- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Dramatischer Anstieg der Cyberkriminalität


Lage der Union 2017: Europäische Kommission verbessert ihre Reaktionsfähigkeit bei Cyberangriffen
Fragen und Antworten: Warum muss die EU im Bereich der Cybersicherheit tätig werden?



Seit 2013 haben sich die Technik und die Sicherheitslage in der Europäischen Union rasend schnell verändert. Digitale Technologien sind inzwischen fester Bestandteil unseres täglichen Lebens und das Rückgrat unserer Wirtschaft. Die durch das Internet der Dinge ausgelöste Revolution ist heute Alltagsrealität, und bis 2020 werden wohl Zigmilliarden Geräte online sein. Gleichzeitig gibt es immer mehr Cyberbedrohungen unterschiedlichster Art.

Angesichts der jüngsten Ransomware-Attacken, des dramatischen Anstiegs der Cyberkriminalität, der immer stärkeren Nutzung von Cyberinstrumenten durch Staaten, die damit ihre geopolitischen Ziele erreichen wollen, und der immer vielfältigeren Cybersicherheitsvorfälle muss die EU in der Lage sein, besser auf Cyberattacken zu reagieren und eine wirksame – auch strafrechtliche – Abschreckungsstrategie verfolgen, um Bürger, Unternehmen sowie öffentliche Einrichtungen in der EU besser zu schützen. Deshalb schlagen die Kommission und die Hohe Vertreterin – wie von Kommissionspräsident Juncker in seiner Rede zur Lage der Union am 13. September bereits angekündigt – vor, die Abwehrfähigkeit und Reaktion der EU bei Cyberattacken zu verbessern, indem die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) gestärkt, ein EU-weiter Rahmen für die Cybersicherheitszertifizierung eingeführt, ein Konzeptentwurf für die Reaktion auf große Cybersicherheitsvorfälle und -krisen vorgestellt und ein Europäisches Forschungs- und Kompetenzzentrum für Cybersicherheit gegründet werden soll.

Der Vorschlag umfasst auch eine neue Richtlinie zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit bargeldlosen Zahlungsmitteln, um eine effizientere strafrechtliche Verfolgung bei Cyberangriffen zu ermöglichen, einen Rahmen für eine gemeinsame diplomatische Reaktion der EU auf böswillige Cyberaktivitäten sowie Maßnahmen zur Intensivierung der internationalen Zusammenarbeit in der Cybersicherheit.

Dieses breit angelegte Cybersicherheitspaket baut auf bereits bestehenden Instrumenten auf und stellt neue Initiativen vor, mit denen die Cyberabwehr- und -reaktionsfähigkeit der EU in drei Hauptbereichen noch weiter verbessert werden sollen, um
>> die Abwehrfähigkeit der EU bei Cyberangriffen zu verbessern und die Cybersicherheitskapazitäten der EU auszubauen;
>> bessere Möglichkeiten der strafrechtliche Verfolgung zu schaffen;
>> durch internationale Zusammenarbeit zu einer größeren weltweiten Stabilität beizutragen.

Zahlen und Fakten
Das Ausmaß des Problems erfordert schnelles Handeln. Aktuelle Zahlen zeigen, dass digitale Bedrohungen auf dem Vormarsch sind: Seit Anfang 2016 hat es weltweit täglich über 4000 Ransomware-Attacken gegeben – ein Anstieg um 300 Prozent seit 2015. Im vergangenen Jahr waren davon 80 Prozent der europäischen Unternehmen betroffen. Studien weisen darauf hin, dass der durch Cyberkriminalität verursachte wirtschaftliche Schaden zwischen 2013 und 2017 um das Fünffache gestiegen ist und bis 2019 weiter um das Vierfache ansteigen könnte. Insbesondere bei der Ransomware ist eine deutliche Zunahme festzustellen – die jüngsten Attacken belegen, wie sehr die kriminellen Cyberaktivitäten zugenommen haben. Doch Ransomware ist bei weitem nicht die einzige Bedrohung.

Laut einer Eurobarometer-Umfrage sehen auch immer mehr Europäer in der Cyberkriminalität eine große Gefahr für die Europäische Union. 87 Prozent der Befragten sehen Cyberkriminalität als wichtige Herausforderung für die innere Sicherheit der EU an, und die Mehrheit befürchtet, eines Tages selbst Opfer irgendeiner Form von Cyberkriminalität zu werden. Die meisten haben Sorge, Schadsoftware auf ihren Geräten zu entdecken (69 Prozent) oder Opfer eines Identitätsdiebstahls (69 Prozent) oder eines Betrugs mit Zahlungskarten oder beim Online-Banking (66 Prozent) zu werden. Bei Online-Zahlungen haben die meisten entweder Angst vor dem Missbrauch ihrer personenbezogenen Daten (45 Prozent) oder vor Sicherheitslücken in den Zahlungsvorgängen selbst (42 Prozent). Viele haben sich deshalb entschlossen, in Sachen Online-Sicherheit aktiv zu werden. So haben 62 Prozent der Befragten ihre Passwörter in den letzten sechs Monaten geändert und 45 Prozent Anti-Viren-Software installiert. Allerdings haben Einige Online-Geschäften sogar gänzlich den Rücken gekehrt: 12 Prozent verringerten ihre Online-Einkäufe und 10 Prozent haben das Online-Banking völlig aufgegeben.

