Britische Studie: Cyber-Kriminalität hat verheerendes Potenzial
Ein Bericht des staatlichen National Cyber Security Centers, kurz NCSC, kommt in einer Studie zur Cyber-Kriminalität zu einem Fazit: Die Cybersicherheit in der Online-Glücksspiel- und Lotteriebranche ist bereits gut, doch es gibt auch immer größere Herausforderungen. Eine davon ist, dass Cyberangriffe immer planvoller und besser ausgereift sind. Besonders die Lieferketten im Online-Glücksspiel sind ein Ansatzpunkt, für den die Vorkehrungen noch ausbaufähig sind. Es besteht im Bereich der Cybersicherheit also Handlungsbedarf.
Rahmenbedingungen der Studie
Im Auftrag des National Cyber Security Centers führte das britische Marktforschungsinstitut Ipsos MORI eine Umfrage unter diversen Akteuren im Online-Glücksspiel-Sektor durch. Im Frühjahr 2020 wurden in diesem Zuge acht Cybersicherheitsexperten aus den größten Glücksspielorganisationen, in die auch Lotterien miteinbezogen sind, in Interviews von jeweils einer Stunde befragt. Außerdem gab es eine umfangreiche Online-Befragung, die die Ergebnisse ergänzen sollte.
Eine britische Studie attestiert der neuen Cyber-Kriminalität ein verheerendes Potenzial.
©geralt/Pixabay
Glücksspielbranche ist weitestgehend verschont geblieben
Mehr als die Hälfte der Befragten aus der Erhebung gaben an, dass ihr Betreiber oder ihr Unternehmen innerhalb des letzten Jahres Ziel von mindestens einer Cyberattacke geworden war. Dabei kam es jedoch nicht zu kritischen Situationen, großen Verlusten oder Auswirkungen auf die Portale. In der Coronapandemie war ein Anstieg der Fälle, die eine Bedrohung der Cybersicherheit darstellen, zu verzeichnen. Im Allgemeinen kam die Umfrage aber nicht zu dem Schluss, dass die Bedrohungslage sich dramatisch zugespitzt habe.
Was steht auf dem Spiel?
Wer Bedrohungen für die Cybersicherheit des Unternehmens bemerkte, berichtete, dass die meisten Angriffe auf das Hacking von Online-Benutzerkonten abzielten. Ein weiterer Trend ist auch das sogenannte Credential Stuffing, bei dem sich alles um das Abfangen von gültigen Logindaten dreht, um sich damit Zugang zu anderen Webseiten zu verschaffen. Hier geht es also nicht um finanzielle Schäden, sondern mehr um Imageschäden für die Betreiber.
Kompromittierte Nutzerdaten
Ein Teil des Risikos liegt auch bei den Nutzern und Nutzerinnen der Portale, die dort schließlich immer reale Daten – Klarnamen, Adressen, Zahlungsmethoden – hinterlegen müssen. Ihnen drohen Datenverluste und ebenfalls kompromittierte Zugangsdaten für andere Portale, die beim Credential Stuffing abgefangen werden könnten. Neben den Betreibern, die natürlich in der Pflicht stehen, ihre Kunden und deren Daten zu schützen, liegt aber auch Verantwortung beim Einzelnen.
Die größte Herausforderung: Das Phishing
Phishing-Versuche sind die aktuell größte Herausforderung, denn dort geht es nicht ausschließlich um technologischen Schutz. Es geht auch darum, ob beispielsweise Mitarbeiter einem Link folgen, versehentlich Zugangsdaten herausgeben oder eine E-Mail nicht als Betrugsversuch erkennen. Hierbei steht also der Mensch als Faktor für Unsicherheit und Gefahr im Fokus. Die Betreiber haben hier nur begrenzte Handhabungs- und Interventionsmöglichkeiten.
Andere Methoden: DDOS-Attacken nehmen zu
Die sogenannten DDOS-Angriffe sind weltweit ohnehin verbreitet im Bereich der Cyber-Kriminalität. In der jüngeren Vergangenheit haben sie jedoch noch weiter zugenommen. Am Anfang der Coronapandemie lag der Anstieg bei circa 600 Prozent. Bei DDOS-Angriffen handelt es sich um Attacken, bei denen die betroffene Internetadresse massenhaft aufgerufen wird und dadurch für Benutzer nicht mehr erreichbar ist. Haben sie Erfolg, geht es oft darum, Unternehmen zu erpressen. Die Folgen für die Glücksspielbranche hielten sich auch hier in Grenzen.
Ransomware als Feuerprobe
Bei Ransomware handelt es sich um Schadsoftware, die einzelne Computer betrifft und Personen oder Unternehmen den Zugriff darauf verwehrt. Zur Entsperrung muss meistens eine erhebliche Zahlung geleistet werden. Diese Art von Angriff ist die vielleicht gefährlichste, da sie inzwischen sehr planvoll aufgezogen ist und verheerende Auswirkungen haben kann. Ransomware-Attacken laufen in rasanter Geschwindigkeit ab. Auf dem Spiel stehen riesige Datenmengen.
Auch eine Entsperrung ist keine Lösung
Besagte riesige Datenmengen werden extrahiert, verschlüsselt und dem Zugriff von Betreibern und Nutzern entzogen. Selbst bei einer Zahlung des geforderten Lösegelds ist das Problem dann oft aber nicht gelöst, einen anderen Ausweg gibt es nicht. Das ist eine für Betreiber extrem beunruhigende Situation, denn die Art der Angriffe hat sich rasant verändert. Heutzutage sind sie zielgerichtet, professionell ausgeführt, extrem schnell und das alles mit verheerendem Potenzial.
Unsicherheitsfaktor Lieferketten: Was heißt das?
Die meisten der befragten Betreiber sehen sich im Grunde bezüglich ihrer Cybersicherheit gut aufgestellt. Ein Unsicherheitsfaktor sind jedoch die Lieferketten. Das heißt, dass die Maßnahmen im Bereich Cybersicherheit meistens in den Händen von dritten Akteuren liegen. Es fehlen direkte Beziehungen zu wiederum deren Kooperationsparteien, also an vierter Stelle. So entstehen für die Betreiber oft Schwierigkeiten, die eigenen Sicherheitsbestimmungen umzusetzen.
Viele Spiele kommen von Drittanbietern
Viele der Games, beispielsweise in Online-Casinos, werden von Drittanbietern gestellt und von Betreibern genutzt. Diese haben zwar manchmal auch eigene Plattformen, doch einen Großteil ihres Angebotes beziehen sie bei Anbietern, die eine gewisse Monopolstellung innehaben. Es besteht also eine Abhängigkeit. Das führt dazu, dass die Betreiber weniger Handhabung haben, weniger Sicherheitskontrollen und ähnliches verlangen können.
Ein Blick in die Zukunft
Gerade die Problemstelle der Lieferketten muss dringend angegangen werden, um für die Zukunft gerüstet zu sein. Andere Sorgenpunkte der Befragten sind auch Spiel- und Wettmanipulationen sowie die Weiterentwicklung bereits bekannter Angriffsformen, zum Beispiel durch den Einsatz von künstlicher Intelligenz. Zur Bekämpfung sind von Nutzern bis zu Mitarbeitern und Betreibern aber alle gefragt.
