- Anzeigen -
Embedded Software Engineering Kongress 2022 - Sindelfingen | 05.–09.12.2022
Der ESE Kongress ist Deutschlands Leitkongress der Embedded-Softwarebranche


Dramatischer Anstieg der Cyberkriminalität


Lage der Union 2017: Europäische Kommission verbessert ihre Reaktionsfähigkeit bei Cyberangriffen
Fragen und Antworten: Warum muss die EU im Bereich der Cybersicherheit tätig werden?



Seit 2013 haben sich die Technik und die Sicherheitslage in der Europäischen Union rasend schnell verändert. Digitale Technologien sind inzwischen fester Bestandteil unseres täglichen Lebens und das Rückgrat unserer Wirtschaft. Die durch das Internet der Dinge ausgelöste Revolution ist heute Alltagsrealität, und bis 2020 werden wohl Zigmilliarden Geräte online sein. Gleichzeitig gibt es immer mehr Cyberbedrohungen unterschiedlichster Art.

Angesichts der jüngsten Ransomware-Attacken, des dramatischen Anstiegs der Cyberkriminalität, der immer stärkeren Nutzung von Cyberinstrumenten durch Staaten, die damit ihre geopolitischen Ziele erreichen wollen, und der immer vielfältigeren Cybersicherheitsvorfälle muss die EU in der Lage sein, besser auf Cyberattacken zu reagieren und eine wirksame auch strafrechtliche Abschreckungsstrategie verfolgen, um Bürger, Unternehmen sowie öffentliche Einrichtungen in der EU besser zu schützen. Deshalb schlagen die Kommission und die Hohe Vertreterin wie von Kommissionspräsident Juncker in seiner Rede zur Lage der Union am 13. September bereits angekündigt vor, die Abwehrfähigkeit und Reaktion der EU bei Cyberattacken zu verbessern, indem die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) gestärkt, ein EU-weiter Rahmen für die Cybersicherheitszertifizierung eingeführt, ein Konzeptentwurf für die Reaktion auf große Cybersicherheitsvorfälle und -krisen vorgestellt und ein Europäisches Forschungs- und Kompetenzzentrum für Cybersicherheit gegründet werden soll.

Der Vorschlag umfasst auch eine neue Richtlinie zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit bargeldlosen Zahlungsmitteln, um eine effizientere strafrechtliche Verfolgung bei Cyberangriffen zu ermöglichen, einen Rahmen für eine gemeinsame diplomatische Reaktion der EU auf böswillige Cyberaktivitäten sowie Maßnahmen zur Intensivierung der internationalen Zusammenarbeit in der Cybersicherheit.

Dieses breit angelegte Cybersicherheitspaket baut auf bereits bestehenden Instrumenten auf und stellt neue Initiativen vor, mit denen die Cyberabwehr- und -reaktionsfähigkeit der EU in drei Hauptbereichen noch weiter verbessert werden sollen, um
>> die Abwehrfähigkeit der EU bei Cyberangriffen zu verbessern und die Cybersicherheitskapazitäten der EU auszubauen;
>> bessere Möglichkeiten der strafrechtliche Verfolgung zu schaffen;
>> durch internationale Zusammenarbeit zu einer größeren weltweiten Stabilität beizutragen.

Zahlen und Fakten
Das Ausmaß des Problems erfordert schnelles Handeln. Aktuelle Zahlen zeigen, dass digitale Bedrohungen auf dem Vormarsch sind: Seit Anfang 2016 hat es weltweit täglich über 4000 Ransomware-Attacken gegeben ein Anstieg um 300 Prozent seit 2015. Im vergangenen Jahr waren davon 80 Prozent der europäischen Unternehmen betroffen. Studien weisen darauf hin, dass der durch Cyberkriminalität verursachte wirtschaftliche Schaden zwischen 2013 und 2017 um das Fünffache gestiegen ist und bis 2019 weiter um das Vierfache ansteigen könnte. Insbesondere bei der Ransomware ist eine deutliche Zunahme festzustellen die jüngsten Attacken belegen, wie sehr die kriminellen Cyberaktivitäten zugenommen haben. Doch Ransomware ist bei weitem nicht die einzige Bedrohung.

Laut einer Eurobarometer-Umfrage sehen auch immer mehr Europäer in der Cyberkriminalität eine große Gefahr für die Europäische Union. 87 Prozent der Befragten sehen Cyberkriminalität als wichtige Herausforderung für die innere Sicherheit der EU an, und die Mehrheit befürchtet, eines Tages selbst Opfer irgendeiner Form von Cyberkriminalität zu werden. Die meisten haben Sorge, Schadsoftware auf ihren Geräten zu entdecken (69 Prozent) oder Opfer eines Identitätsdiebstahls (69 Prozent) oder eines Betrugs mit Zahlungskarten oder beim Online-Banking (66 Prozent) zu werden. Bei Online-Zahlungen haben die meisten entweder Angst vor dem Missbrauch ihrer personenbezogenen Daten (45 Prozent) oder vor Sicherheitslücken in den Zahlungsvorgängen selbst (42 Prozent). Viele haben sich deshalb entschlossen, in Sachen Online-Sicherheit aktiv zu werden. So haben 62 Prozent der Befragten ihre Passwörter in den letzten sechs Monaten geändert und 45 Prozent Anti-Viren-Software installiert. Allerdings haben Einige Online-Geschäften sogar gänzlich den Rücken gekehrt: 12 Prozent verringerten ihre Online-Einkäufe und 10 Prozent haben das Online-Banking völlig aufgegeben.

