Cyber Risk und Car-Hacking - Reale Gefahren und Möglichkeiten der Absicherung - BearingPoint
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Aktuell 2 Trendmonitor 2 . 2015 1
Cyber Risk und Car-Hacking – Reale Gefahren und
Möglichkeiten der Absicherung
Dieser Beitrag widmet sich dem Thema die Zeit mit der klassischen Zeitungslek-
Cyber Risk, also dem Risiko, Opfer eines türe am Frühstückstisch gehört heute,
sogenannten digitalen Angriffs zu werden. ebenso wie das ruhige Frühstück selbst,
Betroffene können hierbei sowohl Privat- meist der Vergangenheit an. Ein kurzer
personen als auch Unternehmen sein. Als Blick auf Onlineportale wie nzz.ch und
Berater hört man häufig den Einwand, schon ist man im Glauben, mit vier, fünf
dass es sich bei Cyber Risk nur um ein neu- Sätzen zu den interessierenden Themen
es Buzz-Wort mit dem Ziel von Zusatzge- das aktuelle Weltgeschehen umfasst und
Ronny Waschau schäft handele, so wie man gelegentlich mittels Informationshäppchen bereits
Digitalisierung, Big Data und vormals verdaut zu haben. Smartphone sei Dank.
Cloud Computing für Buzz-Wörter hielt
und teilweise noch hält. Zwar gibt es seit Dieser kurze Überblick3 zeigt bereits, wie
den 1970er-Jahren – als Computer in häufig wir mit unserem Smartphone on-
Wirtschaft und Verwaltung Einzug gehal- line sind, digitale Spuren hinterlassen
ten haben – unberechtigte Versuche, auf die und folglich zu potenziellen Opfern kri-
dort gespeicherten Daten zuzugreifen, doch mineller Machenschaften werden.4 Zu
hat dieses Risiko in den letzten Jahren ex- verlockend sind Passwörter zu den soge-
ponentiell zugenommen und dürfte mit der nannten sozialen Netzwerken, Nachrich-
Katharina Schmitt aktuell stattfindenden Vernetzung der tenkonten, wie E-Mail, WhatsApp usw.,
Wirtschaft, der sogenannten Industriellen Kreditkartendaten bei Onlinebestellun-
Revolution 4.0, noch deutlich ansteigen. gen oder Onlinebanking-Zugangsdaten.
Bei Preisen von wenigen Cent je Adress-
datensatz bis zu zweistelligen Dollarbe-
Im Folgenden wird aufgezeigt, dass wir trägen für Bank- oder Kreditkartendaten
alle, egal ob im privaten oder beruflichen ein lukratives (Massen-)Geschäft.5 Daten
Alltag, Angriffsziel von derartigen Cyber- von Unternehmen bringen auf dem
attacken sind. Es handelt sich somit eher deutschen «Online-Schwarzmarkt» leicht
um eine Frage der Zeit, bis wir persön- vierstellige Summen, wie beispielsweise
lich oder das eigene Unternehmen be- ein IT-Sicherheitszertifikat.6
troffen sein werden. Des Weiteren wird
dargelegt, welche Vorkehrungen von Un- Obwohl es sich bei einem Smartphone
ternehmen getroffen und wie die Aus- um nichts anderes als einen kompakten
wirkungen in einem Ernstfall gering ge- Computer handelt, ist das Bewusstsein,
halten werden können. sich schützen zu müssen, wenig verbrei-
tet. Im Gegensatz zum klassischen PC
oder Notebook sind die heutigen Smart-
Cyberangriffe: Heute bereits Alltag phones wesentlich seltener mit Sicher-
heitssoftware, wie Firewall oder Antivi-
Wird der Alltag des durchschnittlichen rensoftware, ausgestattet. Weniger als ein
westlichen Konsumenten betrachtet, so Prozent aller Smartphones verfügen über
ruft er oder sie Nachrichten inzwischen eine derartige Software. So ist es auch
in der Regel häufiger am Smartphone ab, nicht verwunderlich, dass das Ausspio-
Die Autoren als am heimischen Rechner, sofern dieser nieren von Daten durch Pishing-Atta-
Ronny Waschau ist Unternehmensberater mit den überhaupt noch vorhanden ist.1 Er surft cken7, Malware8 oder anderen Cyberan-
Schwerpunkten Digitalisierung und Kundenbindung
sowie Experte für Motorfahrzeugversicherung-
flüchtig bei Facebook oder anderen sozi- griffen kontinuierlich ansteigt. Es
Services bei BearingPoint. alen Netzwerken, um zu schauen, was scheint, dass millionenfache Datendieb-
Katharina Schmitt ist Business Analyst im Financial- seine Freunde gepostet haben oder liest stähle, wie zuletzt bei Adobe, Ebay, Sony
Services-Bereich bei BearingPoint. und schreibt mittels Messenger.2 Auch und Anthem, dem zweitgrössten US-2 Trendmonitor 2 . 2015 Aktuelll 2
Krankenversicherer, mit insgesamt 338
Premera
Millionen entwendeten Datensätzen eher
alltäglich werden als eine Ausnahme blei-
Anthem JP ben. Abbildung 1 zeigt exemplarisch die
80 Mio. Home Morgan durch Hackerangriffe erbeuteten Daten-
Depot Chase
56 Mio.
sätze der letzten Jahre.9 Auffallend ist
76 Mio. Sony
Twitch.tv schon allein die stetige Zunahme der
Pictures
European
Central Zahl der entwendeten Datensätze.
Bank
UPS
Target Befragte Konsumenten antworten ange-
Ebay
70 Mio. sichts der vermeintlichen Hilflosigkeit in
145 Mio.
. Yahoo Zeiten der NSA-Überwachung eher mit
Japan
2014 Living 22 Mio.
resignierenden Statements wie «Daran
Social kann ich eh nichts ändern».10 Eine Un-
Adobe UbiSoft ssndob
tersuchung hat ergeben, dass der durch-
36 Mio. 50 Mio. .ms
4 Mio.
Evernote schnittliche Nutzer über 26 passwortge-
2013 50 Mio. schützte Accounts bei Ebay, Facebook
Snap Diverse Zappos und anderen verfügt, hierfür jedoch nur
Chat
Blizzard Griechische 4,7 Mio. Unternehmen 24 Mio. fünf Passwörter verwendet und diese in
Regierung
14 Mio.
Gamigo 9 Mio.
KT Corp.
u. a. 7-eleven, JC Penney,
Heartland , Dow Jones, Jet Blue,
der Regel selten oder gar nicht ändert.11
8 Mio. 8,7 Mio. Visa Jordan, Diners Singapore
2012
160 Mio.
Global
Payments Industrie 4.0
7 Mio.
Tianya
Sony Online Auf diesem Nährboden hält die nächste
2011 Nexon 28 Mio.
Korea
Entertainment
24,6 Mio.
industrielle Revolution Einzug: Die Ver-
13,2 Mio. netzung der Unternehmen, die soge-
China
Software nannte vierte Industrielle Revolution
Developer Steam oder auch Industrie 4.0 genannt (Abbil-
Network Sony PSP
2010 178.com 6 Mio. 35 Mio.
