Methoden der Industriespionage

Bedeutung von Unternehmensinformationen

Zu Beginn dieses Abschnittes soll zunächst die Wichtigkeit von Unternehmensinformationen aufgezeigt werden. Diese sind für das Unternehmen ein großer Erfolgsfaktor, da durch das vorhandene Wissen jederzeit neues Wissen generiert werden kann, wodurch sich das jeweilige Unternehmen von den Konkurrenten absetzen kann. Dabei ist es wichtig explizites und implizites Wissen zu unterscheiden. Unter explizites Wissen wird alles, was schriftlich, verbal bzw. in irgendeiner Form materiell transportiert werden kann, verstanden. Im Gegensatz dazu wird unter implizites Wissen explizites Wissen verstanden, dass durch Kreativität, einen intellektuellen Akt oder durch praktische Erfahrungen umgewandelt wird und dadurch zur Lösung von Aufgaben geeignet ist. Ein Beispiel für implizites Wissen ist, dass ein Mitarbeiter sein explizites Wissen in der Praxis anwendet und dadurch neue Ergebnisse erzielt, die nicht fassbar sind, sondern nur in dem Gehirn des Mitarbeiters vorhanden sind.

Die Industriespionage versucht beide Wissensarten zu erlangen. Dabei werden verschiedene Methoden angewandt, die in den folgenden Kapiteln vorgestellt werden sollen. [1, S. 65ff.]

Formen und Methoden der Industriespionage

Für viele Unternehmen ist das Thema Industriespionage viel zu weit weg und somit nicht von Relevanz. Jedoch sehen dies Konkurrenten anders, sodass die Ausspähung von Daten zur täglichen Praxis gehört. Dabei gibt es viele Formen und Methoden des Informationsabflusses, wobei dies auch ohne kriminelle Machenschaften erfolgen kann. So ist die Zahl der Wettbewerbsdelikte laut der Polizeilichen Kriminalstatistik (PKS) von 2003 bis 2007 kontinuierlich angestiegen. [2, S. 79f.] Nachfolgend soll nun genauer Human Source Intelligence (HUMINT) betrachtet werden. Hierbei geht es um die Informationsgewinnung mithilfe des Menschen. Danach soll der Bereich TECHINT weiter erläutert werden, bei dem Informationen durch den Einsatz von technischen Mitteln gewonnen werden sollen.

HUMINT

Als größtes Risiko für das Unternehmen, Opfer von Industriespionage zu werden, gilt der Mensch. So hat ein Mitarbeiter in der Regel einen Vollzugriff auf alle Informationen und genießt ebenso vollstes Vertrauen. So hilft auch die beste Firewall nicht, wenn der Täter sich im Inneren des Unternehmens befindet. Hierbei sind die Täter nicht nur die eigenen Mitarbeiter, sondern auch externe wie zum Beispiel Putzkräfte oder Lieferanten. Eine weitere Methode, um an Informationen zu gelangen, sind Mitarbeiter, die leichtfertig Daten öffentlich publizieren. Die dritte Methode ist das Social Engineering (Human Based), wobei versucht wird, durch geschickte Interaktionen mit Mitarbeitern, Informationen zu erlangen. [2]

Dabei sind die Mitarbeiter als Informationsträger zu verstehen. Sie sind für das Unternehmen sehr wertvoll, da der größte Teil des Unternehmenswissens in den Gehirnen der Mitarbeiter ist. So ist laut einer Studie der Delphigroup ca. 42% des Wissens bei den Mitarbeitern selbst. [1, S. 70f.] Dies soll verdeutlichen, wie schnell durch den Menschen Informationen an andere Unternehmen verloren werden können. Nachfolgend sollen die einzelnen Methoden der HUMINT näher erläutert werden.

Interne Täter

Opfer von Industriespionage zu werden, ist besonders gefährlich bei den eigenen Mitarbeitern. Als "eigene Mitarbeiter" sind dabei sowohl interne Mitarbeiter gemeint, die direkt bei dem Unternehmen angestellt sind, aber auch externe Mitarbeiter wie zum Beispiel das Reinigungspersonal oder der Hausmeister.

