Cyberspione zielen auf Verwaltung - Neue Phishing-Gefahren

Manipulierte QR-Codes an Parkautomaten, Phishing mit bekannten Marken: Wie Cyberkriminelle Verbraucher erwischen und wofür sich politisch motivierte Hacker hierzulande besonders interessieren.

Cyberspione haben es in Deutschland besonders auf die öffentliche Verwaltung abgesehen. Das geht aus dem aktuellen Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) hervor. Eine nennenswerte Anzahl von Geschädigten gab es demnach auch in den Sektoren Verteidigung, Rechtspflege, öffentliche Sicherheit und Ordnung sowie Verteidigung. Das BSI geht, was die Angriffe von langfristig agierenden Hackergruppen angeht, allerdings generell von einem großen Dunkelfeld aus.

Bundesinnenminister Alexander Dobrindt (CSU) verweist darauf, dass Deutschland zuletzt hinter den USA, Indien und Japan das am vierthäufigsten durch sogenannte APT-Gruppen angegriffene Land war. APT steht für «Advanced Persistent Threat», was auf Deutsch etwa «Fortgeschrittene, andauernde Bedrohung» bedeutet. Eine APT-Gruppe ist eine gut organisierte Hackergruppe, die gezielt und längerfristig bestimmte Organisationen oder Staaten angreift.

Ransomware-Gruppen ausgeschaltet

Das Bundesamt weist in seinem Bericht, der Vorfälle zwischen dem 1. Juli 2024 und dem 30. Juni 2025 umfasst, auch auf jüngste Erfolge gegen Cyberkriminalität hin. Dazu zählten etwa internationale Strafverfolgungsmaßnahmen gegen zwei Gruppen - LockBit und Alphv - deren illegales Geschäftsmodell es war, anderen Kriminellen gegen Geld Erpressersoftware zur Verfügung zu stellen.

Gleichzeitig betont die Sicherheitsbehörde, es gebe keinen Grund zur Entwarnung. Das BSI mahnt, viele Unternehmen und Institutionen machten es Angreifern immer noch zu leicht. Dazu zählten insbesondere kleine und mittlere Unternehmen sowie Institutionen mit Bezug zur Politik, deren Web-Angriffsflächen nicht ausreichend geschützt seien. Von manchen Unternehmen würden selbst einfachste, oftmals sogar kostenlose Präventionsmaßnahmen nicht ergriffen, heißt es.

Phishing mit QR-Code und Voice-Phishing

Wer sich erfolgreich vor Attacken zur Ausspähung von Passwörtern und anderen Zugangsdaten - Phishing - schützen will, sollte folgende Hinweise des BSI beachten:

In der ersten Hälfte dieses Jahres nahmen Phishing-Websites im Namen großer Online-Händler stark zu. Hier sollen wohl bekannte Marken Vertrauenswürdigkeit suggerieren.
Im öffentlichen Raum werden zunehmend manipulierte QR-Codes platziert (Quishing). In mehreren Großstädten tauchten solche Codes den Angaben zufolge etwa als Aufkleber an Parkscheinautomaten auf. Autofahrer, die per Scan ihre Parkgebühren zahlen wollten, wurde dadurch auf täuschend echte Phishing‑Webseiten gelockt, wo sie ihre Zahlungsdaten preisgeben sollten.
Zugenommen haben nach Erkenntnissen des BSI sogenannte Vishing-Vorfälle. Dabei geben sich Cyberkriminelle am Telefon gegenüber Mitarbeitern von Firmen oder Behörden als IT‑Support oder gegenüber dem echten IT‑Support als Kollegen aus, um Zugriff auf das IT‑Netz der betroffenen Institution zu erlangen.

Hardware-Probleme

Als ein Beispiel für aktuelle Risiken durch Hardware-Schwachstellen führt der Bericht die Chipkarte eines chinesischen Herstellers an, die in Zutrittskontrollsystemen zahlreicher Unternehmen, Behörden und Hotels verbaut ist. Eine durch Forscher entdeckte Hardware‑Backdoor ermögliche das Klonen dieser Karte innerhalb weniger Minuten mittels eines universellen Schlüssels, warnt das BSI.

Software-Risiken

Zur Frage der Nutzung des Betriebssystems Windows 10 in der Bundesverwaltung sagt die BSI-Präsidentin, Claudia Plattner, noch gebe es zwar Möglichkeiten für Sicherheitsupdates. Der Wechsel zu einem neuen, zukunftsträchtigen Betriebssystem müsse aber dennoch rasch vollzogen werden. Es gebe etliche Ressorts, in denen das schon umgesetzt sei. Daneben gebe es ein paar Häuser, in denen es, «in der Mache ist» und einige Ressorts der Bundesregierung, «wo wir noch ein bisschen anschieben müssen».

Microsoft hat den kostenlosen Standardsupport für Windows 10 am 14. Oktober endgültig beendet. Mit eventuellen Sicherheitslücken bleiben die Nutzer des Betriebssystems dann allein, es sei denn, sie nutzen die Möglichkeit, gegen Gebühr für einen begrenzten Zeitraum noch Sicherheitsupdates zu erhalten.

VPN-Schwachstelle

Besonders problematisch kann es sein, wenn man sich sicher wähnt, etwa weil man über einen sogenannten Tunnel kommuniziert. Zahlreiche Unternehmen und Institutionen «im vorpolitischen Raum» seien zuletzt von Schwachstellen im Bereich von VPN-Software (VPN steht für Virtual Private Network) betroffen gewesen, berichtet Plattner. Wenn dort Schwachstellen nicht schnell genug behoben würden, könne dies zu großen Problemen führen.

Verbraucher suchen Hilfe beim BSI

Von den knapp 10.500 Anfragen von Verbraucherinnen und Verbrauchern, die binnen eines Jahres beim BSI-Service-Center eingingen, betrafen laut Bundesamt fast die Hälfte konkrete Cybersicherheitsvorfälle - am häufigsten Phishing sowie Accountmissbrauch und Identitätsdiebstahl.

Daraus, dass sich in einigen Bereichen der sogenannten kritischen Infrastruktur - dazu zählen etwa Wasserwerke, Telekommunikationsanbieter und Transportunternehmen - die Zahl der gemeldeten Cybersicherheitsvorfälle im Vergleich zum Vorjahr erhöht hat, lässt sich nach Einschätzung des BSI nicht zwingend eine erhöhte Gefährdungslage ablesen.

Immense wirtschaftliche Schäden

Der Präsident des Branchenverbands Bitkom, Ralf Wintergerst, verweist auf den Rekordschaden für die deutsche Wirtschaft von 202 Milliarden Euro binnen eines Jahres durch Cyberangriffe. Unternehmen müssten ihren technischen Schutz hochfahren und ihre Angriffsflächen vermindern. Gleichzeitig müssten politisch Verantwortliche dafür sorgen, «dass das Schutzniveau der öffentlichen Verwaltung dem der Wirtschaft nicht hinterherhinkt».