10 Mio.
77 Mio. dung 2).12
CheckFree
Durch die Kommunikation der Maschi-
5 Mio. Virginia
Dept. of
nen untereinander – Machine-to-Machi-
2009 Health ne-Communication (M2M) – ist es
RockYou! 8,3 Mio.
Auction
möglich, noch effizienter zu produzieren:
Heartland 32 Mio.
.co.kr Maschinen in der Produktion erkennen,
18 Mio. 130 Mio.
wann Nachschub auszugehen droht,
2008 können diesen selbständig ordern und
TD wissen, wann Wartungen anstehen, um
Data Ameritrade sich entsprechend frühzeitig beim
Processors 6,3 Mio.
5 Mio. Dienstleister bemerkbar zu machen. Die
Hanna- TK / TJ
2007 ford rein nach Zeitintervall anstehende War-
4,2 Mio. Maxx
tung, wie beispielsweise bei Aufzügen
94 Mio.
und Rolltreppen, gehört sukzessive der
Vergangenheit an.13 Schätzungen gehen
2006
davon aus, dass im Jahr 2020 bis zu 212
KDI
4 Mio. Milliarden «Dinge» untereinander Infor-
Cardsystems
mationen austauschen werden.14
Solutions Inc.
40 Mio. Stand 30.03.2015, nur Hacking,
nur >0,5 Mio. entwendete Datensätze,
2005 inkl. unbekannter Anzahl Angriffe auf Industrieunternehmen
AOL
Finanzdienstleistungssektor bereits Alltag
92 Mio.
Sonstige Unternehmen
Nicht im gleichen Umfang steigt jedoch
das Bewusstsein für die hierfür notwen-
2004 dige Sicherheitsarchitektur. Schätzungen
Abb. 1: Entwendete Datensätze seit 2004 (Quelle: informationisbeautiful.net) gehen von rund 100 000 Angriffen aufAktuell 2 Trendmonitor 2 . 2015 3
Unternehmen aus – pro Tag.15 Bei einem
erfolgreichen Angriff drohen Betriebsaus-
4. Industrielle
fälle, Umsatzeinbussen, Verlust von Ge- Erste speicher- Revolution
schäftsgeheimnissen – und langfristig programmierbare auf Basis von Cyber-
Steuerung (SPS), Physical Systems (CPS)
wichtiger – der Verlust von Kundenver- Modicon 084 (1969)
trauen und damit Kundenbindung.
3. Industrielle
Revolution
Grad der Komplexität
Im abgelaufenen Jahr wurde ein deut- Erstes Fliessband, durch Einsatz von Elek-
tronik und IT zur weite-
sches Stahlwerk Opfer eines Cyberan- Schlachthöfe von ren Automatisierung
Cincinnati (1870) der Produktion
griffs. Kriminelle griffen gezielt Mitarbei-
2. Industrielle
ter des Unternehmens mit gefälschten Revolution
Nachrichten an, um Zugriff auf das Bü- durch Einführung arbeits-
teiliger Massenproduktion
ronetzwerk zu erhalten. Einmal Zugang Erster mechanischer mit Hilfe von elektrischer
Webstuhl (1784) Energie
zum internen Netzwerk erlangt, nutzten
1. Industrielle
die Angreifer diesen, um auf das Produk- Revolution
tionsnetzwerk zuzugreifen. Dort sabotier- Einführung mechanischer
Produktionsanlagen mit
ten sie einzelne Steuerungskomponenten, Hilfe von Wasser- und
Dampfkraft Zeit
sodass letztlich ein Hochofen nicht her-
untergefahren werden konnte und damit Ende Beginn Beginn 70er-Jahre Heute
18. Jhdt. 20. Jhdt. 20. Jhdt.
massive Schäden an der Anlage entstan-
den.16 Kaum vorstellbar, was die Folgen Abb. 2: Die vier Stufen der Industriellen Revolution (Quelle: DFKI)
gewesen wären, wenn es sich nicht um
ein Stahlwerk, sondern ein Chemieun-
ternehmen oder ein Atomkraftwerk ge- an die millionenschwere Erbschaft zu ge- Nahezu alle heutigen Oberklasse-Fahr-
handelt hätte.17 langen. zeuge verfügen bereits über die hierfür
notwendige Technik, wie teilautonome
Zum Vorgehen beim Angriff auf das Bü- Im Fall des Angriffs auf das Stahlwerk Fahrten der Mercedes S-Klasse22, Audi
ronetzwerk ist durch das deutsche Bun- konnte der Eingriff schnell entdeckt wer- A723, BMW24 oder des Tesla Model S25
desamt für Sicherheit in der Informati- den: Steuerungskomponenten funktio- zeigen.
onstechnik (BSI) nur bekannt geworden, nierten nicht mehr richtig. Dies ist aber
dass Pishingattacken durchgeführt wur- nicht der Regelfall. Im Durchschnitt Von der rechtlichen und moralischen
den, also gefälschte E-Mails versendet dauert es 260 Tage, bis ein Angriff ent- Fragestellung der Verantwortlichkeit bei
und von Unternehmensmitarbeitern ge- deckt wird.19 Bis dahin kann der Angrei- einem Unfall mit einem autonomen
öffnet wurden. Man mag versucht sein fer ungehindert Daten «absaugen». Sub- Fahrzeug einmal abgesehen, sind die
zu sagen, das kann uns nicht passieren, tilere Vorgehensweisen als die Beein- grössten Herausforderungen die Vernet-
da unsere Mitarbeiter keine verdächtigen trächtigung von Steuerungskomponenten zung des Fahrzeuges selbst und darauf
E-Mails lesen (dürfen) und letztlich aktiv und damit verbunden höhere Schäden, aufbauend die Kommunikation des Fahr-
keine Daten herausgeben. inklusive Personenschäden, sind jedoch zeuges mit Dritten. Im Rahmen des Pan
auch vorstellbar: So wäre beispielsweise European eCalls werden ab dem
Doch dies ist zu kurz gedacht: Rund die Verschiebung von Grenzwerten bei 31. März 2018 grundsätzlich alle neu
zwei Drittel aller IT-Sicherheitsvorfälle der Automobilproduktion schwerer zu typgenehmigten Pkws und leichten
werden – absichtlich wie auch unabsicht- entdecken und könnte weitreichendere Nutzfahrzeuge mit einem Gerät zur au-
lich – durch Mitarbeiter verursacht.18 Folgen haben – angefangen bei Rückru- tomatischen Erkennung von Unfällen
Folgendes Beispiel dient zur Verdeutli- fen bis hin zu schweren Unfällen.20 und Auslösung von Notrufen ausgestat-
chung: Ist eine Initiativbewerbung an die tet.26 Die im Fahrzeug verbaute Einheit
personalbearbeitende Stelle mit individu- verfügt unter anderem über ein GPS-
eller, korrekter Anrede verdächtig? Ver- Car-Hacking nur eine Frage der Zeit? Modul, das im Ereignisfall die Fahrzeug-
mutlich nicht. Einmal die firmeneigene Aufgrund der zunehmenden Vernetzung position an die ebenfalls verbaute SIM-
Firewall passiert, kann sich ein in der des Motorfahrzeuges ist es nur eine Fra- Karte überträgt und zusammen mit wei-
Anlage verborgener Schadcode auf dem ge der Zeit, bis autonomes Fahren Alltag teren Daten27 an den Public Service
Rechner des Personalmitarbeiters und wird. Schätzungen der Fahrzeughersteller Answering Point (PSAP) – in der
damit im Büronetzwerk ausbreiten. Es gehen davon aus, dass es um das Jahr Schweiz üblicherweise die Kantonspolizei
muss sich also nicht immer um die klas- 2025 sein wird, bis die Mehrzahl der beziehungsweise in Deutschland die ört-
sische Spam-Mail vom Nachlassverwalter Fahrzeuge in der Lage sein werden, voll- lich zuständige Rettungsleitstelle – wei-
des gerade verstorbenen Erbonkels han- automatisiert, also ohne Eingriffe des terleitet. Damit erhofft sich die EU eine
deln, dem man Geld überweisen soll, um Fahrers, von A nach B zu gelangen.21 schnellere Alarmierung der Rettungskräf-4 Trendmonitor 2 . 2015 Aktuelll 2
te und damit verbunden eine zeitnahe spielsweise Software-Updates over the fahrt» nicht ohne Weiteres abbildbar ist.