Dabei genießen die internen Mitarbeiter ein sehr hohes Ansehen im Unternehmen und es wird ihnen auch ohne Einschränkungen vertraut. So würde es Ihnen sehr leicht fallen einen Keylogger einzuschleusen. Denn hat ein Datendieb erst einmal physischen Zugang zu einer Firma, so ist praktisch alles möglich. Aber auch die externen Mitarbeiter, wie der Hausmeister, verdienen oft wenig Geld, aber arbeiten dafür sehr hart. Daher ist auch diese Gruppe der Mitarbeiter sehr gefährdet für Abwerbungen.

Ein Mitarbeiter kann entweder eigenaktiv handeln oder er wird angeworben, Daten zu stehlen. Handelt er eigenaktiv, so will er in der Regel dadurch Profit schlagen. Die Gründe dafür sind oft finanzieller Bedarf, Verärgerung oder Wut. Sollten es die beiden letzten Gründe sein, hat der Mitarbeiter seine innere Kündigung schon vollzogen und der Verlust von Informationen ist vorprogrammiert. Wird der Mitarbeiter angeworben, so geschieht dies durch Außenstehende, die Interesse an den Informationen haben und versuchen eine Schwachstelle bei einem Mitarbeiter zu finden.Ein Industriespion versucht das schwächste Glied im Unternehmen zu finden. Dies wäre beispielsweise jemand mit Schulden etc.

Aus diesen Aspekten lässt sich schließen, dass interne Täter eine sehr große Gefahr sind, da sie auch nur schwer erkannt werden können. Denn theoretisch könnte jeder im Unternehmen kriminell tätig werden, auch vertrauenswürdige oder engagierte Mitarbeiter. So gibt es ebenso interne Täter, die sich bewusst in ein Unternehmen einschleichen, um an Informationen zu gelangen. Diese bewerben sich meistens initiativ und haben den perfekten Lebenslauf, der auch oft nicht weiter vom Unternehmen überprüft wird, bspw. durch Background-Checks oder Ähnliches. Werden diese eingestellt, so kann sich der Spion ungehindert in Firmen-Netzwerke einschleusen. Wie man sich von dieser Art der Industriespionage schützen kann, soll in dem Kapitel Prävention weiter erläutert werden. [2, S. 82-85]

Angeberei/Leichtfertigkeit

Ein weiteres Risiko, Opfer von Industriespionage zu werden, sind Personen wie "Herr Wichtig" oder "Herr Leichtsinnig". Ersteres sind Personen, die beispielsweise lautstark im Zug telefonieren und dabei heikle Informationen, wie sensible Daten, Namen, etc., von sich geben. Die andere Kategorie sind Personen, die sehr leichtsinnig handeln und zum Beispiel einen Laptop offen und frei einsehbar in der Öffentlichkeit platzieren. Dadurch kann der Spion gezielt Informationen sammeln und viel über die Person bzw. das Unternehmen erfahren. Dabei gibt es eine Vielzahl von Möglichkeiten, wie durch Leichtsinn Informationen abfließen können. Dazu gehört auch, Dokumente offen auf den Schreibtisch liegen zu lassen, sodass jederzeit diese eingesehen werden können.

Das größte Problem ist bei diesen Mitarbeitern die Arglosigkeit und das fehlende Bewusstsein. Denn in der Regel handeln die Mitarbeiter nicht böswillig. Um dies zu verringern, kann das Unternehmen ein ganzheitliches Informationsschutzkonzept einführen, wie zum Beispiel eine Clean-Desk-Policy, bei dem der Schreibtisch vor Verlassen des Unternehmens frei von Dokumenten sein muss. Dabei ist auch die IT gefährdet, da jeder Mitarbeiter freien Zugang ins Internet hat und sich durch den Download von Dateien Trojaner einnisten könnten. Dies könnte eingedämmt werden durch ein Verbot von privaten Downloads.

