US-amerikanische Strafverfolger informierten im Jahre 2013 über 3000 Unternehmen, dass Hacker ihre Systeme erfolgreich angegriffen hatten.

Die Warnungen gingen an große und kleine Firmen – von lokalen Banken über große Verteidigungsunternehmen bis hin zu nationalen Großhändlern wie Target. Von Target entwendeten die Angreifer mehr als 40 Millionen Kundendaten.

James A. Lewis vom Zentrum für Strategische und International Studien dazu:

„Dreitausend Unternehmen – das ist bestürzend. Das Problem ist so groß wie oder sogar größer als wir dachten.“

Allerdings repräsentiert diese Zahl nur einen Bruchteil der Cyberangriffe im privaten Sektor. Häufig stehen kriminelle Gruppierungen und ausländische Regierungen hinter den Attacken. Viele kommen aus China und Osteuropa. Der Schaden für US-amerikanische Unternehmen und Kunden beläuft sich auf rund 100 Milliarden US-Dollar jährlich.

Der Umfang der Benachrichtigungen entspringt der Bemühung, Informationen über Cyber-Bedrohungen besser zu teilen. Präsident Obama ordnete im Februar 2013 an, den Umfang, die Aktualität und Qualität von derartigen Informationen für den privaten Sektor zu erhöhen.

Bisher existiert noch keine gesetzliche Regelung für Sicherheitsstandards in kritischen Industriezweigen und für den Informationsfluss hinsichtlich Cyber-Bedrohungen. Allerdings veröffentlichte die US-amerikanische Regierung letzten Monat ein Rahmenwerk von Best Practices. Diesem können Unternehmen folgen, die ihre Computernetzwerke sichern wollen.

Der Cybersicherheits-Koordinator des Weißen Hauses, Michael Daniel:

„Wenn Unternehmen benachrichtigt werden, dass sie Opfer bösartiger Cyber-Attacken sind, sollte das ein Weckruf sein. US-Firmen müssen ihre Cybersicherheit erhöhen.“

Daniel zufolge müssen Unternehmen geschickt in Personal und Technologie investieren – und dass das Teilen von Informationen mit den Behörden ausschlaggebend sein kann.
Rund 2.000 der Meldungen überbrachte das FBI persönlich oder via Telefon. Beim FBI arbeiten 1.000 Personen im Bereich Cybersicherheit. Einige der Meldungen gingen an dieselbe Firma, aber für verschiedene Vorfälle.

Auch wenn nicht jedes Unternehmen persönlich besucht werden kann, ist das FBI bemüht, alle nützlichen Informationen bereitzustellen. Tim Marsh vom FBI:

„Der frustrierende Part für die Unternehmen ist, wenn Behörden kommen und sagen: ‚Ihr seid ein Opfer, ihr wurdet angegriffen, mehr wissen wir nicht.‘. Deshalb versuchen wir sicherzustellen, vor unserem Besuch hochwertige Informationen zu sammeln.“

Dies beinhaltet IP-Adressen, Samples der Malware und spezifische Signaturen der jeweiligen Attacke.

Häufig hat die betroffene Firma keine Ahnung, dass sie Opfer einer Cyber-Attacke ist. Laut einer Studie von Verizon erfahren sieben von zehn Firmen durch Externe von einem derartigen Vorfall. Steven Chabinsky vom FBI dazu:

„Das ist ein ironischer Rollentausch. Normalerweise ruft das Opfer die Polizei, nicht die Polizei das Opfer an.“

Artikel von networkworld.com, 26.03.2014: How do the FBI and Secret Service know your network has been breached before you do?
Artikel von washingtonpost.com, 24.03.2014: U.S. notified 3,000 companies in 2013 about cyberattacks