Im Song „France“ des Blues-Sängers und -Gitarristen Keb’ Mo’ hat der Ich-Erzähler ein Problem: Seine Frau zieht es nach Paris, für US-Amerikaner ein Sehnsuchtsort wie für Europäer New York. Doch unser Held stottert noch die Eheringe ab und sein Chef verweigert die Lohnerhöhung. Das Lied nimmt aber eine glückliche Wendung: Der Erzähler weckt seine Frau mit der Nachricht, sie müsse sich nicht grämen, er habe online zwei günstige Flugtickets aufgespürt. („Wake up, mama, don’t you fret, I found two cheap tickets on the internet.“) Es ist einer von sehr wenigen mir bekannten Blues-Titeln, in denen das Internet vorkommt. Dennoch liefert das Genre den passenden Soundtrack zur globalen Vernetzung. Das liegt an der leidigen Frage der Security.
„Klar!“, höre ich’s aus Büros und Security-Leitstellen (SOCs) schallen: Wer im Unternehmen oder – etwa zu Weihnachten – im Familienkreis für die Absicherung vernetzter Gerätschaft zuständig ist, kann schnell mal den Blues bekommen. Die Symbiose aus Security und Blues aber wurzelt tiefer.
Die Macht der Wiederholung
Die verbreitetste Blues-Variante – der Zwölftakter (Twelve-Bar Blues) – bietet Raum für drei Textzeilen: Die erste beschreibt eine Situation; die zweite wiederholt die Beschreibung, mal wörtlich, mal in Variation; die dritte löst die Situation auf oder führt die Idee weiter. Beispiel:
„If trouble was money, I swear I’d be a millionaire.
If trouble was money, babe, I swear I’d be a millionaire.
I could buy the whole world, woman, and I’d still have money to spare.“ – Albert Collins
Dieses Kernprinzip der Wiederholung sollte allen Security-Verantwortlichen bekannt vorkommen: Immer und immer wieder erinnert man die Nutzer daran, in E-Mails von Unbekannten keine Anhänge zu öffnen oder Links anzuklicken – und immer wieder kommen trotzdem die Trouble-Tickets mit der Nachricht, dass … nun ja, ahem … unerklärlicherweise plötzlich Erpressersoftware (Ransomware) die Dateien zwangsverschlüsselt.
„Die größte Sorge in den letzten zwölf Monaten bereitete mir die verstärkte Verbreitung von Ransomware-Angriffen“, sagt Rüdiger Trost, Sicherheitsexperte bei WithSecure. „Diese Angriffe sind nicht nur immer raffinierter geworden, sondern auch immer häufiger. Die Angreifer passen ihre Taktiken ständig an und fordern erhebliche Lösegelder, was nicht nur finanziell, sondern auch betrieblich äußerst problematisch sein kann.“
Dazu greifen die Bösen heute – wie alle anderen auch – gerne auf Unterstützung durch (generative) künstliche Intelligenz zurück. Laut Dietmar Hilke, Leader Security Sales Large Accounts Germany bei Cisco, sorgt dieser „Innovationssprung in der Entwicklung der künstlichen Intelligenz“ dafür, „dass Phishing […] – immer noch der Hauptangriffsvektor der IT-Kriminalität – schwerer zu erkennen ist und dadurch eine deutlich höhere Wirkung erzielen kann.“
„Ein zentraler Trend ist, dass die Quantität von Angriffen zugunsten einer zunehmenden Qualität zurückgeht“, erklärt Tommy Grosche, Country Manager Germany bei Fortinet. „Attacken sind stärker individuell auf Organisationen oder sogar Personen zugeschnitten. Dies ist den Cyberkriminellen vor allem durch den verstärkten Einsatz künstlicher Intelligenz möglich.“ Und plötzlich ist ein problemloser IT-Alltag weiter entfernt als Paris oder New York.
