Gamer geraten häufig ins Visier von Cyberkriminellen. Jede Person, auf die man in einem Online-Videospiel trifft, könnte potenziell ein Cyberkrimineller sein, dem es beispielsweise darum geht, sensible Daten abzuziehen. Beim sogenannten Doxxing etwa werden personenbezogene Daten offengelegt (Personally Identifiable Information oder auch PII-Daten), meist mit wenig ehrenwerten Absichten.
Dazu kommen Belästigungen und Cybermobbing, die Übernahme von Spielerkonten, Identitätsdiebstahl, Phishing und alle möglichen anderen Formen von Datenschutzverletzungen. Was viele unterschätzen: die Risiken betreffen bei weitem nicht nur die Branche selbst.
Ein Gespräch mit Boris Cipot, Senior Sales Engineer bei Black Duck.
Wie haben Cybersicherheitsrisiken sich durch Gaming in den letzten Jahren verändert? Gibt es Zahlen?
Boris Cipot: Gaming hat sich vom simplen Szenario einzelner Spieler, beschränkt auf einen Computer, zu riesigen Online-Multiplayer-Plattformen entwickelt. Diese Plattformen werden von unterschiedlichen Foren, Spieleshops, Chatrooms und Kommunikationstools getragen und sind inzwischen zu einer riesigen weltweiten Community geworden. Man kann ohne Übertreibung sagen, dass sich das Gaming von einem gelegentlichen Zeitvertreib zu einem florierenden, vernetzten Industriezweig entwickelt hat.
Eine Branche, die auch auf viele andere Bereiche beeinflusst. Etwa die Unterhaltungsindustrie, die Kultur und Technologie und sogar den Sport. Dafür sorgen E-Sports-Wettbewerbe rund um Fußball, Basketball oder militär- oder strategiebasierte Spiele. Von dieser Entwicklung hat sowohl die Community profitiert als auch die Branche insgesamt. Fast schon naturgemäß hat das auch Cyberkriminelle angezogen. Die schiere Größe der Gaming User Base, kombiniert mit Zahlungsinformationen und persönlichen Daten, macht sie zu einem höchst attraktiven Ziel. Einige der häufigsten Bedrohungsarten sind:
Ransomware-Angriffe, von denen bereits profilierte Unternehmen wie Capcom und CD Projekt Red betroffen waren.
Der Diebstahl von Anmeldedaten, mehrheitlich durch Phishing-Angriffe, die spielbezogene Köder nutzen. Dies birgt ein besonders hohes Risiko, da Zugangsdaten für Spiele häufig auch für die Anmeldung an Unternehmenskonten verwendet werden. Kommt es zu einem Diebstahl, zeigt sich einmal mehr, wie gefährlich es ist Passwörter wiederzuverwenden.
Die Zahl der geknackten Spielerkonten ist weltweit in die Höhe geschnellt. Schätzungen gehen davon aus, dass im Jahr 2020 bereits über 10 Milliarden Zugangsdaten im Dark Web zum Verkauf angeboten wurden. Ein Report von Digital Shadows unter dem Titel „From Exposure to Takeover“ hat sich diesem alarmierenden Trend gewidmet
Das enorm gestiegene Interesse am Gaming hat die digitale Landschaft unbestreitbar umgestaltet. Und ganz unzweifelhaft gilt das auch für alle möglichen Aspekte der Cybersicherheit in dieser hoch dynamischen Branche.
Wird in der Cyber-Industrie ausreichend thematisiert, welche Risiken mit dem Gaming verbunden sind?
Boris Cipot: Das hängt natürlich stark davon ab, was man als „ausreichend“ erachtet. In den Medien bekommen Themen aus dem Bereich Gaming in aller Regel dann mehr Aufmerksamkeit, wenn etwas Gravierendes passiert ist. Sonst steht Gaming oft im Schatten von Branchen wie Fintech oder auch dem Gesundheitswesen. Das ist auf den ersten Blick durchaus nachvollziehbar: Wird ein Fintech-Konto geknackt, sind alle damit in Verbindung stehenden Finanzdaten gefährdet. Im Gesundheitswesen werden durch eine Sicherheitsverletzung potenziell sensible personenbezogene Daten offengelegt.
Bei einem Spielerkonto scheint sich das Risiko auf die Spieldaten und vielleicht noch die Kreditkarteninformationen zu beschränken. Leider geht es aber auch hier um mehr. Moderne Spielerkonten werden immer wertvoller. Vor allem, wenn sie digitale Werte wie Spieler-Skins, Waffen und andere Assets enthalten. Wenn gestohlene Vermögenswerte weiterverkauft werden, kann der ursprüngliche Besitzer Hunderte von Dollar verlieren. Zum Glück bieten viele Gaming-Anbieter zumindest eine Multi-Faktor-Authentifizierung (MFA) an, um die Konten zu schützen. Wirklich besorgniserregend wird es allerdings, wenn die gestohlenen Zugangsdaten für ein Spiel auch für sensible Plattformen wie ein Firmennetzwerk, eine Gesundheits-App oder ein Bankkonto verwendet werden.
Dann entsteht eine Bedrohungssituation, die nicht nur den jeweiligen Spieler betrifft. Dieselben Passwörtern für verschiedene Konten zu verwenden ist immer riskant. Also, ja. Aus meiner Sicht widmen wir dem Gaming-Markt in Sachen Cybersicherheit noch zu wenig Aufmerksamkeit.
Worin liegen die größten Risiken, wenn böswillige Akteure Spiele nutzen, um B2B-Unternehmen anzugreifen?