1. Die Abwehrfähigkeit der EU gegenüber Cyberangriffen erhöhen

Warum schlägt die Kommission eine starke EU-Agentur für Cybersicherheit vor?
Das derzeitige Mandat der Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) mit Sitz in Griechenland endet im Juni 2020. Da sich die Cybersicherheitslage seit der Annahme der ENISA-Verordnung stark gewandelt hat, hat die Kommission beschlossen, das Mandat der Agentur zu evaluieren und zu überarbeiten.

Bisher bestand die Rolle der ENISA hauptsächlich darin, Know-how und Beratung anzubieten, nicht aber im Rahmen von Cybersicherheitseinsätzen tätig zu werden. Doch hier hat sich bereits etwas bewegt. Mit der Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS) ist formell das CSIRTs-Netzwerk – ein Netzwerk aus den Computer-Notfallteams der Mitgliedstaaten – geschaffen worden, dessen Sekretariat von der ENISA gestellt wird.

Die Kommission schlägt nun vor, die ENISA in eine leistungsfähigere EU-Agentur für Cybersicherheit mit einem ständigen Mandat, umfangreicheren operativen Ressourcen und einer soliden Basis für die Zukunft umzugestalten. Die Agentur soll vor allem die Mitgliedstaaten bei der Umsetzung der NIS-Richtlinie unterstützen. In Bereichen wie der operativen Zusammenarbeit und der Sicherheitszertifizierung von Informations- und Kommunikationstechnologie (IKT) werden der Agentur, so wie es die neue Realität und der damit verbundene Bedarf in der Cybersicherheit verlangen, neue Aufgaben und Mittel zugewiesen. Die ENISA wird somit in der EU-Politik im Bereich der Cybersicherheitszertifizierung eine wichtige Rolle spielen, da sie gemeinsam mit den Zertifizierungsstellen der Mitgliedstaaten potenzielle europäische Cybersicherheitszertifizierungsysteme ausarbeiten wird. Das neue Mandat der Agentur, ihre Ziele und ihre Aufgaben sollen regelmäßig überprüft werden.

Warum schlägt die Kommission einen EU-Cybersicherheitszertifizierungsrahmen für IKT-Produkte und -Dienste vor?
Die IKT-Zertifizierung ist nicht nur für die Gewährleistung der Sicherheit von Produkten und Diensten, die für einen reibungslos funktionierenden digitalen Binnenmarkt unerlässlich sind, sondern auch für ein größeres Vertrauen der Nutzer in diese Güter von großer Bedeutung. Gegenwärtig gibt es in der EU unterschiedliche Zertifizierungssysteme für die Sicherheit von IKT-Produkten (u. a. die Certification Sécuritaire de Premier Niveau in Frankreich oder die Commercial Product Assurance im Vereinigten Königreich). Obwohl diese Initiativen zeigen, wie wichtig die Zertifizierung ist, besteht auch die Gefahr, dass die Vielzahl an Zertifizierungsinitiativen zu Markthemmnissen und Marktfragmentierung führen. So müssen intelligente Stromzähler derzeit getrennte Zertifizierungsverfahren in Frankreich, dem Vereinigten Königreich und Deutschland durchlaufen.

Allerdings wird sich kein allgemeingültiges Sicherheitszertifizierungskonzept für alle IKT-Produkte und -dienste des Cyberraums finden lassen. Deshalb schlägt die Kommission die Schaffung eines Europäischen Rahmens für die Cybersicherheitszertifizierung vor. Er soll viele individuelle europäische Zertifizierungssysteme für die Cybersicherheit – also klare Beschreibungen der Sicherheitsanforderungen, die die betreffenden Produkte, Systeme oder Dienste erfüllen müssen – hervorbringen. Die für anforderungsgerechte Produkte ausgestellten Zertifikate werden in allen Mitgliedstaaten anerkannt werden, sodass für Unternehmen der grenzüberschreitende Handel erleichtert wird und Verbraucher besser über die Sicherheitsmerkmale von Produkten und Diensten im Bilde sind.

Die Nutzung der Zertifizierungssysteme ist für Marktteilnehmer freiwillig. Hohe Cybersicherheitsstandards, die durch ein solches Zertifizierungssystem bescheinigt werden, können sich zu einem Wettbewerbsvorteil für Unternehmen entwickeln, die ihre Kunden von der "Cybertauglichkeit" – also einem bestimmten Sicherheitsniveau – ihrer Produkte und Dienste überzeugen wollen. Dementsprechend werden solche Systeme ein Produkt- und Dienstleistungsdesign fördern, bei dem Cybersicherheit von vornherein großgeschrieben wird.

Wer wird von dem neuen Zertifizierungsrahmen profitieren und in welcher Weise?
Zu wissen, ob ein Produkt, System oder Dienst bestimmten Anforderungen entspricht, ist die Voraussetzung für das Vertrauen in digitale Systeme und Geräte, auf die wir uns verlassen wollen. Der Rahmen ist daher nützlich für:

>> Bürger und Endnutzer (z. B. für Betreiber wesentlicher Dienste), die die Möglichkeit haben wollen, beim Kauf von IKT-Produkten und ‑diensten, die sie täglich gebrauchen, fundiertere Entscheidungen treffen zu können.