Hilfe am Unfallort, wodurch die Über- air.28 Für die Mehrzahl der Fahrzeuge Zudem verfügt, wie BMW offenlegte,
lebenschance Schwerstverletzter steigen gilt, dass sie nur über Near-Field-Com- jeder Fahrzeugschlüssel über eine indivi-
kann. Mit eCall hält die sukzessive Ver- munication-Technologie verfügen, bei- duelle Kennung, die, selbst wenn sie he-
netzung aller Fahrzeuge Einzug und wird spielsweise zur Öffnung des Fahrzeuges rausgefunden wird, nicht mit der Ken-
Alltag für den Anwender. mittels Funkfernbedienung oder die nung für die weiteren Systeme, die unter
Übertragung des Reifendrucks mittels anderem die Bremsen steuern, überein-
Hinsichtlich der weiteren Vernetzung des Bluetooth an die Fahrzeugelektronik. Ein stimmt. Damit wäre mit der Kennung
Fahrzeuges mit Dritten hat die EU meh- Zugriff setzt daher sowohl eine gewisse für die Funkfernbedienung lediglich ein
rere Pilotprojekte aufgesetzt, unter ande- Nähe zum jeweiligen Fahrzeug voraus als Öffnen des Fahrzeuges möglich. Ein wei-
rem Cooperative ITS Corridor Rotter- auch – mangels aktuell vorhandener her- terer Zugriff auf das Fahrzeug, wie dem
dam – Frankfurt – Vienna, die auch da- stellerübergreifender Zugriffsstandards – Starten des Motors, wäre in der Regel
rauf abzielen, Standards für die gesicher- fahrzeugindividuelle Zugriffcodes. nur mittels separater Hardware am
te Übertragung zu entwickeln. Getestet OBD-II-Port machbar. Ein ferngesteuer-
werden sollen sowohl die Kommunika- Zwar tauchen in der Presse regelmässig tes Bremsen des Fahrzeuges auf der Au-
tion mit der Infrastruktur (Vehicle-to- Artikel auf, wie «Wissenschaftler hacken tobahn ist daher so nicht möglich.
Infrastructure-Communication – V2I) Autosysteme»29, «A 14-year-old hacker
als auch von Fahrzeugen untereinander caught the auto industry by surprise»30 In Summe vermag dies jedoch nicht da-
(Vehicle-to-Vehicle-Communication – oder «BMW Update Kills Bug In 2.2 rüber hinwegzutäuschen, dass die jetzi-
V2V). Der Gedanke hierbei ist, dass das Million Cars That Left Doors Wide gen Fahrzeuge nur unwesentlich davor
Unfallrisiko gesenkt werden kann, wenn Open To Hackers»31. Bei genauerem geschützt sind, gehackt zu werden. Der
Informationen über das Verkehrsgesche- Hinsehen ist jedoch entweder kein Miss- wirksamste Schutz war bisher die im We-
hen, wie Staus, Baustellen oder Glatteis, brauch bekannt geworden (BMW) oder sentlichen fehlende Vernetzung des Fahr-
an das Fahrzeug übermittelt und dort es wurde mittels zuvor verbauter Hard- zeuges beziehungsweise deren Funkreich-
verwendet werden. ware auf das Fahrzeug zugegriffen. Dies weite. In der Regel ist bis jetzt ein direk-
ist, vereinfacht gesagt, vergleichbar, als ter hardwareseitiger Zugriff auf das Fahr-
Damit verbunden steigt aber auch das wenn man zuvor den Server des Unter- zeug notwendig, um sicherheitsrelevante
Risiko, gefälschte Nachrichten übermit- nehmens aufschraubt, dort eine Festplat- Funktionen zu beeinflussen.33
telt zu bekommen, sodass Eingriffe in te mit Hackersoftware verbaut und dann
das Verkehrsgeschehen erfolgen – sei es den Rechner von dieser Festplatte starten Es zeigt sich aber auch hier, dass es nur
indirekt über den Fahrer, der diesen In- lässt, um zu sagen, man habe Zugriff auf eine Frage der Zeit ist, bis Lücken in der
formationen blind vertraut, oder direkt den (restlichen) Unternehmensserver er- Sicherheitsarchitektur entdeckt und ge-
über das autonom fahrende Fahrzeug. langt. So konnte das Team von US-Wis- nutzt werden. Reagieren Anbieter zöger-
Vielfach geistert die Idee der ausgelösten senschaftlern29 nur deswegen unrecht- lich, kann dies zu schweren Vertrauens-
Vollbremsung auf der Autobahn durch mässig Zugriff erlangen und unter ande- verlusten bei Kunden führen, bezie-
den Raum. Sicherlich mag dies theore- rem aus der Ferne die Bremsen während hungsweise zu hohen Kosten bei der
tisch vorstellbar sein, realistisch ist es je- der Fahrt deaktivieren, weil sie zuvor ein nachträglichen Beseitigung der Lücken
doch nicht. Als Projektleiter für das The- Gerät im Fahrzeug verbauten, mit dem von bereits ausgelieferten Produkten.