Schwebende Texte
Ein Happy End wie in Keb’ Mo’s zeitgenössischem Blues „France“ ist in der Blues-Tradition eher selten. Das liegt vor allem daran, dass ein traditioneller Blues meist gar keine Geschichte erzählt, die happy enden könnte. Vielmehr bedienten sich die Blues-Altvorderen aus einem riesigen Pool von Text-Versatzstücken und kombinierten sie – oft improvisiert – zu Neuem, ein „Floating Lyrics“ genanntes Prinzip („schwebende Liedtexte“ im Sinne von „allgemein verfügbare, in der Luft liegende Liedtexte“). Und so beginnen zahllose Blues-Titel mit Standardphrasen wie „I woke up this morning“, um sie in immer neuer Variation weiterzuspinnen.
Wer arbeitet noch so? Richtig: Softwareentwickler. Denn wer ein Programm schreiben will, muss nicht bei null anfangen. Man bedient sich einfach aus einem Online-Repository und tackert die Versatzstücke zum eigenen Code zusammen – voilà. Wenig überraschend: Auch die Verfasser von Malware nutzen gerne dieses Baukastenprinzip – und Cybercrime-Banden agieren längst nicht minder arbeitsteilig als legale Unternehmen. So ist es heute Usus, dass eine Gruppierung die Ransomware pflegt und gegen Provision „as a Service“ bereitstellt, während andere Banden die Angriffe durchführen. Diese Arbeitsteiligkeit steigert das Tempo der Angriffsmaschinerie ebenso wie deren Raffinesse.
„Sorge bereitet vor allem die zunehmende Geschwindigkeit, mit der Hacker mittlerweile neue Schwachstellen ‚scharf machen‘“, sagt Martin Zugec, Technical Solutions Director bei Bitdefender. Die Zeit vom Proof of Concept zum massenhaften Exploit habe sich drastisch verkürzt: „Die IT-Abwehr hat nur noch weniger als 24 Stunden für einen Patch, um eine unter Umständen drohende vollumfängliche Ransomware-Attacke abzuwehren“, so Zugec. Teuflisch! Nicht umsonst erscheint der Teufel in den „Floating Lyrics“ des Blues gerne in Menschengestalt, als „devil who walks like a man“.
Verbogene Noten
Soweit die Texte. Musikalisch verschmilzt der Blues Traditionen aus Afrika mit europäischen. Das Problem: Das „wohltemperierte Klavier“ europäischer Bauart kann viele Töne der afrikanischen Harmonien gar nicht abbilden – darunter die Blues-typischen „Blue Notes“. Nicht umsonst sind Gitarre, diatonische Mundharmonika („Blues Harp“) und Saxophon im Blues verbreitet: Mit geeigneten Techniken – auf der Gitarre etwa per Ziehen (Bending) einer Saite oder per Bottleneck-Spiel – kann der Musiker die Tonleitertöne zu Blue Notes „hinbiegen“. Auf dem Klavier, ebenfalls beliebt im Blues, schlägt man hingegen benachbarte Töne zeitgleich an, um den Ton zu „verwaschen“ – mit ähnlichem Ziel. Anders formuliert: Ein Blues-Musiker muss sein Instrument erst „hacken“, damit er es verwenden kann. Die Anfänge des Hackings verlieren sich im grauen Vorzeitnebel multiethnischer Volksmusik.
Ein populäres Phänomen aber wurde Hacking erst, seit Computer-Nerds damit Unerlaubtes treiben – und das tun sie nach wie vor mit großem Verve. So berichtet Waldemar Bergstreiser, General Manager Central Europe bei Kaspersky, nicht nur von immer mehr Schadprogrammen – „im vergangenen Jahr waren es 400.000 pro Tag“ –, sondern auch davon, dass Angriffe „immer ausgeklügelter“ ablaufen: Laut dem Kaspersky-Mann „nutzen Cyberkriminellen vermehrt intelligente Verschleierungstechniken, um Sicherheitslösungen zu umgehen. Unsere Experten haben eine Reihe von Cybersicherheitsvorfällen identifiziert, bei denen die Opfer mittels legitimer Software infiziert worden sind, die für die Verschlüsselung von Onlinekommunikation über digitale Zertifikate entwickelt wurde.“
Angriffsziel ist dabei bedenklicherweise verstärkt der Kritis-Sektor, also gesellschaftsrelevante Basisdienste: „Die seit Jahren zunehmenden, organisierten Cyberangriffe auf kritische Infrastrukturen bereitet mir große Sorgen“, sagt Swen Baumann, Head of Product Management bei NCP. Dabei gehe es nicht nur um das Ausspähen von Daten, sondern auch um das Finden von Sicherheitslücken für geplante DoS-Angriffe, also für die gezielte Überlastung der Systeme.