>> Anbieter und Betreiber von IKT-Produkten und -diensten (einschließlich KMU und Start-ups). Sie werden nur ein einziges Verfahren durchlaufen müssen, um ein europäisches Zertifikat zu erhalten, das dann in allen Mitgliedstaaten gilt. Für KMU und Start-ups bedeutet dies auch, dass sie nicht mehr auf potenzielle Markteintrittsschranken stoßen werden. Da es nur noch ein Zertifizierungsverfahren geben wird – anstatt mehrerer, die je nach Produkt oder Dienst, dem angestrebten Gewährleistungsniveau und anderen Elementen unterschiedlich teuer sein können –, werden Unternehmen ihre Kosten stark reduzieren können. Die Zertifizierung für BSI-Smart-Meter-Gateway kostet beispielsweise mehr als 1 Mio. EUR (höchste Prüf- und Gewährleistungsstufe, bei der nicht nur ein Produkt, sondern auch die gesamte umgebende Infrastruktur geprüft wird). Die Zertifizierung intelligenter Zähler im Vereinigten Königreich und Frankreich liegt dagegen vergleichsweise niedrig bei rund 150 000 EUR. Es kann ferner von einer weltweit steigenden Nachfrage nach sichereren Lösungen ausgegangen werden, sodass Anbieter und Betreiber bei der Deckung dieses Bedarfs zudem einen Wettbewerbsvorteil haben werden.

Auch die öffentliche Verwaltung wird fundiertere Entscheidungen treffen können und zugleich über einen institutionellen Rahmen verfügen, in dem Bereiche, die vorrangig einer IKT-Sicherheitszertifizierung bedürfen, ausgemacht und gemeldet werden können.

Wie wird der europäische Rahmen sich in bereits bestehende bzw. internationale Initiativen einfügen?
Die im künftigen europäischen Rahmen vorgeschlagenen Systeme werden sich so weit wie möglich auf internationale Standards stützen, um so die Entstehung von Handelshemmnissen zu vermeiden und Kohärenz mit internationalen Initiativen sicherzustellen. Wir werden weiterhin mit unseren wichtigsten Handelspartnern an der Entwicklung globaler Standards in diesem Bereich arbeiten.

2. Die Cybersicherheitskapazitäten der EU aufstocken

Was ist die Intention der Empfehlung für eine koordinierte Reaktion der EU auf Cyberangriffe ("Konzeptentwurf")?
In der Empfehlung wird beschrieben, wie sich die bestehenden und bewährten Krisenmanagementprinzipien und ‑mechanismen die Cybersicherheitseinrichtungen auf EU-Ebene und die Kooperationsmechanismen zwischen den Mitgliedstaaten in vollem Umfang zunutze machen werden. Alle bisherigen Verfahren und Akteure werden in einem Prozess zusammengefasst und ihre Rollen auf der technischen, operativen und strategischen Ebene im Falle eines Cybersicherheitsvorfalls präzisiert. Durch die Empfehlung soll der EU ein Reaktionsplan für Fälle schwerwiegender grenzüberschreitender Cyberangriffe und ‑krisen an die Hand gegeben werden. In dem Konzeptentwurf werden die Ziele und Formen der Zusammenarbeit zwischen den Mitgliedstaaten und den EU-Organen bei der Reaktion auf solche Sicherheitsvorfälle beschrieben und erklärt, wie vorhandene Krisenmanagementmechanismen mit den bestehenden Cybersicherheitseinrichtungen auf EU-Ebene interagieren können.

In der Empfehlung werden die Mitgliedstaaten und die EU-Organe auch aufgefordert, für die praktische Umsetzung des Konzeptentwurfs einen EU-Rahmen für die Reaktion auf Cybersicherheitskrisen zu schaffen. Dieser wird im Zuge von Cyber- und anderen Krisenmanagementübungen regelmäßig getestet.

Welche Stellen sind am Krisenmanagement beteiligt? Wie werden sie koordiniert?
Am Krisenmanagement sind Akteure der Mitgliedstaaten und der europäischen Ebenen beteiligt. In den Mitgliedstaaten sind es die zuständigen nationalen Behörden und die durch die NIS-Richtlinie eingerichteten zentralen Anlaufstellen, die Computernotfall-Teams (CSIRTs) und die Cybersicherheitsagenturen. Auf europäischer Ebene sind es die ENISA und Europol/EC3 (das Europäische Zentrum zur Bekämpfung der Cyberkriminalität bei Europol), die Europäische Kommission, der Europäische Auswärtige Dienst und insbesondere dessen für das Krisenmanagement zuständige Dienststellen sowie der Rat. Diese Stellen werden auf der technischen, der operativen und der strategischen Ebene zusammenarbeiten.

Wie wird nach dem Konzeptentwurf künftig mit Cyberangriffen wie WannaCry und Petya/NotPetya umgegangen?
Wie WannaCry und Petya/NotPetya gezeigt haben, können massive Cyberangriffe viele Länder, sowohl in der EU als auch außerhalb ihrer Grenzen, zugleich treffen. Mit dem Konzeptentwurf soll der EU ein erprobter Plan für solche Cybersicherheitsvorfälle/-krisen an die Hand gegeben werden, der eine Zusammenarbeit auf europäischer wie auch auf internationaler Ebene umfasst. Gesetzt wird auf eine rasche Kommunikation zwischen den verschiedenen Akteuren und auf eine koordinierte Reaktion auf große Cyberangriffe. Ferner werden Mechanismen zur Ursachenanalyse eingeführt, damit die Folgen solcher Angriffe wirksam abgemildert und bewältigt werden können. Die Mitgliedstaaten entscheiden im Rahmen der Integrierten Regelung für die politische Reaktion auf Krisen (IPCR), wann der Konzeptentwurf in der Praxis angewandt wird.

