Elementare Gefährdungen G 0.40 Verhinderung von Diensten (Denial of Service) Es gibt eine Vielzahl verschiedener Angriffsformen, die darauf abzielen, die vorgesehene Nutzung bestimmter Dienstleistungen, Funktionen oder Geräte zu verhindern. Der Oberbegriff für solche Angriffe ist „Verhinderung von Diensten“ (englisch: „Denial of Service“). Häufig wird auch die Bezeichnung „DoS-Angriff“ verwendet. Solche Angriffe können unter anderem von verärgerten Mitarbeitern oder Kunden, aber auch von Mitbewerbern, Erpressern oder politisch motivierten Tätern ausgehen. Das Ziel der Angriffe können geschäftsrelevante Werte aller Art sein. Typische Ausprägungen von DoS-Angriffen sind • Störungen von Geschäftsprozessen, z. B. durch Überflutung der Auftragsannahme mit fehlerhaften Bestellun- gen, • Beeinträchtigungen der Infrastruktur, z. B. durch Blockieren der Türen der Institution, • Herbeiführen von IT-Ausfällen, indem z. B. Dienste eines Servers im Netz gezielt überlastet werden. Diese Art von Angriffen steht häufig im Zusammenhang mit verteilten Ressourcen, indem ein Angreifer diese Res- sourcen so stark in Anspruch nimmt, dass sie den eigentlichen Nutzern nicht mehr zur Verfügung stehen. Bei IT- basierten Angriffen können z. B. die folgenden Ressourcen künstlich verknappt werden: Prozesse, CPU-Zeit, Ar- beitsspeicher, Plattenplatz, Übertragungskapazität. 40                                                                   IT-Grundschutz-Kompendium: Stand Februar 2021

Elementare Gefährdungen G 0.41 Sabotage Sabotage bezeichnet die mutwillige Manipulation oder Beschädigung von Sachen oder Prozessen mit dem Ziel, dem Opfer dadurch Schaden zuzufügen. Besonders attraktive Ziele können Rechenzentren oder Kommunikations- anbindungen von Behörden bzw. Unternehmen sein, da hier mit relativ geringen Mitteln eine große Wirkung er- zielt werden kann. Die komplexe Infrastruktur eines Rechenzentrums kann durch gezielte Beeinflussung wichtiger Komponenten, ge- gebenenfalls durch Täter von außen, vor allem aber durch Innentäter, punktuell manipuliert werden, um Betriebs- störungen hervorzurufen. Besonders bedroht sind hierbei nicht ausreichend geschützte gebäudetechnische oder kommunikationstechnische Infrastruktur sowie zentrale Versorgungspunkte, die organisatorisch oder technisch gegebenenfalls auch nicht überwacht werden und für Externe leicht und unbeobachtet zugänglich sind. Beispiele: • In einem großen Rechenzentrum führte die Manipulation an der USV zu einem vorübergehenden Totalausfall. Der Täter hatte wiederholt die USV von Hand auf Bypass geschaltet und dann die Hauptstromversorgung des Gebäudes manipuliert. Insgesamt fanden in drei Jahren vier Ausfälle statt. Teilweise kam es sogar zu Hardware- Schäden. Die Betriebsunterbrechungen dauerten zwischen 40 und 130 Minuten. • Innerhalb eines Rechenzentrums waren auch sanitäre Einrichtungen untergebracht. Durch Verstopfen der Ab- flüsse und gleichzeitiges Öffnen der Wasserzufuhr drang Wasser in zentrale Technikkomponenten ein. Die auf diese Weise verursachten Schäden führten zu Betriebsunterbrechungen des Produktivsystems. • Für elektronische Archive stellt Sabotage ein besonderes Risiko dar, da hier meist auf kleinem Raum viele schüt- zenswerte Dokumente verwahrt werden. Dadurch kann unter Umständen durch gezielte, wenig aufwendige Manipulationen ein großer Schaden verursacht werden. IT-Grundschutz-Kompendium: Stand Februar 2021                                                                   41