ma «Vernetztes Kfz» beim Gesamtver- sie danach die Steuergeräte beeinflussen
band der Deutschen Versicherungswirt- konnten.32 Ein reines Hacking des Fahr- Der Autor hat im Rahmen eines Projekts
schaft hat sich der Autor intensiv mit zeuges aus der Ferne, wie zunächst ver- bei der Erarbeitung eines ISO-Standards
dem Thema Fahrzeugvernetzung, Tele- mutet werden könnte, war daher nicht für eine offene, sichere, standardisierte
matics und eCall beschäftigt. Car-Ha- möglich. Ebenfalls mittels eigener, im und interoperable Fahrzeugplattform für
cking, also ein unberechtigter Zugriff auf Fahrzeug zuvor verbauter Hardware ge- eCall und andere Mehrwertdienste mit
ein Fahrzeug einzig aus der Ferne und lang dem 14-Jährigen der Zugriff auf ein den grossen europäischen Fahrzeugher-
mit der Manipulation von sicherheitsre- Fahrzeug.30 stellern zusammengearbeitet. Den Fahr-
levanten Funktionen, wie Bremsen oder zeugherstellern und Zulieferern ist be-
dergleichen, ist bis heute nicht bekannt Einzig der Fall, in dem mittels Funkfern- wusst, dass eine entsprechende Sicher-
geworden. bedienung Zugriff auf einen BMW ge- heitsarchitektur unabdingbar ist und un-
nommen werden konnte,31 zeigt, dass berechtigte Zugriffe verhindert werden
Die Mehrzahl der Fahrzeuge, die sich auf bereits heute grundsätzlich ein Hacking müssen. Dies zeigt sich exemplarisch, als
den Strassen bewegen, sind nicht ver- aus der Ferne möglich ist. Allerdings ver- BMW schnellstmöglich eine potenzielle
netzt. In der Regel sind es lediglich Fahr- fügen die Funkempfänger nur über eine Lücke im System über ein Over-the-air-
zeuge der Ober- und Luxusklasse, die begrenzte Reichweite, sodass das gern ge- Update geschlossen hat.31 Ersten ISO-
bereits heute Informationen aus dem nommene Horrorszenario «Ausschalten Standards liegt bereits eine moderne Si-
Fahrzeug senden und empfangen, bei- der Bremsen während der Autobahn- cherheitsarchitektur zugrunde, wodurchAktuell 2 Trendmonitor 2 . 2015 5
Zugriffe auf Fahrzeugsysteme ausschliess- schen Bereichen, verbindliche Einfüh- Versicherungsprodukte als Schutz-
lich über ein Gateway mit Firewall er- rungen aller Mitarbeiter in das unterneh- massnahme
möglicht werden.34 Die erscheinenden, mensweite Sicherheitskonzept und regel-
mehr und mehr vernetzten Fahrzeuge mässige Nachschulungen können helfen, Die in den vorherigen Abschnitten be-
werden sukzessive mit einer dem Stand die Zahl der Vorfälle zu reduzieren. schriebenen Beispiele veranschaulichen
der Technik entsprechenden Sicherheits- Hierzu gehört auch die Sensibilisierung die Brisanz der Risiken aus Cyberatta-
architektur ausgestattet, um Cyberangrif- der Mitarbeiter bei Zugriffen auf das cken und eine damit einhergehende
fe zumindest deutlich zu erschweren. Ei- Netzwerk im Rahmen von Dienstreisen, Nachfrage an neuen Versicherungspoli-
nen hundertprozentigen Schutz wird es das Nichtvermerken von Passwörtern35 cen, die derartige Risiken abdecken kön-
jedoch, wie bei jedem System, nie geben sowie der Umgang mit externen Daten- nen. Um diese Marktnische zu bedienen,
können. trägern, sofern diese nicht ohnehin ge- verfolgen zahlreiche Versicherer das Ziel,
sperrt sind, wie in Grossunternehmen neben standardisierten Sach- und Haft-
inzwischen häufig der Fall. Auch regel- pflichtversicherungen, die lediglich Schä-
Schutzmassnahmen für Unterneh- mässige Aktualisierungen von Passwör- den auf Sachwerte abdecken, den Schutz
men tern, beispielsweise durch systemseitige auf Informations- beziehungsweise Tech-
Vorgaben, können das Risiko verringern, nologiesachwerte zu erweitern.
Obwohl nur durch ein unternehmensin- Opfer eines «Datendiebstahls» zu wer-
dividuelles und je nach Wichtigkeit der den. In diesem Zusammenhang stehen Der Markt der Cyberkriminalitätsversi-
Daten abgestuftes Sicherheitskonzept ein abgestufte Zugriffsregelungen inklusive cherungen ist insbesondere durch den
bestmöglicher Schutz vor Cyberangriffen Tracking für das Nachhalten und spätere schnellen technologischen Fortschritt ge-
gewährleistet ist, gibt es allgemeine Emp- Optimieren der Systeme. Des Weiteren kennzeichnet, der kontinuierlich zu neu-
fehlungen. Ausgangsbasis bilden auf dem sollten wichtige Daten, wie beispielswei- artigen Cyberangriffen führt. Die Folge
aktuellen Stand gehaltene Virenscanner, se Geschäftsgeheimnisse oder Patente, ist, dass Versicherer die Deckungen an-
Firewalls und sonstige Programme. Zu- verschlüsselt werden. Dies verhindert gebotener Versicherungsprodukte fortlau-
dem gibt es spezielle Angriffserkennungs- zwar regelmässig nicht die Entwendung, fend an die durch neue Technologien
systeme, die Alarm schlagen, wenn bei- aber das Risiko der missbräuchlichen ausgelösten Gefahren anpassen wie auch
spielsweise versucht wird, mehrfach auf Verwendung.36 Um eine schnelle und gänzlich neue Produkte entwickeln müs-
bestimmte Systeme zuzugreifen. professionelle Reaktion im Ereignisfall sen. Erschwerend kommt hinzu, dass der
sicherzustellen, eignet sich ein Notfall- Markt, neben der Dynamik der Cyber-
Wie eingangs erwähnt, werden rund zwei konzept, in dem bereits die verschiede- kriminalitätsversicherungen, vor allem
Drittel aller IT-Sicherheitsvorfälle – ab- nen Angriffskonzepte und dazugehörige durch einen hohen Individualisierungs-
sichtlich oder unabsichtlich – durch Mit- Massnahmen durchgespielt werden. Dies grad gekennzeichnet ist. Konkret bedeu-
arbeiter verursacht. Sicherheitsüberprü- kann auch helfen, den drohenden Ima- tet dies, dass die Ausgestaltung der Poli-
fungen für Bewerber in sicherheitskriti- geschaden zu reduzieren. cen und die berechneten Prämien von
firmeninternen, spezifischen Eigenschaf-
ten, wie zum Beispiel dem vorhandenen
Sicherheitskonzept, der Grösse des Kun-
denstammes, der Art des Internetauftritts
1
• Unbeabsichtigt (Fehler, Versäumnisse) sowie dem Typus an vorhandenen Da-
