Zugangsdaten eines gesperrten PCs in 20 Sekunden gehackt

Derzeit mehren sich die Meldungen in hiesigen IT-Security-Gruppen, dass es der Sicherheitsforscher Rob Fuller von „R5 Industries” mit einem USB-Mini-PC geschafft hat, einen gesperrten Windows-Rechner zu hacken, um die Zugangsdaten zu erlangen. Dass die USB-Schnittstelle ein Einfallstor für Malware & Co. ist, ist nicht neu. Neu ist, dass das bei „gesperrten” Rechnern und in solch kurzer Zeit gelingt – mal eben so!
Schnell waren neue Schwachstellen in Systemen entdeckt und ausgenutzt. Umso aufmerksamer müssen Unternehmen im Bereich IT-Security sein, v.a. das Management muss zeitnah auf neue Ereignisse reagieren können.
Mittels eines USB-Stick ähnlichen Gerätes ist es laut Fuller möglich, die Zugriffsdaten von einem gesperrten Windows-PC „im Vorbeigehen” zu ergattern. Man ist für kurze Zeit von seinem Arbeitsplatz abwesend und sperrt vorher schnell und v.a. sicher den Laptop oder PC, denkt man. Falsch gedacht! Das USB-Gerät ist ein kleiner Computer, der sich als neues Netzwerk-Interface am PC oder Laptop anmeldet und einrichtet. Das funktioniert auch im gesperrten Modus von Windows-PCs. Außerdem setzt er sich als Default-Gateway und DNS-Server und stellt eine Proxy-Konfigurationsdatei zur Verfügung. Das hat zur Folge, dass der gesamte Netzwerkverkehr über den USB-Computer abgewickelt wird und eine Authentifizierung fordert. Durch das „Ausweisen” übermittelt Windows die Login-Daten und sie gelangen somit auf das USB-Gerät.
 

Was kann man aus einer solchen Meldung auf das eigene Unternehmen übertragen?

Das Management ist gefordert, die Elemente des installierten internen Kontrollsystems neu zu überdenken, die sich konkret durch die Risiken aus der zunehmenden Digitalisierung aller Unternehmensbereiche (Einkauf, Produktion, Vertrieb, Rechnungswesen, Marketing etc.) und der steigenden Zahl vorhandener Sicherheitslücken ergeben.
 

RÖDL empfiehlt konkret:

• Bei der nächsten Risikoinventur sollte ein besonderes Augenmerk auf die Unternehmensteile und -prozesse gelegt werden, die einen hohen Grad an Digitalisierung aufweisen.

• Ein wirksamer Datenschutz ist ein wesentlicher Baustein zur Erhöhung der Qualität der IT- und Informationssicherheit.        

• Es ist angeraten, ggf. in verschiedenen Stufen, die eigene Position im Umfeld von IT- und Datensicherheit zu bestimmen:       
  • Cyber-Sicherheits-Check auf Basis des Vorgehensmodells des BSI
  • Gezielte Penetrationstest einzelner IT-Komponenten
  • Evaluierung rund um den Datenschutz gemäß BDSG
  • 360-Grad-IT-Systemaudit (IT-Organisation, IT-Betrieb, IT-Notfall etc.)