Elementare Gefährdungen G 0.42 Social Engineering Social Engineering ist eine Methode, um unberechtigten Zugang zu Informationen oder IT-Systemen durch soziale Handlungen zu erlangen. Beim Social Engineering werden menschliche Eigenschaften wie z. B. Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität ausgenutzt. Dadurch können Mitarbeiter so manipuliert werden, dass sie unzulässig handeln. Ein typischer Fall von Angriffen mit Hilfe von Social Engineering ist das Manipulieren von Mitarbeitern per Telefonanruf, bei dem sich der Angreifer z. B. ausgibt als: • Vorzimmerkraft, deren Vorgesetzter schnell noch etwas erledigen will, aber sein Passwort vergessen hat und es jetzt dringend braucht, • Administrator, der wegen eines Systemfehlers anruft, da er zur Fehlerbehebung noch das Passwort des Benut- zers benötigt. Wenn kritische Rückfragen kommen, ist der Neugierige angeblich „nur eine Aushilfe“ oder eine „wichtige“ Per- sönlichkeit. Eine weitere Strategie beim systematischen Social Engineering ist der Aufbau einer längeren Beziehung zum Opfer. Durch viele unwichtige Telefonate im Vorfeld kann der Angreifer Wissen sammeln und Vertrauen aufbauen, das er später ausnutzen kann. Solche Angriffe können auch mehrstufig sein, indem in weiteren Schritten auf Wissen und Techniken aufgebaut wird, die in vorhergehenden Stufen erworben wurden. Viele Anwender wissen, dass sie Passwörter an niemanden weitergeben dürfen. Social Engineers wissen dies und müssen daher über andere Wege an das gewünschte Ziel gelangen. Beispiele hierfür sind: • Ein Angreifer kann das Opfer bitten, ihm unbekannte Befehle oder Applikationen auszuführen, z. B. weil dies bei einem IT-Problem helfen soll. Dies kann eine versteckte Anweisung für eine Änderung von Zugriffsrechten sein. So kann der Angreifer an sensible Informationen gelangen. • Viele Benutzer verwenden zwar starke Passwörter, aber dafür werden diese für mehrere Konten genutzt. Wenn ein Angreifer einen nützlichen Netzdienst (wie ein E-Mail-Adressensystem) betreibt, an dem die Anwender sich authentisieren müssen, kann er an die gewünschten Passwörter und Logins gelangen. Viele Benutzer werden die Anmeldedaten, die sie für diesen Dienst benutzen, auch bei anderen Diensten verwenden. Wenn sich Angreifer unerlaubt Passwörter oder andere Authentisierungsmerkmale verschaffen, beispielsweise mit Hilfe von Social Engineering, wird dies häufig auch als „Phishing“ (Kunstwort aus „Password“ und „Fishing“) be- zeichnet. Beim Social Engineering tritt der Angreifer nicht immer sichtbar auf. Oft erfährt das Opfer niemals, dass es ausge- nutzt wurde. Ist dies erfolgreich, muss der Angreifer nicht mit einer Strafverfolgung rechnen und besitzt außerdem eine Quelle, um später an weitere Informationen zu gelangen. 42                                                                     IT-Grundschutz-Kompendium: Stand Februar 2021

Elementare Gefährdungen G 0.43 Einspielen von Nachrichten Angreifer senden bei dieser Angriffsform speziell vorbereitete Nachrichten an Systeme oder Personen mit dem Ziel, für sich selbst einen Vorteil oder einen Schaden für das Opfer zu erreichen. Um die Nachrichten geeignet zu kons- truieren, nutzen die Angreifer beispielsweise Schnittstellenbeschreibungen, Protokollspezifikationen oder Auf- zeichnungen über das Kommunikationsverhalten in der Vergangenheit. Es gibt zwei in der Praxis wichtige Spezialfälle des Einspielens von Nachrichten: • Bei einer „Replay-Attacke“ (Wiedereinspielen von Nachrichten) zeichnen Angreifer gültige Nachrichten auf und spielen diese Information zu einem späteren Zeitpunkt (nahezu) unverändert wieder ein. Es kann auch ausrei- chen, nur Teile einer Nachricht, wie beispielsweise ein Passwort, zu benutzen, um unbefugt in ein IT-System ein- zudringen. • Bei einer „Man-in-the-Middle-Attacke“ nimmt der Angreifer unbemerkt eine Vermittlungsposition in der Kom- munikation zwischen verschiedenen Teilnehmern ein. In der Regel täuscht er hierzu dem Absender einer Nach- richt vor, der eigentliche Empfänger zu sein, und er täuscht dem Empfänger vor, der eigentliche Absender zu sein. Wenn dies gelingt, kann der Angreifer dadurch Nachrichten, die nicht für ihn bestimmt sind, entgegenneh- men und vor der Weiterleitung an den eigentlichen Empfänger auswerten und gezielt manipulieren. Eine Verschlüsselung der Kommunikation bietet keinen Schutz vor Man-in-the-Middle-Attacken, wenn keine si- chere Authentisierung der Kommunikationspartner stattfindet. Beispiele: • Ein Angreifer zeichnet die Authentisierungsdaten (z. B. Benutzerkennung und Passwort) während des Anmelde- vorgangs eines Benutzers auf und verwendet diese Informationen, um sich Zugang zu einem System zu ver- schaffen. Bei rein statischen Authentisierungsprotokollen kann damit auch ein verschlüsselt übertragenes Pass- wort benutzt werden, um unbefugt auf ein fremdes System zuzugreifen. • Um finanziellen Schaden beim Arbeitgeber (Unternehmen oder Behörde) zu verursachen, gibt ein Mitarbeiter eine genehmigte Bestellung mehrmals auf. IT-Grundschutz-Kompendium: Stand Februar 2021                                                                     43

