IT-Rechtler zu Hackerangriffen auf Gerichte: "Das war noch ein eher harm­loser Angriff"

LTO: Herr Hessel, ein Hackerangriff hat in Berlin das Kammergericht lahmgelegt, es sind in größerem Ausmaß Daten nicht mehr zugänglich, das System ist immer noch vom Netz getrennt. Wie kann das passieren?

Stefan Hessel: Bei dem Trojaner Emotet, der hier wohl eingesetzt wurde, handelt es sich um eine Schadsoftware, die zur Zeit deutschlandweit wütet. Auch andere Unternehmen oder Behörden kämpfen mit dem Virus. Die Berliner Justiz ist also nicht das Opfer eines speziell auf sie gerichteten Angriffs geworden. Allerdings spielen einige Besonderheiten eine Rolle, die speziell die Abwehrbereitschaft der Justiz betreffen.

Wo ist die Justiz digital verwundbar?

Ein Risiko stellen etwa Standardeinstellungen bei Word dar. Sind zum Beispiel sogenannte Makros aktiviert, kann es schnell passieren, dass sich beim Öffnen eines E-Mail-Anhangs Schadsoftware auf einem Rechner installiert und sich – einmal eingedrungen – dann von da aus im internen IT-System weiter ausbreitet. Es geht aber auch darum, die Mitarbeiter richtig zu schulen. Und da muss man auch berücksichtigen, dass es sehr unterschiedliche Mitarbeitertypen mit jeweils eigenen Risiken an einem Gericht gibt, also vom Justizsachbearbeiter bis zum Richter. Opfer eines Massenangriffs wie bei Emotet am Kammergericht zu werden, dürfte noch ein eher harmloses Bedrohungsszenario gewesen sein.

Ein Harmloses? Das Gericht kann seit etwa drei Wochen nicht auf sein System zugreifen und musste dutzende Rechner verschrotten.

Angriffe, die in der Breite ausgeführt werden, lassen sich eigentlich relativ gut abwehren. Je zielgerichteter ein Angriff gegen eine Person oder eine Institution geführt wird, umso schwieriger wird die Abwehr und umso größer der Schaden. Denn die Angreifer betreiben dann zielgerichteten Aufwand für ihren Angriff, weil sie ein ganz bestimmtes Interesse mit dem Angriff verfolgen. Zum Beispiel, weil sie an bestimmte Daten der Justiz kommen wollen. Das Kammergericht war aber offenbar schon nicht gut gegen einen Breitenangriff gerüstet.

"Bei Emotet-Angriffen geht es den Angreifern in der Regel darum, Geld zu verdienen"

Wer steckt denn mutmaßlich hinter dem Angriff auf das Kammergericht?

Bei solchen Emotet-Angriffen geht es den Angreifern in der Regel darum, Geld zu verdienen. Nach der Erstinfektion lädt die Schadsoftware weitere Module nach, sie lesen Daten aus, greifen die E-Mail-Adressen ab und verschicken sie für einen neuen Angriff. Emotet kann aber auch einen Trojaner installieren, der die Festplatte verschlüsselt. Von den Nutzern wird dann häufig ein Lösegeld, so etwa 500 oder 1000 Euro erpresst, um die Daten wieder freizuschalten.  

Sollte die Justiz in so einem Fall zahlen?

Bei einem solchen Angriff zu zahlen ist natürlich immer ein großes Risiko. Das Bundeskriminalamt rät ab, weil man es mit Kriminellen zu tun hat und keinerlei Garantie, dass die Daten wirklich wieder freigegeben werden. Hinzukommt auch ein generalpräventiver Gedanke. Mit jeder Lösegeldzahlung bleibt das Geschäftsmodell für Kriminelle attraktiv.

Rechner verschrotten, ist das die einzige Lösung?

Es kommt darauf an, wie tief und wie breit sich die Schadsoftware im System festgesetzt hat. Die gründliche Reinigung und Absicherung bedeutet erheblichen Arbeitsaufwand. Häufig wird deshalb die komplette Entsorgung der Rechner die kostengünstigste Lösung sein.

Dunkelziffer der Cyber-Angriffe könnte deutlich größer sein

Ist der Angriff in Berlin der erste große Fall in der Justiz?

Es scheint mir tatsächlich der erste größere Fall zu sein. Wobei es auch denkbar ist, dass viele Angriffe gar nicht öffentlich gemacht werden. Man darf nicht vergessen, dass ein IT-Vorfall schon damit beginnen kann, dass einem Richter ein USB-Stick mit Daten abhanden kommt, oder ein Dienst-Laptop verschwindet. Der Umgang mit solchen Vorfällen bei Behörden ist noch sehr konservativ - während etwa ein Verlag wie heise kürzlich sehr transparent einen Angriff gegen das eigene System öffentlich gemacht hat. Im öffentlichen Sektor fehlt es bei solchen Vorfällen an einer offenen Kommunikationskultur.

Weil so ein Angriff immer auch als etwas Beschämendes wahrgenommen wird?