Klassisches Eindringen per Hacking ist aber oft gar nicht nötig, stehen doch im Darknet Massen entwendeter Login-Daten zum Verkauf. „Angreifer hacken sich immer häufiger nicht mehr in Systeme, sondern sie loggen sich ein“, sagt Sophos, Michael Veit, Technology Evangelist bei Sophos. „Unsere Untersuchungen zeigen, dass kompromittierte Zugangsdaten zunehmend als Einfallstor für Cyberkriminelle dienen.“ Dies bringe ein weiteres Problem mit sich: die „Schleichfahrt“ im Unternehmensnetz. „Alle Security-Tools der Welt werden Unternehmen nicht retten, wenn Systeminformationen nicht richtig interpretiert werden“, warnt Veit. „Wenn Cyberkriminelle legitime Tools nutzen und andere Camouflage-Taktiken nutzen, stoßen traditionelle Sicherheitssysteme an ihre Grenzen.“
Der falsche Rhythmus
Fingerschnippen, berichtet Annye C. Anderson, die Halbschwester der früh verstorbenen Blues-Legende Robert Johnson, sei im Elternhaus ihrer Jugend verboten gewesen. Denn Musik sollte auf die Kirche beschränkt bleiben, der Blues mit seinem ausgeprägten Rhythmus hingegen war als „the devil’s music“ verpönt. Blues-erfahrene Zuhörer klatschen – oder schnippen – bei diesem teuflisch groovenden Backbeat entspannt auf die 2 und 4 des 4/4-Takts. Ganz anders das deutsche Publikum: Hierzulande klatscht man eisern – gelernt ist gelernt – auf die 1 und die 3, als gelte es, bei Marschmusik oder volkstümlichem Schlager mitzuexerzieren. Ich frage mich bei Blues-Konzerten immer, wie gastierende US-Musiker das penetrante Anklatschen gegen den Liedrhythmus durchstehen. Glaubt man dem Klischee, dann wohl mit viel Alkohol.
Auch in puncto Security klatschen deutsche Unternehmen und Behörden oft eisern im falschen Takt: Man vertraut nach wie vor auf überkommene Sicherheitskonzepte in Burggraben-Manier – obwohl doch die moderne IT-Welt diese Burgmauern schon längst zum Einsturz gebracht hat. „70 Landkreise hatten kürzlich mit Ransomware zu kämpfen“, berichtet Thomas Boele, Regional Director Sales Engineering CER/DACH bei Check Point. „Es fehlen Hunderttausende Fachkräfte in der Verwaltung, und wir sind in der Digitalisierung leider nach wie vor in der Steinzeit. Diese Kombination ist aus meiner Sicht ein sehr gefährlicher Cocktail. Da müssen manche aus dem Dornröschenschlaf erwachen und die Bedenkenträgerhaltung aufgeben.“ Es bestehe eine große Chance, jetzt das Richtige zu tun, aber man müsse konsolidiert und konzertiert vorgehen.
Insbesondere bedeutet dies laut Security-Fachleuten, Bedenken gegen den KI-Einsatz zu Sicherheitszwecken hintanzustellen. Denn die Cyberkriminellen werden, so Dr. Sebastian Schmerl, Director Security Services EMEA bei Arctic Wolf, „immer raffinierter und professioneller und haben mit breit verfügbaren KI-Tools ein weiteres extrem mächtiges und gefährliches Werkzeug hinzugewonnen, mit dem die einfache Erstellung von Schadcode, Phishing-Mails und sehr authentischen Deepfakes möglich ist.“ Seine Forderung: „Die Verteidigerseite darf hier nicht den Anschluss verlieren und den Bedrohungsakteuren das Feld überlassen, denn diese schrecken nicht vor der Nutzung bzw. dem Missbrauch von KI zurück.“ Es scheint an der Zeit, altbackenes Anklatschen gegen den Rhythmus des Security-Trends aufzugeben.
