Serie Ventures Almanach : Fallensteller aus Wien

Ist von Hackerangriffen die Rede, denken Firmenchefs eher nicht an ihr eigenes Unternehmen oder an die eigene IT-Infrastruktur, sondern an Hollywood und Serien wie „Mr. Robot“. Dabei ist die Gefahr einer solchen Attacke mindestens so real wie ein Besuch vom Finanzamt oder ein versuchter Einbruch auf das Firmengelände am Wochenende. Avi Kravitz weiß, wovon er spricht: Er beschäftigt sich seit vielen Jahren mit der Abwehr von Wirtschaftsspionage und mit der Sicherung heikler IT-Systeme. Eine Arbeit, die stets eine hohe Frustrationstoleranz erforderte: „Man ist ständig am Feuerlöschen, kann aber mit herkömmlichen Methoden die Angreifer gar nicht auf Dauer draußen halten“, erzählt Kravitz. Die Firewalls werden höher und höher, doch die kriminelle Energie der Attacken ist noch höher – es ist ein ewiges Hinterherhetzen. Bis Hacker überhaupt entdeckt werden, kann es Monate dauern, und dann ist der Schaden möglicherweise längst geschehen.

Um wirklich etwas aktiv und langfristig für die Abwehr tun zu können, müssten laut Kravitz drei Fragen beantwortet werden: Wie kann ich Angriffe rasch identifizieren? Was wollen die Angreifer eigentlich von mir? Und wer sind die Auftraggeber hinter den Akteuren, was ist das Motiv? Antworten auf diese Fragen können die üblichen Abwehrmaßnahmen aber kaum liefern, daher kam Kravitz auf die Idee, ein neues System zu schaffen: Dabei werden in der IT-Infrastruktur Köder ausgelegt, also falsche Informationen platziert. Die Hacker werden von diesen in eine Scheinwelt umgeleitet, in die namensgebende „Cybertrap“. Dort können sie dann machen, was sie wollen, ohne echten Schaden anzurichten. „Und wir sehen wie bei einer Glasbox zu, was sie tun“, sagt Kravitz, der sich als sogenannter Whitehat-Hacker – also als „guter“ Hacker – einen Ruf in der Szene erworben hat. Sein System ermöglicht also zunächst die rasche Erkennung, wenn jemand einen Angriff durchführt. Und mittels der Beobachtung des Treibens in der aufgestellten Cyberfalle können auch die weiteren Fragen beantwortet werden: Was wollen die Hacker wirklich, wer zieht im Hintergrund die Fäden? Das geschieht mit Dokumenten, die mit markierten Geldscheinen vergleichbar sind: Werden sie geöffnet, können Informationen über die Hacker und ihre Auftraggeber eingeholt werden. Und je mehr solcher Beobachtungen und Details bekannt sind, desto sensibler werden die Fallen, desto ausgeklügelter wird das System.

Auf Basis dieser Technologie wurde 2015 das Start-up CyberTrap mit Sitz in Wien als Tochterunternehmen des Security-Beraters SEC Technologies gegründet – dort hatte Kravitz die Grundlagen der Technologie zunächst entwickelt. Als Geschäftsführer fungiert heute Jack Wagner, der kein Unbekannter in der Gründerszene ist: Er war unter anderem beim Inkubator stage1 an Bord und will das dort gewonnene Wissen nun einbringen. „Der Hintergrund unseres Geschäftsmodells: Die herkömmliche Prävention versagt, es ist ein neues Paradigma in der Abwehr von Cyberattacken nötig“, erklärt Wagner, der vor kurzem gemeinsam mit Kravitz einige Wochen im Silicon Valley Kontakte knüpfte und die Entwicklung von CyberTrap vorstellte. Das Interesse an dieser „Deception Technology“, deren Marktvolumen sich Schätzungen zufolge in den nächsten vier Jahren weltweit auf zwei Milliarden Dollar verdoppeln wird, ist in den USA schon größer als in Europa. „Das liegt auch daran, dass Entscheidungen in den Firmen rascher getroffen werden und das Wissen um die möglichen Auswirkungen solcher Attacken höher ist“, berichtet Wagner. In Europa und im Speziellen in Österreich gehe es zunächst darum, Bewusstsein für die Gefahr zu schaffen. Das Potenzial schätzt Wagner hoch ein. „Wir haben viele Hidden Champions, die in Nischen mit ihrem speziellen Know-how erfolgreich sind. Das müssen sie schützen, aber das sollte nicht nur eine Frage der IT-Abteilung sein, sondern ein Thema für den Vorstand“, meint Wagner. Gerät das Wissen nämlich in falsche Hände, könnte das die Firma insgesamt gefährden.

<< Sicherheit war auch am 10. Industriekongress ein Thema. Hier können Sie die Podiumsdiskussion zu Sicherheitsstrategien für Unternehmen und den Vortrag von Terrorexperte Peter Neumann nachsehen. >>

Zu den Kunden, die bereits auf die CyberTrap-Technologie vertrauen, zählen große Unternehmen ebenso wie Behörden. Doch Diskretion ist bei diesem Thema mehr als nur Ehrensache, außerdem wollen die Firmen die Hacker nicht gerade dazu ermutigen, sich an den Fallen zu versuchen. „Die Logos unserer Kunden können wir eher nicht auf unsere Website stellen“, schmunzelt Wagner. Aber in der Branche hat sich die junge Firma dennoch einen Ruf erworben und weltweit gäbe es höchstens zehn Firmen, die als Konkurrenten zu bezeichnen wären. „Generell werden ja die wenigsten Fälle von Spionageattacken bekannt“, meint Kravitz. Publik werden sie höchstens dann, wenn heikle Daten veröffentlicht werden oder Strafverfolgungsbehörden darauf aufmerksam machen.

Die Implementierung des Fallensystems dauert höchstens ein Monat, CyberTrap bietet es als soge- nanntes „Software as a Service“ an, es wird also von außen betrieben. „Die Kunden werden geflogen und brauchen keinen eigenen Piloten“, erklärt Wagner. In der Monatsgebühr sind dann unter anderem re- gelmäßige Reports und im Fall der Fälle auch Ers- te-Hilfe-Maßnahmen enthalten; üblich sind Verträge über ein bis drei Jahre. „Die Hacker werden übrigens in die Cloud umgeleitet, es spielt sich also nichts im echten Firmennetz ab“, sagt Kravitz. Dabei sei jede dieser gefälschten Umgebungen einzigartig, da- her könnten die Hacker nicht erkennen, dass es sich nicht um echte Daten handelt.

CyberTrap hat derzeit 14 Mitarbeiter, dazu kommen sechs weitere in einem Forschungszentrum in St. Pölten, die an der Technologie feilen. Das nächste Ziel von Kravitz und Wagner: Eine Technologiepartnerschaft mit einem großen Unternehmen der IT-Security-Branche, möglicherweise einem aus den USA. „Das wäre ein Türöffner und würde einiges erleichtern“, sagt Wagner. Seit Ende des Vorjahres ist der Schweizer Telekom- und IT-Konzern Swisscom an Bord; die Risikokapitalsparte hat sich an CyberTrap beteiligt und bietet auch Zugang zu eigener Infrastruktur und den eigenen Vertriebskanälen“. Das zweite Ziel: „Wachstum!“, sagt Wagner, und Kravitz ergänzt: „Und die Technologie weiterentwickeln.“ Denn in der IT-Security kann es so etwas wie ein fertiges Produkt niemals geben: Auch die Hacker versuchen es schließlich mit immer ausgefalleneren Methoden.

Mehr zur heimischen Start-up-Szene finden Sie in unserem Ventures Almanach.