Wann und warum werden das Netzwerk und das Europäische Forschungs- und Kompetenzzentrum für Cybersicherheit eingerichtet?
Die EU braucht umfangreiche Investitionen in Cybersicherheitstechnologie, ‑produkte, ‑prozesse und ‑Know-how, um die nötige technische Autonomie in Sachen Cybersicherheit zu erreichen und ihre digitale Wirtschaft, Gesellschaft und Demokratie schützen zu können. Diese Kapazitäten sind auch unerlässlich, um zu den Anstrengungen auf internationaler Ebene, die auf einen sicheren Cyberraum für alle hinarbeiten, beitragen zu können. Auf der Grundlage der Arbeit der Mitgliedstaaten und der 2016 gegründeten öffentlich-privaten Partnerschaft schlägt die Kommission jetzt einen weiteren Schritt vor, um die EU für den Schutz des Cyberraums zu rüsten. Hierzu gehört die Einrichtung eines Cybersicherheits-Kompetenznetzes, in dessen Mittelpunkt das Europäische Forschungs- und Kompetenzzentrum für Cybersicherheit stehen soll.

Dieses Europäische Kompetenzzentrum wird die Entwicklung und Nutzung von Instrumenten und Technik unterstützen, die erforderlich sind, um mit den immer neuen Bedrohungen Schritt halten zu können und zu gewährleisten, dass Europas Mittel zur Abwehr genauso modern sind, wie die Waffen, die die Cyberkriminellen einsetzen. Das Zentrum wird außerdem zum Kapazitätsaufbau in der EU und in den Mitgliedstaaten in diesem Bereich beitragen.

Die Kommission wird in einer Folgenabschätzung die verfügbaren Optionen prüfen lassen – u. a. die Möglichkeit, ein gemeinsames Unternehmen zu gründen –, damit diese Struktur so bald wie möglich geschaffen werden kann. Die Kommission schlägt des Weiteren vor, im Rahmen von Horizont 2020 eine Pilotphase einzuleiten, um den Investitionen in die Cybersicherheit neuen Schwung zu geben. Die Kommission beabsichtigt, hierfür kurzfristig 50 Mio. EUR zur Verfügung zu stellen.

3. Bessere Möglichkeiten der strafrechtliche Verfolgung zu schaffen

Eine wirkungsvolle Abschreckung setzt einen Rahmen voraus, dessen Maßnahmen glaubwürdig sind und potenzielle Cyberkriminelle und Angreifer abschrecken. Solange die Urheber von Cyberangriffen – ob es sich dabei um Staaten oder um andere Angreifer handelt – nicht mehr zu befürchten haben, als dass ihr Vorhaben misslingt, werden sie kaum davon ablassen. Eine wirksamere Strafverfolgung und ein besserer Rechtsvollzug mit Schwerpunkt auf Enttarnung, Rückverfolgbarkeit und Verfolgung von Cyberkriminellen sind für eine wirksame Abschreckung von grundlegender Bedeutung.

Ein Schritt zur Verbesserung der strafrechtlichen Verfolgung von Cyberangriffen wurde bereits 2013 mit dem Erlass der Richtlinie über Angriffe auf Informationssysteme unternommen. Darin wurden Mindestvorschriften für die Festlegung von Straftaten und Strafen bei Angriffen auf Informationssysteme festgelegt und operative Maßnahmen zur Verbesserung der behördlichen Zusammenarbeit bereitgestellt.

Wie in dem vorgelegten Bewertungsbericht zur Umsetzung der Richtlinie festgestellt, kann die Richtlinie ihr Wirkungspotenzial erst dann voll entfalten, wenn die Mitgliedstaaten alle Bestimmungen vollständig umsetzen. Die Bewertung ergab, dass die Richtlinie zu erheblichen Fortschritten bei der Angleichung der Einstufung von Cyberangriffen als Straftaten in den einzelnen Mitgliedstaaten geführt hat. Dennoch sind weitere Anstrengungen erforderlich, insbesondere in Bezug auf Begriffsbestimmungen und gemeinsame Standards für das Strafmaß im Falle von Cyberangriffen. Die Kommission ist entschlossen, für eine vollständige und korrekte Umsetzung der Richtlinie zu sorgen und wird den Mitgliedstaaten weiterhin die nötige Unterstützung dabei geben. Die Kommission hält es derzeit nicht für erforderlich, die Richtlinie zu ändern.

Die Kommission will die Abschreckung erhöhen und schlägt deshalb eine neue Richtlinie zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit bargeldlosen Zahlungsmitteln vor, um auch hier eine effizientere strafrechtliche Verfolgung von Cyberkriminellen zu ermöglichen.

Was ist "Betrug im Zusammenhang mit bargeldlosen Zahlungsmitteln"?
Die gängigsten bargeldlosen Zahlungsinstrumente sind Zahlungskarten (Kredit- und Debitkarten), Überweisungen, Lastschriften, E-Geld, virtuelle Währungen, mobiles Geld, Gutscheine und Kundenkarten. In Europa hat sowohl die Zahl als auch der Wert der bargeldlosen Zahlungstransaktionen in den letzten Jahren stetig zugenommen.

Betrug im Bereich der bargeldlosen Zahlung hat ganz unterschiedliche Formen. Die Kriminellen können die Ausführung von Zahlungen auslösen, indem sie Informationen nutzen, an die sie z. B. durch Phishing oder Skimming gelangt sind, oder durch Abgreifen von Daten von bestimmten Websites des Darknets, auf denen gestohlene Kreditkartendaten zum Kauf angeboten werden. Zahlungsbetrug kann auch in Geschäften oder an Bankautomaten mit Hilfe von gefälschten oder gestohlenen Karten begangen werden, mit denen eingekauft oder Geld abgehoben wird. Eine weitere Praxis ist das Hacken von IT-Systemen, die Zahlungen verarbeiten, wobei z. B. die Verkaufsstellen der Transaktionen manipuliert werden oder das Kreditkartenlimit widerrechtlich erhöht wird, damit überhöhte Ausgaben nicht entdeckt werden. Die Statistiken zum Zahlungsbetrug zeigen, dass der Betrug in 66 Prozent der Fälle begangen wird, ohne dass tatsächlich auf die Karte zugegriffen wird. Stattdessen werden lediglich die Kartendaten verwendet.

