Schutz gegen Hackerangriffe auf die Kasse

Die Württembergische Versicherung berichtet von einem realen Fall, bei dem ein Einzelhändler Opfer eines gezielten Hackerangriffs wurde. Der Angriff erfolgte über den Zugang eines Dienstleisters, der seine Rechnungen in ein Abrechnungssystem einstellte. Von dort aus gelangten Cyberkriminelle in das Hauptsystem des Händlers und verteilten Schadprogramme auf den Registrierkassen der Supermärkte. Hier zeichneten sie bei allen Einkäufen die Kreditkartendaten, Geheimzahlen und Umsatzdaten auf.

Im weltberühmten Restaurant Auerbachs Keller in Leipzig haben Hacker das Kassensystem geknackt und die Daten von Kreditkarteninhabern gestohlen. Der Gastronom musste einen IT-Forensiker hinzuziehen und sogar ein neues Kassensystem kaufen.

2018 wurden bei den amerikanischen Kaufhausketten Saks, Lord & Taylor und Hudson‘s Bay insgesamt rd. 5 Mio. Kundendaten gestohlen mithilfe einer Software, die von Cyberkriminellen in die Kassensysteme eingeschleust worden war. Aber auch eine nordrhein-westfälische Bäckereikette wurde Opfer eines Hackerangriffs. Kein Unternehmen ist also zu klein, aber auch keines zu groß, um nicht ein Ziel für Cybergangster zu sein, wobei die Angriffe selbst nicht immer gezielt erfolgen müssen: Erpressungssoftware, Ransomware genannt, greift beispielsweise wahllos Systeme an, die nicht geschützt sind.

Große und kleine Unternehmen

Die Vorstellung, dass nur große Unternehmen angegriffen werden, hält sich dennoch hartnäckig. „Das ist ein gefährlicher Irrglaube“, warnt Alexander Erdland, Präsident des Gesamtverbandes der Deutschen Versicherungswirtschaft e.V. (GDV). Laut der repräsentativen Forsa-Umfrage „Cyberrisiken im Mittelstand“ vom Frühjahr 2019, durchgeführt im Auftrag des GDV, wurde bereits jedes vierte Unternehmen durch Cyberangriffe geschädigt – 5 Prozent sogar mehrfach. In 59 Prozent der Fälle kam es in der Folge zu einer Unterbrechung des Betriebsablaufs. Ein Drittel dieser betroffenen Firmen konnten innerhalb von einem Tag ihre Systeme wiederherstellen. Knapp die Hälfte brauchten bis zu drei Tage, und 18 Prozent benötigten noch länger. Bei 10 Prozent der Unternehmen, die einem Cyberangriff ausgesetzt waren, wurden Unternehmensdaten gestohlen, in 7 Prozent entstand ein Reputationsschaden und in 6 Prozent erpressten die Cyberkriminellen Lösegeld.

Die Gefahr für Angriffe steigt, denn zum einen wächst die Menge an Schadsoftware, und deren Bedienung wird immer einfacher. Zum anderen sind immer mehr Geräte wie Kassen, mobile Bondrucker, Zahlungsterminals, Überwachungskameras etc. mit dem Internet verbunden – und jedes Gerät, das eine eigene IP-Adresse hat, kann von außen angegriffen und manipuliert werden.

Laut der Forsa-Umfrage erfolgten 70 Prozent der Cyberangriffe über E-Mails, die von den Mitarbeitern geöffnet wurden. 27 Prozent wurden mittels Hackerangriffen ausgeführt. Das bedeutet: Die Schwachstelle ist oft der Mensch. Deshalb raten die Experten des GDV zur Vorsicht und empfehlen hohe Sicherheitseinstellungen bei den IT-Geräten sowie der verwendeten Software, starke Passwörter, den Einsatz von Virenscannern und einer Firewall, kein automatisches Öffnen von E-Mails, eine gesunde Skepsis gegenüber Links und Anhängen, aber auch ein regelmäßiges Backup. Außerdem sollte ein Notfallplan erstellt werden, der schriftlich zusammenfasst, was im Fall eines Falles zu tun ist. Der GDV bietet online mit dem Cyber-Sicherheitscheck die Möglichkeit, anhand von Fragen zu überprüfen, ob die derzeitigen Schutzmaßnahmen ausreichend sind.

Desaster verhindern

Trotz der möglichen Schutzmaßnahmen gibt es keine hundertprozentige Sicherheit. Versicherer bieten jedoch Cyberversicherungen an, damit ein erfolgter Cyberangriff nicht zum Desaster für eine betroffene Firma wird. Eine solche übernimmt nach Angaben des GDV die Kosten durch Datendiebstähle, Betriebsunterbrechungen und für den Schadenersatz an Dritte, und sie steht den Kunden im Ernstfall mit einem Serviceangebot zur Seite. Je nach Vertragsvereinbarung erstattet eine solche Police die Kosten, die für eine Datenwiederherstellung entstehen und zahlt der betroffenen Firma den bei einem Betriebsausfall entgangenen Ertrag. Außerdem übernimmt sie Drittschäden, beispielsweise Schadenersatzforderungen von Kunden, mit deren erbeuteten Daten Missbrauch begangen wurde.

Ferner schickt die Versicherung IT-Forensiker, also Experten, die analysieren, warum und wie die Systeme lahmgelegt wurden, die das Ausmaß des Schadens abschätzen und bei der Wiederherstellung der Daten helfen. Zudem unterstützen die Versicherer mitunter mit Anwälten, die sich im IT- und Datenschutzrecht auskennen und zum Beispiel die Kommunikation mit Datenschutzbehörden und Betroffenen übernehmen. Schließlich vermitteln und bezahlen sie auch Krisenkommunikatoren und den Einsatz eines Callcenters, um den Imageschaden möglichst gering zu halten.

Weitere Informationen: redaktion@ehi.org