Dabei denken die meisten der Mitarbeiter nicht an Kriminalität und Spionage. Durch Sensibilisierung dieser kann schon eine deutlich höhere Sicherheit der Informationen erreicht werden. [2, S. 85-88]

Wechsel von Mitarbeitern

Der häufigste Verlust von Informationen an andere Unternehmen geschieht durch den Wechsel von Mitarbeitern. Diese nehmen zum Teil ganze Datenbanken, Aufzeichnungen, Beschreibungen von Produkten und vieles mehr mit. Dabei haben die meisten dieser Mitarbeiter den Wechsel schon vorher lange geplant und versuchen dem Noch-Arbeitgeber bis zum Wechsel zu schaden. Gerade in wirtschaftlich schlechten Zeiten steigt das Risiko der Kriminalität, da diese schlechte Situation gerne von Headhuntern zur Abwerbung von (interessanten) Mitarbeiten genutzt wird. So können durch Xing.de oder Monster.de viele Informationen über Personen gefunden und es kann auch direkt die Wechselwilligkeit festgestellt werden. Auch ist es möglich durch Sekretariate die direkte Durchwahl zu einem interessanten Mitarbeiter zu erfahren oder bestenfalls sogar die Handynummer.

Ist der Mitarbeiter erstmal abgeworben, so bringt er nicht nur das Wissen in das neue Unternehmen mit, sondern unter Umständen auch noch Schwachstellen des vorherigen Unternehmens. [2, S. 89-91]

Social Engineering (Human Based)

Die Methode "Social Engineering" soll eine Person durch psychologische Tricks manipulieren, ohne dass diese etwas davon bemerkt. In diesem Abschnitt soll vom Social Engineering der Human Based-Ansatz genauer betrachtet werden. Hierbei erfolgt eine Informationsbeschaffung ohne den Einsatz von technischen Hilfsmitteln. Ein Beispiel wäre, dass ein Spion sich für einen Mitarbeiter in der IT-Abteilung ausgibt, um persönlich oder auch telefonisch an Daten zu kommen. Der Angriff erfolgt dabei in drei Phasen. In Phase eins erfolgt eine gezielte Informationsrecherche, in Phase zwei wird versucht sich Zutritt und Zugang zu verschaffen und in Phase drei findet der Informationsdiebstahl statt. Diese drei Phasen sollen folgend genauer beschrieben werden.

In der ersten Phase sollen gezielte Antworten auf Fragen gefunden werden, wie zum Beispiel "Wie funktioniert das Unternehmen?" oder "Wer sind wichtige Personen?". Die beste Quelle, um an diese Informationen zu kommen, ist das Internet. Dort können die Namen von Mitarbeitern und deren Positionen oder auch Stellenausschreibungen gefunden werden. Wurden die Namen der Mitarbeiter erst einmal herausgefunden, so kann auch in Foren nach Informationen von diesen Personen bzw. dem Unternehmen gesucht werden. Nachdem die Antworten gefunden wurden, so kann der Spion die Zielperson kontaktieren und das Vertrauen gewinnen. Eine Studie von McAffee hat festgestellt, dass auf Onlineplattformen (wie z.B. Xing.de) dieselben Passwörter wie auf der Arbeit verwendet werden. So könnten Spione beispielsweise auf Xing.de Vertrauen aufbauen und so wichtige Daten des Unternehmens erlangen.

Mit den Informationen aus Phase eins gelangen wir nun in die Phase zwei. Der Spion versucht hier ins Unternehmen einzudringen etwa beim Tag der offenen Tür oder er gibt sich als potenzieller Kunde bzw. Servicetechniker aus. So wurden beispielsweise in einem Unternehmen, chinesische Studenten als Praktikanten eingeschleust, um Informationen zu erlangen. Auch kann sich der Spion als Mitarbeiter ausgeben und eine Putzkraft nach Feierabend durch sehr autoritäres Auftreten um Einlass bitten. Sind die Spione nun erstmal im Unternehmen drin, so beginnt die Phase drei des Social Engineering.

Dabei werden materielle und immaterielle Gegenstände entwendet, durch das Betreten von unverschlossenen Büros oder Archivräumen. Der Eindringling durchwühlt dort Schreibtische, Ablagen und Schränke. Aber auch entwendet er Laptops, externe Festplatten, Handys oder komplette stationäre Rechner, falls das vorherige Durchforsten der Räume keine Ergebnisse liefern konnte. Diese Geräte werden nach Daten durchsucht, um auf Netzwerke zugreifen zu können. Im besten Fall können die Geräte nach dem Informationsdiebstahl zurückgebracht werden, ohne dass der Besitzer etwas bemerkt hat.