Elementare Gefährdungen G 0.44 Unbefugtes Eindringen in Räumlichkeiten Wenn Unbefugte in ein Gebäude oder einzelne Räumlichkeiten eindringen, kann dies verschiedene andere Gefah- ren nach sich ziehen. Dazu gehören beispielsweise Diebstahl oder Manipulation von Informationen oder IT-Syste- men. Bei qualifizierten Angriffen ist die Zeitdauer entscheidend, in der die Täter ungestört ihr Ziel verfolgen kön- nen. Häufig wollen die Täter wertvolle IT-Komponenten oder andere Waren, die leicht veräußert werden können, steh- len. Ziel eines Einbruchs kann es jedoch unter anderem auch sein, an vertrauliche Informationen zu gelangen, Ma- nipulationen vorzunehmen oder Geschäftsprozesse zu stören. Durch das unbefugte Eindringen in Räumlichkeiten können somit mehrere Arten von Schäden entstehen: • Schon durch das unbefugte Eindringen können Sachschäden entstehen. Fenster und/oder Türen werden ge- waltsam geöffnet und dabei beschädigt, sie müssen repariert oder ersetzt werden. • Entwendete, beschädigte oder zerstörte Geräte oder Komponenten müssen repariert oder ersetzt werden. • Es können Schäden durch die Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen oder Anwendungen entstehen. Beispiele: • Vandalismus • Bei einem Einbruch in ein Unternehmen an einem Wochenende wurde nur Bagatellschaden durch Aufhebeln eines Fensters angerichtet, lediglich eine Kaffeekasse und kleinere Einrichtungsgegenstände wurden entwen- det. Bei einer Routinekontrolle wurde jedoch später festgestellt, dass ein zentraler Server genau zum Zeitpunkt des Einbruchs geschickt manipuliert wurde. 44                                                                    IT-Grundschutz-Kompendium: Stand Februar 2021

Elementare Gefährdungen G 0.45 Datenverlust Ein Datenverlust ist ein Ereignis, das dazu führt, dass ein Datenbestand nicht mehr wie erforderlich genutzt werden kann (Verlust der Verfügbarkeit). Eine häufige Form des Datenverlustes ist, dass Daten unbeabsichtigt oder uner- laubt gelöscht werden, z. B. durch Fehlbedienung, Fehlfunktionen, Stromausfälle, Verschmutzung oder Schadsoft- ware. Ein Datenverlust kann jedoch auch durch Beschädigung, Verlust oder Diebstahl von Geräten oder Datenträgern entstehen. Dieses Risiko ist bei mobilen Endgeräten und mobilen Datenträgern häufig besonders hoch. Weiterhin ist zu beachten, dass viele mobile IT-Systeme nicht immer online sind. Die auf diesen Systemen gespei- cherten Daten befinden sich daher nicht immer auf dem aktuellsten Stand. Wenn Datenbestände zwischen mobi- len IT-Systemen und stationären IT-Systemen synchronisiert werden, kann es durch Unachtsamkeit oder Fehlfunk- tion zu Datenverlusten kommen. Beispiele: • Der PDA fällt aus der Hemdtasche und zerschellt auf den Fliesen, ein Mobiltelefon wird statt der Zeitung vom Hund apportiert, leider mit Folgen. Solche und ähnliche Ereignisse sind die Ursachen von vielen Totalverlusten der Daten mobiler Endgeräte. • Es gibt Schadprogramme, die gezielt Daten auf infizierten IT-Systemen löschen. Bei einigen Schädlingen wird die Löschfunktion nicht sofort bei der Infektion ausgeführt, sondern erst, wenn ein definiertes Ereignis eintritt, z. B. wenn die Systemuhr ein bestimmtes Datum erreicht. • Viele Internet-Dienste können genutzt werden, um online Informationen zu speichern. Wenn das Passwort ver- gessen wird und nicht hinterlegt ist, kann es passieren, dass auf die gespeicherten Informationen nicht mehr zugegriffen werden kann, sofern der Dienstleister kein geeignetes Verfahren zum Zurücksetzen des Passwortes anbietet. • Festplatten und andere Massenspeichermedien haben nur eine begrenzte Lebensdauer. Wenn keine geeigneten Redundanzmaßnahmen getroffen sind, kann es durch technische Defekte zu Datenverlusten kommen. IT-Grundschutz-Kompendium: Stand Februar 2021                                                                      45