Handlungen von Individuen • Vorsätzlich (Betrug, Sabotage, Diebstahl, Vandalismus)
(un)beabsichtigte (unterlassene) • Untätigkeit (Fähigkeiten, Wissen, Führung, Leitung) ten, abhängen. Trotz Diversität der ver-
Handlungen schiedenen Risikotypen lassen sich – ba-
sierend auf den Definitionen von Basel
2
System- oder • Hardware (Kapazität, Leistungsfähigkeit, Instandhaltung) II beziehungsweise Solvency II – vier
Technologieversagen • Software (Kompatibilität, Änderungssteuerung, Sicherheits-
Ursprungskategorien an operationellen
Hardware-, Software- oder einstellungen)
Informationssystemversagen • Systeme (Design, Spezifikation, Integration) Cyberkriminalitätsrisiken identifizieren
(Abbildung 3).37
3
• Prozessdesign oder Ausführung (Prozessablauf, Dokumentation,
Prozessversagen Warnmeldungen)
Probleme bei der Abwehr • Prozesskontrollen (Statusüberwachung, Kennzahlen)
Hinsichtlich der verschiedenen Ursachen
von Cyberrisiken • Unterstützende Prozesse (Finanzierung, Einkauf) von Cyberrisiken ist es nicht verwunder-
lich, dass Cyberkriminalitätspolicen oft
4 • Katastrophen (Wetter, Feuer, Wasser, Erdbeben) sehr teuer sind und einen Vergleich für
Externe Einflüsse • Rechtliche Fragestellungen (gesetzliche Auflagen, Gesetzgebung)
Einflüsse ausserhalb des
ein faires Pricing nahezu unmöglich ma-
• Geschäftsthemen (Lieferantenausfall, wirtsch. Bedingungen)
Kontrollbereichs der Firma • Abhängigkeit von Anbietern von Dienstleistungen chen. Grund hierfür ist neben der Neu-
(Notdienste, Kraftstoffe) artigkeit der Versicherungsprodukte die
vergleichsweise geringe Anzahl an Anbie-
Abb. 3: Übersicht operationeller Cyberrisiken (Quelle: BearingPoint) tern dieser Produkte. Ein faires Pricing6 Trendmonitor 2 . 2015 Aktuelll 2
Im abgebildeten Beispiel aktualisiert das
Unternehmen seine Software im Jahr
Oberes Prämienniveau
2016, was das Risiko reduziert und da-
mit die Prämie zurückführt. Zu Beginn
Angepasste Prämie des Jahres 2017 werden weltweit Unter-
nehmen, die das gleiche Sicherheitskon-
Niveau der Bedrohung
zept wie das versicherte Unternehmen
Unteres Prämienniveau verwenden, angegriffen, wobei grosse
Datenmengen entwendet werden. Da
2015 2016 2017 eine Anpassung des Sicherheitskonzeptes
längere Zeit in Anspruch nimmt und
damit das Risiko fortbesteht, erhöht
Abb. 4: Dynamische Anpassung der Prämienhöhe nach Bedrohungslage sich die Prämie entsprechend dem – im
(Quelle: Bearing Point) Vergleich zu den Vorjahren – höheren
Risiko.
wird weiterhin dadurch erschwert, dass diese Schwachstelle ausnutzen, hat sich Diese dynamische Prämienanpassung ist
die Verfügbarkeit von verlässlichen his- erhöht. Dies muss sich grundsätzlich ein weiteres Beispiel dafür, dass der
torischen Datenreihen stark einge- auch in der Prämie widerspiegeln. So wä- Markt der Cyberkriminalitätsversiche-
schränkt ist. Daneben fallen im Vergleich re es beispielsweise möglich, dass das Un- rungen als äusserst komplex gilt. Nichts-
zu traditionellen Sach- und Haftpflicht- ternehmen zunächst aufgefordert wird, destotrotz zeigen Studien, dass zuneh-
versicherungen zusätzliche Kosten an, innerhalb eines bestimmten Zeitraumes mend neue Versicherer in den Markt
wie zum Beispiel Vorlaufkosten zur Be- Updates einzuspielen. Andernfalls wird eintreten und sich somit der Preiskampf
urteilung der firmenspezifischen Risiken die Prämie erhöht beziehungsweise bei positiv für die Versicherungsnehmer aus-
sowie gegebenenfalls weitere Kosten für Realisierung dieses Risikos die Deckung wirkt. Es ist daher zu erwarten, dass vor
Informationen zur Art und dem Ausmass versagt. Alternativ kann dies auch von allem kleinere und mittlere Unterneh-
vorheriger Angriffe auf Firmensysteme. Anfang an im Vertrag verankert werden, men, die bislang kaum Zugang zu Cy-
wodurch es eine entsprechende Oblie- berrisikopolicen hatten, künftig einen
Im Gegensatz zu klassischen Versiche- genheit für den Versicherungsnehmer höheren Anteil an der Gesamtnachfrage
rungsprodukten, in denen sich das ein- gibt, Updates innerhalb einer bestimm- ausmachen werden.
mal kalkulierte Risiko wenig verändert, ten Zeit einzuspielen.
wie beispielsweise das Unwetterrisiko bei
einer Wohngebäudeversicherung, gilt
dies bei Cyberversicherungen nicht. Der
bei Vertragsschluss festgestellte Zustand
unterliegt, insbesondere durch den tech- Krisenmanagement Wiederherstellung
nologischen Fortschritt, einem grösseren Eine Versicherung, die Schäden aus Angriffen Eine Versicherung, die feindliche Angriffe
auf firmeninterne Informations- und Produkt- auf Daten oder die Zerstörung von anderen
Wandel. Selbst eine State-of-the-art-Si-
technologien absichert, z. B. Übernahme von nicht materiellen Vermögenswerten absichert,
cherheitsarchitektur kann nach mehreren Kosten zur Wiederherstellung der Firmenrepu- z. B. Übernahme von Kosten zur Wiederher-
Monaten bereits teilweise überholt sein. tation oder Benachrichtigung von Stakeholdern stellung von Daten oder zum Austausch von
Das Risiko, Opfer eines digitalen An- geistigem Eigentum (z. B. Software)
griffs zu werden, steigt dadurch kontinu- Unterbrechung der Geschäftstätigkeit Cybererpressung
ierlich. So wie die Risikoeinschätzung Eine Versicherung, die durch feindlliche Angrif- Eine Versicherung, die die Folgen einer
fe entstehende Verluste einer Unterbrechung Erpressung, sensible Daten bekannt zu geben,
Veränderungen unterliegt, müssen auch der Geschäftstätigkeit absichert, z. B. entgan- absichert, z. B. Übernahme von Kosten einer
die Prämien flexibel anpassbar sein. gener Gewinn Erpressungszahlung oder Leistungen der
Erpressungsvermeidung
Abbildung 4 veranschaulicht dies exem-
plarisch. Im Jahr 2015 hat das Unter- Sicherheit des Netzwerks Geistiges Eigentum
Eine Versicherung gegen das unabsichtliche Eine Versicherung gegen die Verletzung von
nehmen eine Cyberschutzpolice abge- Installieren von Computer-Viren, die Schäden Softwarerechten, Markenzeichen usw., z. B.
