Darum gehts
Die Zusammenfassung von Blick+-Artikeln ist unseren Nutzern mit Abo vorbehalten. Melde dich bitte an, falls du ein Abo hast.
Wer die Website der Pensionskasse des Bundes besucht, findet dort folgende Meldung: «Ihr Vorsorgeguthaben ist sicher. Ihre Rente ist sicher.» Die PK Publica will beruhigen, denn sie hat letzte Woche bekannt gegeben, dass ihr Softwaredienstleister Opfer einer Cyberattacke wurde. Hunderte Gigabytes an Daten sind abgeflossen. Laut «Tages-Anzeiger» geht der Hack auf das Konto von Akira. Die Hackerbande erpresste bereits letztes Jahr erfolgreich Lösegeld vom bundeseigenen Rüstungskonzern Ruag.
Das ist ein Beitrag aus dem «Beobachter». Das Magazin berichtet ohne Scheuklappen – und hilft Ihnen, Zeit, Geld und Nerven zu sparen.
Das ist ein Beitrag aus dem «Beobachter». Das Magazin berichtet ohne Scheuklappen – und hilft Ihnen, Zeit, Geld und Nerven zu sparen.
Die Nachricht vom Angriff auf die Pensionskasse kam in einer turbulenten Woche. Auch der Onlinehändler Ricardo und das Magazin «Republik» waren gehackt worden. Spätestens seit letzter Woche ist klar: Selbst wenn die Gelder sicher sind, die Daten sind es nicht mehr.
Phishing-Attacken sind kaum zu durchschauen
Aber nicht nur private Telefonnummern und E-Mail-Adressen sind in der KI-dominierten Welt so etwas wie Allgemeingut geworden. Diese Daten helfen dabei, Phishing-Attacken zu perfektionieren.
«Wer Daten wie die AHV-Nummer, IBAN oder Vorsorgeguthaben hat, kann Phishing-Attacken lancieren, die kaum zu durchschauen sind», sagt Erik Schönenberger. Er ist Co-Geschäftsleiter und Mitbegründer der Digitalen Gesellschaft, die sich für Bürger- und Konsumentenschutz im digitalen Raum einsetzt. Zuvor war er zehn Jahre in der IT-Security tätig.
Mails als Einfallstor
Das grösste Einfallstor für Kriminelle sind laut Schönenberger E-Mails: «Dort kommt alles zusammen, was Phishing-Attacken vereinfacht.» Signaturen und Absender lassen sich problemlos fälschen, echt wirkende Links genauso. Mit dem Wissen aus den gehackten Daten können die Mails äusserst authentisch wirken. Schönenberger fügt an: «Und anders als noch vor wenigen Monaten kommen die Mails praktisch fehlerfrei daher.» Der KI sei Dank.
Bis vor kurzem war Schönenberger überzeugt: Eine Phishing-Mail oder -Website würde er auf den ersten Blick erkennen. Das hat sich geändert: «Mit KI können Cyberkriminelle so täuschend echte Websites oder Mails einrichten, dass sie optisch nicht mehr als Phishing-Attacken erkennbar sind.»
Wie also mit der Gefahr umgehen? Schönenberger rät: erst einmal nicht reagieren. Wenn E-Mails oder Anrufe Dringlichkeit suggerieren, sei das ein Warnsignal. Er sagt: «Wirkt eine Mail am nächsten Tag immer noch authentisch, sollte man Absender und Informationen über einen zweiten Kanal verifizieren» – zum Beispiel mit einem Anruf bei der Bank oder dem Unternehmen, von dem die E-Mail angeblich stammt. Nie sollte man einen Link oder Anhang öffnen, denn so könne man sich Malware einfangen, die auf dem Computer installiert wird und im schlimmsten Fall zusätzliche Informationen stehlen könne.
Nulltoleranz bei Links in E-Mails oder SMS
Klicke niemals auf einen Link in einer E-Mail oder SMS, um sich irgendwo einzuloggen. Tippe die Adresse deiner Bank, der Post oder der Pensionskasse immer manuell in den Browser ein oder nutze die offizielle Smartphone-App.
Beim Stichwort «dringend» ist Vorsicht angebracht
Sei extrem skeptisch, wenn eine Nachricht disch unter starken Zeitdruck setzt oder Angst schüren will. Vor allem bei E-Mails, aber auch bei ungewöhnlichen finanziellen Bitten am Telefon oder Schockanrufen von «Angehörigen»: Lege auf und rufe die Person unter ihrer normalen Nummer selbst an.
