Ein mittelständischer Maschinenbauer stellt fest, dass sein neuestes Produkt wenige Wochen vor der eigenen Markteinführung in leicht abgewandelter Form bei einem ausländischen Wettbewerber auftaucht. Die Konstruktionsdaten sind nahezu identisch. Die Entwicklungskosten von zwei Jahren und mehreren Millionen Euro sind entwertet — der Vorsprung ist dahin.
Spionage zielt darauf ab, Informationen über Unternehmen, Personen oder Produkte zu sammeln, auszuwerten und für eigene Zwecke zu nutzen. Das BSI führt diese Gefährdung als G 0.14. Die Methoden reichen von hochkomplexen technischen Angriffen bis zu einfachem Shoulder Surfing an einem Geldautomaten.
Was steckt dahinter?
Spionage bezeichnet jeden systematischen Versuch, an vertrauliche Informationen zu gelangen. Die Motivation kann Wirtschaftsspionage sein (staatlich gelenkt), Konkurrenzausspähung (privatwirtschaftlich) oder persönliche Bereicherung. Die aufbereiteten Informationen verschaffen dem Angreifer Wettbewerbsvorteile, ermöglichen Erpressung oder dienen dem Nachbau geschützter Produkte.
Angriffsmethoden
- Technische Angriffe — Trojaner, Keylogger, Netzwerk-Sniffing, Man-in-the-Middle-Angriffe. Die Schadsoftware wird häufig über Spear-Phishing-E-Mails eingeschleust, die auf bestimmte Personen im Unternehmen zugeschnitten sind.
- Social Engineering — Angreifer geben sich als Lieferanten, IT-Support oder Bewerber aus, um Zugang zu Räumlichkeiten oder Informationen zu erhalten. Besonders wirkungsvoll in Kombination mit vorab gesammelter OSINT.
- Optisches Ausspähen — Mitlesen am Bildschirm (Shoulder Surfing), Fotografieren von Dokumenten, Beobachtung von PIN-Eingaben. Einfach, aber effektiv — vor allem in öffentlichen Räumen.
- Akustisches Ausspähen — Mithören von Gesprächen in Büros, Besprechungsräumen oder öffentlichen Verkehrsmitteln. Offene Bürokonzepte begünstigen diese Angriffsform.
- OSINT-Aggregation — Einzeln unverdächtige öffentliche Informationen (Stellenanzeigen, Social-Media-Posts, Handelsregistereinträge) werden so kombiniert, dass sie vertrauliche Zusammenhänge offenlegen.
Schadensausmass
Der Schaden durch Spionage betrifft primär die Vertraulichkeit, kann aber erhebliche finanzielle und strategische Folgen haben: Verlust von Wettbewerbsvorteilen, Entwertung von Forschungsinvestitionen, Reputationsschäden und — bei personenbezogenen Daten — regulatorische Konsequenzen. Spionageangriffe bleiben häufig über Monate oder Jahre unentdeckt, weil die Angreifer darauf achten, ihre Spuren zu verwischen.
Praxisbeispiele
Spear-Phishing gegen die Forschungsabteilung. Ein Angreifer analysiert LinkedIn-Profile von Ingenieuren eines Technologiekonzerns und identifiziert ein laufendes Forschungsprojekt. Er verschickt eine täuschend echte E-Mail, die sich auf eine echte Fachkonferenz bezieht, mit einem präparierten PDF im Anhang. Der Keylogger, der sich so installiert, zeichnet wochenlang Zugangsdaten und vertrauliche Korrespondenz auf.
Gesprächsmitschnitt im Besprechungsraum. Ein externer Dienstleister, der regelmäßig Wartungsarbeiten im Gebäude durchführt, platziert ein miniaturisiertes Aufnahmegerät in einem Besprechungsraum der Geschäftsführung. Strategische Entscheidungen, Übernahmeplanungen und Finanzdaten werden über Wochen mitgeschnitten und an einen Wettbewerber weitergeleitet.
OSINT-Aggregation aus öffentlichen Quellen. Ein Wettbewerber wertet systematisch Stellenausschreibungen, Patentanmeldungen und Konferenzbeiträge eines Unternehmens aus. Aus der Kombination dieser Quellen rekonstruiert er die technologische Roadmap, die geplanten Markteintrittsstrategien und sogar interne Organisationsstrukturen — ohne je ein System zu kompromittieren.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 47 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.5.14 — Informationsübertragung: Regeln für die sichere Übertragung von Informationen über alle Kanäle.
- A.6.3 — Informationssicherheitsbewusstsein: Sensibilisierung für Social-Engineering-Angriffe und Informationsschutz im Alltag.
- A.7.6 — Arbeit in Sicherheitszonen: Zugangsregeln und Verhaltensrichtlinien für sensible Bereiche.
- A.8.3 — Einschränkung des Informationszugriffs: Need-to-Know-Prinzip begrenzt den Personenkreis mit Zugang zu vertraulichen Daten.
- A.8.12 — Verhinderung von Datenlecks: Technische Maßnahmen (DLP) erkennen und verhindern den unkontrollierten Abfluss vertraulicher Daten.
Erkennung:
- A.8.15 — Protokollierung: Aufzeichnung von Zugriffen auf vertrauliche Informationen ermöglicht die nachträgliche Analyse.
- A.8.16 — Überwachungsaktivitäten: Aktives Monitoring erkennt ungewöhnliche Zugriffsmuster und Datenabflüsse.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Dokumentierte Reaktionspläne für den Verdachtsfall auf Spionage.
- A.5.25 — Bewertung und Entscheidung über Informationssicherheitsereignisse: Strukturierte Triage für Hinweise auf Informationsabfluss.
BSI IT-Grundschutz
G 0.14 verknüpft der BSI-Grundschutzkatalog mit einer Vielzahl von Bausteinen, darunter:
- DER.2.3 (Bereinigung weitreichender Sicherheitsvorfälle) — Anforderungen an die Aufarbeitung schwerwiegender Vorfälle, zu denen Spionage regelmäßig gehört.
- ORP.1 (Organisation) — Organisatorische Grundlagen: Rollen, Verantwortlichkeiten und Informationsklassifizierung.
- INF.7 (Büroarbeitsplatz) — Sicherheitsanforderungen an Büroräume, die das optische und akustische Ausspähen erschweren.
- CON.7 (Informationssicherheit auf Reisen) — Schutzmaßnahmen für mobile Arbeit und Geschäftsreisen.
Quellen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.14 — Originalbeschreibung der elementaren Gefährdung
- BSI: Wirtschaftsschutz — Informationen zum Schutz vor Wirtschaftsspionage
- ISO/IEC 27002:2022 Abschnitt 8.12 — Umsetzungshinweise zur Verhinderung von Datenlecks