schlossen. Das Prämienniveau lag im bei einer Drittpartei verursacht, z. B. Über- Übernahme von Verteidigungsausgaben und
Mittelfeld für derartige Versicherungen, nahme von Kosten zur Wiederherstellung Schadenaufwendungen
der Sicherheit oder für Gerichtsverfahren
da das Unternehmen über ein marktüb-
liches Sicherheitskonzept verfügte. Im
Laufe der Zeit «vergisst» das Unterneh-
men jedoch bestimmte Softwareupdates Abb. 5: Häufigste Bausteine aktueller Cyber-Risk-Versicherungen
einzuspielen. Das Risiko, dass Angreifer (Quelle: Nach Biener et al., 2015)Aktuell 2 Trendmonitor 2 . 2015 7
Versicherungsdeckung
Abbildung 5 gibt einen Überblick über
die häufigsten Bausteine aktueller Cyber-
Risk-Versicherungen. Kern der versicher- Ökosystem Cyber
Risk
ten Leistung ist meist die Absicherung
der Risiken bei Einritt eines Schaden Direkte Schäden Regelmässige
falles.38 des Versicherungs- Risikobeurteilungen
nehmers
Intelligente Services zur Datenwieder-
Infrastruktur A Risikoprüfung herstellung, Reparatur
und Policierung des Schadens
Grenzen der Versicherungsdeckung
sowie Art der versicherten Daten Entgangener Schäden bei
Neben den abgedeckten Versicherungs- Gewinn Dritten
fällen stellt die Versicherungsdeckungs- Erstellung und Regelmässige
grenze sowie die Art der versicherten Da- Anpassung Sicher- Präventions-
heitskonzept Services zur massnahmen
ten ein weiteres wichtiges Kriterium dar, B
Risikoreduktion
welches das Pricing erheblich beeinflusst:
Regelmässige
Typischerweise schliessen derartige Poli- Audits des Sicherheits-
konzeptes für Tarif-
cen zum Beispiel selbstverschuldete Ver- kalkulation
luste, Zugriffe auf unsichere Internetsei-
ten, Spionage oder terroristische Hand- Abb. 6: Das zukünftige Ökosystem eines Versicherers im Cyberrisikomarkt
lungen aus. Weiterhin werden oft mittel- (Quelle: BearingPoint)
bare Auswirkungen von Verlusten aus
Cyberattacken, die nicht direkt finanziell
bewertet werden können, explizit ausge- •• Dienstleistungen im Krisenmanage- sorgfältiger Planung ein immenses neues
schlossen. Dazu zählen unter anderem ment Geschäftsfeld.
Reputationsschäden oder Risiken aus •• Benachrichtigung von potenziell be-
Geschäftsgeheimnissen. troffenen Kunden Um den Leistungsfall zu verhindern oder
•• Kreditüberwachung nicht mit der Schwere eintreten zu las-
Je nach Höhe der Prämienzahlung schrän- •• Kosten zur erneuten Datensicherung. sen, gehen Versicherer immer mehr dazu
ken einige Versicherungsträger die Art der über, Services zur Prävention anzubieten
versicherten Daten entweder ein oder er- Neben diesen Standardleistungen gibt es (Abbildung 6). Es ist ferner zu erwarten,
weitern sie um folgende Spezialfälle: noch einige Policen, die folgende Schä- dass es für erfolgreiche Versicherer künf-
•• Nicht elektronisch verfügbare Daten, den abdecken: tig nicht mehr ausreichen wird, sich le-
das heisst Papierunterlagen oder Aus- •• Viren diglich auf den Vertrieb von Cyberrisi-
drucke •• Sicherheitsverstösse kopolicen zu konzentrieren. Vielmehr
•• Persönliche Daten •• Personenschäden wird sich einerseits das Angebotsspekt-
•• Nicht veröffentlichte Daten, wie zum •• Urheberrechtsverletzung rum sowie andererseits das gesamte Öko-
Beispiel Betriebsinformationen. •• Verletzung der Dienstleistungsmarke system anpassen müssen. Etwaige Policen
•• Patentrechtsverletzung. werden beispielsweise nicht nur direkt
verursachte Kosten abdecken müssen,
Abgedeckte Kosten zur Schadenbe- sondern auch jene, die bei Drittparteien
hebung Ein Blick in die Zukunft anfallen. Die Basis für eine derartige Er-
Weiterhin stellen die von der Versiche- Die Beispiele haben veranschaulicht, dass weiterung des Deckungsspektrums bildet
rung geleisteten Zahlungen zur Schaden- Cyberattacken eine globale Bedrohung eine genaue Risikomodellierung, die eine
behebung einen der Hauptgründe dar, darstellen und weder Halt vor einzelnen tiefgreifende Voranalyse sowie permanen-
weshalb Versicherungsnehmer Cyberver- Ländern noch vor Unternehmen ma- te Überwachungsdienste von Seiten der
sicherungen abschliessen. Zum Beispiel chen. Im Anbetracht der zunehmenden Versicherer einschliesst.
verlangt ein Datenverlust, der durch eine Vernetzung der gesamten IT-Landschaft
Cyberattacke ausgelöst wurde, eine ent- zwischen Firmen, Kunden, Applikatio- Eine derartige Erweiterung des gesamten
sprechende kostspielige Benachrichtigung nen sowie diversen anderen Stakeholdern Ökosystems eines Versicherers ist vor al-
der Kunden. Daneben sollen oft auch wird sich dieses Problem künftig weiter lem für Industrien, wie zum Beispiel As-
Reputationsschäden abgewendet werden, verschärfen. Diese Entwicklungen stellen set Manager, die durch eine besonders
indem bestimmte Kreditüberwachungs- vor allem Rückversicherer zum einen vor starke globale Vernetzung gekennzeichnet
dienstleistungen angeboten werden. Ab- grosse Herausforderungen beim Manage- sind, von entscheidender Bedeutung. Ei-
gedeckte Kosten zur Schadenbehebung ment und bei der Begrenzung von Risi- ne Cyberattacke hätte in diesem Fall ei-
können unter anderem beinhalten: ken, zum anderen generieren sie aber bei nen immensen Einfluss auf eine gesamte8 Trendmonitor 2 . 2015 Aktuelll 2
Industrie, die dadurch komplett lahmge- Schliesslich sollte der Versicherungs- 9 http://informationisbeautiful.net/visualizations/
legt werden könnte. schutz dahingehend überprüft werden, worlds-biggest-data-breaches-hacks/ Nach Un-
tersuchungen der Munich Re sollen sogar 110
inwieweit Deckung bei einem Cyberan- Millionen Datensätze bei Target entwendet wor-
griff besteht. Neben der Möglichkeit das den sein:Topics Schadenspiegel 2/2014, Seite 7 ff.