1. Die Abwehrfähigkeit der EU gegenüber Cyberangriffen erhöhen

Warum schlägt die Kommission eine starke EU-Agentur für Cybersicherheit vor?
Das derzeitige Mandat der Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) mit Sitz in Griechenland endet im Juni 2020. Da sich die Cybersicherheitslage seit der Annahme der ENISA-Verordnung stark gewandelt hat, hat die Kommission beschlossen, das Mandat der Agentur zu evaluieren und zu überarbeiten.

Bisher bestand die Rolle der ENISA hauptsächlich darin, Know-how und Beratung anzubieten, nicht aber im Rahmen von Cybersicherheitseinsätzen tätig zu werden. Doch hier hat sich bereits etwas bewegt. Mit der Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS) ist formell das CSIRTs-Netzwerk ein Netzwerk aus den Computer-Notfallteams der Mitgliedstaaten geschaffen worden, dessen Sekretariat von der ENISA gestellt wird.

Die Kommission schlägt nun vor, die ENISA in eine leistungsfähigere EU-Agentur für Cybersicherheit mit einem ständigen Mandat, umfangreicheren operativen Ressourcen und einer soliden Basis für die Zukunft umzugestalten. Die Agentur soll vor allem die Mitgliedstaaten bei der Umsetzung der NIS-Richtlinie unterstützen. In Bereichen wie der operativen Zusammenarbeit und der Sicherheitszertifizierung von Informations- und Kommunikationstechnologie (IKT) werden der Agentur, so wie es die neue Realität und der damit verbundene Bedarf in der Cybersicherheit verlangen, neue Aufgaben und Mittel zugewiesen. Die ENISA wird somit in der EU-Politik im Bereich der Cybersicherheitszertifizierung eine wichtige Rolle spielen, da sie gemeinsam mit den Zertifizierungsstellen der Mitgliedstaaten potenzielle europäische Cybersicherheitszertifizierungsysteme ausarbeiten wird. Das neue Mandat der Agentur, ihre Ziele und ihre Aufgaben sollen regelmäßig überprüft werden.

Warum schlägt die Kommission einen EU-Cybersicherheitszertifizierungsrahmen für IKT-Produkte und -Dienste vor?
Die IKT-Zertifizierung ist nicht nur für die Gewährleistung der Sicherheit von Produkten und Diensten, die für einen reibungslos funktionierenden digitalen Binnenmarkt unerlässlich sind, sondern auch für ein größeres Vertrauen der Nutzer in diese Güter von großer Bedeutung. Gegenwärtig gibt es in der EU unterschiedliche Zertifizierungssysteme für die Sicherheit von IKT-Produkten (u. a. die Certification Sécuritaire de Premier Niveau in Frankreich oder die Commercial Product Assurance im Vereinigten Königreich). Obwohl diese Initiativen zeigen, wie wichtig die Zertifizierung ist, besteht auch die Gefahr, dass die Vielzahl an Zertifizierungsinitiativen zu Markthemmnissen und Marktfragmentierung führen. So müssen intelligente Stromzähler derzeit getrennte Zertifizierungsverfahren in Frankreich, dem Vereinigten Königreich und Deutschland durchlaufen.

Allerdings wird sich kein allgemeingültiges Sicherheitszertifizierungskonzept für alle IKT-Produkte und -dienste des Cyberraums finden lassen. Deshalb schlägt die Kommission die Schaffung eines Europäischen Rahmens für die Cybersicherheitszertifizierung vor. Er soll viele individuelle europäische Zertifizierungssysteme für die Cybersicherheit also klare Beschreibungen der Sicherheitsanforderungen, die die betreffenden Produkte, Systeme oder Dienste erfüllen müssen hervorbringen. Die für anforderungsgerechte Produkte ausgestellten Zertifikate werden in allen Mitgliedstaaten anerkannt werden, sodass für Unternehmen der grenzüberschreitende Handel erleichtert wird und Verbraucher besser über die Sicherheitsmerkmale von Produkten und Diensten im Bilde sind.

Die Nutzung der Zertifizierungssysteme ist für Marktteilnehmer freiwillig. Hohe Cybersicherheitsstandards, die durch ein solches Zertifizierungssystem bescheinigt werden, können sich zu einem Wettbewerbsvorteil für Unternehmen entwickeln, die ihre Kunden von der "Cybertauglichkeit" also einem bestimmten Sicherheitsniveau ihrer Produkte und Dienste überzeugen wollen. Dementsprechend werden solche Systeme ein Produkt- und Dienstleistungsdesign fördern, bei dem Cybersicherheit von vornherein großgeschrieben wird.

Wer wird von dem neuen Zertifizierungsrahmen profitieren und in welcher Weise?
Zu wissen, ob ein Produkt, System oder Dienst bestimmten Anforderungen entspricht, ist die Voraussetzung für das Vertrauen in digitale Systeme und Geräte, auf die wir uns verlassen wollen. Der Rahmen ist daher nützlich für:

>> Bürger und Endnutzer (z. B. für Betreiber wesentlicher Dienste), die die Möglichkeit haben wollen, beim Kauf von IKT-Produkten und diensten, die sie täglich gebrauchen, fundiertere Entscheidungen treffen zu können.

