Cybersicherheit: So schützt Du Dich - Interview mit Henning Dibbern vom LKA Schleswig-Holstein

Henning Dibbern ist Kriminalhauptkommisar der Zentralen Ansprechstelle Cybercrime (ZAK) im LKA Schleswig-Holstein.

#diwokiel: Wenn Du auf staatliche Einrichtungen, Unternehmen und Privatpersonen schaust: Wer ist hier besonders von Cyberangriffen betroffen?

Henning Dibbern: Grundsätzlich gibt es keinen Schwerpunkt und es kann jeden treffen. Wir können also nicht sagen, dass ein Bereich wirklich gezielt getroffen wird. Bei ganz vielen Tätern ist es so, dass sie im Netz nach Möglichkeiten suchen, nach offenen Systemen, nach offenen Ports und solchen Sachen. Und wenn die Täter etwas finden, dann greifen sie an, ohne zu gucken, was wirklich dahintersteckt. 

Es gibt verschiedene Tätergruppierungen, die sich auf Unternehmen spezialisieren, mit ganz klarem monetärem Interesse. Die also versuchen, in irgendeiner Form an Geld zu kommen, sei es durch die klassische Variante von Ransomware oder indem sie Daten stehlen und die Firma damit erpressbar machen. 

Dann gibt es natürlich auch staatliche Akteure oder halbstaatliche Akteure, die versuchen, Informationen von Firmen – etwa der kritischen Infrastruktur – zu stehlen, die mit Desinformationskampagnen arbeiten oder mit DDoS-Angriffen versuchen, eine Webseite lahmzulegen. 

Und es kann natürlich den Bürger treffen. Da kann es eigentlich jeden treffen, sei es etwa durch eine Phishing-Mail, einen betrügerischen Anruf oder eine Phishing-SMS.

#diwokiel: Bleiben wir bei den Bürger*innen – welche Angriffsarten kommen bei Privatpersonen konkret am häufigsten vor, und was sind dabei die gängigsten Einfallstore?
 

Henning Dibbern: Ein klassisches Einfallstor ist immer noch die Phishing-Mail oder die Phishing-SMS. Die kennt jeder und die kriegt man regelmäßig, meistens mit dem Spamfilter. Die beachtet man meistens nicht, aber es gibt Varianten, die sind ziemlich gut gemacht. Da der Mensch von sich aus sehr neugierig ist, verleitet es ihn immer wieder, doch mal auf irgendwelche Sachen draufzuklicken, weil das Interesse geweckt wurde oder weil man vielleicht ein bisschen gierig ist und denkt: „Oh, da könnte ich Geld oder Ähnliches gewinnen“. Gleichzeitig bauen die Täter immer auch ein bisschen Druck auf, dass man wirklich draufklicken sollte. Es funktioniert immer und deswegen muss man es immer sagen. So ein Täter verschickt vielleicht 1000 Phishing-SMS, davon sind 999 nicht relevant, das ist für ihn aber egal, solange eine Person draufklickt. Und das macht es halt so gefährlich.

Dann gibt es auch immer noch ganz viele Varianten des Ausspähens von Daten. Da geht es darum, dass man ähnliche Passwörter erlangt, teilweise, weil die Bürger immer noch sehr einfache Passwörter verwenden und auch seit vielen Jahren immer dasselbe Passwort. Da haben die Täter die Möglichkeit, das Passwort bereits in Datenbanken gefunden zu haben und damit Zugriff auf den Hauptmail-Account zu bekommen. Und wenn man den hat, dann ist es nicht weiter schwer. Dann kann man die Social Media- oder Shopping-Accounts übernehmen und dort beispielsweise betrügerische Angebote einstellen. 

Dann gibt es noch ganz viel Internetbetrug. Also dass Bürger auf Fake-Shops hereinfallen, wo man ein schönes Produkt um 10 bis 20 Prozent günstiger angeboten bekommt. Viele fallen auch auf Romance-Scam, bzw. Love-Scam-Geschichten rein, wo sie sich online in nicht reale Personen verlieben und von ihnen irgendwann aufgefordert werden, irgendwelche Zahlungen zu machen. 