Ein globales Phänomen
Die frühesten Blues-Stars waren weiblich: Sängerinnen wie Ma Rainey und Bessie Smith füllten als Frontfrauen von Blues-/Jazz-/Tanzmusikorchestern (so genau unterschied man damals noch nicht) große Säle, während ihre später berühmten männlichen Kollegen sich noch als Straßenmusiker oder Lokalmatadore durchschlugen. Erst die „British Invasion“ mit ihrer Blues-Begeisterung führte dem weißen US-Establishment den Wert der schwarzamerikanischen Musiktradition vor Augen. Inzwischen aber ist der Blues längst den Straßen, Spelunken und Konzerthallen der ethnischen Minderheit entwachsen und zum internationalen Phänomen geworden – genauer: zur internationalen Industrie.
Einen nicht minder steilen Aufstieg zur globalen Industrie hat das Cyberverbrechen hingelegt – nicht zuletzt dank Unterstützung staatsnaher Kreise, für die Cybercrime und Cyberwarfare eine nützliche Melange bilden. Problematisch ist laut Cisco-Mann Hilke der „steigende Aufwand, der seitens der State Actors [staatlicher Akteure] in die Entwicklung neuer Angriffsmethoden gesteckt wird“. Check-Point-Mann Boele pflichtet bei: „Es gibt sehr viele staatliche Akteure, die Angriffe von oberster Stelle mit umfangreichen Ressourcen betreiben.“ Bei dem Supply-Chain-Angriff auf SolarWinds, aufgedeckt 2020, zum Beispiel sei die Raffinesse des Angriffs „alarmierend“ gewesen. Und Dr. Schmerl von Arctic Wolf meint: „Extrem besorgniserregend ist aktuell die geopolitische Lage mit Krisenherden und Kriegen unter anderem in der Ukraine und im Gazastreifen. Bedrohungsakteure greifen durch Attacken aktiv ins Kriegsgeschehen ein oder nutzen das verursachte Chaos und die allgemeine Unsicherheit, um Staaten, Organisationen und Unternehmen weltweit anzugreifen.“
„Everyday I have the blues“, sangen zahllose Größen des Genres, von B.B. King bis Eric Clapton. Sicherheitsverantwortliche kennen das: Wenn Sorgen Geld wären, könnten sie sich wohl die ganze Welt kaufen und hätten noch Wechselgeld übrig. Besserung ist nicht in Sicht. Ein zweiter Teil zu diesem Beitrag wird deshalb in Kürze Lösungsansätze diskutieren, um – jenseits des Griffs zur Whiskeyflasche – den Cybercrime-Blues zu lindern. Schließlich gilt es, unser Online-Miteinander künftig verlässlich zu schützen, ob Flugbuchungen nach Paris oder die Versorgung mit kritischen Diensten wie Strom, Wasser und gestreamter Musik.
Um aber erst einmal zu demonstrieren, wie nahtlos sich die aktuelle Security-Lage in einen Blues-Soundtrack einfügt, habe ich ein kleines Musikvideo erstellt, das Kernaussagen der zitierten Fachleute bündelt. Und was soll ich sagen: Die Zitate passen exakt in 48 Takte, also in vier Blues-Durchläufe.
Quod erat demonstrandum. 😎
Das Video findet sich hier.
*****
Hat Ihnen dieser Text gefallen? Dann erzählen Sie doch einem Menschen davon, den das Thema ebenfalls interessieren könnte! Denn liebevoll von Hand erstellte Inhalte verbreiten sich am besten per Mundpropaganda.
Titelbild: Dr. Wilhelm Greiner, KI-generiert mittels NightCafé
Cartoon: (c) Wolfgang Traub
IT Info 2 Go 
Du muss angemeldet sein, um einen Kommentar zu veröffentlichen.