>> Anbieter und Betreiber von IKT-Produkten und -diensten (einschließlich KMU und Start-ups). Sie werden nur ein einziges Verfahren durchlaufen müssen, um ein europäisches Zertifikat zu erhalten, das dann in allen Mitgliedstaaten gilt. Für KMU und Start-ups bedeutet dies auch, dass sie nicht mehr auf potenzielle Markteintrittsschranken stoßen werden. Da es nur noch ein Zertifizierungsverfahren geben wird anstatt mehrerer, die je nach Produkt oder Dienst, dem angestrebten Gewährleistungsniveau und anderen Elementen unterschiedlich teuer sein können , werden Unternehmen ihre Kosten stark reduzieren können. Die Zertifizierung für BSI-Smart-Meter-Gateway kostet beispielsweise mehr als 1 Mio. EUR (höchste Prüf- und Gewährleistungsstufe, bei der nicht nur ein Produkt, sondern auch die gesamte umgebende Infrastruktur geprüft wird). Die Zertifizierung intelligenter Zähler im Vereinigten Königreich und Frankreich liegt dagegen vergleichsweise niedrig bei rund 150 000 EUR. Es kann ferner von einer weltweit steigenden Nachfrage nach sichereren Lösungen ausgegangen werden, sodass Anbieter und Betreiber bei der Deckung dieses Bedarfs zudem einen Wettbewerbsvorteil haben werden.

Auch die öffentliche Verwaltung wird fundiertere Entscheidungen treffen können und zugleich über einen institutionellen Rahmen verfügen, in dem Bereiche, die vorrangig einer IKT-Sicherheitszertifizierung bedürfen, ausgemacht und gemeldet werden können.

Wie wird der europäische Rahmen sich in bereits bestehende bzw. internationale Initiativen einfügen?
Die im künftigen europäischen Rahmen vorgeschlagenen Systeme werden sich so weit wie möglich auf internationale Standards stützen, um so die Entstehung von Handelshemmnissen zu vermeiden und Kohärenz mit internationalen Initiativen sicherzustellen. Wir werden weiterhin mit unseren wichtigsten Handelspartnern an der Entwicklung globaler Standards in diesem Bereich arbeiten.

2. Die Cybersicherheitskapazitäten der EU aufstocken

Was ist die Intention der Empfehlung für eine koordinierte Reaktion der EU auf Cyberangriffe ("Konzeptentwurf")?
In der Empfehlung wird beschrieben, wie sich die bestehenden und bewährten Krisenmanagementprinzipien und mechanismen die Cybersicherheitseinrichtungen auf EU-Ebene und die Kooperationsmechanismen zwischen den Mitgliedstaaten in vollem Umfang zunutze machen werden. Alle bisherigen Verfahren und Akteure werden in einem Prozess zusammengefasst und ihre Rollen auf der technischen, operativen und strategischen Ebene im Falle eines Cybersicherheitsvorfalls präzisiert. Durch die Empfehlung soll der EU ein Reaktionsplan für Fälle schwerwiegender grenzüberschreitender Cyberangriffe und krisen an die Hand gegeben werden. In dem Konzeptentwurf werden die Ziele und Formen der Zusammenarbeit zwischen den Mitgliedstaaten und den EU-Organen bei der Reaktion auf solche Sicherheitsvorfälle beschrieben und erklärt, wie vorhandene Krisenmanagementmechanismen mit den bestehenden Cybersicherheitseinrichtungen auf EU-Ebene interagieren können.

In der Empfehlung werden die Mitgliedstaaten und die EU-Organe auch aufgefordert, für die praktische Umsetzung des Konzeptentwurfs einen EU-Rahmen für die Reaktion auf Cybersicherheitskrisen zu schaffen. Dieser wird im Zuge von Cyber- und anderen Krisenmanagementübungen regelmäßig getestet.

Welche Stellen sind am Krisenmanagement beteiligt? Wie werden sie koordiniert?
Am Krisenmanagement sind Akteure der Mitgliedstaaten und der europäischen Ebenen beteiligt. In den Mitgliedstaaten sind es die zuständigen nationalen Behörden und die durch die NIS-Richtlinie eingerichteten zentralen Anlaufstellen, die Computernotfall-Teams (CSIRTs) und die Cybersicherheitsagenturen. Auf europäischer Ebene sind es die ENISA und Europol/EC3 (das Europäische Zentrum zur Bekämpfung der Cyberkriminalität bei Europol), die Europäische Kommission, der Europäische Auswärtige Dienst und insbesondere dessen für das Krisenmanagement zuständige Dienststellen sowie der Rat. Diese Stellen werden auf der technischen, der operativen und der strategischen Ebene zusammenarbeiten.

Wie wird nach dem Konzeptentwurf künftig mit Cyberangriffen wie WannaCry und Petya/NotPetya umgegangen?
Wie WannaCry und Petya/NotPetya gezeigt haben, können massive Cyberangriffe viele Länder, sowohl in der EU als auch außerhalb ihrer Grenzen, zugleich treffen. Mit dem Konzeptentwurf soll der EU ein erprobter Plan für solche Cybersicherheitsvorfälle/-krisen an die Hand gegeben werden, der eine Zusammenarbeit auf europäischer wie auch auf internationaler Ebene umfasst. Gesetzt wird auf eine rasche Kommunikation zwischen den verschiedenen Akteuren und auf eine koordinierte Reaktion auf große Cyberangriffe. Ferner werden Mechanismen zur Ursachenanalyse eingeführt, damit die Folgen solcher Angriffe wirksam abgemildert und bewältigt werden können. Die Mitgliedstaaten entscheiden im Rahmen der Integrierten Regelung für die politische Reaktion auf Krisen (IPCR), wann der Konzeptentwurf in der Praxis angewandt wird.

