Das amerikanische IT-Sicherheitsunternehmen iSec  behauptet, dass möglicherweise über hundert Firmen Opfer der auch als Google-Hack bekannt gewordenen Aurora-Industriespionageangriffe wurden. Bisher unbekannte Täter hatten Ende 2009 teils über Monate gezielte Angriffe auf die IT-Sicherheit vornehmlich amerikanischer Unternehmen geführt. In mindestens 33 Fällen - iSec behauptet, von mehr zu wissen - war ihnen das gelungen. Google hatte die angeblich von China aus geführte Aktion Anfang Januar öffentlich gemacht. Seitdem sind einige Analysen zu dem Thema erschienen, die aktuelle von iSec aber malt ein besonders pessimistisches Bild: Ihr zufolge seien Unternehmen gegen solche Attacken weitgehend wehrlos.

Denn die Untersuchung habe ergeben, dass jede einzelne der Attacken auf das angegriffene Unternehmen zugeschnitten war. Dabei gingen die Angreifer in drei Schritten vor:

• Social Hacking: Zunächst wurden Angestellte der Zielfirmen ausgeforscht und unter Vorwand Zugang zu ihnen gesucht. Ein stark vereinfachtes Beispiel: Ein Angreifer ruft bei einer Sekretärin an, gibt sich als Mitarbeiter einer anderen Abteilung aus und fragt nach einem bestimmten Passwort.
• IT-Analyse: In einem zweiten Schritt spähten die Angreifer die eingesetzte Hard- und Software der Firmen aus. So lassen sich etwaige Sicherheitslücken gezielt ausnutzen.
• Infiltrierung: Im dritten Schritt wurden die derart gesammelten Erkenntnissen genutzt, um zielgerichtet in das Rechnernetz einzudringen.

Das deckt sich kaum mit dem Bild, das man bisher von Cyberattacken hatte, die meist schnell, weitgehend standardisiert und automatisiert eher mit einem Massenansatz arbeiteten: In Form von Massenmails mit Phishing-Links, mit Massen von Portscans, die automatisiert nach offenen Schnittstellen suchen, mit Trojanern, die Hintertüren öffnen.

Selbst als fortschrittlich geltende Sicherheitsmaßnahmen kompetenter IT-Unternehmen hätten sich dagegen meist als wirkungslos erwiesen. Die Kriminellen hätten teils Monate darauf verwandt, einen Zugang zu finden. Unternehmen seien auf eine solche Form der gezielten Hartnäckigkeit einfach nicht vorbereitet. Wer sich gegen einen derart ausgefuchsten Angriff schützen wolle, argumentiert iSec, müsse seine IT-Strukturen und seine Denkweise über IT-Sicherheit von Grund auf ändern. Das Unternehmen verbindet seine Analyse mit Empfehlungen zur besseren Absicherung von IT-Infrastrukturen .

Immer mehr Attacken

Das gilt offenbar auch für den öffentlichen Sektor. Die Ergebnisse einer Mitte Februar durchgeführten Übung des Bipartisan Policy Center decken sich mit den Ansichten der kommerziellen IT-Sicherheitsexperten: Auch in dem mit hochkarätigen Experten besetzten Planspiel eines Angriffs auf kritische Infrastrukturen in den USA kamen weder Firmen, noch Behörden oder Geheimdienste gut weg. "Den Cyberwar", urteilte wenige Tage danach der ehemalige NSA-Chef Michael McConnell in einer Anhörung des Senats, "würden wir verlieren".

Seiner Ansicht nach, die er Tage darauf in einem exklusiven Artikel für die "Washington Post"  noch einmal darlegte, reicht auch die digitale Hochrüstung einzelner Geheimdienste und Behörden nicht aus, um kritische Infrastrukturen vor Attacken zu schützen. McConnell glaubt, die Schaffung eines National Cybersecurity Center sei eine Notwendigkeit - eine Behörde, die sowohl Prävention als auch Abwehr koordiniert.

Denn das Problem, hörte der US-Senat auch von anderen Experten, sei inzwischen weit größer als allgemein wahrgenommen. Der Wirtschaft entstünden durch kriminelle Angriffe und Spionage mit digitalen Mitteln substantielle und wachsende Schäden.

Hohe Dunkelziffer

Das Beispiel der Google-Hacks zeigt, dass viele der Angriffe entweder gar nicht bemerkt oder geheim gehalten werden, seriöse, belastbare Zahlen über tatsächliche Schäden gibt es darum nicht.

Das US-Verteidigungsministerium allerdings machte im November 2009 öffentlich, warum in der Pentagon-EDV so schnell keine Langeweile aufkommt: Im Rahmen des Jahresberichtes einer Kongress-Kommission  zu Fragen der Wirtschafts- und Sicherheitsfragen im Verhältnis zwischen USA und China wurden konkrete Zahlen genannt. Demnach gab es allein 2008 stolze 54.640 gezielte Attacken gegen die IT-Infrastruktur des Ministeriums. Daran erinnert man sich im Pentagon möglicherweise sentimental als die guten, alten, ruhigen Zeiten, denn laut Kongressbericht stieg die Zahl der Attacken dann im ersten Halbjahr 2009 auf 43.785. Daraus, so der Bericht, lasse sich auf eine Steigerung gegenüber dem Vorjahr um rund 60 Prozent schließen.