Cyberbedrohung in Deutschland: So gefährlich ist es wirklich

"Die Lage der IT-Sicherheit in Deutschland war und ist besorgniserregend" - mit diesen deutlichen Worten fasst das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen aktuellen Lagebericht zusammen.

Diese Einschätzung ist keineswegs neu, sondern besteht seit Jahren. Und es betrifft nicht nur große Unternehmen oder Behörden. Verbraucher sind gleich doppelt im Visier interner und agierender Cyberbetrüger: Einmal direkt durch Betrugsmaschen, die gezielt auf sie abzielen. Und indirekt, wenn Cyberangriffe auf Infrastruktur das Leben beeinträchtigen.

Quishing: Die neue Gefahr im Alltag

Eine Masche, die Betrüger zunehmend einsetzen, ist "Quishing": QR-Codes sind praktisch – und genau das wird ihnen zum Verhängnis. Bei der Betrugsmasche "Quishing" (eine Wortkombination aus QR-Code und Phishing) breitet sich rasant aus. Die Cyberbetrüger nutzen aus, dass Menschen heute wie selbstverständlich mit ihrem Smartphone QR-Codes in der Öffentlichkeit scannen. Das Tückische: Man sieht dem QR-Code nicht an, wohin er führt.

Die Täter bringen ihre QR-Codes im öffentlichen Raum an. An Parkscheinautomaten, E-Ladesäulen, sogar auf gefälschten Strafzetteln unter Scheibenwischern. Wer nur schnell das Parkticket bezahlen oder sein E-Auto laden will, gibt möglicherweise seine Kreditkartendaten an Kriminelle weiter, weil man in der Eile des Alltags nicht genau prüft, auf welcher Webseite man landet, wenn man den Code mit dem Smartphone scannt.

Auch Verbraucherzentralen schlagen Alarm. Sogar in Bussen und Bahnen tauchen gefälschte Plakate mit QR-Codes auf, die angeblich Deutschlandtickets verlosen.

Die Kriminellen gehen immer raffinierter vor. Sie verschicken heute sogar täuschend echt aussehende Briefe, angeblich von Banken. "Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber", heißt es darin - bewusst ohne persönliche Anrede. Die Empfänger sollen einen QR-Code scannen, um ihr "photoTAN-Verfahren zu aktualisieren". Wer das tut, landet auf einer gefälschten Banking-Seite. Was dort eingegeben wird, landet direkt bei den Betrügern.

Wenn die Infrastruktur lahm liegt

Cyberangriffe auf die Infrastruktur treffen alle. Ein Beispiel aus NRW zeigt die drastischen Folgen: Ende Oktober 2023 wird die Südwestfalen-IT, ein kommunaler IT-Dienstleister, Opfer eines Ransomware-Angriffs. Folge: Über 70 Kommunen mit rund 1,7 Millionen Einwohnern sind quasi handlungsunfähig. Keine Personalausweise, keine Autoanmeldungen, keine Geburtsurkunden. Das geht wochenlang so.

Der Grund? Der Hauptzugang war nur mit einem einfachen Passwort gesichert. Eine Multifaktor-Authentifizierung fehlte. IT-Experte Philipp Rothmann kritisiert: "Die Südwestfalen-IT hat es den Angreifern sehr leicht gemacht."

Laut BSI waren im vergangenen Jahr 22 verschiedene professionelle Hackergruppen in Deutschland aktiv - so viele wie nie zuvor. DDoS-Angriffe mit über 10.000 Mbits/s haben sich verdoppelt. Weltweit erbeuteten Ransomware-Erpresser 1,1 Milliarden US-Dollar. Der Bitkom beziffert den Schaden für die deutsche Wirtschaft auf 202 Milliarden Euro jährlich.

So können sich Verbraucher schützen

QR-Codes mit Vorsicht scannen: Nur Codes scannen, wenn man sich ihrer Seriosität sicher ist. Überklebte Codes meiden!

Briefe kritisch prüfen: Keine persönliche Anrede? Aufforderung, dringend etwas zu "aktualisieren"? Skepsis ist angebracht. Im Zweifel direkt bei der Bank anrufen - über die Nummer auf der Karte.

Websites genau prüfen: Stimmt die Internet-Adresse wirklich? Kleine Abweichungen können auf Betrug hindeuten.

Starke Passwörter und Zwei-Faktor-Authentifizierung: Für jeden wichtigen Dienst ein eigenes, starkes Passwort nutzen. Die Zwei-Faktor-Authentifizierung aktivieren.

Software aktuell halten: Regelmäßige Updates schließen Sicherheitslücken.

Das Problem verschärft sich durch KI

Eine neue Dimension erreicht die Bedrohung durch Künstliche Intelligenz (KI). Cyberkriminelle nutzen KI, um ihre Angriffe zu perfektionieren. Phishing-Mails werden überzeugender, Angriffe schneller und automatisierter. Gleichzeitig hilft KI aber auch bei der Abwehr.

Ein Teufelskreis: Je mehr digitalisiert wird, desto größer wird die Angriffsfläche. Gleichzeitig wird es komplexer, alles abzusichern. Die Zahl der täglich neu entdeckten Schwachstellen ist um 24 Prozent gestiegen.

Und trotzdem vernachlässigen viele die Basics. Laut einer BSI-Umfrage informiert sich ein Viertel der Befragten nie zu Cybersicherheit - Tendenz steigend. Selbst einfache Schutzmaßnahmen wie ein Antivirenprogramm oder sichere Passwörter nutzen weniger als die Hälfte.

Wer ist in der Pflicht?

Gefordert sind alle: Hersteller müssen Sicherheit von Anfang an mitdenken ("Security by Design"). Unternehmen müssen investieren und Mitarbeiter schulen. Politik muss die NIS-2-Richtlinie umsetzen. Und Verbraucher sollten wachsam bleiben.

Unsere Quellen: