Kriminelle zwingen Server in die Knie, um Unternehmen zu erpressen

„Sehr geehrte Damen und Herren, wir fordern von Ihnen 1000 €. Wenn Sie die nicht zahlen, folgt eine DDoS-Attacke mit 150 Gbit/s, somit wäre xxx.de für einige Stunden/Tage für zahlende Kunden nicht erreichbar.“ So oder so ähnlich beginnt eine typische Erpresser-E-Mail mit einer entsprechenden Drohung.

Unter „DDoS“ ist eine Distributed-Denial-of-Service-Attacke zu verstehen, bei der ein wichtiger Unternehmensserver durch Überflutung mit Milliarden ungültiger Anfragen so überansprucht wird, dass er den Dienst versagt – voilà: „Denial of Service“. Der Zusatz „distributed“ besagt, dass die Bombardierung aus verteilten Quellen erfolgt, etwa aus einem Netzwerk gekaperter Computer, einem sogenannten Botnet. Oft wird ein kleiner Angriff vorausgeschickt, um der Firma zu demonstrieren, dass die Ankündigungen keine leeren Drohungen sind. Die Erpresser fordern nicht etwa Bargeld, denn das wäre zu leicht zu verfolgen. Vielmehr fordern sie virtuelle Währungen wie Bitcoin.

Bitcoin ist eine verbreitete Währung im Internet, die einen flexiblen Wechselkurs zum US-Dollar aufweist. Lag der Wechselkurs zu Jahresbeginn bei 15 $, so befindet er sich aufgrund von Kursmanipulationen inzwischen in der Nähe von 100 $, was Bitcoin eine Marktkapitalisierung von über 1 Mrd. $ verschafft.

Erpressungsversuche nehmen stark zu

„DDoS-Angriffe nehmen seit Sommer 2012 stark zu“, berichtet Raimund Hartenstein, Verkaufsleiter beim deutschen Internetdienstleister Link11. „Es gibt mittlerweile Attacken mit einer Bandbreite über 100 Mbit/s, so dass ein skalierbarer Schutz notwendig ist.“ Angreifer könnten Hartenstein zufolge inzwischen das Lahmlegen von Webseiten ab 100 $ mieten, so dass sich ein lukratives Kosten-Nutzen-Verhältnis ergibt: Für 100 $ erhält man 1000 € oder mehr.

Am 22. März 2011 verurteilte das Landgericht Düsseldorf einen solchen Erpresser zu zwei Jahren und zehn Monaten Haft. Das Motiv des Erpressers war einfach: Behebung der andauernden Geldnot und Erfolgserlebnisse, denn in der Regel zahlten seine Opfer, so etwa Betreiber von Wettportalen für Pferderennen.

„Mal handelt es sich um die Rache von entlassenen Mitarbeitern, mal um die Erpressung von Webshops, besonders in der Vorweihnachtszeit“, ergänzt Hartenstein. „Da werden schon mal 5000 € verlangt. Diese zahlt das Opfer auch, denn ein Webpräsenzverlust in der Vorweihnachtszeit kann bei einem großen Shop durchaus 1 Mio. € pro Tag an Umsatz kosten, und der Imageschaden kostet Kunden.“

Viele Firmen zahlen an die Erpresser

Sebastian Schreiber, Geschäftsführer des IT-Sicherheitsunternehmens Syss in Tübingen, bestätigt: „Der Verlust eines E-Mail-Servers kann eine Firma lahmlegen, und wenn ein Webshop in der Vorweihnachtszeit ausfällt, hat dies hohe Umsatzverluste zur Folge.“ Deshalb könne es vorkommen, dass ein Erpresster lieber zahlt, statt den Erpresser anzuzeigen.

„Die Dunkelziffer ist in diesem Bereich sehr hoch.“ Udo Schneider, Pressesprecher des Schutzsoftwareanbieters Trend Micro bestätigt, dass die Betroffenen nicht darüber sprechen: „Betreiber von Onlinespielen und Wetten bewegen sich manchmal selbst in einer rechtlichen Grauzone.“ Dies mache sie erpressbar.

Syss-Manager Schreiber empfiehlt den Betroffenen, nicht zu zahlen. „Die Erpresser sind heute noch schlecht organisiert und gehen amateurhaft vor.“ Doch in drei Jahren dürfte auch dieser Bereich bandenmäßig organisiert sein. „Dem BSI werden derzeit ca. fünf solcher Angriffe pro Monat von den Betroffenen gemeldet. Die Dunkelziffer dürfte jedoch deutlich höher liegen“, berichtet BSI-Pressereferent Tim Griese.

Bei Erpressungen an das Landeskriminalamt wenden

Das Bundeskriminalamt hat schon 2011 DDoS-Erpresser verhaftet. Die Beschuldigten zwischen 17 und 23 Jahren forderten Summen zwischen 50 € und 250 €. „Die verursachten Umsatzeinbußen infolge der zeitweiligen Unerreichbarkeit der Internetshops übersteigen die erpressten Geldbeträge um ein Vielfaches nach vorläufigen Schätzungen belaufen sie sich auf mindestens 100 000 €“, informiert das BKA. Es rät Shopbetreibern, sich in vergleichbaren Fällen an die Polizeibehörden zu wenden. Alle Landeskriminalämter betreiben Dienststellen, die sich mit Cybercrime befassen.

„Follow the money“, empfiehlt Udo Schneider von Trend Micro. Denn bei der Übergabe der Erpressungssumme via Bitcoin, Cybercash oder Western Union, zuweilen auch über digitale Gutscheine, werden stets Spuren hinterlassen, denen die Polizeidienststellen nachgehen können.