In einem Finanzunternehmen manipuliert ein Mitarbeiter die Transaktionssoftware. Die Änderung ist subtil: Bei bestimmten Überweisungen werden Cent-Beträge auf ein Drittkonto umgeleitet. Über Monate summieren sich die kleinen Beträge zu einer sechsstelligen Summe — und die Manipulation bleibt unentdeckt, weil niemand die Integrität der Software regelmäßig prüft.
Manipulation von Hard- oder Software umfasst jeden gezielten, heimlichen Eingriff mit dem Ziel, Systeme unbemerkt zu verändern. Das BSI führt diese Gefährdung als G 0.21. Die Motive reichen von Rache und Sabotage bis zur persönlichen Bereicherung.
Was steckt dahinter?
Manipulation ist der heimliche, gezielte Eingriff in ein System mit dem Ziel, sein Verhalten unbemerkt zu verändern. Das Entscheidende ist die Heimlichkeit: Der Manipulator will, dass die Änderung möglichst lange unentdeckt bleibt. Je tiefer die Kenntnisse des Täters über das System, desto subtiler und wirkungsvoller kann die Manipulation ausfallen.
Manipulationsformen
- Hardware-Manipulation — Einbau von Hardware-Keyloggern zwischen Tastatur und Rechner, Austausch von Netzwerkkomponenten durch manipulierte Versionen, Installation von Skimming-Geräten an Geldautomaten oder Kartenlesern.
- Software-Manipulation — Einschleusen von Backdoors in Anwendungen, Änderung von Konfigurationsdateien, Manipulation von Datenbank-Stored-Procedures, Installation verdeckter Remote-Access-Tools.
- Firmware-Manipulation — Veränderung der Firmware von Netzwerkgeräten, Festplatten-Controllern oder BIOS/UEFI. Besonders persistent, weil Firmware-Änderungen Betriebssystem-Neuinstallationen überleben.
- Supply-Chain-Manipulation — Eingriffe in die Lieferkette: Hardware wird vor der Auslieferung manipuliert, Software-Bibliotheken werden mit Schadcode versehen.
Schadensausmass
Manipulationen können alle drei Schutzziele betreffen. Die Auswirkungen sind umso gravierender, je später die Manipulation entdeckt wird. Eine manipulierte Buchungssoftware kann über Monate falsche Ergebnisse liefern, bevor der Fehler auffällt. Eine Backdoor in einem Server kann jahrelang unbemerkten Zugang ermöglichen. Manipulierte Industriesteuerungen können physische Schäden an Anlagen verursachen.
Praxisbeispiele
Hardware-Keylogger im Besprechungsraum. In einem Unternehmen wird im Besprechungsraum ein kleiner Hardware-Keylogger zwischen der Tastatur und dem Präsentationsrechner installiert. Jeder Mitarbeiter, der sich am Rechner anmeldet, gibt unwissentlich seine Zugangsdaten preis. Der Angreifer sammelt die Geräte regelmäßig ein und nutzt die erbeuteten Credentials, um auf vertrauliche Netzwerkbereiche zuzugreifen.
Manipulierte Datenbank-Abfrage. Ein verärgerterer Datenbankadministrator, dem gekündigt wurde, ändert kurz vor seinem letzten Arbeitstag eine Stored Procedure in der Finanzdatenbank. Die Änderung bewirkt, dass bei bestimmten Monatsabschlüssen Rundungsdifferenzen systematisch falsch verbucht werden. Der Fehler fällt erst bei der Jahresabschlussprüfung auf — Monate nach dem Ausscheiden des Mitarbeiters.
Firmware-Backdoor in Netzwerkgeräten. Ein Unternehmen kauft günstige Netzwerk-Switches über einen Zwischenhändler. Die Geräte funktionieren einwandfrei, enthalten aber eine modifizierte Firmware, die bei jeder Konfigurationsänderung eine Kopie an einen externen Server sendet. Die Backdoor wird erst entdeckt, als ein Sicherheitsaudit den ungewöhnlichen ausgehenden Datenverkehr auffällt.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 29 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.7.2 — Physische Zutrittskontrollen: Verhindern physischen Zugang zu Hardware für Unbefugte.
- A.8.2 — Privilegierte Zugriffsrechte: Beschränkung administrativer Rechte auf das notwendige Minimum.
- A.8.7 — Schutz gegen Schadsoftware: Erkennung und Blockierung manipulierter Software.
- A.8.17 — Uhrzeitsynchronisation: Korrekte Zeitstempel sind Voraussetzung für die forensische Aufarbeitung von Manipulationen.
- A.7.13 — Gerätewartung: Kontrollierte Wartungsprozesse verhindern unbefugte Eingriffe an der Hardware.
Erkennung:
- A.8.15 — Protokollierung: Lückenlose Aufzeichnung von Systemänderungen und Zugriffen.
- A.8.16 — Überwachungsaktivitäten: Integritätsüberwachung und verhaltensbasierte Analyse erkennen Anomalien.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Vorbereitete Reaktionspläne für den Fall erkannter Manipulationen.
- A.5.28 — Sammlung von Beweismaterial: Forensische Sicherung von Beweisen für strafrechtliche oder arbeitsrechtliche Verfahren.
BSI IT-Grundschutz
G 0.21 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- OPS.1.1.7 (Systemmanagement) — Anforderungen an die sichere Administration, einschließlich Vier-Augen-Prinzip und Protokollierung.
- SYS.4.3 (Eingebettete Systeme) — Schutz vor Firmware-Manipulationen an eingebetteten Systemen und IoT-Geräten.
- DER.1 (Detektion von sicherheitsrelevanten Ereignissen) — Anforderungen an die Erkennung von Manipulationen.
- CON.1 (Kryptokonzept) — Kryptographische Integritätsschutzverfahren (Signaturen, Hashes).
Quellen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.21 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 8.15 — Umsetzungshinweise zur Protokollierung
- BSI: Empfehlungen für die Detektion von Cyber-Angriffen — Hinweise zur forensischen Aufarbeitung