(9); in der Übersicht wurde zur Sicherheit die
Fazit Risiko in bestehende P&C-Versicherun- geringere Zahl von informationisbeautiful mit 70
gen einzubauen, entwickelt die Versiche- Millionen Datensätzen zugrunde gelegt.
Das Risiko, Opfer eines digitalen An- rungswirtschaft sukzessive spezielle Cy- 10 Nicht repräsentative Erhebung von BearingPoint
zum Thema Schutz vor Cyberrisiken.
griffs zu werden, ist – egal ob als Privat- berpolicen. Diese ermöglichen meist eine 11 Untersuchung von Experian. Diese und weitere
person oder Unternehmen – in den letz- bessere Absicherung, da ein Cyberangriff Ergebnisse finden sich unter http://techradar.
com/us/news/internet/online-fraud-too-many-
ten Jahren gestiegen. Aufgrund der stetig das Unternehmen nicht nur direkt belas-
accounts-too-few-passwords-1089283/ Als Gra-
wachsenden Verlagerung der Internetnut- tet, zum Beispiel durch eine Betriebsun- fik zu finden unter http://insights.wired.com/pro-
zung auf unzureichend gesicherte Smart- terbrechung, sondern auch Kosten durch files/blogs/2013-the-year-of-the-breach-how-
secure-is-your-data/
phones und der aktuell stattfindenden Schadenersatzzahlungen entstehen kön- 12 Eine kurze Zusammenfassung hierzu findet
Vernetzung der Unternehmen im Rah- nen, beispielsweise von Banken für den sich unter http://www.robin40.tu-darmstadt.
men der Industriellen Revolution 4.0 Austausch von Karten aufgrund entwen- de/robin/industrie_4__0/index.de.jsp Abdruck
der Grafik mit freundlicher Genehmigung des
dürfte dieses Risiko weiter ansteigen. deter (Karten-)Daten. «Deutsche Forschungszentrum für Künstliche
Vermeintliche Horrorgeschichten mit Intelligenz GmbH (DFKI)».
13 BearingPoint unterstützt diverse Unternehmen,
Gefahr für Leib und Leben, wie beim wie bspw. die Schindler Holding Ltd., bei der
Thema Car-Hacking gerne verwendet, Anmerkungen Vernetzung ihrer Infrastruktur unter Berücksich-
sind jedoch (noch) übertrieben und tigung der aktuellen Sicherheitsanforderungen.
1 Im Jahr 2014 wurden weltweit rund 1,3 Milliarden 14 GDV: 3,2 Milliarden http://gdv.de/2015/04/
dürften, auch aufgrund der Bemühungen Smar tphones verkauft: http://de.statista.com/ chancen-und-risiken-der-vernetzung-in-der-in-
themen/581/smar tphones/; Tablets rund 304
der Fahrzeughersteller und Zulieferer, Millionen: http://de.statista.com/themen/580/ta-
dustrie-4-0/ Gartner : 26 Milliarden: http://gar t-
ner.com/newsroom/id/2636073/ IDC: 212 Milli-
noch längere Zeit eine rein theoretische blets/; PCs rund 290 Millionen: http://de.statista. arden: Worldwide Internet of Things 2013–2020
Gefahr bleiben. com/themen/159/computer/ Forecast: Billions of Things, Trillions of Dollars.
2 Nach einer Untersuchung von BITKOM verbrin- 15 http://upfront.pwc.com/risk/672-risky-business/
gen die meisten Nutzer (rund zwei Drittel) weni- 16 https://bsi.bund.de/SharedDocs/Downloads/DE/
Nichtsdestotrotz ist es wichtig, das Risi- ger als eine Stunde am Tag in ihrem meist genutz- BSI/Publikationen/Lageberichte/Lagebericht2014.
ten Netzwerk. Bei rund einem Viertel beträgt die
ko, Opfer eines Cyberangriffs zu werden, Zeit zwischen einer und zwei Stunden. Nur bei
pdf
17 Allerdings muss hierbei beachtet werden, dass
bereits bei der Internetnutzung im Hin- rund elf Prozent beträgt die durchschnittliche zumindest bei Atomkraftwerken eine Vernet-
terkopf zu behalten, beispielsweise für Zeit mehr als zwei Stunden täglich. Dies sind zung in der Regel nicht gegeben ist, da beim
vorrangig jüngere Nutzer. http://bitkom.org
sensible Bereiche besondere Sicherheits- 3 Eine detaillier te Aufschlüsselung der Medien-
Bau derartige Technologien nicht bekannt bzw.
verbreitet waren.
vorkehrungen zu treffen und auch als nutzung von BITKOM ist zu finden unter : htt- 18 http://gdv.de/2015/04/chancen-und-risiken-der-
ps://adzine.de/2015/03/mediennutzung-anzahl-
Privatperson zu überlegen, wo man wel- der-smartphone-nutzer-in-sechs-monaten-um-
vernetzung-in-der-industrie-4-0/
19 Munich Re, Topics Schadenspiegel 2/2014, Seite
che Daten angibt beziehungsweise hin- 2-millionen-gestiegen-mobile/ 7 ff. (9).
terlässt. 4 Eine Chronik der relevantesten Angriffe auf 20 Munich Re, Topics Schadenspiegel 2/2014, Seite
mobile Geräte findet sich unter : http://it-daily. 7 ff. (9).
net/it-sicherheit/mobile-security/8456-malware- 21 Es werden drei zu durchlaufende Stadien un-
Auch bei der Konzeption der eigenen IT- chronik-fortinet-zeigt-entwicklung-mobiler-mal- terschieden: 1. Teilautomatisier tes bzw. teilau-
ware/
Infrastruktur sind unberechtigte Zugriffe tonomes Fahren (bereits verfügbar): Eine stän-
5 Ungeprüfte Massenware wird in der Regel nach dige Systemüberwachung durch den Fahrer ist
– von aussen wie von innen – zu berück- Megabyte abgerechnet und liegt bei wenigen Eu- notwendig, sodass er jederzeit die Fahraufgabe
sichtigen: Angefangen von entsprechen- ro für mehrere hundert Megabyte: http://presse übernehmen kann. Beispiel: Stop&Go-Verkehr
meldungen.at/42143/g-data-heiser-malware-
den Sicherheitschecks mit Testangriffen herbst-im-anmarsch/ Bei Kreditkarten-Datensät-
2. Hochautomatisier t bzw. hochautonomes
Fahren (vrs. ab 2020): Eine ständige System-
bis hin zur Zertifizierung sind viele Hil- zen kostet der einzelne Datensatz in der Regel überachung durch den Fahrer ist nicht mehr
festellungen möglich. Unter Zuhilfenah- bereits mehrere Dollar : http://elektroniknet.de/ notwendig, sodass er nur mit zeitlichem Vorlauf
embedded/sonstiges/artikel/78654/0/ die Fahraufgabe übernehmen muss. Beispiel: Au-
me entsprechender Spezialisten, wie bei- 6 http://gdv.de/2015/04/chancen-und-risiken-der- tobahnfahrten. 3. Vollautomatisiertes bzw. (voll)
spielsweise dem MELANI (Melde- und vernetzung-in-der-industrie-4-0/ autonomes Fahren (vrs. ab 2025): Eine ständige
7 Bei Pishing handelt es sich um den Versuch, mit-
Analysestelle Informationssicherung, tels gefälschter Webseiten, E-Mails oder Kurz-
Systemüberwachung durch den Fahrer ist auch
hier nicht mehr notwendig. Zudem muss der
Schweiz) oder dem BSI (Bundesamt für nachrichten an Daten eines Internetnutzers zu Fahrer die Fahraufgabe nicht mehr übernehmen.
