden Dollar hätten Online-Diebe zwischen Juli 2007 und Juni 2008 mit solchen Infos eingenommen. Direkt danach folgen Kontodetails und andere Finanzdaten.Allein in Deutschland hat die Zahl der geklauten Zugangscodes fürs Online-Banking zwischen 2005 und 2007 um knapp 70 Prozent zugenommen. Von 4 200 Fällen erfuhr das Bundeskriminalamt 2007. Womöglich nur ein Bruchteil der Diebstähle: "Gerade im Bereich des digitalen Identitätsdiebstahls ist die Dunkelziffer extrem hoch", sagt Kriminalhauptkommissar Mirko Manske.Mafiöse StrukturenWährend die Realwirtschaft in die Rezession rutscht, wächst der illegale Internethandel. Längst agieren nicht mehr nur einige versprengte Hacker auf eigene Rechnung. "Wir sprechen hier durchaus von mafiösen Strukturen", sagt Thorsten Schuberth, Berater bei der IT-Sicherheitsfirma Checkpoint. "Da hat sich eine ganze Industrie entwickelt." Auch Symantec hat einen "effizienten globalen Marktplatz" für Untergrundgeschäfte ausgemacht.Zu den Daten gelangen die organisierten Hacker vor allem mit zwei Strategien. Zum einen zapfen sie ungesicherte Datenströme an, über die die Kreditkarteninformationen sich von Kunden zu Online-Shops und von dort weiter zu den Banken bewegen. Zum anderen dringen sie direkt in die Server von Firmen ein, wo die wertvollen Daten lagern. Meist, sagt Schuberth, werden ganze Benutzerprofile gesammelt. Offenbar gelangen auch aus Callcentern Daten in Umlauf. Digitale Akten mitsamt Buchungen, Wohnort, Alter, Kaufverhalten, können dann im großen Stil vertrieben werden. "Wir reden hier von Hunderter- oder Tausender-Stückzahlen", sagt Schuberth. Die Sicherheitsfirma Trend Micro weiß, zu welchen Preisen die Dokumente gehandelt werden: eine Führerscheinnummer für 150 Dollar, die Sozialversicherungskarte für 100 Dollar.Manche Betreiber von Internetläden, aber auch die Kunden, würden es den Dieben oft viel zu einfach machen, indem sie etwa drahtlose Netzwerke unzureichend sicherten. Laufen Finanzdaten über eine ungesicherte Verbindung - also eine, bei der in der Browser-Adresszeile nicht https sondern nur http steht - sind sie einfach abzugreifen. Schuberth beschäftigt sich mit dem Schutz von Firmennetzwerken. Man könne sich das bildlich vorstellen wie ein gesichertes Firmengelände mit hohen Zäunen und Mauern. Irgendwo gibt es ein Schlupfloch im Zaun. Solche Löcher in Netzwerken entstehen, wenn ein Angestellter sich einen eigenen drahtlosen Zugang einrichtet, indem er etwa einen WLAN-Router in die Netzwerkdose steckt, ohne die Sicherheit zu informieren.Schuberths Firma entwickelt Software, die in die Netze hineinhorcht, um solche Stellen aufzuspüren - bevor Hacker es tun. Gelingt es den Dieben dennoch, die Daten zu entwenden, tauschen sie sie in den dunklen Ecken des Internets aus, dort wo keine Suchmaschine sie findet. Sie verabreden sich in Foren, richten Adressen ein, unter denen sie die Kreditkartennummern für ihre Abnehmer ablegen. Oft existieren die Austausch-Seiten nur für wenige Minuten.Laut Symantec kosten Kreditkartendaten zwischen zehn Cent und 25 Dollar. Hacker kaufen sie, um sich falsche Identitäten zuzulegen. Internet-Mafiosi bezahlen damit Drogen, Waffen oder räumen Konten leer. Oft fällt das den betrogenen Besitzern zunächst nicht auf.An die Öffentlichkeit dringt meist wenig. Auch deshalb, weil die Banken den Schaden lieber still übernehmen, um ihre Kunden nicht zu verunsichern. Von den Servern einer Hamburger Firma verschwanden einmal über 60 000 Kreditkartennummern, bei einem spektakulären Diebstahl 2005 in den USA sogar 40 Millionen. Dabei waren die Hacker direkt in das System einer Abrechnungsfirma eingedrungen. "In Deutschland werden solche Vorfälle gerne unter den Teppich gekehrt", sagt Schuberth. Firmen wie Checkpoint haben ein Interesse daran, darüber zu reden - so gewinnen sie Kunden. Die Online-Händler dagegen könnten viele verlieren.Der Sicherheits-Stratege macht sich wegen der Untergrundaktivitäten im Netz noch ganz andere Sorgen. Wenn es den Kriminellen wie beim Millionenraub in den USA gelingt, Daten in derart riesigen Mengen zu entwenden, dass niemand es mehr ignorieren kann, könnten sie damit Politik betreiben. Gerade in Zeiten ökonomischer Unsicherheit sei die Destabilisierung von Banken ein "mächtiges Machtmittel". Man könne so nicht nur die Glaubwürdigkeit der Kreditgeber schädigen, sondern im Zweifel auch "ein ganzes Volk aufrütteln". Schuberth hat ein Wort für seine Befürchtung: Terrorismus.------------------------------"Im Bereich des digitalen Identitätsdiebstahls ist die Dunkelziffer extrem hoch." Kriminalhauptkommissar Mirko Manske