Es ist die IT-Sicherheit, stupid

Es sei ein Angriff „auf hohem technischem Niveau“ gewesen, versucht die liechtensteinische Regierung den Diebstahl von 31’000 heiklen Daten über die wahren Nutzniesser all der Tarnkonstruktionen wie Stiftungen und Trusts schönzureden.

Der IT-Verantwortliche Fabian Schmid beantwortet die Frage, wer für die Cybersicherheit der Datenbank der „wirtschaftlich berechtigten Personen“ (VwbP) zuständig ist, nur kursorisch:

Sie „wird von einer liechtensteinischen Firma bereitgestellt. Das Portal ist Teil der VwbP Registerlösung“.

Weitere Angaben macht er nicht.

„Die forensischen Untersuchungen zum Tathergang und zur Umgehung der Sicherheitsmechanismen sind noch nicht abgeschlossen.“

„Die Beantwortung der weiteren Fragen könnte die Strafverfolgung sowie die laufenden Untersuchungen beeinträchtigen.“

Dabei drangen die Hacker über die Erstellung eines neuen Zugangs-Accounts ein, wie Schmid einräumte. Was offenbar kinderleicht war.

Die wichtigen Fragen sind daher: Welche Berechtigungen hatte ein neu registrierter Benutzer? Durfte jeder Benutzer alle Datensätze durchsuchen?

Gab es Rate Limits oder Begrenzungen der Suchanfragen? Wie werden Massendownloads verhindert?

Gab es Anomalie-Erkennung oder SIEM-Monitoring (Security Information and Event Management)?

Wurden ungewöhnlich viele Suchabfragen protokolliert und ausgewertet? Warum blieb der Zugriff offenbar über längere Zeit unentdeckt?

Wenn ein Benutzer sich anmeldet und 500 Suchanfragen in wenigen Minuten stellt, Zugriff auf viele Datensätze vornimmt und ungewöhnlich grosse Datenmengen downloadet, dann würde dieses System den Account sofort sperren, den Administrator, die Polizei und den in Liechtenstein anscheinend vorhandenen Incident Response Dienst alarmieren.

Das ist hier offensichtlich nicht geschehen – oder erst, nachdem der Schaden angerichtet war.

Nachdem die Angreifer das Tor geöffnet hatten, mussten sie nur die Berechtigungen erweitern, API-Schnittstellen (vereinfacht: die regeln die Anzahl der Zugriffe) analysieren und allfällig vorhandene Schutzmechanismen umgehen.

Sie konnten das über Stunden ungestört bewerkstelligen.

State of the art bei einer so hochsensiblen Datensammlung wäre eine Mehrfaktor-Authentifizierung mit Hardware-Token oder FIDO2-Passkeys und rollenbasierte Zugriffsrechte.

Mit einer Beschränkung der Anzahl Suchanfragen pro Zeiteinheit, der Erkennung automatisierter Abfragen und einer automatischen Sperrung oder Alarmierung bei verdächtigen Aktivitäten wäre dieser Super-GAU problemlos vermeidbar gewesen.

Man spricht hier von einem „Zero-Trust-Ansatz“, jeder Zugriff wird einzeln geprüft.

Ein einfaches Captcha (Completely Automated Public Turing Test to tell Computers and Humans Apart) hätte verhindert, dass automatisierte Programme (Bots) massenhaft Aktionen durchführen.

Für den Angreifer gibt es seit vielen Jahren Werkzeuge wie Python, curl oder Burp Suite, die ihnen dabei helfen.

Daher gibt es auch seit Jahren entsprechende Schutz- und Überwachungsprogramme, die einen massiven Datenabzug in Echtzeit erkennen und sofort reagieren.

Für ein solches Absaugen braucht es nicht mal den Einsatz von KI, wie inzwischen vermutet wird. Die käme allenfalls beim Auswerten grosser Datenmengen zum Einsatz.

Viele spektakuläre Datendiebstähle in den letzten Jahren (all die Leaks, Papers und Secrets), also die skandalisierte Veröffentlichung von gestohlenen Daten (Panama Papers und Konsorten), beruhten auf einfachen Skripten in Kombination mit Schwachstellen oder unzureichenden Berechtigungskonzepten.

All diese Publikationen von Hehlerware müssten von Firmen, die für Datensicherheit zuständig sind, analysiert worden sein, damit entsprechende Gegenmassnahmen implementiert werden können.

Da galt im Ländle aber offenbar der Massstab: Ich bin Liechtensteiner, mir kann keiner.

Während diese Veröffentlichungen nach bombastischen Ankündigungen einzig ergaben, dass sich in Hunderttausenden von Datensätzen nur sehr wenige kriminelle Aktivitäten feststellen liessen, jedoch viele Unschuldige (Gunter Sachs zum Beispiel) sogar noch posthum ans mediale Kreuz genagelt wurden, ist für den Finanzplatz Liechtenstein schon jetzt ein Reputationsschaden entstanden.

Ein Vertrauensverlust, der nicht mehr repariert werden kann.

Dabei ist bislang noch nichts durchgesickert. Man weiss weiterhin nicht, ob eine kriminelle Bereicherungsabsicht dahintersteckt, ob es eine Racheaktion von erbosten Nutzniessern der rund 800 Zombie-Trusts ist.

Oder ob ausländische Mächte wie Geheimdienste einen Konkurrenten beschädigen wollen.

Obwohl der Krisenstab der fürstlichen Regierung behauptet, er arbeite Tag und Nacht an der Aufklärung, hat das offenbar noch keine publikationswürdigen Ergebnisse gezeitigt.

Einmal mehr zeigt sich, dass die Strategie „aussitzen, das geht vorbei“ die schlechteste aller möglichen Reaktionen ist.

Die Entwicklung einer sicheren Architektur, die Einführung eines SIEM, kostet vielleicht 2 bis 4 Millionen Franken. Dazu kommen laufende Kosten von jährlich maximal 3 Millionen.

Bei einem Staatsbudget auf Landesebene von über einer Milliarde Franken wie im Fall Liechtensteins wären das 0,3 Prozent des Haushalts.

Wenn beispielsweise eine Bank Vermögen in der Höhe von 100 Milliarden verwaltet und diese ausschliesslich in Gold hält, käme niemand auf die Idee, dass sie ausgerechnet am Tresor spart.

Das VwbP enthält zwar kein Geld, aber Informationen, deren wirtschaftlicher und persönlicher Schutzwert enorm ist.

Wer sich für eine Vermögensstruktur in Liechtenstein entscheidet – vielmehr entschied –, für den war die Vertraulichkeit der wohl wichtigste Grund dafür.

Der Verlust dieses Vertrauens lässt sich kaum in Geld messen.