Ein letztes großes Thema ist der sogenannte Cybertrading Fraud, also der Anlagebetrug. Dort kommt man auf irgendwelche Angebote im Internet oder bei YouTube oder ähnliches und einem wird gesagt, dass man Geld für eine Rendite von 10, 15 oder noch mehr Prozent anlegen kann. Dann wird man vielleicht noch angerufen. Das machen erstaunlich viele Bürger, auch hier in Schleswig-Holstein. Da geht es sehr schnell in Schadenssummen in sechsstellige Bereiche.

#diwokiel: Wir erinnern uns noch an Phishing-Mails, die wie folgt aussahen: Ein, zwei Sätze in Times New Roman, ein dubioser Link, fertig. Du hast die zunehmende Professionalisierung der Angreifer ja bereits angedeutet: Wie hat sich das Vorgehen in den letzten Jahren konkret verändert?

Henning Dibbern: Das hat sich auf jeden Fall verändert. Viele Webseiten, die wir kennen, sehen erstaunlich gut aus – wahrscheinlich auch durch den Einsatz von KI. Das kann man manchmal nicht genau nachvollziehen. Es gibt viele professionalisierte Seiten – etwa wenn man auf Fake-Shops kommt – die sind eins zu eins kopiert von anderen Seiten. Das ist mit der entsprechenden Technik gar kein Problem mehr. Rechtschreibfehler und solche Sachen tauchen auch nicht mehr so häufig auf. All das macht es halt auch schwierig für den Bürger, herauszufinden, was fake ist. Es gibt Angebote, wo man sowas noch gegenprüfen kann, aber nicht jeder hat immer die Zeit dafür.

„Wenn man irgendwelche Anrufe oder Mails bekommt, sollte man als Allererstes kurz durchatmen und sich fragen: „Will ich das wirklich?“. Dieser Menschenverstand und kurz darüber nachdenken. Das ist das Wichtigste."

Henning Dibbern

#diwokiel: Gerade weil das im Alltag schwer umzusetzen ist, stellt sich die Frage: Mit welchen Lösungen, die einfach umsetzbar sind, können sich Bürger*innen denn vor Cybercrime schützen?

Henning Dibbern: Wichtig ist, dass man kurz innehält, nachdenkt und sich nicht von irgendwelchem Druck treiben lässt. Also nicht von Gier und nicht davon, dass man etwas ganz schnell machen muss oder Ähnliches. Wenn man irgendwelche Anrufe oder Mails bekommt, sollte man als Allererstes kurz durchatmen und sich fragen: „Will ich das wirklich?“. Dieser Menschenverstand und kurz darüber nachdenken. Das ist das Wichtigste.

Und wenn ich der Meinung bin, ich will das wirklich, gibt es heute viele Möglichkeiten, kurz zu recherchieren. Wir können beispielsweise im Internet abfragen, ob Firma XY gerade irgendwelche Mails verschickt. Und dann findet man häufig heraus, dass aktuell eine Phishing-Kampagne läuft.

Dann gibt es die klassischen technischen Voraussetzungen. Man sollte die üblichen Zwei-Faktor-Authentifizierung nutzen. Fast alle Apps bieten das an und man kann das immer einstellen. Man sollte natürlich auch bei Passwörtern nicht immer dasselbe Passwort nehmen. Alle neuen Smartphones bieten generierte Passwörter an, genauso Passkeys.

Diese Sachen helfen schon sehr.

#diwokiel: Du hattest den Einsatz von KI ja schon angedeutet: Welchen Einfluss hat KI denn bereits – sowohl aus Perspektive der Angreifer als auch der Verteidiger?

