Die Geschichte der Online-Sicherheit – von Captcha bis MFA

Durch den Trend zum Homeoffice wird immer mehr Büroarbeit außerhalb der geschützten Unternehmensumgebungen ausgeführt, was Hackern viele neue Angriffsmöglichkeiten eröffnet. So registrierte der Lagebericht Cybercrime des BKA 2021 insgesamt 146.363 Straftaten, darunter Identitätsdiebstahl, Erpressung und Phishing, mit einem Schaden von 223,5 Milliarden Euro. Sicherheitsforscher und -anbieter stehen unter Druck, dieser Bedrohungslandschaft gerecht zu werden und neue Technologien zu entwickeln. Dabei hat sich die Internetsicherheit in den letzten 50 Jahren enorm weiterentwickelt und viele bedeutende Meilensteine erreicht. Zeit für einen kurzen Überblick über die Entwicklung:

Die Meilensteine der Online-Sicherheit

Ursprünglich ist das Internet aus einem geheimen Regierungsprogramm entstanden, das verschiedene wichtige militärische und staatliche Einrichtungen miteinander verbinden sollte. Die ersten externen Nutzer kamen dann von den Universitäten, wo kluge Köpfe das Internet zunächst zur Präventivforschung nutzten. Von da an wurde laufend an der Optimierung der Internetsicherheit gearbeitet, schließlich wollten die Entwickler ihren Gegenspielern, den Hackern, immer einen Schritt voraus sein.

1970er Jahre: Antivirus-Software

Der erste Computervirus tauchte in den 1970er Jahren auf. Es handelte sich dabei um ein Programm namens Creeper, das laut einem Bericht des „Cyber Magazine“ entwickelt wurde, um das frühe Internet, das Arpanet, zu durchforsten. Wie moderne Penetrationstester wollten die Forscher damals sehen, wie sie hypothetisch in ihr eigenes System eindringen können. Daraufhin schrieb der E-Mail-Erfinder Ray Tomlinson ein Programm namens Reaper, das Creeper verfolgte und vernichtete. Damit war Reaper das allererste Antivirenprogramm und begründete ein neues Genre, das bis heute Bestand hat.

1970er Jahre: Verschlüsselung

Kryptografie ist der Oberbegriff für das Gebiet der Mathematik und der Sicherheit, das sich mit der Festlegung von Codes und der Verschlüsselung von Informationen zur sicheren Übertragung befasst. Verschlüsselung bedeutet einfach die Anwendung eines kryptografischen Algorithmus auf eine Information. Eines der ersten Beispiele für die Netzwerkverschlüsselung bei Computern stammt von IBM aus den frühen 1970er Jahren. Der erste Standardverschlüsselungsalgorithmus, der so genannte Datenverschlüsselungsstandard, hielt sich mehr als 20 Jahre lang, bis er schließlich durch Computerberechnungen gebrochen wurde. Heute wetteifern die Forscher darum, mit ihrer Mathematik denjenigen voraus zu sein, die versuchen, dieselbe Rechenleistung zu nutzen, um die Algorithmen zu knacken.

2000er Jahre: Captcha

In den späten 1990er Jahren wurde das Internet immer beliebter, und aufdringliche Technologien wie Cookies und Viren ließen nicht lange auf sich warten. Immer mehr Menschen hatten zudem die Vorteile von Bots und automatisierten Prozesse für sich erkannt und nutzten diese, um beispielsweise massenhaft Spam-Kommentare auf Websites zu posten.

Als Mittel zur Bekämpfung dieser Bots erfanden Forscher der Carnegie Mellon University im Jahr 2000 daraufhin den Sicherheitsmechanismus Captcha (Completely automated public turing test to tell computers and humans apart). Mit Hilfe eines automatisierten Tests konnte nun schnell festgestellt werden, ob ein Mensch oder eine Maschine eine Aktion ausführen wollte und ein Missbrauch durch Roboter somit eingeschränkt werden. Captcha wird heute in den meisten Fällen als veraltet betrachtet, dennoch sind einige beliebte Captchas – man denke an „Welches dieser Bilder zeigt eine Ampel“ – nach wie vor im Einsatz.

2000er Jahre: Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung (oder Zwei-Faktor-Authentifizierung) ist eine Form der Anmeldetechnologie, bei der die Benutzer aufgefordert werden, neben ihrem einfachen Benutzernamen und Passwort eine zweite, zu bestätigende Information anzugeben. Dies kann in Form einer Textnachricht oder über eine App wie Google Authenticator erfolgen. Diese Technologie geht zwar auf die 1980er Jahre zurück, wurde aber erstmals in den 2000er Jahren bei Banken eingeführt. Die New York Times berichtete 2004 über den Aufstieg der Zwei-Faktor-Authentifizierung, zu einer Zeit, als viele Amerikaner noch nicht einmal über Breitband-Internet verfügten.

2010er Jahre: Zero Trust

Mit der zunehmenden Vernetzung unserer Welt sind auch die Anforderungen an die Online-Sicherheit immer strenger geworden. Dennoch ist uns allen bewusst, dass keine Daten jemals sicher sein werden – ganz egal, wo und wie sie gespeichert und gesichert sind. Computersicherheit ist heutzutage äußerst komplex und unterliegt einem ständigen Wandel, da kriminelle Akteure in gleichem Tempo neue Angriffsmethoden und -vektoren verfolgen. Sicherheitskonzepte, die auf Vertrauen beruhen, etwa „vertrauenswürdige Geräte,“ sind längst hinfällig geworden, und Zero Trust das neueste Security-Paradigma. Dies bedeutet, dass die Sicherheitsinformationen jedes Geräts, das auf ein Netz zugreifen will, stets überprüft werden muss. Den Nutzern selbst wird nur auf die Daten und Informationen Zugriff gewährt, die zur Erfüllung ihrer Anfrage bzw. Aufgabe tatsächlich erforderlich sind.

Inzwischen hat auch die US-Regierung eine Zero-Trust-Strategie für alle Bundesbehörden und Auftragnehmer vorgeschrieben, die bis Ende 2024 umgesetzt werden muss. Eine mit Zero Trust gesicherte, hybride IT-Architektur entspricht auch den Sicherheitsanforderungen des Bundesamts für Sicherheit in der Informationstechnik (BSI). Man darf also gespannt sein, wie es im Bereich der IT-Sicherheit weiter gehen wird und welche Entwicklungen und Technologien die Security-Branche zukünftig definieren wird.