Warum ist der Betrug im Zusammenhang mit bargeldlosen Zahlungsmitteln eine Sicherheitsgefahr?
Betrug und Fälschung im Zusammenhang mit bargeldlosen Zahlungsmitteln gefährden die Sicherheit, weil sie eine wichtige Einnahmequelle für das organisierte Verbrechen sind und andere Arten der Kriminalität, wie den Terrorismus, den Drogenhandel und den Menschenhandel unterstützen.

Ein Bericht von Europol zeigt auf, dass der kriminelle Markt für Zahlungskartenbetrug in der EU von gut strukturierten, global agierenden Gruppierungen der organisierten Kriminalität beherrscht wird, die jährlich illegal Einnahmen von mindestens 1,44 Mrd. EUR erzielen (Schätzungen der Europäischen Zentralbank). Diese Summe wird voraussichtlich steigen, insbesondere durch die zunehmende Digitalisierung der Wirtschaft und die durch technische Innovation entstehenden neuen Zahlungsinstrumente.

Bargeldlose Zahlungen sind für Online-Geschäfte – von deren Sicherheit der digitale Binnenmarkt abhängt – unerlässlich. Betrug in diesem Bereich führt dagegen zu erheblichen direkten wirtschaftlichen Verlusten (Fluglinien verlieren z .B. jedes Jahr rund 1 Mrd. USD durch Kartenbetrug) und schadet dem Vertrauen der Verbraucher, was wiederum zu einem Rückgang der Wirtschaftstätigkeit und einem geringeren Engagement im digitalen Binnenmarkt führen kann.

Warum schlägt die Kommission eine neue Richtlinie zum Betrug im Zusammenhang mit bargeldlosen Zahlungsmitteln vor?
Technische Entwicklungen, wie die zunehmende Nutzung mobiler Zahlungsmöglichkeiten oder virtueller Währungen, haben erhebliche Veränderungen im Bereich der bargeldlosen Zahlungen sowie einen Anstieg beim Online-Betrug mit sich gebracht. Um sicherzustellen, dass die Straftaten, die mit neuen Zahlungsinstrumenten begangen werden, wirksam verfolgt werden können, muss der strafrechtliche Rahmen der EU auf dem neuesten Stand sein, insbesondere damit ein ähnliches Strafmaß in allen Mitgliedstaaten gilt. Der Betrug im Zusammenhang mit bargeldlosen Zahlungsmitteln findet häufig in der Online-Welt statt und stellt damit das traditionelle Konzept der Territorialität auf den Prüfstand, denn Informationssysteme können bekanntlich von einem beliebigen Ort aus ferngesteuert werden. Deshalb sollte der Gerichtsstand in Bezug auf die begangenen Delikte nicht von der Staatsangehörigkeit des Täters und dessen Aufenthaltsort abhängen, sondern sich nach dem im Hoheitsgebiet des Mitgliedstaats verursachten Schaden richten.

Obwohl der Rahmenbeschluss zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit unbaren Zahlungsmitteln zur Schaffung eines gemeinsamen EU-weiten strafrechtlichen Rahmens beigetragen hat, reicht der derzeitige Grad der Harmonisierung nicht aus, um Ermittlungen und Strafverfolgung über die nationalen Grenzen hinweg hinreichend zu unterstützen.

Wie wird die neue Richtlinie bei der Bekämpfung des Betrugs im Zusammenhang mit bargeldlosen Zahlungsmitteln helfen?
Die Kommission setzt mit der neuen Richtlinie zur Bekämpfung von Betrug und Fälschung im Zusammenhang mit bargeldlosen Zahlungsmitteln auf eine wirksamere Abschreckung. Im Einklang mit der Sicherheitsagenda und der Cybersicherheitsstrategie der Europäischen Union sowie der Strategie für einen digitalen Binnenmarkt will die Richtlinie die Mitgliedstaaten besser in die Lage versetzen, diese Art des Betrugs strafrechtlich zu verfolgen und zu ahnden, und zwar durch

>> bessere Möglichkeiten der Strafverfolgungsbehörden, diese Form der Kriminalität zu bekämpfen, indem die Definition von "Delikt" im Zusammenhang mit Informationssystemen auf alle Arten von Zahlungsvorgängen, einschließlich solcher mit virtueller Währung, ausgeweitet wird;

>> die Einführung gemeinsamer Regeln über die Höhe des Strafmaßes, insbesondere durch Festsetzung eines Mindestmaßes für die schwersten Strafen, die ein Mitgliedstaat verhängen kann. Die Spanne liegt hierbei bei zwei bis fünf Jahren, je nach Straftat. Nach den neuen Regeln sind der Besitz, der Verkauf, das Sichverschaffen zum Zwecke der Nutzung sowie die Einfuhr und Verbreitung von gestohlenen oder in anderer Weise widerrechtlich angeeigneten ge- oder verfälschten Zahlungsinstrumenten jetzt ein eigenständiger Straftatbestand;

