Redaktion: Unsere Webseite wird nicht pauschal angegriffen. Die Attacken konzentrieren sich offenbar auf einzelne Beiträge. Was sagt Ihnen dieses Muster?
Sicherheitsexperte: Wenn wiederholt bestimmte Artikel oder Themenbereiche angegriffen werden, kann das auf eine gezielte Motivation hindeuten. Denkbar ist beispielsweise, dass jemand die Verfügbarkeit oder Reichweite bestimmter Berichte einschränken möchte. Das allein beweist aber noch nicht, dass eine in den Beiträgen erwähnte Person oder Organisation den Angriff beauftragt hat. Dafür müssen technische, zeitliche und finanzielle Spuren zusammengeführt werden.
Redaktion: Der Verdacht liegt natürlich nahe, dass die Attacken aus dem Umfeld derjenigen bestellt wurden, die von der Berichterstattung betroffen sind.
Sicherheitsexperte: Das ist eine mögliche Arbeitshypothese, die überprüft werden sollte. Man darf daraus jedoch keine öffentliche Beschuldigung ableiten, solange keine belastbaren Beweise vorliegen. DDoS-Angriffe können sehr unterschiedliche Motive haben: Einschüchterung, Erpressung, politische Einflussnahme, persönliche Rache, Konkurrenz oder auch bloßer Vandalismus.
Es gibt inzwischen einen professionellen Markt für sogenannte DDoS-for-Hire-Dienste. Solche Angebote ermöglichen es Kunden, gegen Bezahlung fremde Webseiten mit massenhaftem Datenverkehr zu überlasten. Europol weist darauf hin, dass entsprechende Angriffe teilweise bereits für Beträge ab etwa zehn Euro bestellt werden können. Technische Fachkenntnisse sind dafür häufig kaum noch erforderlich.
Redaktion: Früher hieß es immer, solche Angriffe könne man praktisch nicht zurückverfolgen. Hat sich das geändert?
Sicherheitsexperte: Sie waren schon früher nicht grundsätzlich unaufklärbar, aber die Zuordnung war oft äußerst schwierig. Die sichtbaren IP-Adressen gehören bei einem DDoS-Angriff normalerweise nicht direkt dem Auftraggeber. Der Verkehr kommt häufig von kompromittierten Geräten, gemieteten Servern oder spezialisierten Angriffsdiensten.
Heute stehen Ermittlern und Sicherheitsunternehmen jedoch deutlich leistungsfähigere Analyseverfahren zur Verfügung. Künstliche Intelligenz kann sehr große Mengen an Serverprotokollen, Zeitstempeln, Angriffsmustern, Benutzerkennungen und Zahlungsdaten schneller vergleichen. Sie kann Zusammenhänge erkennen, die bei einer manuellen Auswertung möglicherweise übersehen würden.
KI liefert aber nicht auf Knopfdruck den Namen des Täters. Sie unterstützt die Ermittler dabei, Spuren zu sortieren, Muster zu erkennen und mögliche Verbindungen sichtbar zu machen. Der eigentliche Nachweis entsteht weiterhin durch eine Kombination aus technischen Daten, Finanzermittlungen, beschlagnahmten Plattformdaten, Aussagen von Dienstleistern und gegebenenfalls Durchsuchungen.
Redaktion: Was kann man konkret aus dem Angriffsmuster ablesen?
Sicherheitsexperte: Zunächst sollte geprüft werden, welche URLs angegriffen wurden, wann die Angriffe begannen und ob sie zeitlich mit bestimmten Veröffentlichungen, Änderungen oder Kontakten zusammenfallen. Ebenfalls wichtig sind die verwendeten Angriffsmethoden, die Dauer der einzelnen Wellen und mögliche Wechsel der Infrastruktur.
Man sollte auch untersuchen, ob die Attacken lediglich eine Überlastung erzeugen oder von weiteren Angriffsversuchen begleitet werden. Das britische National Cyber Security Centre warnt ausdrücklich davor, dass ein DDoS-Angriff auch als Ablenkung für einen tiefer gehenden Einbruchsversuch dienen kann.