Verlief ein solcher Angriff erfolgreich, so kann der Spion noch das Social Enginnering Tool-Based anwenden. Dazu gehören beispielsweise das Kopieren der Dateien auf einen USB-Stick oder das Einschleusen von Trojanern oder Keyloggern. Durch dieses Verfahren soll deutlich werden, wie einfach und unerwartet ein Angriff auf ein Unternehmen erfolgen kann. In dem Kapitel Prävention soll dabei auch unter anderem erläutert werden, wie ein Unternehmen sich vor dieser perfiden Methode schützen kann. [3]

Technical Intelligence (TECHINT)

Ein weiteres Thema ist Technical Intelligence, auch "TECHINT" genannt. "TECHINT" beinhaltet alle Betrachtungsweisen von Spionageaktivitäten, die technische Hilfsmittel benutzen.In den letzten Jahren hat "TECHINT" stark an Bedeutung gewonnen aufgrund der stetigen Weiterentwicklung von Technologien. Dies wird sich auch in den nächsten Jahren fortsetzen. Aufgrund des hohen Marktangebots von Überwachungssystemen zu einem geringen Preis können sich auch private Unternehmen diese leisten. Man kann heutzutage nicht mehr davon ausgehen, dass nur Nachrichtendienste sich diese leistungsstarken Überwachungssysteme leisten können. Aber auch das beste Überwachungssystem muss von Menschenhand installiert werden. Hier bildet sich die Schnittstelle von den Bereichen HUMINT und TECHINT. Weiterführend soll auf ein paar der gängigen Hilfsmittel zum Spionieren kurz eingegangen werden.

Signals Intelligence (SIGINT)

Der Begriff Signals Intelligence, auch "SIGINT" genannt, beinhaltet das Ausspähen anhand von elektronischen Signalen. Der wichtigste Teil von "SIGINT" ist "COMINT", das Abfangen von Kommunikationssignalen. Darunter versteht man das Mitlesen von E-Mails und Faxen, die Gewinnung von Informationen durch Mithören von Telefongesprächen und Videokonferenzen und viel Weiteres. Dies waren nur ein paar Beispiele was "COMINT" behandelt und worauf "SIGINT" aufbaut.

Wie schon im vorherigen Kapitel erwähnt, kommt man heutzutage leicht an Hilfsmittel, die man zum Abhören benötigt. Nach wenigen Klicks im Internet und den richtigen Begriffen in Suchmaschinen werden einem schnell die richtigen Seiten zum Erwerb von Spionagetechnologien angezeigt. Für den privaten Gebrauch bekommt man zum Beispiel Wanzen zum Abhören von Telefongesprächen. Diese liegen in einer Preisspanne von 300 Euro bis 800 Euro. Natürlich sind wie bei allen Sachen, die man käuflich erwerben kann, nach oben hin keine Grenzen gesetzt, aber in diesem Beispiel wird eine Wanze von 300 Euro bis 800 Euro behandelt. [4]

Um so eine Wanze zum Abhören von Telefongesprächen zu installieren, wird wieder eine Person benötigt. Hier zeigt sich erneut, wie dicht die Bereiche "HUMINT" und "TECHINT" zusammenhängen. Zum Mithören oder Aufzeichnen eines Gesprächs kann sich der Abhörende 500 Meter von der Wanze entfernen. Somit muss der Abhörende sich nicht in der direkten Nähe vom Abzuhörenden aufhalten und kann aus der "Deckung" operieren. Was natürlich nicht bedeutet, dass es sich um eine sichere Methode handelt. Es kann immer sein, dass solch eine Wanze entdeckt wird. Ob diese nun bewusst gesucht wird durch Unternehmen, die sich auf das Aufspüren von Wanzen oder anderen Spionagetechnologien spezialisiert haben oder einfach durch Zufall. Dies war nur ein kleines Beispiel von einer Wanze, die im Internet schnell zu finden und einfach zu erwerben ist. Man kann also stark davon ausgehen, dass Nachrichtendienste wesentlich bessere Technologien besitzen, die nicht auf dem Markt erhältlich sind oder einfach noch nicht an die Öffentlichkeit gelangt sind.