Wann und warum werden das Netzwerk und das Europäische Forschungs- und Kompetenzzentrum für Cybersicherheit eingerichtet?
Die EU braucht umfangreiche Investitionen in Cybersicherheitstechnologie, produkte, prozesse und Know-how, um die nötige technische Autonomie in Sachen Cybersicherheit zu erreichen und ihre digitale Wirtschaft, Gesellschaft und Demokratie schützen zu können. Diese Kapazitäten sind auch unerlässlich, um zu den Anstrengungen auf internationaler Ebene, die auf einen sicheren Cyberraum für alle hinarbeiten, beitragen zu können. Auf der Grundlage der Arbeit der Mitgliedstaaten und der 2016 gegründeten öffentlich-privaten Partnerschaft schlägt die Kommission jetzt einen weiteren Schritt vor, um die EU für den Schutz des Cyberraums zu rüsten. Hierzu gehört die Einrichtung eines Cybersicherheits-Kompetenznetzes, in dessen Mittelpunkt das Europäische Forschungs- und Kompetenzzentrum für Cybersicherheit stehen soll.

Dieses Europäische Kompetenzzentrum wird die Entwicklung und Nutzung von Instrumenten und Technik unterstützen, die erforderlich sind, um mit den immer neuen Bedrohungen Schritt halten zu können und zu gewährleisten, dass Europas Mittel zur Abwehr genauso modern sind, wie die Waffen, die die Cyberkriminellen einsetzen. Das Zentrum wird außerdem zum Kapazitätsaufbau in der EU und in den Mitgliedstaaten in diesem Bereich beitragen.

Die Kommission wird in einer Folgenabschätzung die verfügbaren Optionen prüfen lassen u. a. die Möglichkeit, ein gemeinsames Unternehmen zu gründen , damit diese Struktur so bald wie möglich geschaffen werden kann. Die Kommission schlägt des Weiteren vor, im Rahmen von Horizont 2020 eine Pilotphase einzuleiten, um den Investitionen in die Cybersicherheit neuen Schwung zu geben. Die Kommission beabsichtigt, hierfür kurzfristig 50 Mio. EUR zur Verfügung zu stellen.

3. Bessere Möglichkeiten der strafrechtliche Verfolgung zu schaffen

Eine wirkungsvolle Abschreckung setzt einen Rahmen voraus, dessen Maßnahmen glaubwürdig sind und potenzielle Cyberkriminelle und Angreifer abschrecken. Solange die Urheber von Cyberangriffen ob es sich dabei um Staaten oder um andere Angreifer handelt nicht mehr zu befürchten haben, als dass ihr Vorhaben misslingt, werden sie kaum davon ablassen. Eine wirksamere Strafverfolgung und ein besserer Rechtsvollzug mit Schwerpunkt auf Enttarnung, Rückverfolgbarkeit und Verfolgung von Cyberkriminellen sind für eine wirksame Abschreckung von grundlegender Bedeutung.

Ein Schritt zur Verbesserung der strafrechtlichen Verfolgung von Cyberangriffen wurde bereits 2013 mit dem Erlass der Richtlinie über Angriffe auf Informationssysteme unternommen. Darin wurden Mindestvorschriften für die Festlegung von Straftaten und Strafen bei Angriffen auf Informationssysteme festgelegt und operative Maßnahmen zur Verbesserung der behördlichen Zusammenarbeit bereitgestellt.

Wie in dem vorgelegten Bewertungsbericht zur Umsetzung der Richtlinie festgestellt, kann die Richtlinie ihr Wirkungspotenzial erst dann voll entfalten, wenn die Mitgliedstaaten alle Bestimmungen vollständig umsetzen. Die Bewertung ergab, dass die Richtlinie zu erheblichen Fortschritten bei der Angleichung der Einstufung von Cyberangriffen als Straftaten in den einzelnen Mitgliedstaaten geführt hat. Dennoch sind weitere Anstrengungen erforderlich, insbesondere in Bezug auf Begriffsbestimmungen und gemeinsame Standards für das Strafmaß im Falle von Cyberangriffen. Die Kommission ist entschlossen, für eine vollständige und korrekte Umsetzung der Richtlinie zu sorgen und wird den Mitgliedstaaten weiterhin die nötige Unterstützung dabei geben. Die Kommission hält es derzeit nicht für erforderlich, die Richtlinie zu ändern.

Die Kommission will die Abschreckung erhöhen und schlägt deshalb eine neue Richtlinie zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit bargeldlosen Zahlungsmitteln vor, um auch hier eine effizientere strafrechtliche Verfolgung von Cyberkriminellen zu ermöglichen.

Was ist "Betrug im Zusammenhang mit bargeldlosen Zahlungsmitteln"?
Die gängigsten bargeldlosen Zahlungsinstrumente sind Zahlungskarten (Kredit- und Debitkarten), Überweisungen, Lastschriften, E-Geld, virtuelle Währungen, mobiles Geld, Gutscheine und Kundenkarten. In Europa hat sowohl die Zahl als auch der Wert der bargeldlosen Zahlungstransaktionen in den letzten Jahren stetig zugenommen.

Betrug im Bereich der bargeldlosen Zahlung hat ganz unterschiedliche Formen. Die Kriminellen können die Ausführung von Zahlungen auslösen, indem sie Informationen nutzen, an die sie z. B. durch Phishing oder Skimming gelangt sind, oder durch Abgreifen von Daten von bestimmten Websites des Darknets, auf denen gestohlene Kreditkartendaten zum Kauf angeboten werden. Zahlungsbetrug kann auch in Geschäften oder an Bankautomaten mit Hilfe von gefälschten oder gestohlenen Karten begangen werden, mit denen eingekauft oder Geld abgehoben wird. Eine weitere Praxis ist das Hacken von IT-Systemen, die Zahlungen verarbeiten, wobei z. B. die Verkaufsstellen der Transaktionen manipuliert werden oder das Kreditkartenlimit widerrechtlich erhöht wird, damit überhöhte Ausgaben nicht entdeckt werden. Die Statistiken zum Zahlungsbetrug zeigen, dass der Betrug in 66 Prozent der Fälle begangen wird, ohne dass tatsächlich auf die Karte zugegriffen wird. Stattdessen werden lediglich die Kartendaten verwendet.