>> eine klarere Regelung des Gerichtsstands, indem dafür gesorgt wird, dass die gerichtliche Zuständigkeit in den folgenden beiden Fällen bei dem betroffenen Mitgliedstaat liegt: wenn für ein Delikt ein Informationssystem genutzt wurde, das sich in seinem Hoheitsgebiet befindet, obwohl der Täter sich möglicherweise außerhalb dieses Gebiets aufhält, und wenn der Täter sich in seinem Hoheitsgebiet aufhält, der Standort des Informationssystems sich dagegen außerhalb dieses Gebietes befindet. Die gerichtliche Zuständigkeit wird auch hinsichtlich der Auswirkungen des Delikts präzisiert. So wird sichergestellt, dass die Mitgliedstaaten die Möglichkeit haben, ihre gerichtliche Zuständigkeit auszuüben, wenn die Straftat in ihrem Hoheitsgebiet Schaden angerichtet hat. Dies kann auch ein Schaden sein, der durch Identitätsdiebstahl verursacht wurde;

>>die Gewährleistung, dass Opfer von Cyberdelikten ein Recht auf Zugang zu Informationen über verfügbare Unterstützung und Hilfe bekommen. Außerdem schaffen die neuen Vorschriften bessere Bedingungen und Anreize für Opfer und Personen des Privatrechts, Straftaten zu melden;

>> die Einführung von Maßnahmen zur Verbesserung der unionsweiten Zusammenarbeit der Strafjustiz durch Ausbau der vorhandenen Struktur und die Nutzung operativer Kontaktstellen;

>>die Bereitstellung der noch fehlenden statistischen Daten über Betrug und Fälschung im bargeldlosen Zahlungsverkehr.

Um die Ermittlungsarbeit und die Strafverfolgung bei Cyberdelikten wirksamer zu machen, wird die Kommission außerdem Anfang 2018 Vorschläge für eine Erleichterung des grenzüberschreitenden Zugangs zu elektronischen Beweismitteln vorlegen. Parallel dazu ergreift die Kommission derzeit praktische Maßnahmen, die bei strafrechtlichen Ermittlungen den Zugang zu elektronischen Beweismitteln über Landesgrenzen hinweg verbessern sollen und die auch die Finanzierung von Schulungen zur grenzüberschreitenden Zusammenarbeit, die Entwicklung einer elektronischen Plattform für den Informationsaustausch innerhalb der EU und die Standardisierung der von den Mitgliedstaaten bei der justiziellen Zusammenarbeit verwendeten Formulare einschließen. Die Kommission lotet außerdem verschiedene Möglichkeiten aus, den Kapazitätsausbau in der IT-Forensik in den Mitgliedstaaten zu fördern. Eine Option wäre der Ausbau von Europol und dem dazugehörigen Europäischen Zentrum zur Bekämpfung der Cyberkriminalität. Bis Oktober wird die Kommission auch ihre Überlegungen zur Rolle der Verschlüsselung bei kriminaltechnischen Ermittlungen vorstellen. Um die Mitgliedstaaten besser zu unterstützen und ihre Kapazitäten für die Untersuchung von Cyberdelikten zu stärken, wird die Kommission 10,5 Mio. EUR im Rahmen des Fonds für die innere Sicherheit bereitstellen.

4. Die internationale Zusammenarbeit in der Cybersicherheit stärken

In der internationalen Politik der EU in Sachen Cybersicherheit, die sich stets von den Grundwerten und ‑rechten der Union leiten lässt, nimmt sich die EU der stetig neuen Herausforderung an, einen globalen stabilen Cyberraum voranzubringen und dabei zu Europas strategischer Autonomie und Sicherheit im Cyberraum beizutragen. Die Union wird in ihrem bilateralen, regionalen und multilateralen Engagement und ihren Multi-Stakeholder-Kontakten der Einrichtung eines strategischen Rahmens zu Konfliktprävention und Stabilität im Cyberraum Priorität einräumen. Als Teil des strategischen Rahmens für die Konfliktprävention fördert die EU die Anwendung des Völkerrechts, insbesondere der Charta der Vereinten Nationen, im Cyberbereich. Sie unterstützt auch die Entwicklung nicht verbindlicher, freiwilliger Normen für staatliches Verhalten sowie vertrauensbildende Maßnahmen im Bereich Cybersicherheit.

Da diese Bedrohung ihrem Wesen nach global ist, können Cyberangriffe – von deren Abwehr die internationale Stabilität und Sicherheit immer mehr abhängt – nur verhindert und deren Urheber abgeschreckt werden, indem wir starke Bündnisse mit Drittländern aufbauen und pflegen. Die EU hat mit den USA, Japan, Indien, der Republik Korea und China Gespräche über das Thema Cybersicherheit etabliert. Enge Konsultationen finden auch mit internationalen Organisationen wie der NATO, dem ASEAN Regional Forum, der OSZE, dem Europarat und der OECD statt.

Wie kann die EU diplomatisch auf böswillige Cyberaktivitäten reagieren?
Am 19. Juli 2017 einigte der Rat sich auf die Schlussfolgerungen des Rates über einen Rahmen für eine gemeinsame diplomatische Reaktion der EU auf böswillige Cyberaktivitäten ("Cyber Diplomacy Toolbox"), mit dem die EU und ihre Mitgliedstaaten kriminellen Cyberaktivitäten vorbeugen und auf sie reagieren können. Mithilfe von Maßnahmen im Rahmen der Instrumente der Gemeinsamen Außen- und Sicherheitspolitik beabsichtigen die EU und die Mitgliedstaaten, die Zusammenarbeit zu beleben, die Abwendung akuter und langfristiger Bedrohungen zu erleichtern und das Verhalten potenzieller Angreifer langfristig zu beeinflussen. Dies ist lediglich als zusätzliches Engagement zu betrachten, das weder bestehende diplomatische Aktivitäten der EU noch solche der Mitgliedstaaten in der Cyberdiplomatie ersetzen soll.

