Cyber-Angriff auf Sicherheitsfirma RSA

RSA stellt Sicherheitslösungen für verschiedene Unternehmen zur Verfügung, darunter viele Finanzunternehmen. Die Firma ist Marktführer für die so genannte Zwei-Faktor-Authentifizierung. Dabei erhalten Mitarbeiter einer Firma, die sich von außerhalb ins Netzwerk einwählen wollen, einen Flash-Speicher, den so genannten Token, der alle 60 Sekunden eine neue sechsstellige Nummer generiert. Nur wenn die Nummer mit dem zeitgleich erzeugten sechsstelligen Code der RSA-Software im Firmennetzwerk übereinstimmt, erhält der Mitarbeiter Zugang zum internen Netz.

Eigenen Angaben zufolge versorgt RSA mit seinen Sicherheitslösungen 90 Prozent der so genannten Fortune-500-Unternehmen - der 500 umsatzstärksten Unternehmen der Welt.

Arthur Coviello, der Vorstandsvorsitzende von RSA, schreibt in einem offenen Brief an seine Kunden, es habe sich bei dem Einbruch um eine "extrem ausgefeilte Cyber-Attacke" gehandelt. Den Analysen nach sei es ein fortgeschrittener langanhaltender Angriff gewesen (ein so genannter "advanced persistent threat - APT). Bei derartigen Angriffen gehen die Kriminellen gezielt und strategisch vor, um bestimmte Informationen über ein Unternehmen oder eine Regierung zu erlangen. Häufig werden dabei Zero-Day-Sicherheitslücken verbreiteter Programme wie Flash oder Adobe Reader ausgenutzt, die noch nicht per Software-Update geschlossen wurden.

Coviello zufolge sind bei dem Einbruch Informationen über die Zwei-Faktor-Authentifizierung gestohlen worden. Sicherheitsexperten hoffen, dass es sich nicht um Informationen darüber handelt, wie die RSA-Token den Authentifizierungscode im Detail erstellen. In Coviellos Blog-Eintrag heißt es dazu nur, die Effizienz der Zwei-Faktor-Authentifizierung könnte durch den Einbruch beeinträchtigt worden sein.

Andere RSA-Produkte seien nicht in ähnlicher Weise betroffen. Auch gehe man davon aus, dass keine persönlichen Informationen über Kunden oder Arbeitnehmer in die Hände der Diebe gefallen seien. Kunden von RSA sollen sich im Support-Bereich darüber informieren, welche Maßnahmen sie ergreifen sollten, um die Sicherheit ihres Unternehmens nicht zu gefährden.