Die Unkenntnis eines Mitarbeiters kann man ihm nicht vorwerfen, solange er nicht ausreichend geschult wurde. Die Justiz hat kein Interesse, sich mit der IT Sicherheit zu befassen. Dort glaubt man, das ist nur ein Thema für die Systemadministratoren.  Das zeigt sich auch in der zögerlichen Öffentlichkeitsarbeit nach dem Angriff in Berlin. Es gibt kaum Informationen zum Ablauf und Ausmaß. Das ist gefährlich, weil mit Transparenz verhindert werden könnte, dass auch andere Gerichte in Deutschland auf ähnliche Weise erfolgreich angegriffen werden.

Wissen Sie von weiteren Angriffen durch Emotet auf die deutsche Justiz?

Nein, sind mir derzeit nicht bekannt. Aber Emotet versucht in der Regel die Adressbücher und eingehende Emails auszulesen und darauf dann zu antworten. Deshalb gehe ich davon aus, dass die "Justizblase" betroffen ist. Auch das IT-Dienstleistungszentrum in Berlin soll vom Kammergericht aus angegriffen worden sein.

Die Digitalisierung der Justiz als Risiko für Cyberangriffe?

Die deutsche Justiz steht vor der Einführung der elektronischen Akte – ist das Stoff für ein Bedrohungsszenario?

Aus meiner Sicht wird nicht nur die Einführung der e-Akte sondern die gesamte Digitalisierung der Justiz die Bedrohungslage noch einmal verschärfen. Jede zusätzliche Email, jeder weitere Datenaustausch sorgt für mehr potentielle Angriffsfläche. Auch beim besonderen elektronischen Anwaltspostfach kann ungeprüft Schadsoftware verschickt werden. Das ist erstmal nicht schlimm, soweit der Empfänger ausreichend für das Risiko sensibilisiert ist.

Wo bringt die Digitalisierung der Justiz strukturell neue Risiken ein?

Die Einführung der e-Akte wird zu einer stärkeren Zentralisierung der Infrastruktur führen. Die Daten liegen dann nicht mehr als Akte im Zimmer des einzelnen Richters, sondern alle zusammen digital an einem Speicherort z.B. für ein Bundesland. Sie müssen sich vorstellen, bei einem Einbruch an einem Amtsgericht, müssten die Einbrecher schon kistenweise Papier raustragen oder viel kopieren, um wirklich etwas mitzunehmen. Auf digitalem Weg ist so ein Einbruch und Abschöpfen von Datenbeständen viel gefährlicher. Ich bin mir sicher, wir werden noch einige Angriffe erleben, die sich zielgerichtet gegen die Justiz richtet.

Welche neuen Cyber-Bedrohungen könnten dann auf die Justiz zukommen?

Mit einem zielgerichteten Cyberangriff lassen sich auf einen Schlag alle Urteile eines Gerichts beschaffen, oder die Akten dazu, oder auch Urteilsentwürfe. Die Angreifer könnten also erfahren, wie ein Gericht zu einem Fall entscheiden wird. Und auch die Angreifergruppen könnten vielfältiger werden. Ein Vorgeschmack bot schon die Veröffentlichung des Haftbefehls im Fall des sogenannten Chemnitz-Leaks. Der Justizmitarbeiter soll der AfD nahegestanden habe, er hatte also offenbar auch ein politisches Motiv. Aber auch Wirtschaftsspionage, Kriminelle, die die Boulevardpresse mit Details zu Prozessen mit Prominenten versorgen wollen oder Material für Insider-Geschäfte suchen, sind denkbar.

Wie könnte das aussehen?

Stellen Sie sich nur mal vor, man wüsste am Vortag schon wie ein großer und wichtiger Dieselabgas-Prozess gegen VW ausgehen wird. Das hätte natürlich Auswirkungen auf Aktienkurse. Aber auch Terroristen könnten versuchen Informationen über Prozesse gegen ihre Mitglieder zu beschaffen. Daneben gibt es auch Hackergruppen, die nicht nur kurzfristig, sondern über Monate in einem Netzwerk unbemerkt bleiben und kontinuierlich Daten abgreifen, ähnlich wie wir es bei dem Hackerangriff auf den Deutschen Bundestag 2015 erlebt haben.

Herr Hessel, sollten Richter und Justizmitarbeiter also doch lieber bei Papierakten, Karteikarten und Notizzetteln bleiben?

Nein. Die digitalisierte Gesellschaft braucht digitale Justiz. Nur, die digitalisierte Justiz muss eine sichere sein. Die Digitalisierung bringt ja auch zahlreiche Vorteile, die Durchsuchbarkeit von Akten ist nicht nur für Angreifer interessant, sondern vor allem für Justizangehörige und Anwälte nützlich. Wenn die Justiz vernünftige Antworten auf die Risiken findet, dann gibt es absolut keinen Grund auf die Vorteile der Digitalisierung zu verzichten.

Vielen Dank für das Gespräch.

Stefan Hessel ist wissenschaftlicher Mitarbeiter und Doktorand am Lehrstuhl für Rechtsinformatik der Universität des Saarlandes. Zugleich kennt er als Rechtsreferendar am OLG des Saarlandes die Abläufe innerhalb der Justiz und berät als Geschäftsführer der Defendo GbR – Hessel & Rebmann Unternehmen zu IT-Sicherheit und Datenschutz.