Imagery Intelligence (IMINT)

Unter dem Begriff der Imagery Intelligence versteht man das Auswerten von Bildinformationen, ohne dies direkt einzugrenzen. Es können alle Arten von Bildinformationen dazugezählt werden, von Fotoaufnahmen mit Kameras bis zu Satellitenbildern. Ein Unternehmen, was davon betroffen war, ist das bekannte Unternehmen VW. Hier wurde auf deren Teststrecke in Ehra-Lessien eine verstecke Kamera entdeckt, die dazu dienen sollte, Informationen zu den neuen VW-Modellen zu erlangen. Laut Handelsblatt verursachte auch ein weiterer Fall bei VW einen Gewinnverlust von einem dreistelligen Millionenbetrag. Hierbei handelte es sich um eine Kamera mit Funksender.

Measurement and Signature Intelligence (MASINT)

"MASINT" beschäftigt sich mit den sekundären Eigenschaften des Spionagezieles, um so an die primären Eigenschaften des Spionagezieles heranzukommen. Damit man aus den sekundären Eigenschaften die primären Eigenschaften folgern kann, gibt es verschiedene Methoden. Zum einen können Objekte vermessen werden, mit der Hilfe von Lasern (LASINT) oder auch Radaren (RASINT). MASINT beinhaltet auch noch weitere Methoden, wie akustische Sensoren zur Analyse der Geräuschentwicklung (ACINT) oder auch das Speichern von elektromagnetischen Feldern (RFINT). Aus diesen gespeicherten Daten lassen sich Vergleiche und Statistiken aus vergangenen Informationen erstellen. So können Konkurrenzprodukte ausgewertet und zum eigenen Vorteil verbessert werden.

Laser Intelligence (LASINT)

Laser Intelligence wird häufig zum Mithören in Gebäuden eingesetzt. Durch die Geräuschentwicklung bei Gesprächen, beginnen Glasscheiben zu schwingen. Die Schwingungen können mit einem Laser abgetastet und anschließend wieder zu dem Gespräch rekonstruiert werden. Ein Manko dieser Technik ist, dass sie ständigen Sichtkontakt zur Scheibe braucht. Da man solche Systeme schon für unter 10.000 Euro erwerben kann, wird diese Technik trotzdem häufig angewendet.

Radar Intelligence (RADINT)

Dieser Bereich wird nur kurz angeschnitten, da es sich nicht um eine Technologie für die für uns wichtige Industriespionage handelt. Diese Technologie wird häufig von Staaten angewandt. Ein Beispiel dafür wäre der Satellit "Lacrosse". Dieser Spionage- bzw. Aufklärungssatellit dient dazu militärisches Geschehen auszuspionieren oder feindliche Kommunikation mitzulesen.

RFINT

Über RFINT kann nur wenig gefunden werden. So steht lediglich bei Meissinger, dass es zum Auffangen von elektromagnetischen Feldern dient, die dann ausgewertet werden.

"Es ist seit der Entdeckung des Bell Konsortiums (heute AT&T) und des Militärs der Vereinigten Staaten von Amerika während des Zweiten Weltkriegs im Zuge der technologischen Entwicklung nicht nur Geheimdiensten, Militärs, Polizei, Behörden, etc, möglich via elektromagnetischer Strahlung bzw Abstrahlung die Bildschirme, Tastatureingaben, entsprechend Maus- oder Fingerbewegungen und natürlich Telekommunikation via elektronischer Geräte wie Computer, Mobilcomputer ("Smartphones", "Tablets", "Handy", etc, pp) auszuspionieren, sondern es haben sich ganze Industriezweige gebildet die diese Technologie auf dem "freien Markt" verkaufen. Des Weiteren ist es u.a. seit Jahrzehnten möglich und Praxis Personen hinter Wänden zu lokalisieren ("durch Wände zu sehen", Through-The-Wall Imaging, etc) und durch Boden und Gebäude durchdringenden Radar ("ground-penetrating radar", GPR) kilometertief selbst unter die Oberfläche von Planeten blicken (in der zivilen Raumfahrt wird dies seit langem offen und für jeden nachprüfbar betrieben)." [5]

Computer Intelligence (COMPINT)

Computer Intelligence, auch "COMPINT" genannt, bedeutet Daten und Informationen aus Computernetzwerken zu bekommen. Dies kann durch eingeschleuste Mitarbeiter in das auszuspionierende Objekt erfolgen, durch Abfangen von elektromagnetischen Wellen oder auch einfach durch Ausspähen aus dem Internet. Computer Intelligence kann man nicht genau einem der vorherigen Begriffe zuordnen. Es benötigt, wie in den Beispielen erkennbar, die HUMINT sowie die TECHINT um zu existieren.

