Kriminalität
Verbrechen auf Bestellung: Hacker bieten Angriffe im Netz als Dienstleistung an

War Hacken früher eine komplexe und aufwendige Angelegenheit, wird es heute als Dienstleistung angeboten. «Crime as a service» heisst das im Fachjargon. Und jeder kann zugreifen

Sven Altermatt
Drucken
Teilen
«Crime as a service» wird beliebter, so die Fachleute beim Bund.

«Crime as a service» wird beliebter, so die Fachleute beim Bund.

Keystone

Alles nur ein paar Klicks entfernt: Für nahezu jeden Lebensbereich gibt es die passende Dienstleistung im Internet. Uber vermittelt Fahrdienste via App. Bei Airbnb stehen Appartements zur Miete, während auf Dawanda vor allem Selbstgemachtes angeboten wird. Und selbst Unternehmen vergeben Gelegenheitsarbeiten im Netz an Freelancer.
Da überrascht es kaum, dass auch Kriminelle ihre Dienste online auf Bestellung offerieren.

War Hacken früher eine komplexe und aufwendige Angelegenheit, wird es heute als Dienstleistung angeboten. «Crime as a service» heisst das im Fachjargon. Es besteht aus einer ganzen Palette von Angeboten, die es ermöglichen, Cyber-Angriffe ohne grosses Fachwissen durchzuführen. Viren und Trojaner sind einsatzfertig und mit einfacher Bedienoberfläche erhältlich, Spähprogramme werden massgeschneidert geschrieben. Europol-Direktor Rob Wainwright spricht von «Angriffen nach Baukastenprinzip»: Wer will, kauft Dienste bei Spezialisten, um sie dann ganz nach seinen Bedürfnissen zusammenzusetzen.

Schweizer Behörde warnt

Das Phänomen ist nicht neu. Vieles lässt sich schon seit Jahren über das Darknet buchen. Im anonymen Teil des Internets profitierten davon fast ausschliesslich kriminelle Gruppen, die ihre Arbeit auf mehrere Köpfe verteilen.

Doch das hat sich geändert, warnt die Meldestelle für Internetsicherheit (Melani) des Bundes jetzt in einem Lagebericht: Heute könnten breite Kreise auf Dienste zugreifen, um Attacken zu starten. Der Markt sei weitgehend offen, sagt Melani-Vizechef Max Klaus im Gespräch. «Das Aufkommen von Cyber-Erpressungen führt zu einer grösseren Nachfrage.» Angreifer erpressen Unternehmen etwa um Schutzgeld. Wer nicht zahlt, muss mit Angriffen auf seine Server rechnen.

Besonderer Beliebtheit erfreut sich der «Distributed Denial of Service», besser bekannt unter dem Akronym DDoS. Ein solcher ist kein Hackerangriff im eigentlichen Sinne. Denn die Angreifer müssen dafür nicht in ein System eindringen. Vielmehr werden Websites mit so vielen Anfragen überhäuft, dass sie diese nicht mehr verarbeiten können. Auf diese Weise wird versucht, ihre Server zu überlasten und lahmzulegen.

Seltenes Urteil in England

Hacker zu zwei Jahren Haft verurteilt

Es ist ein Urteil mit Seltenheitswert: Ein britischer Hacker ist soeben zu zwei Jahren Haft verurteilt worden, weil er Software entwickelte, die unter anderem für Hackerangriffe auf Microsoft und Sony eingesetzt wurde. Der 20-Jährige erschuf ein Programm, das für 1,7 Millionen Hacks verantwortlich gemacht wird, wie der «Guardian» berichtet. Ebenso wird er für 594 DDoS-Attacken verantwortlich gemacht. Die böswilligen Anfragen aus einem Botnet ziehen selten strafrechtliche Folgen nach sich, weil sich die Urheber oft nicht ermitteln lassen. Die rechtliche Handhabe, um gegen DDoS-Attacken vorzugehen, wäre aber auch in der Schweiz vorhanden. Denn laut Gesetz ist eine «Datenbeschädigung» selbst dann gegeben, wenn Daten durch einen Angriff über eine gewisse Zeit nicht verfügbar sind. Hierzulande wurde bislang allerdings kein Urteil wegen solcher Attacken bekannt. Das Gleiche gilt für Vergehen im Rahmen von «Crime as a Service». Auch Ermittlungen deswegen gab es – zumindest auf Bundesebene – noch keine. Bis jetzt habe man kein Verfahren in diesem Zusammenhang eröffnet, so die Bundesanwaltschaft auf Anfrage. (sva)

