Stellen Sie sich vor, Sie sitzen morgens am Schreibtisch, nehmen einen Schluck aus dem Kaffeebecher und schalten Ihren Laptop ein – doch statt Ihrer Katze auf dem Hintergrundbild begrüsst Sie Adolf Hitler mit ausgestrecktem Arm. Darunter finden Sie eine Nachricht: «Hier ist die Hitler-Erpresser-Software. Ihre Dateien wurden verschlüsselt.» Der virtuelle Adolf bietet Ihnen ein Geschäft an: Gegen eine Lösegeldzahlung werden die Dateien wieder entschlüsselt und der Spuk ist vorbei. Eine gruselige Vorstellung.

Der Hitler-Trojaner ist einer der skurrilsten und zugleich geschmacklosesten Erpressungstrojaner, die derzeit zu Hunderten im Umlauf sind. Dabei zählt er noch zu den harmloseren Vertretern. Weitaus schlimmere Trojaner suchen Privat- und Geschäfts-Computer weltweit heim. Auch die Schweiz gerät zunehmend ins Visier. Die Bedrohungslage sei hoch, sagen die Sicherheits-Experten der IT-Stiftung Switch.

Wer nistet in meinem Computer?

Zuerst stellt sich die Frage, womit wir es hier eigentlich zu tun haben. Die sogenannten Erpressungstrojaner (englisch: Ransomware), gelangen auf herkömmliche Wege in den Computer, etwa im Anhang einer Email. Wird dieser geöffnet, steht dem Trojaner der Weg ins eigene System offen. Dort nistet er sich ein. Unbemerkt hockt er da und fängt nicht etwa an, irgendwas kaputtzumachen. Die Zeiten, in denen Hacker plumpen Cyber-Vandalismus betrieben, sind vorbei. Heute haben sie ganz anderes im Sinn.

Sitzt die Erpressersoftware erstmal im Computer des Opfers, beginnt sie, Dateien zu verschlüsseln. Nicht alle auf einmal, sondern peu à peu. Still und leise, im Hintergrund. So kriegt das Opfer gar nichts davon mit. Wenn der Trojaner sein Werk vollendet hat, schickt der Hacker eine Nachricht. Das Opfer soll einen Geldbetrag überweisen, dann bekommt es – wenn es Glück hat – die Daten wieder zurück. Meist werden Bitcoins gefordert. Die Internetwährung hinterlässt keine Spuren, die zum Erpresser führen könnten. «Die grosse Masse machen durchschnittliche Haushalte aus, wobei aktuell 1-2 Bitcoins (600-1200 Franken) verlangt werden», teilt Switch mit. Jedoch: «In Einzelfällen werden 5-6-stellige Beträge verlangt.»

200 Millionen Dollar verdient

Der Hacker von heute schickt also keine virtuellen Schlägertrupps mehr los, die auf der Festplatte alles kurz und klein hauen. Stattdessen wurde ein Geschäftsmodell entwickelt. Das ist das Gefährliche daran — und der Grund für die Renaissance der Erpressersoftware.
Letztere ist in vollem Gange. Die Kantonspolizei Aargau etwa teilt auf Anfrage mit, «dass in jüngster Zeit vermehrt solche sogenannte Ransomware im Umlauf ist». Betroffen seien «einerseits Privatpersonen, die im wahllosen Massenversand verbreitete E-Mails erhalten». Andererseits seien im Kanton Fälle bekannt, «bei denen Unternehmungen mit Ransomware gezielt angegriffen und teilweise auch geschädigt wurden». Aus Solothurn heisst es: «Aktuell stellt die Kantonspolizei gegenüber den Vorjahren eine Zunahme der Gefahren für private Internetnutzer und KMU durch Verschlüsselungstrojaner fest.»

Über genaue Zahlen verfügen die Behörden nicht. Die zuständige Melde- und Analysestelle Informationssicherung (Melani) erklärt: «Da in der Schweiz keine Meldepflicht besteht, verfügt Melani über keine Zahlen bezüglich Erpressungsversuchen. Wir gehen jedoch davon aus, dass die Anzahl der Opfer stark zugenommen hat und die Tendenz weiter steigen wird.» Wie lukrativ das Geschäft für die Cyberkriminellen ist, zeigt eine Zusammenstellung des US-Softwareunternehmens Landesk. Demnach wurden Hackern in diesem Jahr bereits mehr als 200 Millionen Dollar Lösegeld bezahlt. Das perfide: Sie beschränken sich nicht auf Firmen und Privatnutzer. Angriffe werden auch auf Einrichtungen wie Krankenhäuser verübt.

Da Patientendaten hochbrisante Ware ist, fordern Kriminelle wesentlich mehr Geld, wie Anfang Jahr bei mehreren Krankenhäusern im deutschen Bundesland Nordrhein-Westfalen geschehen.
Den angefragten Polizeistellen der Kantone seien derartige Fälle in der Schweiz nicht bekannt, liessen sie wissen. Fragt man bei den IT-Experten von Switch nach, ob es Fälle gab, in denen hiesige Behörden oder Krankenhäuser angegriffen wurden, lautet die Antwort: «Es sind uns Fälle in verschiedenen Sektoren bekannt.» Und bei MELANI heisst es geheimniskrämerisch: Man erteile keine Auskünfte «ob und falls ja, welche Einrichtungen oder Firmen Opfer einer Cyber Attacke geworden sind».

Während in der Schweiz keine offiziellen Zahlen existieren, zeigt ein Blick nach Deutschland die Dimension: Laut dem dortigen Bundesamt für Sicherheit in der Informationstechnik (BSI) gab im Zuge einer Umfrage ein Drittel der Firmen an, in den letzten sechs Monaten von Ransomware betroffen gewesen zu sein. Die Auswirkungen reichten von einigen einzelnen befallenen Arbeitsplatzrechnern bis zum Verlust von Firmendaten. In jedem fünften betroffenen Unternehmen kam es zu einem erheblichen Ausfall von Teilen der IT-Infrastruktur.
Behördenchef Arne Schönbohm erklärt dazu: «Die Ergebnisse der BSI-Umfrage machen deutlich, wie verwundbar viele Unternehmen in Deutschland für Cyber-Angriffe sind.» Es gibt keinen Grund anzunehmen, warum das hierzulande anders sein sollte.

Matthias Bossardt ist Leiter Cyber Security bei der Beratungsfirma KPMG.

Matthias Bossardt ist Leiter Cyber Security bei der Beratungsfirma KPMG.