Google verteilt 10.000 kostenlose Sicherheitsschlüssel an besonders gefährdete Nutzer – einen Tag nachdem das Unternehmen 14.000 seiner prominenten Nutzer gewarnt hatte, dass sie ins Visier der berüchtigten russischen Hackergruppe APT28 geraten könnten.
Die Maßnahmen waren Teil einer größeren Initiative Googles in den vergangenen Monaten, Cybersicherheit für viele seiner Nutzer zu einem zentralen Thema zu machen – in einer Zeit, in der die Zahl der Angriffe und ihre Auswirkungen zunehmen. Unternehmensvertreter nutzten außerdem die erste Oktoberwoche – den Monat des Cybersecurity Awareness Month –, um die Nutzer an den Plan des Unternehmens zu erinnern, für viele Konten standardmäßig die Zwei-Faktor-Authentifizierung zu aktivieren und sie bis Ende 2021 für 150 Millionen Konten einzuschalten.
All dies geschieht weniger als zwei Monate, nachdem Google und andere Technologiekonzerne – darunter IBM, Apple, Amazon und Microsoft – bei einem Treffen mit Präsident Biden und anderen Regierungsvertretern versprochen hatten, Milliarden US-Dollar zur Stärkung der Cybersicherheitskapazitäten auszugeben.
„Cybersicherheit ist Teamsport“
In einem Blogbeitrag vom 8. Oktober schrieben Grace Hoyt, Partnerships Managerin für Googles Advanced Protection Program (APP), und Nafis Zebarjadi, Product Manager für Kontosicherheit, dass Google Teil einer größeren Anstrengung sei, die Sicherheit von Organisationen und Einzelpersonen zu gewährleisten.
„Cybersicherheit ist Teamsport – sie erfordert mehr als nur das Engagement eines einzigen Unternehmens“, schrieben Hoyt und Zebarjadi. „Deshalb arbeiten wir kontinuierlich daran, Beziehungen zu Organisationen außerhalb von Google aufzubauen, die sich ebenfalls dafür einsetzen, Nutzer aufzuklären und die Cybersicherheit voranzubringen.“
Für Google bedeutet das, mit Organisationen zusammenzuarbeiten, um die Sicherheit besonders gefährdeter Personen wie Politiker, Journalisten und Menschenrechtsaktivisten zu erhöhen. „Je mehr besonders gefährdete Nutzer wir in einen geschützten Zustand versetzen können, desto sicherer sind wir alle“, schrieben sie.
Google APP für alle Nutzer verfügbar
Nutzer, die bei Google APP registriert sind, werden vor zahlreichen Online-Bedrohungen geschützt, darunter Phishing-Angriffe, bei denen sie Sicherheitsschlüssel verwenden können. Hoyt und Zebarjadi wiesen außerdem darauf hin, dass das ganzheitliche Programm auch vor schädlichen Downloads wie Malware auf Chrome- und Android-Geräten sowie vor unbefugtem Zugriff auf ihre persönlichen Daten in Konten wie Gmail, Drive und Photos schützt.
„APP steht allen Nutzern offen, wurde aber speziell für Einzelpersonen und Organisationen entwickelt, die einem höheren Risiko gezielter Online-Angriffe ausgesetzt sind“, schrieben sie.
Außerdem lesenswert: Homomorphe Verschlüsselung macht Fortschritte in der Praxis – vorangetrieben von Google, IBM und Microsoft
Werden andere Anbieter folgen?
Ilia Kolochenko, Gründer des auf Anwendungssicherheit spezialisierten Unternehmens ImmuniWeb und Mitglied des Europol Data Protection Experts Network, erklärte in einer Stellungnahme, Googles Bemühungen, 10.000 Sicherheitsschlüssel in die Hände dieser besonders gefährdeten Zielpersonen zu bringen, seien lobenswert, und ermutigte andere große IT-Anbieter, diesem Beispiel zu folgen.
Wie wirksam Googles Maßnahmen zum Schutz prominenter Nutzer sein werden, sei angesichts der Komplexität des globalen Cybersicherheitsumfelds, der Raffinesse professioneller Cyberkrimineller und der Ressourcen staatlich unterstützter Hackergruppen allerdings unklar, sagte Kolochenko.
„Die gerissenen Angreifer werden wahrscheinlich keine Schwierigkeiten haben, auf die Daten der Opfer zuzugreifen, solange diese unverschlüsselt im Gerätespeicher liegen, und damit MFA [Multi-Faktor-Authentifizierung] sowie andere Sicherheitskontrollen erfolgreich zu umgehen“, sagte er. „Außerdem befinden sich die Daten häufig an mehreren Orten. Journalisten erhalten beispielsweise regelmäßig wertvolle Berichte und Hinweise von Whistleblowern, die nun wahrscheinlich zum neuen Ziel von Cyberkriminellen werden.“
Darüber hinaus werde der Großteil der Daten über mehrere Organisationen hinweg gesichert oder geteilt, etwa über IT-Anbieter oder Buchhalter, die ebenfalls von böswilligen Akteuren angegriffen würden, sagte Kolochenko. Hinzu komme das Problem von Ländern mit unzureichendem Schutz der Bürgerrechte, wodurch Bürger, die sich weigerten, mit den Behörden zu kooperieren – etwa ihre Geräte zu entsperren –, zusätzlichen Bedrohungen ausgesetzt seien.