Warum ist der Betrug im Zusammenhang mit bargeldlosen Zahlungsmitteln eine Sicherheitsgefahr?
Betrug und Fälschung im Zusammenhang mit bargeldlosen Zahlungsmitteln gefährden die Sicherheit, weil sie eine wichtige Einnahmequelle für das organisierte Verbrechen sind und andere Arten der Kriminalität, wie den Terrorismus, den Drogenhandel und den Menschenhandel unterstützen.

Ein Bericht von Europol zeigt auf, dass der kriminelle Markt für Zahlungskartenbetrug in der EU von gut strukturierten, global agierenden Gruppierungen der organisierten Kriminalität beherrscht wird, die jährlich illegal Einnahmen von mindestens 1,44 Mrd. EUR erzielen (Schätzungen der Europäischen Zentralbank). Diese Summe wird voraussichtlich steigen, insbesondere durch die zunehmende Digitalisierung der Wirtschaft und die durch technische Innovation entstehenden neuen Zahlungsinstrumente.

Bargeldlose Zahlungen sind für Online-Geschäfte von deren Sicherheit der digitale Binnenmarkt abhängt unerlässlich. Betrug in diesem Bereich führt dagegen zu erheblichen direkten wirtschaftlichen Verlusten (Fluglinien verlieren z .B. jedes Jahr rund 1 Mrd. USD durch Kartenbetrug) und schadet dem Vertrauen der Verbraucher, was wiederum zu einem Rückgang der Wirtschaftstätigkeit und einem geringeren Engagement im digitalen Binnenmarkt führen kann.

Warum schlägt die Kommission eine neue Richtlinie zum Betrug im Zusammenhang mit bargeldlosen Zahlungsmitteln vor?
Technische Entwicklungen, wie die zunehmende Nutzung mobiler Zahlungsmöglichkeiten oder virtueller Währungen, haben erhebliche Veränderungen im Bereich der bargeldlosen Zahlungen sowie einen Anstieg beim Online-Betrug mit sich gebracht. Um sicherzustellen, dass die Straftaten, die mit neuen Zahlungsinstrumenten begangen werden, wirksam verfolgt werden können, muss der strafrechtliche Rahmen der EU auf dem neuesten Stand sein, insbesondere damit ein ähnliches Strafmaß in allen Mitgliedstaaten gilt. Der Betrug im Zusammenhang mit bargeldlosen Zahlungsmitteln findet häufig in der Online-Welt statt und stellt damit das traditionelle Konzept der Territorialität auf den Prüfstand, denn Informationssysteme können bekanntlich von einem beliebigen Ort aus ferngesteuert werden. Deshalb sollte der Gerichtsstand in Bezug auf die begangenen Delikte nicht von der Staatsangehörigkeit des Täters und dessen Aufenthaltsort abhängen, sondern sich nach dem im Hoheitsgebiet des Mitgliedstaats verursachten Schaden richten.

Obwohl der Rahmenbeschluss zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit unbaren Zahlungsmitteln zur Schaffung eines gemeinsamen EU-weiten strafrechtlichen Rahmens beigetragen hat, reicht der derzeitige Grad der Harmonisierung nicht aus, um Ermittlungen und Strafverfolgung über die nationalen Grenzen hinweg hinreichend zu unterstützen.

Wie wird die neue Richtlinie bei der Bekämpfung des Betrugs im Zusammenhang mit bargeldlosen Zahlungsmitteln helfen?
Die Kommission setzt mit der neuen Richtlinie zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit bargeldlosen Zahlungsmitteln auf eine wirksamere Abschreckung. Im Einklang mit der Sicherheitsagenda und der Cybersicherheitsstrategie der Europäischen Union sowie der Strategie für einen digitalen Binnenmarkt will die Richtlinie die Mitgliedstaaten besser in die Lage versetzen, diese Art des Betrugs strafrechtlich zu verfolgen und zu ahnden, und zwar durch

>> bessere Möglichkeiten der Strafverfolgungsbehörden, diese Form der Kriminalität zu bekämpfen, indem die Definition von "Delikt" im Zusammenhang mit Informationssystemen auf alle Arten von Zahlungsvorgängen, einschließlich solcher mit virtueller Währung, ausgeweitet wird;

>> die Einführung gemeinsamer Regeln über die Höhe des Strafmaßes, insbesondere durch Festsetzung eines Mindestmaßes für die schwersten Strafen, die ein Mitgliedstaat verhängen kann. Die Spanne liegt hierbei bei zwei bis fünf Jahren, je nach Straftat. Nach den neuen Regeln sind der Besitz, der Verkauf, das Sichverschaffen zum Zwecke der Nutzung sowie die Einfuhr und Verbreitung von gestohlenen oder in anderer Weise widerrechtlich angeeigneten ge- oder verfälschten Zahlungsinstrumenten jetzt ein eigenständiger Straftatbestand;

>> eine klarere Regelung des Gerichtsstands, indem dafür gesorgt wird, dass die gerichtliche Zuständigkeit in den folgenden beiden Fällen bei dem betroffenen Mitgliedstaat liegt: wenn für ein Delikt ein Informationssystem genutzt wurde, das sich in seinem Hoheitsgebiet befindet, obwohl der Täter sich möglicherweise außerhalb dieses Gebiets aufhält, und wenn der Täter sich in seinem Hoheitsgebiet aufhält, der Standort des Informationssystems sich dagegen außerhalb dieses Gebietes befindet. Die gerichtliche Zuständigkeit wird auch hinsichtlich der Auswirkungen des Delikts präzisiert. So wird sichergestellt, dass die Mitgliedstaaten die Möglichkeit haben, ihre gerichtliche Zuständigkeit auszuüben, wenn die Straftat in ihrem Hoheitsgebiet Schaden angerichtet hat. Dies kann auch ein Schaden sein, der durch Identitätsdiebstahl verursacht wurde;