Zwei-Faktor-Authentifizierung einrichten
Richte, wo immer möglich, eine Zwei-Faktor-Authentifizierung oder noch besser einen Passkey ein. Ein Passkey ist eine passwortlose Anmeldemethode, die auf kryptografischen Schlüsseln basiert und durch Gesichtserkennung, Fingerabdruck oder PIN freigegeben werden kann. Ein Passwort allein, auch ein sehr sicheres, reicht heute nicht mehr aus.
Zwei-Kanal-Verifizierung anwenden
Wenn du per Mail nach Passwörtern oder Zugangsdaten gefragt werden, verifiziere dies konsequent über einen anderen Kanal. Rufe die Person auf einer dir bereits bekannten Telefonnummer an oder frage persönlich nach.
Achten Sie auf Emotionen statt Fehler
Mittels KI können Cyberkriminelle heute täuschend echte Websites und Mails generieren. Achte daher auf den Tonfall: Sei extrem skeptisch, wenn eine Nachricht dich unter starken Zeitdruck setzt oder Angst schüren will.
Nulltoleranz bei Links in E-Mails oder SMS
Klicke niemals auf einen Link in einer E-Mail oder SMS, um sich irgendwo einzuloggen. Tippe die Adresse deiner Bank, der Post oder der Pensionskasse immer manuell in den Browser ein oder nutze die offizielle Smartphone-App.
Beim Stichwort «dringend» ist Vorsicht angebracht
Sei extrem skeptisch, wenn eine Nachricht disch unter starken Zeitdruck setzt oder Angst schüren will. Vor allem bei E-Mails, aber auch bei ungewöhnlichen finanziellen Bitten am Telefon oder Schockanrufen von «Angehörigen»: Lege auf und rufe die Person unter ihrer normalen Nummer selbst an.
Zwei-Faktor-Authentifizierung einrichten
Richte, wo immer möglich, eine Zwei-Faktor-Authentifizierung oder noch besser einen Passkey ein. Ein Passkey ist eine passwortlose Anmeldemethode, die auf kryptografischen Schlüsseln basiert und durch Gesichtserkennung, Fingerabdruck oder PIN freigegeben werden kann. Ein Passwort allein, auch ein sehr sicheres, reicht heute nicht mehr aus.
Zwei-Kanal-Verifizierung anwenden
Wenn du per Mail nach Passwörtern oder Zugangsdaten gefragt werden, verifiziere dies konsequent über einen anderen Kanal. Rufe die Person auf einer dir bereits bekannten Telefonnummer an oder frage persönlich nach.
Achten Sie auf Emotionen statt Fehler
Mittels KI können Cyberkriminelle heute täuschend echte Websites und Mails generieren. Achte daher auf den Tonfall: Sei extrem skeptisch, wenn eine Nachricht dich unter starken Zeitdruck setzt oder Angst schüren will.
Deine Daten sind Kollateralschaden
Für Schönenberger sind die Daten von Privatpersonen vor allem Kollateralschäden. Cyberkriminelle hätten es in erster Linie auf IT-Systeme der öffentlichen Verwaltung und grosser Unternehmen abgesehen. «Wegen der grossen Datenmenge und weil dort Erpressungen möglich sind, sind solche Plattformen für Cyberkriminelle ein lukrativeres Ziel als Privatpersonen.» Das zeigte vor wenigen Wochen unter anderem ein grosser Angriff auf die Stadt Berlin, bei dem Hacker die gestohlenen Daten im Darknet veröffentlichten, nachdem Berlin eine Lösegeldzahlung verweigert hatte. Oder eben jener auf die bundeseigene Pensionskasse durch das Hackerkollektiv Akira. Laut «Tages-Anzeiger» ist derweil eine Lösegeldforderung beim Bund eingegangen.
Gut möglich, dass es nicht der letzte erfolgreiche Angriff war. Erst letzte Woche zeigte der Beobachter, dass viele Plattformen des Bundes nur ungenügend auf Cyberattacken vorbereitet sind.
- Gespräch mit Erik Schönenberger
- «NZZ am Sonntag»: KI beschleunigt die Cyberkriminalität. Wo sind unsere Daten noch sicher?
- Digitale Gesellschaft
- «Die Zeit»: Was über das Datenleak in Berlin bekannt ist
- «Tages-Anzeiger»: Berüchtigte Hacker haben Daten von Alt-Bundesräten und erpressen die Schweiz
- Gespräch mit Erik Schönenberger
- «NZZ am Sonntag»: KI beschleunigt die Cyberkriminalität. Wo sind unsere Daten noch sicher?
- Digitale Gesellschaft
- «Die Zeit»: Was über das Datenleak in Berlin bekannt ist
- «Tages-Anzeiger»: Berüchtigte Hacker haben Daten von Alt-Bundesräten und erpressen die Schweiz