Dennoch, so merkte er an, seien „die laufenden Bemühungen Googles sicherlich besser als Untätigkeit und werden definitiv einige Cyberangriffe verhindern“.
Fancy Bear greift an
Es wird angenommen, dass die APT28-Gruppe – auch als Fancy Bear bekannt – ihre Angriffe auf bestimmte Personen, Organisationen und Konten verstärkt. Shane Huntley, Leiter von Googles Threat Analysis Group, erklärte am 7. Oktober in einer Reihe von Tweets, dass seine Gruppe rund 14.000 Gmail-Nutzern eine „überdurchschnittlich große Zahl staatlich unterstützter Sicherheitswarnungen“ geschickt habe. Sie wurden gewarnt, dass sie zu den Zielen einer staatlichen Cyberespionage-Organisation gehören könnten, bei der es sich vermutlich um APT28 handelt.
Huntley wies darauf hin, dass die Warnungen nicht bedeuteten, dass die potenziellen Opfer kompromittiert worden seien. Die gestiegene Zahl der Warnungen gehe auf wenige „weit verbreitete Kampagnen“ zurück, die Google blockiert habe.
„Die Warnung sagt den Betroffenen im Wesentlichen nur, dass sie ein potenzielles Ziel des nächsten Angriffs sind – jetzt könnte also ein guter Zeitpunkt sein, einige Sicherheitsmaßnahmen zu ergreifen“, schrieb er. „Wenn Sie Aktivist, Journalist oder Regierungsvertreter sind oder im Bereich der nationalen Sicherheit arbeiten, sollte diese Warnung ehrlich gesagt keine Überraschung sein. Irgendwann wird eine staatlich unterstützte Organisation wahrscheinlich versuchen, Ihnen etwas zu schicken.“
Zwei-Faktor-Authentifizierung ist entscheidend
Google hofft außerdem, Kontoinhaber davon zu überzeugen, ihre Sicherheitsvorkehrungen zu verbessern, indem sie die Zwei-Faktor-Authentifizierungsfunktionen des Unternehmens nutzen, um ihre Konten besser zu schützen.
„Für die meisten von uns sind Passwörter die erste Verteidigungslinie für unser digitales Leben“, schrieben AbdelKarim Mardini, Group Product Manager für Chrome bei Google, und Guemmy Kim, Director für Kontosicherheit und -schutz, in einem Blogbeitrag. „Die Verwaltung einer Reihe starker Passwörter ist jedoch nicht immer bequem. Das führt dazu, dass viele Menschen nach Abkürzungen suchen (z. B. Name des Hundes plus Geburtstag) oder bewährte Verfahren für Passwörter ganz vernachlässigen – und sich dadurch Online-Risiken aussetzen.“
Google versucht, dem mit Angeboten entgegenzuwirken, die standardmäßig auf Sicherheit ausgelegt sind, schrieben Mardini und Kim. Dazu gehört die in Chrome, Android und die Google App integrierte Technologie zur Passwortverwaltung. Sie soll Passwörter auf den Websites und in den Apps schützen, auf die Nutzer zugreifen, indem sie die Verwendung starker und einzigartiger Passwörter ermöglicht, ohne dass Nutzer sich jedes einzelne merken oder wiederverwenden müssen. Auch unter Apples Betriebssystem iOS können Nutzer Chrome verwenden, um gespeicherte Passwörter in Apps automatisch auszufüllen.
Eine neue Funktion in der Google App ermöglicht es Nutzern, über das Menü der Google App auf alle in Google Password Manager gespeicherten Passwörter zuzugreifen.
Mehr Sicherheit für Android- und YouTube-Nutzer
Googles Bestätigung in zwei Schritten (2SV) „ist am stärksten, wenn sie sowohl etwas kombiniert, das man weiß (etwa ein Passwort), als auch etwas, das man besitzt (etwa das eigene Smartphone oder einen Sicherheitsschlüssel)“, merkten Mardini und Kim an.
Google wird nicht nur weitere 150 Millionen Google-Nutzer automatisch für das 2SV-Programm registrieren, sondern auch zwei Millionen YouTube-Creator dazu verpflichten, die Funktion zu aktivieren.
Außerdem integriert Google Sicherheitsschlüssel in Android-Geräte und macht sie über die Google-Smart-Lock-App auf Apple-Geräten verfügbar.
Bei dem Treffen im Weißen Haus im August versprach Google, in den nächsten fünf Jahren mehr als 10 Milliarden US-Dollar auszugeben , um die Cybersicherheit zu stärken – unter anderem durch den Ausbau von Zero-Trust-Programmen, die Absicherung der Software-Lieferkette und die Verbesserung der Open-Source-Sicherheit – und 100.000 Amerikaner in Bereichen wie IT-Support und Datenanalyse auszubilden, damit sie Kompetenzen in den Bereichen Datenschutz und -sicherheit erwerben.
Weiterführende Lektüre: Könnten Sie zum Ziel eines Ransomware-Angriffs werden? Darauf achten Angreifer