„Wir müssen das Level an Paranoia steigern“

Sherrod DeGrippo sitzt in ihrem Haus in Atlanta, im US-Bundesstaat Georgia. Im Hintergrund der Videoschalte sieht man eine alte Telefonzelle. „Mein Interesse an Computern und Kommunikation begann Anfang der 1990er, als ich eine Teenagerin war“, sagte sie. Das Münztelefon sei ein Symbol für diese Zeit, als noch über verbundene Kupferkabel kommuniziert wurde – aber analog schon langsam zu digital wurde. „Ich habe das Münztelefon letztes Weihnachten von einem befreundeten Hacker geschenkt bekommen“, sagte sie. DeGrippo ist beim Softwaregiganten Microsoft für die strategische Bedrohungsanalyse zuständig. Im Jahr 2022 wurde sie zur Cybersecurity-Frau des Jahres gewählt, sie ist eine international gefragte Expertin.

Die Bedrohungslage habe sich in den vergangenen Jahren verändert, sagte sie: „Früher zielten Angriffe mehr auf Einzelpersonen als auf Unternehmen ab.“ Ihre Daten wurden verschlüsselt und dann Lösegeld verlangt. Ein Beispiel dafür sei die Schadsoftware „Locky“, die vor rund zehn Jahren millionenfach verschickt wurde. „Die Angreifer wurden aber immer hungriger.“ Sie hätten deshalb begonnen, sich auf Unternehmen zu konzentrieren. „Denn Lösegeld wird meist in Bitcoin eingefordert, Einzelpersonen verfügen aber gar nicht über das Wissen, um Kryptozahlungen abzuwickeln – große Unternehmen schon.“

DeGrippo spricht über Ransomware, ihr Schwerpunktthema und auch laut Bundesamt für Sicherheit in der Informationstechnik (BSI) die aktuell größte Cyberbedrohung. Dabei handelt es sich um Erpressungssoftware, die zum Beispiel die eigenen Daten verschlüsselt, sodass man als Besitzer nicht mehr zugreifen kann. „Mittlerweile sind die Daten in Unternehmen oft schon in der Cloud“, sagte die Expertin. Wenn ein einzelner Computer betroffen ist, sei das also halb so schlimm. Denn die IT-Abteilung des Unternehmens könne einfach ein neues Gerät herausgeben. Aber: „Die Angreifer haben erkannt, dass ausgefallene Einzelgeräte Geschäftsprozesse nicht stören.“ Ihnen gehe es deshalb darum, die Handlungsfähigkeit eines Unternehmens insgesamt einzuschränken.