Redaktion: In diesem Fall sollen insbesondere Geldzahlungen aus den vergangenen drei Wochen untersucht werden. Ist das ein sinnvoller Ansatz?
Sicherheitsexperte: Ja, sofern es einen konkreten Anlass oder bereits erste Spuren gibt. Wer einen DDoS-Dienst beauftragt, muss den Betreiber normalerweise bezahlen. Je nach Anbieter geschieht das über Kryptowährungen, Zahlungsdienste, Gutscheine oder andere Kanäle.
Kryptowährungen sind nicht automatisch anonym. Transaktionen auf öffentlichen Blockchains hinterlassen dauerhaft nachvollziehbare Spuren. Die Herausforderung besteht darin, eine digitale Adresse mit einer realen Person oder einem Benutzerkonto zu verbinden. Dafür können Daten von Kryptobörsen, beschlagnahmten Plattformen, Zahlungsdienstleistern oder Ermittlungsverfahren entscheidend sein.
Europäische Ermittlungsbehörden haben bereits wiederholt illegale Zahlungsströme verfolgt und dabei Transaktions- und Nutzerdaten von Geldwechsel- und Kryptodiensten sichergestellt. Solche Daten können wertvolle Ansätze zur Aufklärung weiterer Cyberstraftaten liefern.
Redaktion: Könnte man auf diese Weise tatsächlich den Auftraggeber finden?
Sicherheitsexperte: Das ist möglich, aber keineswegs garantiert. Besonders aussichtsreich wird es, wenn mehrere Spuren zusammenpassen: Eine Zahlung erfolgt kurz vor dem Angriff, der Kunde benutzt ein bereits bekanntes Konto, die Angriffsdaten tauchen bei einem DDoS-Dienst auf und zusätzliche Kommunikations- oder Zugangsdaten führen zur gleichen Person.
Dass Nutzer solcher Dienste identifiziert werden können, zeigen internationale Ermittlungen. Nach der Abschaltung der Plattform Webstresser erhielten Behörden Daten zu rund 151.000 registrierten Nutzern und gingen anschließend auch gegen mutmaßliche Auftraggeber vor.
Die Betreiber solcher Dienste versprechen ihren Kunden häufig Anonymität. In Wirklichkeit können sie Zahlungsdaten, E-Mail-Adressen, IP-Protokolle, Bestellhistorien oder Zieladressen speichern. Sobald eine Plattform beschlagnahmt wird, kann aus dem vermeintlich anonymen Auftrag plötzlich eine umfangreiche Beweissammlung werden.
Redaktion: Ist ein Zeitraum von drei Wochen ausreichend?
Sicherheitsexperte: Er ist ein sinnvoller Ausgangspunkt, besonders wenn sich der Beginn der Angriffe genau eingrenzen lässt. Die Untersuchung sollte jedoch nicht künstlich darauf beschränkt werden. Zahlungen können im Voraus erfolgt sein, Guthaben können schon länger auf einem Angriffsdienst liegen und Auftraggeber können Zwischenkonten verwendet haben.
Man sollte deshalb sämtliche verfügbaren Daten sichern und die Zeitleiste später gegebenenfalls erweitern. Dazu gehören Zugriffsprotokolle, Firewall-Daten, Auswertungen des Hostinganbieters, Mitteilungen des DDoS-Schutzdienstes, ungewöhnliche Kontaktaufnahmen sowie verdächtige Zahlungs- oder Erpressungsforderungen.
Redaktion: Welche Rolle spielt KI dabei ganz konkret?
Sicherheitsexperte: KI kann beispielsweise Millionen von Anfragen gruppieren und erkennen, welche Angriffswellen wahrscheinlich zusammengehören. Sie kann technische Fingerabdrücke vergleichen, wiederkehrende Zeitmuster feststellen und Überschneidungen zwischen verschiedenen Datenquellen aufzeigen.