Henning Dibbern: Als Polizei forschen wir zu dem Thema und sind intensiv dabei herauszufinden, was die Täter genau nutzen. Für uns ist es grundsätzlich erstmal immer schwer, das nachzuvollziehen, weil beispielsweise eine Phishing-Seite nicht die ganze Zeit online ist. Herauszufinden, ob die Seite jetzt mit KI erstellt wurde, ist dadurch immer schwierig. Wir wissen aber, dass Täter die üblichen großen KI-Modelle nutzen. 

Gerade zum Programmieren bietet KI unglaubliche Geschwindigkeitsvorteile, etwa dadurch, dass man schnell reagieren kann, wenn neue Lücken bekannt werden. Auf Verteidigerseite werden solche Lücken in Systemen täglich gemeldet und verschickt, damit beispielsweise Unternehmen sie zeitnah schließen können. Andererseits haben aber auch die Angreifer die Möglichkeit, in diese Lücken hineinzukommen. KI kann man also auf beiden Seiten gut nutzen, um in Lücken reinzukommen. Auch in Bezug auf den Bürger wird KI genutzt. Ein Beispiel sind computergenerierte Sprachanrufe, wo man mit Chatbots telefoniert, die von einer KI programmiert wurden.

„Hier ist die Herausforderung, einen Mittelweg zu finden: Einerseits einer KI zu vertrauen, dass sie mir helfen kann, andererseits aber auch den gesunden Menschenverstand zu bewahren. Das wird schwierig."

Henning Dibbern

#diwokiel: Wenn Du weiterdenkst: Wie wird sich der Einsatz von KI in diesem Bereich Deiner Einschätzung nach in Zukunft noch verschärfen?

Henning Dibbern: Ich persönlich glaube, wir stehen wirklich erst am Anfang der Entwicklung. Wenn wir mal sehen, seit wann wir KI in dem Sinne nutzen: Das ist vielleicht seit zwei Jahren der Fall. Und es ist explodiert, was da alles möglich ist. Es wird viel kommen und es wird auf jeden Fall schwer oder fast unmöglich zu erkennen, wenn etwa Videos oder Bilder von KI erstellt worden sind. Auch in Richtung Desinformationskampagne kann da noch sehr viel kommen. 

Natürlich versuchen auch wir als Landespolizei KI mit eigenen Modellen zu nutzen. Grundsätzlich kann man sagen: Wir als Polizei brauchen KI. Die Datenmengen steigen immens. Früher hat man nur eine SMS geschrieben, heute ist es gang und gäbe, zehntausende von WhatsApp-Nachrichten zu schreiben und dazu noch Sprachnachrichten. Das kann ein einzelner Ermittler gar nicht mehr händisch selbst durcharbeiten. Das muss automatisiert laufen. Aber natürlich muss es sicher auf autarken Plattformen laufen, die nicht mit dem Netz verbunden sind und entsprechend sichergestellt ist, dass die Daten nicht abfließen. 

KI bietet aber auch über die Ermittlungsarbeit hinaus Vorteile. KI kann automatisiert Lücken schließen. Wenn man bereit ist, einer KI Zugriff auf Daten von sich zu geben, dann kann sie erkennen, dass man Lücken im System hat, dass Passwörter ungesichert sind oder Ähnliches. 

Hier ist die Herausforderung, einen Mittelweg zu finden: Einerseits einer KI zu vertrauen, dass sie mir helfen kann, andererseits aber auch den gesunden Menschenverstand zu bewahren. Das wird schwierig.

#diwokiel: Was möchtest Du den Menschen zum Abschluss noch mitgeben?

Henning Dibbern: Wenn man möchte, kann man sich wirklich sicher im Netz bewegen – man muss sich dafür aber ein bisschen mit dem Thema auseinandersetzen. Das ist immer noch etwas, was viele nicht machen. Gerade Kinder und Jugendliche bekommen das Smartphone schon im sehr jungen Alter, ohne dass es eine große Kontrolle durch Eltern gibt, die sich selbst auch gar nicht mit den ganzen Möglichkeiten auskennen, wodurch es entsprechend viele Einfallstore gibt. Wenn man diese aber kennt und weiß, was alles möglich ist und was man machen kann, wird es sicherer.