Sicherheit in der Informationstechnik, gelangen. «Berühmtheit» hat die E-Mail des an- Beispiel: Eingabe des Ziels und Fahrzeug bringt
geblichen Nachlassverwalters des verstorbenen Insassen selbständig an das Ziel. Weitere Infor-
Deutschland) können schon bei der Er- Erbonkels erlangt, der auffordert, seine Kosten mationen unter : http://autonomes-fahren.de/
arbeitung oder Überprüfung des Sicher- zu übernehmen, damit der millionenschwere autonomes-fahren-ab-2025-vw-bmw-daimler-
Nachlass freigegeben werden kann.
heitskonzeptes die Risiken, Opfer eines 8 Bei Malware handelt es sich um Schadprogram-
continental-google/
22 http://blog.daimler.de/2013/09/09/schon-
Angriffs zu werden, minimiert werden. me, die dazu dienen, bestimmte vom Angreifer gesehen-die-s-klasse-faehrt-autonom/
Ein entsprechendes Notfallkonzept kann vorgegebene Funktionen auszuführen.Verbreitet 23 http://audi.de/de/brand/de/vorsprung_durch_
sind bspw. Key-Logger, also Programme, die die technik/content/2014/10/piloted-driving.html
zudem helfen, schnell und professionell Tastatureingaben des Nutzers aufzeichnen und 24 http://bmw.de/de/topics/faszination-bmw/
im Fall der Fälle zu reagieren. an den Angreifer übermitteln, relevant, bspw. connecteddrive/hochautomatisiertes-fahren.
um Kreditkarten-Daten bzw. Zugangsdaten für html
Onlinebanking zu erhalten.Aktuell 2 Trendmonitor 2 . 2015 9
25 http://teslamotors.com/de_CH/ OBD handelt es sich um ein Fahrzeugdiagnose- wör tern im Grossraumbüro von TV5 Monde
models#autopilot/ Siehe hierzu auch das system, das die abgasbeeinflussenden Systeme zeigen: http://nzz.ch/meinung/kommentare/
Anwender-Video unter https://youtube.com/ des Fahrzeuges überwacht. Um jederzeit Zugriff scheinmanoever-auf-den-schlachtfeldern-der-
watch?v=7quu551ehc0/ auf diese Daten zu haben, wurde ein Anschluss zukunft-1.18521520/
26 http://ec.europa.eu/digital-agenda/en/ecall-time- im Fahrzeug verbaut, der sog. OBD-II-Port. Er 36 Angreifer gehen inzwischen dazu über, dem
saved-lives-saved/ befindet sich meist im Fussinnenraum des Fah- ausspionier ten Unternehmen gegen eine Ar t
27 Die DIN EN 15722:2014 enthält den abschlies- rers (Fachwor t?) und wird beispielsweise bei «Lösegeld» die Löschung der gestohlenen Da-
senden Katalog an Daten, die im Rahmen des einem Servicecheck in der Werkstatt genutzt, tensätze zuzusichern. Dies insbesondere für Ge-
Pan-European eCall erhoben werden dürfen. um die Diagnosegeräte anzuschliessen und schäftsgeheimnisse, für die es auf dem Schwarz-
28 Tesla: «Autopilot features are progressively enab- damit Zugriff auf Fahrzeugdaten zu erlangen. markt keinen oder nur einen kleinen Markt gibt,
led over time with software updates.The current Die Wissenschaftler verbauten somit ein Stück aber deren Veröffentlichung für das betroffene
software version is 6.2, adding automatic emer- Hardware mit einer Hackersoftware im Fahr- Unternehmen grössere (Image-)Schäden anrich-
gency braking and blind spot warning.», http:// zeug und beeinflussten darüber den Fahrzeug- ten könnte.
teslamotors.com/models; BMW: «BMW to offer betrieb. Allerdings soll damit nicht verharmlost 37 Bank for International Settlements (BIS) (2006):
over-the-air updates for BMW navigation maps», werden, dass über den OBD-II-Por t aufgrund International Convergence of Capital Measure-
http://bmwblog.com/2015/01/06/bmw-offer-air- der kaum vorhandenen Sicherheitsarchitektur ment and Capital Standards: A Revised Frame-
updates-bmw-navigation-maps/ grundsätzlich Zugriff auf alle dahinter liegenden work Comprehensive Version, S. 144 und Com-
29 http://autosec.org/pubs/cars-oakland2010.pdf; Fahrzeugsysteme möglich ist. Dies setzt jedoch mittee of European Insurance and Occupational
Zusammenfassung unter http://golem.de/1005/ aktuell einen hardwareseitigen Zugang voraus. Pensions Supervisors (CEIOPS) (2009): Advice
75167.html 33 https://netzpolitik.org/2015/neues-phaenomen- for Level 2 Implementing Measures on Solvency
30 http://autoblog.com/2015/02/18/14-year-old- car-hacking/ II:SCR standard formula – Article 111 (f) Ope-
hacker-caught-industry-by-surprise-featured/ 34 Beispielsweise ISO 21217-2 «Complex Vehicular rational Risk.
31 http://forbes.com/sites/thomasbrewster/2015/ ITS-S Implementation Architecture». 38 Vgl. Biener, C.; Eling, M.; Wirfs, J.H. (2015): Insur
02/02/bmw-door-hacking/ 35 Auch wenn dies trivial erscheint, werden im- ability of Cyber Risk: An Empricial Analysis,
32 Jedes Fahrzeug verfügte über einen sog. OBD- mer noch Passwör ter an für Externe ersicht- Working Paper on Risk Management and Insu-
Anschluss (On-Board-Diagnostics – OBD). Bei lichen Stellen vermerkt, wie Zettel mit Pass- rance No. 151.
Gezieltes Engagement
BearingPoint bietet Management- und Technologieberatung, die
Strategien mit neuen technischen Möglichkeiten verknüpft. Wir
entwickeln individuelle Lösungen auf persönlicher Basis. Unternehmen
und Organisationen profitieren von messbaren Ergebnissen, wenn sie mit
uns zusammenarbeiten.
www.bearingpoint.comSie können auch lesen