>>die Gewährleistung, dass Opfer von Cyberdelikten ein Recht auf Zugang zu Informationen über verfügbare Unterstützung und Hilfe bekommen. Außerdem schaffen die neuen Vorschriften bessere Bedingungen und Anreize für Opfer und Personen des Privatrechts, Straftaten zu melden;

>> die Einführung von Maßnahmen zur Verbesserung der unionsweiten Zusammenarbeit der Strafjustiz durch Ausbau der vorhandenen Struktur und die Nutzung operativer Kontaktstellen;

>>die Bereitstellung der noch fehlenden statistischen Daten über Betrug und Fälschung im bargeldlosen Zahlungsverkehr.

Um die Ermittlungsarbeit und die Strafverfolgung bei Cyberdelikten wirksamer zu machen, wird die Kommission außerdem Anfang 2018 Vorschläge für eine Erleichterung des grenzüberschreitenden Zugangs zu elektronischen Beweismitteln vorlegen. Parallel dazu ergreift die Kommission derzeit praktische Maßnahmen, die bei strafrechtlichen Ermittlungen den Zugang zu elektronischen Beweismitteln über Landesgrenzen hinweg verbessern sollen und die auch die Finanzierung von Schulungen zur grenzüberschreitenden Zusammenarbeit, die Entwicklung einer elektronischen Plattform für den Informationsaustausch innerhalb der EU und die Standardisierung der von den Mitgliedstaaten bei der justiziellen Zusammenarbeit verwendeten Formulare einschließen. Die Kommission lotet außerdem verschiedene Möglichkeiten aus, den Kapazitätsausbau in der IT-Forensik in den Mitgliedstaaten zu fördern. Eine Option wäre der Ausbau von Europol und dem dazugehörigen Europäischen Zentrum zur Bekämpfung der Cyberkriminalität. Bis Oktober wird die Kommission auch ihre Überlegungen zur Rolle der Verschlüsselung bei kriminaltechnischen Ermittlungen vorstellen. Um die Mitgliedstaaten besser zu unterstützen und ihre Kapazitäten für die Untersuchung von Cyberdelikten zu stärken, wird die Kommission 10,5 Mio. EUR im Rahmen des Fonds für die innere Sicherheit bereitstellen.

4. Die internationale Zusammenarbeit in der Cybersicherheit stärken

In der internationalen Politik der EU in Sachen Cybersicherheit, die sich stets von den Grundwerten und rechten der Union leiten lässt, nimmt sich die EU der stetig neuen Herausforderung an, einen globalen stabilen Cyberraum voranzubringen und dabei zu Europas strategischer Autonomie und Sicherheit im Cyberraum beizutragen. Die Union wird in ihrem bilateralen, regionalen und multilateralen Engagement und ihren Multi-Stakeholder-Kontakten der Einrichtung eines strategischen Rahmens zu Konfliktprävention und Stabilität im Cyberraum Priorität einräumen. Als Teil des strategischen Rahmens für die Konfliktprävention fördert die EU die Anwendung des Völkerrechts, insbesondere der Charta der Vereinten Nationen, im Cyberbereich. Sie unterstützt auch die Entwicklung nicht verbindlicher, freiwilliger Normen für staatliches Verhalten sowie vertrauensbildende Maßnahmen im Bereich Cybersicherheit.

Da diese Bedrohung ihrem Wesen nach global ist, können Cyberangriffe von deren Abwehr die internationale Stabilität und Sicherheit immer mehr abhängt nur verhindert und deren Urheber abgeschreckt werden, indem wir starke Bündnisse mit Drittländern aufbauen und pflegen. Die EU hat mit den USA, Japan, Indien, der Republik Korea und China Gespräche über das Thema Cybersicherheit etabliert. Enge Konsultationen finden auch mit internationalen Organisationen wie der NATO, dem ASEAN Regional Forum, der OSZE, dem Europarat und der OECD statt.

Wie kann die EU diplomatisch auf böswillige Cyberaktivitäten reagieren?
Am 19. Juli 2017 einigte der Rat sich auf die Schlussfolgerungen des Rates über einen Rahmen für eine gemeinsame diplomatische Reaktion der EU auf böswillige Cyberaktivitäten ("Cyber Diplomacy Toolbox"), mit dem die EU und ihre Mitgliedstaaten kriminellen Cyberaktivitäten vorbeugen und auf sie reagieren können. Mithilfe von Maßnahmen im Rahmen der Instrumente der Gemeinsamen Außen- und Sicherheitspolitik beabsichtigen die EU und die Mitgliedstaaten, die Zusammenarbeit zu beleben, die Abwendung akuter und langfristiger Bedrohungen zu erleichtern und das Verhalten potenzieller Angreifer langfristig zu beeinflussen. Dies ist lediglich als zusätzliches Engagement zu betrachten, das weder bestehende diplomatische Aktivitäten der EU noch solche der Mitgliedstaaten in der Cyberdiplomatie ersetzen soll.

Wie wird die EU zum Cyberkapazitätsaufbau in der Welt beitragen?
Globale Stabilität im Cyberraum hängt von der lokalen und nationalen Fähigkeit aller Länder ab, Cybervorfälle zu verhindern bzw. auf diese zu reagieren und Cyberdelikte aufzuklären und zu ahnden. Unterstützende Bemühungen, die Abwehrfähigkeit von Drittländern auf nationaler Ebene aufzubauen, werden das Cybersicherheitsniveau weltweit verbessern, was sich positiv auf die EU auswirken wird.