Sie kann außerdem dabei helfen, Zahlungen, Nutzerkonten, Kommunikationsmuster und Angriffsdaten zeitlich miteinander zu verknüpfen. Das beschleunigt die Analyse erheblich. Der Computer sagt dann aber nicht: „Diese Person ist der Täter.“ Er sagt eher: „Diese fünf Spuren hängen mit hoher Wahrscheinlichkeit zusammen und sollten genauer untersucht werden.“
Redaktion: Würden Sie sagen, dass die Täter heute ein deutlich höheres Entdeckungsrisiko haben?
Sicherheitsexperte: Ja. Vor allem Auftraggeber, die glauben, sie könnten für wenig Geld einen anonymen Angriff bestellen, unterschätzen das Risiko. Internationale Behörden gehen inzwischen nicht nur gegen die Betreiber der Angriffsinfrastruktur, sondern ausdrücklich auch gegen deren Kunden vor. Die Operation PowerOFF verfolgt seit Jahren DDoS-for-Hire-Dienste und die Personen, die sie nutzen.
Auch das Bundeskriminalamt war an Maßnahmen gegen Plattformen beteiligt, die das einfache Bestellen von DDoS-Angriffen ermöglichten. Dabei werden nicht nur technische Infrastrukturen abgeschaltet, sondern auch Finanzmittel und Nutzerdaten gesichert.
Redaktion: Was sollte ein betroffener Webseitenbetreiber jetzt tun?
Sicherheitsexperte: Das Wichtigste ist die sofortige und unveränderte Sicherung aller Daten. Nichts sollte gelöscht, überschrieben oder nur als Bildschirmfoto gespeichert werden. Benötigt werden möglichst die vollständigen Rohdaten des Servers, der Firewall, des Content Delivery Networks und des Hostinganbieters.
Der Betreiber sollte den Vorfall außerdem bei der zuständigen Zentralen Ansprechstelle Cybercrime der Polizei melden und den Hosting- sowie Schutzanbieter ausdrücklich zur Aufbewahrung aller relevanten Daten auffordern. Das BKA betont, dass die Zusammenarbeit zwischen Unternehmen und Ermittlungsbehörden entscheidend ist, um Täter zu identifizieren und weitere Angriffe zu verhindern.
Parallel muss die Webseite stabilisiert werden. Dazu gehören Rate-Limits, ein vorgeschalteter DDoS-Schutz, die Absicherung des Ursprungsservers und die Prüfung, ob die Angreifer den Schutzdienst umgehen und direkt auf die Serveradresse zugreifen.
Redaktion: Ihre Einschätzung: Kann in einem solchen Fall am Ende tatsächlich ein Täter ermittelt werden?
Sicherheitsexperte: Wenn die technischen Protokolle vollständig sind, der Angriff über einen kommerziellen Dienst bestellt wurde und sich verwertbare Zahlungs- oder Plattformdaten finden lassen, bestehen durchaus realistische Chancen.
Gerade die Untersuchung von Geldbewegungen aus den Wochen vor dem Angriff kann eine entscheidende Spur liefern. Kommen zeitliche Übereinstimmungen, Kommunikationsdaten und Informationen eines DDoS-Anbieters hinzu, könnte sich der Kreis der Verdächtigen deutlich verkleinern.
Ob daraus ein konkreter Täter hervorgeht, muss eine professionelle forensische Untersuchung zeigen. Sicher ist aber: Wer heute einen DDoS-Angriff bestellt, sollte nicht mehr davon ausgehen, dass seine Zahlung, seine Bestellung und seine digitale Kommunikation für immer verborgen bleiben.
Anmerkung der Redaktion: Da wir derzeit einiges ERLEBEN, war das LKA sehr schnell eingeschaltet die nun mit den Cyberexperten den Spuren die sichergestellt wurden bei diesem Angriff, nachgeht. Hier gibt es übrigens einen ganz klaren Verdacht, aber wohl auch eine Spur.
Kommentar hinterlassen