Dadurch, dass die Informationstechnik immer mehr an Einfluss gewinnt und fast alles nur noch mittels IT-Systemen abläuft, ist es hier für Unbefugte ein Leichtes, Lücken in den vermeintlich sicheren Computersystemen von Unternehmen zu finden. Dieses kleine Beispiel soll zeigen, wie einfach es einem deutsch-israelischen Programmierer 2005 gelang, über 60 Unternehmen auszuspionieren. Unter den betroffenen Unternehmen waren auch VW und BMW. Durch das einfache Verschicken von CDs und E-Mails mit Werbeinhalten wurde die Spionagesoftware in die Unternehmen geschleust und beim Öffnen oder Auslesen installiert.

Dieses Beispiel zeigt, wie einfach es in der heutigen Welt geworden ist, sich fremde Daten zu beschaffen, ohne dass das angegriffene Unternehmen dies direkt bemerkt.

Auch die Anwendung von WLAN und Bluetooth macht das Arbeiten einfacher und flexibler. Eine Studie aus München zeigt, dass die Hälfte aller WLANs ungenügend gesichert wurde. Wenn man diese Studie auf ganz Deutschland erweitert bzw. simuliert, würde man keine großen Abweichungen feststellen. Bluetooth wurde jahrelang als sehr sicher angesehen aufgrund der Tatsache, dass der Sender und der Empfänger einen geringen Abstand zueinander benötigen. Dadurch fühlten sich die Kommunikationspartner sicher. Aber in den letzten Jahren kann man diese Bluetooth-Kanäle mitlesen. Diese Technik nennt sich Bluesniping. Bluesniping ermöglicht es einem Angreifer, aus über einem Kilometer Entfernung zum Bluetooth-Kanal die Daten mitzulesen. Die Anschaffungskosten, um Bluesniping zu betreiben, liegen nur bei wenigen hundert Euros.

Durch diese Methode ist es auch einfacher geworden, Mobiltelefone von Mitarbeitern auszulesen. Meist befinden sich auf deren geschäftlich genutzten Mobiltelefonen wichtige Daten von und über das Unternehmen, wie Terminkalender, Notizen oder wichtige Telefonnummern von Mitarbeiten.

Weitere Möglichkeiten, um einem Unternehmen zu schaden, ist das Social Engineering. Bei dieser Methode werden menschliche Schwächen genutzt, um sich unerlaubt Zutritt zu verschaffen. Ein Beispiel: Jemand gibt sich als Administrator des Unternehmens aus und beschafft sich als scheinbare Autorität die Benutzernamen und Kennwörter von Mitarbeitern. Auf diese Weise erhält er Zugang zum Unternehmen. Umgekehrt kann sich ein Außenstehender als Mitarbeiter ausgeben. Gibt er nun vor, sein Passwort vergessen zu haben, kann es sein, dass er durch fälschliches Vertrauen Zugangsdaten erlangt.
COMPINT ist ein umfangreiches Einsatzgebiet, das auch in Zukunft bei der Industriespionage von Bedeutung sein wird.

[1, S. 76-91]

---

Quellen

[1] J. Meissinger, Gefahren und Bedrohungen durch Wirtschafts- und Industriespionage in Deutschland, Hamburg: Dr. Kovac, 2006.

[2] C. Schaaf, Industriespionage: Der große Angriff auf den Mittelstand, Boorberg, 2009.

[3] A. Schnitzer und M. Hochenrieder, "Anatomie eines Industriespionage-Angriffs (I)," IT Sicherheit & Datenschutz, pp. 927-930, 30 11 2007.

[4] http://spion-laden.de/

[5] https://www.radio-utopie.de/2014/07/20/spionage-und-informationskontrolle-der-technologische-quantensprung-in-1943/

[6] http://ea-gorleben.nadir.org/?q=node/39

[7] http://de.wikipedia.org/wiki/Elektronische_Aufkl%C3%A4rung#Erfassung_von_Radarsystemen

[8] http://de.wikipedia.org/w/index.php?title=Spionagesatellit&redirect=no