Seit 2013 hat die EU eine führende Rolle beim internationalen Kapazitätsaufbau im Cyberbereich und verbindet diese Anstrengungen systematisch mit ihrer Entwicklungszusammenarbeit. Damit die Union künftig ihre kollektive Sachkenntnis zur Unterstützung dieses Kapazitätsaufbaus besser mobilisieren kann, sollte ein entsprechend ausgelegtes EU-Netzwerk für den Kapazitätsaufbau im Cyberraum eingerichtet werden, an dem sich die Europäische Kommission, der Europäische Auswärtige Dienst, die für Cyberangelegenheiten zuständigen Stellen der Mitgliedstaaten, EU-Agenturen wie auch die Wissenschaft und die Zivilgesellschaft beteiligen. Es werden Leitlinien der EU für den Kapazitätsaufbau im Cyberraum aufgestellt werden, um eine bessere politische Orientierung zu bieten und die EU-Maßnahmen im Rahmen der Hilfe für Drittländer besser priorisieren zu können.

Die Union wird auch mit anderen Gebern in diesem Bereich zusammenarbeiten, um Doppelarbeit zu vermeiden und einen gezielteren Kapazitätsaufbau in verschiedenen Regionen zu ermöglichen.

5. Zusammenarbeit in der Cyberabwehr
Da Cyberbedrohungen in der heutigen Zeit zu den größten Gefahren für die Sicherheit gehören, ist ein rascher Ausbau der Cyberabwehrfähigkeiten in der EU erforderlich, um die Risiken zu begrenzen und angemessen auf böswillige Cyberangriffe reagieren zu können. Neue und bereits bestehende Initiativen, wie der Europäische Verteidigungsfond, werden bei der Unterstützung der weiteren Anstrengungen im Bereich der Cyberabwehr (z. B. eine Plattform für die Ausbildung und Aufklärung im Bereich der Cyberabwehr) von zentraler Bedeutung sein.

Der Europäische Auswärtige Dienst und die Europäische Verteidigungsagentur (EDA) stehen seit 2013, als mit den Mitgliedstaaten das EDA-Cyberabwehr-Projektteam eingesetzt wurde, in Sachen Cyberabwehr in Kontakt mit den Mitgliedstaaten. Der von der EU 2014 verabschiedete EU-Politikrahmen für die Cyberabwehr wird erneut in den Mittelpunkt rücken und dazu dienen, die Fähigkeiten der Mitgliedstaaten weiterzuentwickeln, ihre Doktrinen zu straffen, mehr Trainings- und Übungsmöglichkeiten zu schaffen, die Dual-Use-Forschung zu fördern und die Missionen und Operationen im Rahmen der Gemeinsamen Sicherheits- und Verteidigungspolitik zu schützen.

Die Mitgliedstaaten sind der EU im Bereich Cyberabwehr voraus, aber die EU kann ihre Anstrengungen ergänzen, indem sie die Entwicklung der Verteidigungsindustrie fördert, auf strategischer Ebene die Koordinierung von Cyberabwehrmaßnahmen zwischen den Mitgliedstaaten fördert und nach Synergien sucht, die die EU zwischen dem zivilen und dem militärischen Bereich erzeugen kann. Forschung und Entwicklung im Bereich Dual-Use, Kapazitätsaufbau in der Cyberabwehr-Doktrin und technik sowie Ausbildung werden Schwerpunktbereiche sein.

Mit Unterstützung der Hohen Vertreterin, der Kommission und der Europäischen Verteidigungsagentur könnten interessierte Mitgliedstaaten ihre Kapazitäten vereinigen, um im Rahmen einer Ständigen Strukturierten Zusammenarbeit (PESCO) Projekte zur Cybersicherheit ins Leben zu rufen.

Wie arbeiten EU und NATO zur Erhöhung der Cybersicherheit zusammen?
Auf der Grundlage der jüngsten Fortschritte wird die Union, wie in der Gemeinsamen Erklärung vom 8. Juli 2016 vorgesehen, die Zusammenarbeit mit der NATO in den Bereichen Cybersicherheit, hybride Bedrohungen und Cyberabwehr vertiefen. Die beiden Partner werden auch den Informationsaustausch zwischen ihren jeweiligen Cybersicherheitsgremien, d. h. dem IT-Notfallteam für die Organe, Einrichtungen und sonstigen Stellen der EU (CERT-EU) und der Computer Incident Response Capability (NCIRC) der NATO, intensivieren. Zu den zentralen Aktionen gehören auch ihre gemeinsame Beteiligung an parallelen und koordinierten Übungen und die Bemühungen um bessere Interoperabilität bei den Cybersicherheitsstandards. 2017 und 2018 werden die NATO und die EU erstmals parallele und koordinierte Übungen zur Reaktion auf ein hybrides Angriffsszenario abhalten. (Europäische Kommission: ra)

eingetragen: 03.10.17
Home & Newsletterlauf: 17.10.17



Meldungen: Hintergrund

Das IT-Sicherheitskennzeichen ist kein Prüfsiegel

Ist mein Router wirklich sicher? Wie verhält es sich mit meinem E-Mail-Dienst? Viele Hersteller und Anbieter von IoT-Produkten geben vollmundige Versprechungen über die Sicherheit ihrer Dienste oder Produkte. Doch was dahintersteckt, können Verbraucherinnen und Verbraucher nicht immer nachvollziehen.