Elementare Gefährdungen G 0.46 Integritätsverlust schützenswerter Informationen Die Integrität von Informationen kann durch verschiedene Ursachen beeinträchtigt werden, z. B. durch Manipulati- onen, Fehlverhalten von Personen, Fehlbedienung von Anwendungen, Fehlfunktionen von Software oder Über- mittlungsfehler. • Durch die Alterung von Datenträgern kann es zu Informationsverlusten kommen. • Übertragungsfehler: Bei der Datenübertragung kann es zu Übertragungsfehlern kommen. • Schadprogramme: Durch Schadprogramme können ganze Datenbestände verändert oder zerstört werden. • Fehleingaben: Durch Fehleingaben kann es zu so nicht gewünschten Transaktionen kommen, die häufig lange Zeit nicht bemerkt werden. • Angreifer können versuchen, Daten für ihre Zwecke zu manipulieren, z. B. um Zugriff auf weitere IT-Systeme oder Datenbestände zu erlangen. • Durch Manipulation der Index-Datenbank können elektronische Archive veranlasst werden, gefälschte Doku- mente zu archivieren oder wiederzugeben. Wenn Informationen nicht mehr integer sind, kann es zu einer Vielzahl von Problemen kommen: • Informationen können im einfachsten Fall nicht mehr gelesen, also weiterverarbeitet werden. • Daten können versehentlich oder vorsätzlich so verfälscht werden, dass dadurch falsche Informationen weiter- gegeben werden. Hierdurch können beispielsweise Überweisungen in falscher Höhe oder an den falschen Emp- fänger ausgelöst werden, die Absenderangaben von E-Mails könnten manipuliert werden oder vieles mehr. • Wenn verschlüsselte oder komprimierte Datensätze ihre Integrität verlieren (hier reicht die Änderung eines Bits), können sie unter Umständen nicht mehr entschlüsselt bzw. entpackt werden. • Dasselbe gilt auch für kryptographische Schlüssel, auch hier reicht die Änderung eines Bits, damit die Schlüssel unbrauchbar werden. Dies führt dann ebenfalls dazu, dass Daten nicht mehr entschlüsselt oder auf ihre Authen- tizität überprüft werden können. • Dokumente, die in elektronischen Archiven gespeichert sind, verlieren an Beweiskraft, wenn ihre Integrität nicht nachgewiesen werden kann. 46                                                                  IT-Grundschutz-Kompendium: Stand Februar 2021

Elementare Gefährdungen G 0.47 Schädliche Seiteneffekte IT-gestützter Angriffe IT-gestützte Angriffe können Auswirkungen haben, die • von den Tätern nicht beabsichtigt sind oder • nicht die unmittelbar angegriffenen Zielobjekte betreffen oder • unbeteiligte Dritte schädigen. Ursächlich hierfür sind die hohe Komplexität und Vernetzung moderner Informationstechnik sowie die Tatsache, dass die Abhängigkeiten der angegriffenen Zielobjekte und der zugehörigen Prozesse in der Regel nicht offenkun- dig sind. Dadurch kann es unter anderem dazu kommen, dass der tatsächliche Schutzbedarf von Zielobjekten falsch einge- schätzt wird oder dass die Verantwortlichen für die Zielobjekte kein Eigeninteresse an der Behebung von Mängeln dieser Zielobjekte haben. Beispiele: • Auf IT-Systemen installierte Bots, mit denen die Täter verteilte Denial-of-Service-Angriffe (DDoS-Angriffe) durch- führen können, stellen für die infizierten IT-Systeme selbst oft keine direkte Gefahr dar, weil sich die DDoS-An- griffe in der Regel gegen IT-Systeme Dritter richten. • Schwachstellen von IoT-Geräten in WLANs können von Tätern als Einfallstor genutzt werden, um andere wichti- gere Geräte im gleichen WLAN anzugreifen. Deshalb müssen solche IoT-Geräte auch dann geschützt werden, wenn sie selbst nur einen geringen Schutzbedarf haben. • Ransomware-Angriffe auf IT-Systeme können unter Umständen Kettenreaktionen auslösen und damit auch Kri- tische Infrastrukturen treffen. Dies wiederum könnte zu Versorgungsengpässen der Bevölkerung führen, auch wenn die Täter dies möglicherweise gar nicht beabsichtigt haben. IT-Grundschutz-Kompendium: Stand Februar 2021                                                                      47

Elementare Gefährdungen 48                      IT-Grundschutz-Kompendium: Stand Februar 2021

ISMS: Sicherheitsmanagement