Modul 1 - Grundlagen & Geschichte der Cyber-Unsicherheit

Es ist der 2. November 1988

Ein nasser Mittwochabend in Cambridge, Massachusetts. In einem Gebäude des MIT laufen die Festplatten der Forschungsrechner plötzlich heiß. Was niemand ahnt: Ein 23-jähriger Doktorand der Cornell University hat ein Programm geschrieben, das sich gerade durch das halbe Internet frisst.

Robert Tappan Morris wollte eigentlich nur die Größe des Internets messen. Sein selbstreproduzierender Wurm hatte einen Bug: Er prüfte zu wenig, ob ein Rechner schon befallen war, und kopierte sich deshalb wieder und wieder auf dieselben Maschinen. Innerhalb weniger Stunden waren rund 10 Prozent aller damals mit dem Internet verbundenen Rechner unbrauchbar. Universitäten gingen offline, Unternehmen mussten ihre Backbones (also die Haupt-Verbindungsleitungen ihres Netzes) abschalten, das ARPANET der US-Regierung war handlungsunfähig.

Schadenshöhe: nach heutigen Schätzungen mehrere hundert Millionen Dollar. Morris wurde der erste Mensch, der nach dem neuen US-amerikanischen Computer Fraud and Abuse Act von 1986 verurteilt wurde. Er bekam 400 Stunden gemeinnützige Arbeit, 10.050 Dollar Strafe und drei Jahre auf Bewährung. Sein Wurm — heute als Morris-Worm bekannt — gilt als Geburtsstunde der IT-Sicherheit als eigene Disziplin.

Heute lehrt er als Professor am MIT.

Warum Banker Cyber-Geschichte kennen sollten

Viele Bank-IT-Mitarbeiter starten ihre Karriere direkt im Hier und Jetzt: DORA-Meldewege, MaRisk-Anforderungen, BAIT-Kontrollen. Das ist sinnvoll, überspringt aber drei wertvolle Erkenntnisse, die nur die Geschichte liefert:

1. Bedrohungen wiederholen sich in Wellen. Der Morris-Worm 1988 und WannaCry 2017 nutzten unterschiedliche Schwachstellen, aber dasselbe Prinzip: ungepatchte Dienste in einem flachen Netz. Wer das Muster kennt, versteht, warum Patch-Disziplin und Netzwerksegmentierung keine Detailfragen sind, sondern strategische Pflicht.

2. Jeder große Vorfall hinterlässt Regulatorik. ILOVEYOU war 2000 ein Mit-Auslöser für schärfere Anti-Spam-Gesetze. Stuxnet prägt seit 2010 die kritische Infrastruktur-Diskussion. Und WannaCry/NotPetya 2017 sind ein direkter Pate von DORA. Die Regulatorik, die du heute lernst, ist die Antwort auf gestrige Vorfälle.

3. Banken sind seit jeher Ziel - aber nicht immer das primäre. Der Bangladesh Bank Heist 2016 war ein klassischer Bank-Raub mit Cyber-Mitteln. NotPetya 2017 war eine Cyberwaffe gegen die Ukraine, die Maersk und Beiersdorf jeweils hunderte Millionen kostete — obwohl sie nie das primäre Ziel waren. Kollateralschaden ist im Cyberraum die Regel, nicht die Ausnahme.

Eine Zeitreise durch 38 Jahre Cyber-Unsicherheit

Klicke die Einträge an, um die Hintergründe zu lesen.

Drei Ereignisse, drei Lehrstunden

Aus der langen Liste oben möchten wir drei Ereignisse vertiefen, weil sie jedes für sich eine ganze Disziplin der IT-Security geprägt haben.

1988 — Morris: das Patch-Problem ist so alt wie das Internet

Morris nutzte drei Schwachstellen gleichzeitig, um sich zu verbreiten:

• einen Buffer-Overflow im fingerd-Dienst,
• eine Lücke in der Mail-Server-Software sendmail,
• und schwache Passwörter über das Remote-Befehls-Tool rsh.

Alle drei Lücken waren bekannt — aber nicht überall gepatcht. Genau dieses Muster wiederholt sich seitdem in jedem großen Vorfall:

• WannaCry 2017: ein Patch für EternalBlue war seit zwei Monaten verfügbar.
• NotPetya 2017: dieselbe Lücke.
• Equifax-Breach 2017 (147 Mio. Datensätze): Apache-Struts-Patch verfügbar seit zwei Monaten.

2010 — Stuxnet: die Mauer zwischen IT und OT war nie da

Vor Stuxnet glaubte die Welt, dass isolierte Industriesteuerungen — sogenannte air-gapped-Systeme — sicher seien. „Air-gapped” heißt: keine Netzwerkverbindung zur Außenwelt. Stuxnet zeigte aber: Kein Netzwerk ist wirklich isoliert, solange Menschen mit USB-Sticks ein- und ausgehen. Vier Zero-Day-Schwachstellen in einer einzigen Schadsoftware — bis dahin galt eine Zero-Day pro Schadprogramm als militärisch. Stuxnet war eine ganz andere Liga und gilt heute als die erste anerkannte Cyberwaffe der Geschichte.