Wie wird die EU zum Cyberkapazitätsaufbau in der Welt beitragen?
Globale Stabilität im Cyberraum hängt von der lokalen und nationalen Fähigkeit aller Länder ab, Cybervorfälle zu verhindern bzw. auf diese zu reagieren und Cyberdelikte aufzuklären und zu ahnden. Unterstützende Bemühungen, die Abwehrfähigkeit von Drittländern auf nationaler Ebene aufzubauen, werden das Cybersicherheitsniveau weltweit verbessern, was sich positiv auf die EU auswirken wird.

Seit 2013 hat die EU eine führende Rolle beim internationalen Kapazitätsaufbau im Cyberbereich und verbindet diese Anstrengungen systematisch mit ihrer Entwicklungszusammenarbeit. Damit die Union künftig ihre kollektive Sachkenntnis zur Unterstützung dieses Kapazitätsaufbaus besser mobilisieren kann, sollte ein entsprechend ausgelegtes EU-Netzwerk für den Kapazitätsaufbau im Cyberraum eingerichtet werden, an dem sich die Europäische Kommission, der Europäische Auswärtige Dienst, die für Cyberangelegenheiten zuständigen Stellen der Mitgliedstaaten, EU-Agenturen wie auch die Wissenschaft und die Zivilgesellschaft beteiligen. Es werden Leitlinien der EU für den Kapazitätsaufbau im Cyberraum aufgestellt werden, um eine bessere politische Orientierung zu bieten und die EU-Maßnahmen im Rahmen der Hilfe für Drittländer besser priorisieren zu können.

Die Union wird auch mit anderen Gebern in diesem Bereich zusammenarbeiten, um Doppelarbeit zu vermeiden und einen gezielteren Kapazitätsaufbau in verschiedenen Regionen zu ermöglichen.

5. Zusammenarbeit in der Cyberabwehr
Da Cyberbedrohungen in der heutigen Zeit zu den größten Gefahren für die Sicherheit gehören, ist ein rascher Ausbau der Cyberabwehrfähigkeiten in der EU erforderlich, um die Risiken zu begrenzen und angemessen auf böswillige Cyberangriffe reagieren zu können. Neue und bereits bestehende Initiativen, wie der Europäische Verteidigungsfond, werden bei der Unterstützung der weiteren Anstrengungen im Bereich der Cyberabwehr (z. B. eine Plattform für die Ausbildung und Aufklärung im Bereich der Cyberabwehr) von zentraler Bedeutung sein.

Der Europäische Auswärtige Dienst und die Europäische Verteidigungsagentur (EDA) stehen seit 2013, als mit den Mitgliedstaaten das EDA-Cyberabwehr-Projektteam eingesetzt wurde, in Sachen Cyberabwehr in Kontakt mit den Mitgliedstaaten. Der von der EU 2014 verabschiedete EU-Politikrahmen für die Cyberabwehr wird erneut in den Mittelpunkt rücken und dazu dienen, die Fähigkeiten der Mitgliedstaaten weiterzuentwickeln, ihre Doktrinen zu straffen, mehr Trainings- und Übungsmöglichkeiten zu schaffen, die Dual-Use-Forschung zu fördern und die Missionen und Operationen im Rahmen der Gemeinsamen Sicherheits- und Verteidigungspolitik zu schützen.

Die Mitgliedstaaten sind der EU im Bereich Cyberabwehr voraus, aber die EU kann ihre Anstrengungen ergänzen, indem sie die Entwicklung der Verteidigungsindustrie fördert, auf strategischer Ebene die Koordinierung von Cyberabwehrmaßnahmen zwischen den Mitgliedstaaten fördert und nach Synergien sucht, die die EU zwischen dem zivilen und dem militärischen Bereich erzeugen kann. Forschung und Entwicklung im Bereich Dual-Use, Kapazitätsaufbau in der Cyberabwehr-Doktrin und ‑technik sowie Ausbildung werden Schwerpunktbereiche sein.

Mit Unterstützung der Hohen Vertreterin, der Kommission und der Europäischen Verteidigungsagentur könnten interessierte Mitgliedstaaten ihre Kapazitäten vereinigen, um im Rahmen einer Ständigen Strukturierten Zusammenarbeit (PESCO) Projekte zur Cybersicherheit ins Leben zu rufen.

Wie arbeiten EU und NATO zur Erhöhung der Cybersicherheit zusammen?
Auf der Grundlage der jüngsten Fortschritte wird die Union, wie in der Gemeinsamen Erklärung vom 8. Juli 2016 vorgesehen, die Zusammenarbeit mit der NATO in den Bereichen Cybersicherheit, hybride Bedrohungen und Cyberabwehr vertiefen. Die beiden Partner werden auch den Informationsaustausch zwischen ihren jeweiligen Cybersicherheitsgremien, d. h. dem IT-Notfallteam für die Organe, Einrichtungen und sonstigen Stellen der EU (CERT-EU) und der Computer Incident Response Capability (NCIRC) der NATO, intensivieren. Zu den zentralen Aktionen gehören auch ihre gemeinsame Beteiligung an parallelen und koordinierten Übungen und die Bemühungen um bessere Interoperabilität bei den Cybersicherheitsstandards. 2017 und 2018 werden die NATO und die EU erstmals parallele und koordinierte Übungen zur Reaktion auf ein hybrides Angriffsszenario abhalten. (Europäische Kommission: ra)

