Wie man Cyberangriffe zurückverfolgt

In der Praxis ergeben sich allerdings Schwierigkeiten: Internetinfrastruktur liegt teils in verschiedenen Ländern und wird von verschiedenen Anbietern betrieben. Länderübergreifende Kooperation kann für die Aufklärung wichtig, aber bürokratisch aufwendig sein oder verweigert werden. Trotzdem muss die Spurensicherung schnell gehen, da etwa Logdateien sonst möglicherweise bereits überschrieben sind. Auch werden von vornherein nicht alle relevanten Informationen konsequent gespeichert. Dazu kommen Möglichkeiten für Hacker, digitale Datenspuren zu verwischen. Beim IP-Spoofing beispielsweise verändert der Angreifer gezielt die Teile des Datenpakets, die Aufschluss über dessen Sendeadresse geben. Über Virtual Private Networks (VPNs), das Tor-Netzwerk oder andere Methoden kann Internetverkehr umgeleitet und so der eigene Standort verschleiert werden. Gleichzeitig versuchen Angreifer teils von sich abzulenken, indem sie bewusst irreführende Hinweise platzieren. Zuordnungen sind daher in manchen Fällen eindeutiger möglich als in anderen.

Das European Repository of Cyber Incidents (EuRepoC) führt in einer Datenbank Buch über seit dem Jahr 2000 weltweit bekannt gewordene Cyberangriffe [II]. Darin ist oft auch festgehalten, wer für den jeweiligen Angriff verantwortlich gemacht wird. Der Vorgang, einen bestimmten Akteur für einen Cyberangriff verantwortlich zu machen, heißt Attribution. Es gibt verschiedene Gewissheitsgrade einer Attribution. Die Zuordnung kann etwa auf Basis eines von einem Sicherheitsunternehmen veröffentlichten technischen Berichts geschehen. Oft führt eine Kombination aus Faktoren zur Attribution eines Angriffs, zum Beispiel Muster und Vorgehen bekannter Software und Angreifergruppen. Die Sprache des Codes und der Kommentare oder die Zeiten, in denen an dem Code gearbeitet wurde, können ebenfalls Hinweise sein. Gleiches gilt für Informationen von Geheimdiensten. Kommen Attributionen aus der Politik, werden dazu nicht immer Beweise mitveröffentlicht und die Zuordnung kann oft nicht unabhängig geprüft werden – gerade, wenn nicht nur eine Gruppe, sondern ein anderer Staat für einen Angriff verantwortlich gemacht wird.

Das Science Media Center Germany hat Cybersicherheitsexperten gefragt, wie sicher Angriffe einzelnen Gruppen und Staaten zugeordnet werden können und worauf bei der Berichterstattung darüber geachtet werden sollte.