Was bedeutet das Begriffs-Paar IT und OT? IT (Informationstechnik) ist das, was in einer Bank täglich auf den Bildschirmen läuft — Office-Anwendungen, Kernbankensysteme, Datenbanken, Online-Banking, E-Mail. OT (Operational Technology) ist hingegen die Steuerungstechnik in Fabriken, Kraftwerken und Versorgungsanlagen. OT wurde lange als „Welt für sich” betrachtet, oft mit veralteter Software, weil ein Patch eine Produktionsanlage stoppen könnte. Genau diese Lücke nutzte Stuxnet.

Für Banken bedeutet Stuxnet zwei Dinge:

• Selbst kritische Infrastruktur ist nicht unangreifbar. Wenn die iranische Anreicherungsanlage Natanz angreifbar war, dann ist es auch der SWIFT-Endpoint im Backoffice.
• APTs sind staatliche Akteure mit nahezu unbegrenzten Ressourcen. Du musst nicht jeden APT abwehren können. Du musst aber wissen, wann du es wahrscheinlich mit einem zu tun hast — und eskalieren können.

2016 - Bangladesh Bank Heist: der Banker-Klassiker mit modernem Werkzeug

Was kaum jemand weiß: Der Angriff auf die Bangladesh Bank ist eines der am genauesten dokumentierten Bank-Cybervorfälle der Geschichte - und ein hervorragendes Lehrbeispiel dafür, wie viele Schichten gleichzeitig versagen müssen, damit es zum Ernstfall kommt.

Der Ablauf, kurz:

1. Spear-Phishing an einen Mitarbeiter der Zentralbank, ein Jahr vor dem Hauptangriff. RAT wird installiert.
2. Laterale Bewegung im Bank-Netz, langsam und unauffällig. Die Angreifer studieren, wie SWIFT-Nachrichten erstellt und freigegeben werden.
3. Anpassung der SWIFT-Software auf den Endpoints, sodass auslaufende Prüfnachrichten unterdrückt werden.
4. Ausführung in der Nacht zum 4. Februar 2016, bewusst gewählt über das Wochenende der bangladeschischen Behörden hinweg, das mit dem New Yorker Wochenende überlappt: 35 Überweisungsanweisungen über insgesamt 951 Millionen US-Dollar an Konten in den Philippinen und Sri Lanka.
5. Misserfolg an dummem Detail: Eine der Empfängeradressen enthält das Wort fandation statt foundation. Eine Compliance-Prüfung der Korrespondenzbank (Deutsche Bank in New York) stoppt die Überweisung. Spätere Anweisungen werden gestoppt. 81 Millionen sind aber bereits weg, davon verschwinden 60 Millionen über Casinos in Manila.

Eine Bedrohungs-Generation pro Jahrzehnt

Wenn man die Timeline aus der Vogelperspektive betrachtet, lassen sich grobe Generationen erkennen:

• 1988-1999 - Würmer und Viren als Forschungsobjekte oder Spielereien. Schaden eher als Nebeneffekt.
• 2000-2009 - Massenphänomene mit krimineller Absicht: Spam, Phishing, Banking-Trojaner (ZeuS, SpyEye). Erste organisierte Cybercrime-Gruppen.
• 2010-2019 - Staaten betreten die Bühne (Stuxnet, Sony, NotPetya). Cyberraum wird Konfliktgebiet.
• 2020-2024 - Industrialisierung: Ransomware-as-a-Service, Lieferketten-Angriffe, professionelle “Affiliates”. Cybercrime erreicht organisatorische Reife. Bezahlt das Opfer nicht, werden gestohlene Daten veröffentlicht — die Double Extortion ist seit etwa 2020 Standard.
• 2025+ - KI-gestützte Operationen: Phishing in Muttersprache, Deepfake-Vishing, automatisches Schwachstellen-Mining. Der menschliche Faktor wird industriell ausgenutzt — etwa via CEO-Fraud.

Die fünf Lehren für den Bank-IT-Alltag

Bevor wir zum Quiz gehen, hier die fünf Lektionen, die du aus diesem Modul mitnehmen solltest:

1. Patch-Disziplin ist Risikomanagement. Die meisten großen Vorfälle nutzten Schwachstellen, für die schon Patches vorlagen.
2. Defense in Depth ist Pflicht, keine Empfehlung. Eine einzige Schutzschicht versagt immer. Du brauchst sieben - und musst prüfen, dass alle sieben funktionieren.
3. Lieferketten sind Angriffsflächen. Drittparteien-Software, externe Dienstleister, Cloud-Services - alles davon kann der Eintrittspunkt sein.
4. Der Mensch bleibt das Hauptziel. Egal wie viel Technik du verbaust: Eine überzeugende Phishing-Mail oder ein Deepfake-Anruf kann das ganze System aushebeln. Awareness-Training ist nicht Beiwerk.
5. Geschichte hilft Mustern zu erkennen. Wenn du in der nächsten Awareness-Schulung sitzt und dich fragst “Warum eigentlich?” - die Antwort liegt in dieser Timeline.