«Die Informationssicherheit beginnt beim Menschen, nicht bei der Technik!»

Viele IT-Verantwortliche sind sich gar nicht bewusst, welche Gefahren von USB-Ports ausgehen. Zum Beispiel das O.MG-Kabel: Dieses ist optisch von einem Apple-Ladekabel nicht zu unterscheiden. In ihm ist aber ein Keylogger integriert, der über WLAN abgerufen werden kann. Wir haben uns mit dem IT-Security-Experten Roger Süess über das Thema unterhalten.

.

Interview mit Roger Süess

Roger Süess

Herr Süess, prüfen Sie vor dem Aufstarten Ihres PCs jeweils, was am USB-Port angeschlossen ist?

Roger Süess: Ja, sämtliche Anschlüsse werden geprüft. Da ich ausschliesslich Laptops zur Vollrichtung meiner privaten und geschäftlichen Tätigkeiten nutze, sind alle verfügbaren USB-Anschlüsse in unmittelbarem Sichtbereich. Mit technischen Massnahmen schütze ich meine Infrastruktur vor unbekannten USB-Devices jeglicher Art. Auf die Nutzung von USB-Speichermedien verzichte ich grundsätzlich, denn dadurch können Daten unter Umständen meinen Einflussbereich verlassen.

Mit der Erteilung des Führerausweises wird jedem Fahrer eingetrichtert, dass er für den Zustand des Fahrzeuges wie Reifendruck, Bremsen etc. verantwortlich ist. Ist es notwendig, dass IT-Anwender auch mehr Verantwortung für ihr Handeln übernehmen?

Es ist notwendig, dass IT-Anwender ein Risikobewusstsein entwickeln und die eigenen Handlungen und im Idealfall auch solche Dritter hinterfragen. Jeder Anwender, egal in welchem Kontext, ist für seine eigenen Handlungen verantwortlich und kann weitreichenden Schaden verursachen. Die Informationssicherheit beginnt beim Menschen, nicht bei der Technik. Grundsätzlich gilt, dass die IT-Sicherheit nur so gut ist wie der Mensch, welcher die einzelnen Systeme bedient und wie jener mit allen Arten von Informationen umzugehen weiss.

Smartphone-Ladekabel? Nein, Keylogger inkl. Fernsteuerung, um über WLAN gefährlichen Payload auf einem Rechner auszuführen. Von einem normalen Ladekabel aber optisch nicht zu unterscheiden. Kosten: US$ 160.

Sollten USB-Ports am besten generell blockiert werden, oder was ist da die beste Lösung?

Bei USB handelt es sich um eine universelle Schnittstelle, die nicht nur für externe Datenträger wie USB-Sticks, sondern meistens auch für weitere Komponenten wie Maus, Tastatur, Headset, Kamera, Docking-Stations usw. verwendet wird. Eine allgemein gültige Lösung existiert nicht. Jede Unternehmenskonstellation und die verwendeten Systeme setzen die Nutzung unterschiedlicher Geräte nahezu voraus. Der Einsatzzweck und die Notwendigkeit unter Abwägung von Alternativen sind jedoch entscheidend. Ein multifaktorielles Zusammenspiel mehrerer Schutzmassnahmen kann das Risiko einer erfolgreichen Ausnutzung durch USB-Ports erheblich verringern.

Was sind die realistischsten Risiken, mit denen auch im KMU-Umfeld zu rechnen sind?

Die Risiken, welche von dieser breiten Palette an Hacking-Gadgets ausgehen, sind unermesslich. Die Angriffe sind nicht nur auf USB-Sticks beschränkt. Zu den grössten Risiken zählen:

• Gezielte Spionage von System- und Netzwerkumgebungen
• Fernsteuerung von Systemen und Exfiltration von Daten
• Zeitlich gesteuerte Verschlüsselung der Infrastruktur
• Beschädigung von Gerätschaften, insbesondere Industrielösungen wie CNC-Anlagen
• Ablenkung vor eigentlichem Cyber-Angriff

Roger Süess hat sich schon länger mit diesen Hacking-Technologien auseinandergesetzt. So hat er zur Weiterentwicklung des gefürchteten «O.MG Cables» beigetragen. Er verfügt über eine 25-jährigen Erfahrung in Cyber Security, System- und Netzwerktechnologien. Er teilt sein Wissen gerne als Dozent an Hochschulen, führt das Unternehmen Galaxyweb AG und ist beim IT-Systemintegrator MTF Solutions tätig.

Am 15. November 2022 wird er am Technology Forum ein Referat zum Thema «Gefährliche Hacking-Gadgets» halten. Möchten Sie mehr darüber erfahren? Dann sichern Sie sich jetzt Ihr TEFO-Ticket.