Boris Cipot: Meiner Meinung nach liegt das größte Risiko darin, dass Mitarbeitende ihre Firmengeräte oft wie private Devices behandeln – und darin, dass Administratoren das zulassen. So dürfen beispielsweise Spiele oder ähnliche Anwendungen auf Firmengeräten installiert werden. Dadurch steigt natürlich das Risiko, unwissentlich Malware oder Spyware zu installieren und Unternehmensressourcen zu gefährden. Phishing ist und bleibt einer der wichtigsten Angriffsvektoren. Cyberkriminelle haben es auf die Anmeldedaten von Spielerkonten abgesehen. Werden die dort verwendeten Passwörter zudem für Firmenkonten genutzt, ist es für Angreifer ein Leichtes, sich Zugriff zu verschaffen. Phishing-Versuche beschränken sich dabei nicht auf E-Mails, sondern werden auch auf Spieleplattformen, in Foren und sogar über Chat-Agenten im Spiel lanciert.
Auch Software auf firmeneigenen Geräten kann zum Sicherheitsrisiko werden. Insbesondere dann, wenn sie nicht richtig gewartet, gepatcht oder aktualisiert wird. Durch Schwachstellen bei Chat-Agenten oder in ähnlichen Anwendungen gelangen Angreifer vergleichsweise problemlos in das System. Aber auch Geräte im Internet der Dinge (IoT) und Gaming-Peripheriegeräte wie Kopfhörer oder Controller können aufgrund von Sicherheitslücken in ihrer Software, Firmware oder den Zugangspunkten ausgenutzt werden. Kurz gesagt: Durch die Kombination aus mangelhaften Sicherheitspraktiken und der Nutzung von spielbezogenen Tools auf Firmengeräten entstehen zahlreiche Schwachstellen, die Angreifer ausnutzen können.
Wie wird sich dieser Trend in Zukunft weiterentwickeln? Mit welchen spielbezogenen Bedrohungen sollten Unternehmen rechnen?
Boris Cipot: Man muss damit rechnen, dass der Gaming-Markt zukünftig zu einem noch bedeutsameren Bedrohungsvektor werden könnte. Zumindest, wenn er nicht das notwendige Maß an Aufmerksamkeit in Sachen Cybersicherheit bekommt. Denken Sie an die immensen Fortschritte bei der Deepfake-Technologie oder an KI-gesteuertes Social Engineering. Avatare ließen sich beispielsweise in einem Spiel benutzen, um sich als Freunde auszugeben und derart an sensible Informationen zu gelangen.
Die Integration von Zahlungsfunktionen in Spiele hat das Risiko von Cyberangriffen bereits erhöht, und es wird vermutlich weiter steigen. Mikrotransaktionen und In-Game-Käufe bieten Hackern immer mehr Möglichkeiten, Zahlungssysteme auszunutzen oder auch kompromittierte Firmenkarten zu missbrauchen. Eine reale Bedrohung ist schon jetzt die Installation von Spielen aus inoffiziellen Quellen. Dieses Risiko existiert bei gecrackten Videospielen allerdings schon seit Jahren. Benutzer, die solche Software verwenden, setzen sich der Gefahr aus, Malware oder Ransomware zu installieren, und das nicht zuletzt, wenn die Software auf Firmengeräten gelangt ist.
Dieses Problem ist schon jetzt weit verbreitet und wird uns wohl auch in Zukunft erhalten bleiben. Neben den Spielen selbst sind auch Plugins und Mods ein nicht zu unterschätzendes Risiko. Werden sie nicht ordnungsgemäß gesichert oder überprüft, verursachen sie weitere Schwachstellen. Sie sind Teil der sich ständig weiterentwickelnden Risiken, die die Gamingwelt für die Cybersicherheit mit sich bringt.
Wie können Unternehmen die Risiken aktuell und zukünftig besser in den Griff bekommen?
Boris Cipot: Für die Beschäftigten sollten Schulungen oberste Priorität haben. Regelmäßige Informationen zu den Risiken, die mit mangelnden Sicherheitspraktiken einhergehen, sind unerlässlich. Sei es die Verwendung derselben Passwörter für verschiedene Konten, die Installation nicht autorisierter Software auf Firmengeräten oder Phishing-Versuche. Nur wenn sich jede/r dieser Risiken bewusst ist, lässt sich ein Verständnis dafür entwickeln, warum welche Sicherheitsmaßnahmen in einem Unternehmen nötig sind.
Auf Unternehmensseite wiederum sind stringente Sicherheitsmaßnahmen entscheidend. Dazu zählt eine gute Passworthygiene genauso wie das Überwachen verdächtiger Aktivitäten, zum Beispiel hinsichtlich eines unbefugten Zugriffs über Gaming-Plattformen. Mitarbeitende sollten dringend angehalten werden, für Spiele oder persönliche Konten andere Passwörter zu verwenden als für ihre Firmenkonten. Zwei-Faktor-Authentifizierung ist ein weiterer wichtiger Schritt.
Eine weitere Methode ist die Netzwerksegmentierung. Um die Risiken zu senken, sollten persönliche Geräte wie Spielekonsolen, Kopfhörer und Heimcomputer nur in Netzwerken betrieben werden, die von kritischen Geschäftssystemen getrennt laufen. Darüber hinaus sollten Firmen klare Richtlinien formulieren, was auf ihren Systemen überhaupt installiert werden darf – als Teil eines umfassenden Asset Managements. Firmen sollten also unbedingt überprüfen, welche Software auf Firmengeräten installiert ist und welche privaten Geräte mit dem Unternehmensnetzwerk verbunden werden dürfen. Für das Gerätemanagement kommt man um strenge Richtlinien nicht herum. Das betrifft Beschränkungen für das Herunterladen genauso wie das Installieren nicht zugelassener Software – einschließlich von Spielen – auf Firmengeräte. Nur so lässt sich ein sicheres Umfeld gewährleisten.