Gestartet werden die böswilligen Anfragen aus einem Botnet: Einem Netz aus Computern, die mit Schadsoftware infiziert sind und von Fremden ferngesteuert werden. Gewisse Betreiber vermieten Botnets mehr oder weniger unverhohlen im Internet. «Jeder kann sich von seinem Sofa aus quasi eine DDoS-Attacke erkaufen», sagt Klaus. «Und zwar ohne grossen Aufwand und ohne grosses technisches Können.» Kennen müsse man dazu lediglich das Ziel und die passende Angriffsform.

Getarnt als «Stresstest»

Dass die Bedrohung auch in der Schweiz real ist, zeigt sich daran, dass Melani im Jahr 2016 eine Zunahme an DDoS-Attacken beobachtet hat. Konkrete Vorfälle werden aber selten ruchbar. Gerade Internetprovider behalten diese lieber für sich – nicht zuletzt aus der Furcht vor Imageschäden.

Eine seltene Ausnahme bildet der Fall, den ein Zürcher Provider diesen Februar publik machte: Ein offenbar rechtsradikaler Hacker versuchte, die Websites von antifaschistischen Gruppen lahmzulegen. Teilweise waren sie für Internetnutzer nur noch schwer zu erreichen, teilweise haben sie sich sehr langsam aufgebaut.

Der Angreifer hat viel Geld für ein Botnet ausgegeben, vermutet der Provider. Vielleicht hat er sich für die Miete aber nicht einmal ins Darknet begeben. Denn schon eine Suche bei Google führt zu entsprechenden Angeboten. Oft werden diese unter dem fadenscheinigen Vorwand beworben, einen «Stresstest» der eigenen Systeme zu ermöglichen. Eine kleine Attacke gibt es bereits für 20 Dollar.

Allerdings tummeln sich auf dem Markt auch viele Trittbrettfahrer. Zu dieser Einschätzung kommt Umberto Annino vom Schweizer Cybersecurity-Spezialisten Infoguard. «Manche lassen sich beispielsweise für Hackerangriffe bezahlen, ohne dass sie in der Lage wären, einen solchen durchzuführen.» Trotzdem täusche dies nicht darüber hinweg, dass Cyber-Kriminelle aus bisher getrennt arbeitenden Bereichen zunehmend kooperieren.

Manche machen alles für Geld

Überdies ist über die Anbieter von «Crime as a Service» wenig bekannt. Die Fachleute von Melani verweisen auf Schätzungen der britischen Behörden. Demnach gibt es weltweit nur rund 200 Anbieter, die jedoch «einen erheblichen Hebeleffekt auslösen». Die Angreifer zu finden, sei extrem schwierig, schreibt Europol in seinem Cybercrime-Bedrohungsreport. Viele setzen auf Verschlüsselung. Dadurch wird die Arbeit der Ermittlungsbehörden zusätzlich erschwert, gleichzeitig ist etwa das Programmieren von Schadsoftware noch nicht per se strafbar.

Zu denken geben dürfte den Strafverfolgern schliesslich, dass Europol von «hybriden Tätern» ausgeht. Demnach sind Anbieter nicht loyal einem Auftraggeber verpflichtet, bisweilen nutzen Wirtschaftskriminelle und organisierte Gruppierungen dieselben Plattformen. Oder mit anderen Worten: Wer sich heute in den Dienst von politischen Aktivisten stellt, kann morgen problemlos für einen Geldwäscher arbeiten.

Aktuelle Nachrichten