eingetragen: 03.10.17
Home & Newsletterlauf: 17.10.17



Meldungen: Hintergrund

  • Zunahme von Angriffen mit JavaScript-Skimmern

    Im Jahr 2020 könnten es - laut Vorhersagen von Kaspersky - finanziell motivierte Cyberkriminelle vermehrt auf Apps zur Geldanlage, Systeme zur Verarbeitung von Finanzdaten online und aufstrebende Krypto-Währungen abgesehen haben. Zudem werden sich voraussichtlich der Handel mit Zugängen zur Infrastruktur von Banken und die Entwicklung neuer Varianten mobiler Malware basierend auf Sourcecode-Leaks etablieren. Neben den Bedrohungen im Finanzbereich hat Kaspersky im Rahmen ihres "Security Bulletins 2019/2020" auch mögliche Gefahren für andere Branchen prognostiziert.

  • Prognosen zur Anwendungssicherheit für 2020

    Veracode veröffentlichte vor kurzem die zehnte Ausgabe ihres jährlich erscheinenden "State of the Software Security" (SoSS)-Reports. In diesem beschreibt die Anwendungssicherheitsspezialistin, wie sich die Sicherheit von Software und Applikationen im Laufe der letzten Jahre entwickelt hat und stellt eine Bilanz zum aktuellen Ist-Stand auf. Doch welche Trends zeichnen sich für die kommenden Jahre ab und auf welche Weise sollten Unternehmen auf die Veränderungen reagieren? Codes, auf denen Software und Applikationen aufbauen, werden stetig umgeschrieben oder erweitert, da Unternehmen ihre Angebote an die Bedürfnisse ihrer Kunden anpassen müssen. Jede neue Veränderung bedeutet aber auch, dass die Applikationen dadurch angreifbar werden. Somit steigt das Risiko, dass sich Fehler und Bugs einschleichen und damit die Sicherheit der jeweiligen Anwendung - oder sogar des Unternehmens - gefährden.

  • So (un)sicher wird 2020 für industrielle Netzwerke

    Die Bedrohungslage für OT-Systeme, kritische Infrastrukturen und industrielle Steuerungsanlagen wird sich auch 2020 im Vergleich zu 2019 kontinuierlich weiterentwickeln. Da diese Systeme dem öffentlichen Internet immer stärker ausgesetzt sind, wird es für Hacker immer einfacher, sie anzugreifen. Dies gilt nicht nur für staatlich unterstützte bzw. beauftragte Angreifer, sondern auch für Cyberkriminelle, die in erster Linie finanziell motiviert handeln. Es ist zu befürchten, dass gerade staatlich gesteuerte Angreifer ihre Ziele genauer auswählen und ihre Spuren besser verwischen werden. Die Fälle, von denen in den Medien berichtet wird, dürften nur die Spitze des Eisberges darstellen. Aufgrund der kleinen Stichprobe (2019 gab es lediglich 12 hochkarätige Angriffe weltweit) ist es unmöglich, ein genaues Bild über die tatsächliche Bedrohungslage zu erhalten.

  • Cyberangriff auf wichtige Pfeiler der Gesellschaft

    Am Ende jedes Jahres setzen wir bei Forescout uns zusammen und erörtern, welche Trends sich unserer Meinung nach in den nächsten zwölf Monaten beschleunigen und welche neu entstehen werden. Als wir dieses Jahr mehr als 50 Prognosen auf letztendlich sechs eingrenzten, fiel uns einmal mehr auf, wie schnell sich der Cybersicherheitssektor doch verändert. Die Bedrohungen und Angreifer werden immer raffinierter und richten weiter verheerende Schäden in Unternehmen aller Größen und Branchen an, und eine Trendwende ist nicht in Sicht. Für Unternehmen bedeutet dies, dass sie strategischer denn je vorgehen müssen, wenn sie ihren Sicherheitsstatus verbessern wollen. Es bedeutet auch, dass sie sich mit vielversprechenden neuen Technologien auseinandersetzen müssen - einige davon erwähnen wir im Folgenden -, noch bevor diese sich allgemein etabliert haben. Dies umfasst sowohl die Einführung neuer Technologien als auch den Schutz neuer Geräte. Und schließlich bedeutet es, einige der Auswirkungen zu bedenken, die ein Cyberangriff auf wichtige Pfeiler unserer Gesellschaft haben könnte.

  • Cyberbedrohungen und Trends für 2020

    Von Passwort-Katastrophen bis hin zum verstärkten Krypto-Mining von Monero: Welche Cyberbedrohungen werden im Jahr 2020 auf uns zukommen? Instabilität der Darknet-Märkte: Die englischsprachigen Darknet-Märkte haben ein schwieriges Jahr hinter sich mit zahlreichen Takedowns, Exit-Scams, Verhaftungen, ungewöhnlichen Aktivitäten, bei denen Märkte an- und ausgeschaltet wurden, sowie anhaltenden DDOS-Angriffen. Diese Instabilität hat den Ruf der Darknet-Märkte geschädigt, und das wird 2020 beträchtliche Paranoia bei Cyberkriminellen auslösen, die sich wahrscheinlich nur langsam beruhigen wird. Diese Unvorhersehbarkeiten haben vielleicht keine nennenswerten sichtbaren Auswirkungen auf Endbenutzer und Unternehmen, können jedoch dazu führen, dass Märkte anderswo entstehen und die Lieferketten von Cyberkriminellen insbesondere im englischsprachigen Raum sehr durcheinanderbringen.