Offene hybride Kriegsführung

Die EMEA-Region meldete über 1,8 Millionen Angriffe im ersten Halbjahr 2022, ein Anstieg von neun Prozent gegenüber dem zweiten Halbjahr 2021, so der neueste Netscout Threat Intelligence Report. Während Russland und die Ukraine die DDoS-Hauptangriffsziele waren, gab es in mehreren Ländern der Region ungewöhnliche Angriffsspitzen, die auf die Auswirkungen des Krieges zurückzuführen sind.

Benutzer ohne Schulung oft wehrlos gegen Angriffe

Im Jahr 2021 ist laut dem "Cyber Attack 2021 Mid Year Report" die Zahl der Ransomware-Angriffe um satte 93 Prozent gestiegen. Eine weltweit durchgeführte Umfrage aus dem Jahr 2022 ergab, dass bereits rund 46 Prozent der in Deutschland befragten Unternehmen mindestens einmal Opfer einer Cyber-Attacke geworden waren.

Umgang mit hochsensiblen Gesundheitsdaten

Gesundheits- und Mental-Health-Apps erfreuen sich immer größer werdender Beliebtheit. Während die einen mit Trainingseinheiten von Yoga, Pilates, Krafttraining bis hin zum Laufen zum allgemeinen Wohlbefinden und Fitness beitragen wollen, widmen sich Mental-Health-Apps der psychischen Gesundheit mit Ratschlägen zu einem gesunden Leben.

- Anzeigen -
Embedded Software Engineering
Kongress 2022 - Sindelfingen
05.–09.12.2022

Der ESE Kongress
ist Deutschlands Leitkongress
der Embedded-Softwarebranche

Besuchen Sie SaaS-Magazin.de

SaaS, On demand, ASP, Cloud Computing, Outsourcing >>>


Kostenloser Newsletter

Werktäglich informiert mit IT SecCity.de, Compliance-Magazin.de und SaaS-Magazin.de. Mit einem Newsletter Zugriff auf drei Online-Magazine. Bestellen Sie hier

Fachartikel

Grundlagen

Big Data bringt neue Herausforderungen mit sich

Die Digitale Transformation zwingt Unternehmen sich mit Big Data auseinanderzusetzen. Diese oft neue Aufgabe stellt viele IT-Teams hinsichtlich Datenverwaltung, -schutz und -verarbeitung vor große Herausforderungen. Die Nutzung eines Data Vaults mit automatisiertem Datenmanagement kann Unternehmen helfen, diese Herausforderungen auch mit kleinen IT-Teams zu bewältigen. Big Data war bisher eine Teildisziplin der IT, mit der sich tendenziell eher nur Großunternehmen beschäftigen mussten. Für kleinere Unternehmen war die Datenverwaltung trotz wachsender Datenmenge meist noch überschaubar. Doch die Digitale Transformation macht auch vor Unternehmen nicht halt, die das komplizierte Feld Big Data bisher anderen überlassen haben. IoT-Anwendungen lassen die Datenmengen schnell exponentiell anschwellen. Und während IT-Teams die Herausforderung der Speicherung großer Datenmengen meist noch irgendwie in den Griff bekommen, hakt es vielerorts, wenn es darum geht, aus all den Daten Wert zu schöpfen. Auch das Know-how für die Anforderungen neuer Gesetzgebung, wie der DSGVO, ist bei kleineren Unternehmen oft nicht auf dem neuesten Stand. Was viele IT-Teams zu Beginn ihrer Reise in die Welt von Big Data unterschätzen, ist zum einen die schiere Größe und zum anderen die Komplexität der Datensätze. Auch der benötigte Aufwand, um berechtigten Zugriff auf Daten sicherzustellen, wird oft unterschätzt.

Bösartige E-Mail- und Social-Engineering-Angriffe

Ineffiziente Reaktionen auf E-Mail-Angriffe sorgen bei Unternehmen jedes Jahr für Milliardenverluste. Für viele Unternehmen ist das Auffinden, Identifizieren und Entfernen von E-Mail-Bedrohungen ein langsamer, manueller und ressourcenaufwendiger Prozess. Infolgedessen haben Angriffe oft Zeit, sich im Unternehmen zu verbreiten und weitere Schäden zu verursachen. Laut Verizon dauert es bei den meisten Phishing-Kampagnen nur 16 Minuten, bis jemand auf einen bösartigen Link klickt. Bei einer manuellen Reaktion auf einen Vorfall benötigen Unternehmen jedoch circa dreieinhalb Stunden, bis sie reagieren. In vielen Fällen hat sich zu diesem Zeitpunkt der Angriff bereits weiter ausgebreitet, was zusätzliche Untersuchungen und Gegenmaßnahmen erfordert.

Zertifikat ist allerdings nicht gleich Zertifikat

Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

Datensicherheit und -kontrolle mit CASBs

Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

KI: Neue Spielregeln für IT-Sicherheit

Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

DDoS-Angriffe nehmen weiter Fahrt auf

DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

Fluch und Segen des Darkwebs

Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.

Diese Webseite verwendet Cookies - Wir verwenden Cookies, um Inhalte und Anzeigen zu personalisieren, Funktionen für soziale Medien anbieten zu können und die Zugriffe auf unsere Website zu analysieren. Außerdem geben wir Informationen zu Ihrer Verwendung unserer Website an unsere Partner für soziale Medien, Werbung und Analysen weiter. Unsere Partner führen diese Informationen möglicherweise mit weiteren Daten zusammen, die Sie ihnen bereitgestellt haben oder die sie im Rahmen Ihrer Nutzung der Dienste gesammelt haben. Mit dem Klick auf „Erlauben“erklären Sie sich damit einverstanden. Weiterführende Informationen erhalten Sie in unserer Datenschutzerklärung.