Das Auffinden potenzieller Angriffsziele ist für die Cyberterroristen ein Kinderspiel. Erste Anlaufstelle ist Shodan, eine Suchmaschine für Geräte und Dienste, die ans Internet angeschlossen sind, also eine Art Suchmaschine für das Internet der Dinge. Der US-Nachrichtensender CNN bezeichnet sie als „die erschreckendste Suchmaschine der Welt“. „Wenn Leute etwas nicht auf Google finden, glauben sie, dass niemand es finden kann. Das ist falsch“, sagt Shodan-Macher John Matherly. Matherly erstellte vor zwei Jahren eine Statistik über Drucker in Universitäten, die mit dem Internet verbunden waren. Viele gaben allerlei Informationen preis, zum Beispiel ob sie gerade frischen Toner benötigen. Die Universität von Minnesota benötigte demnach besonders dringend neue Tonerkartuschen, berichtete Matherly auf der Sicherheitskonferenz Hack in the Box 2015. Ein schwacher Trost für sorglose Druckerbesitzer: Auch Kühlschränke, die Spam verschicken, Fernseher, die Zuschauer belauschen, oder Nummernschilder von Straßenüberwachungskameras konnte der Profihacker abgreifen.
Die häufigsten Angriffsziele im Druckerumfeld.
Nicht immer ist kriminelle Energie im Spiel, wenn es im Zusammenhang mit Druckern zu Sicherheitsvorfällen kommt. Manchmal ist es Unwissenheit oder Fahrlässigkeit. Wie bei einer Krankenschwester, die eine vertrauliche Patientenakte auf dem falschen Drucker auf einer anderen Etage ausdruckte. Das fiel der Krankenschwester sofort auf und so druckte sie die Patientenakte noch einmal auf dem richtigen Drucker aus – ohne jedoch den ersten Ausdruck abzuholen. Eine Kollegin fand den herrenlosen ersten Ausdruck, kopierte ihn und verteilte die Patientenakte an andere Personen. Dieser Verstoß gegen den Datenschutz führte dazu, dass 27 Krankenschwestern für einen Monat vom Dienst suspendiert wurden. Wie Sie dafür sorgen können, dass Ihre Ausdrucke nicht in falsche Hände geraten, erfahren Sie hier.
70.000 Euro Bußgeld musst die Stadt Plymouth in England zahlen, weil ein Sachbearbeiter ein nicht für ihn bestimmtes Dokument aus dem Druckerschacht nahm. Der Vorfall war heikel, denn mit dem Dokument gelangten Informationen über einen Fall von Kindesvernachlässigung an einen falschen Empfänger. Entsprechend hart war die Strafe, die die Datenschutzbehörde Großbritanniens dem Amt aufbrummte.
Die Analysten von Quocirca hatten 150 Unternehmen in Deutschland, Frankreich und Großbritannien mit 1000 oder mehr Mitarbeitern zu solchen Vorfällen befragt. 63 Prozent gaben an, schon Datenmissbrauch mit ausgedruckten Dokumenten erlebt zu haben. Kommt es zu einem Verlust personenbezogener Daten, sieht das Bundesdatenschutzgesetz harte Bußgelder vor.
Mit einer besonders üblen Form der Manipulation mit rechtsextremem Hintergrund brüstete sich ein Hacker namens Weev in den USA im März 2016. Er hatte innerhalb weniger Minuten rund 29.000 Drucker ausfindig gemacht, die mit dem Internet verbunden waren und die sich über einen offenen Port angreifen ließen. Das nutzte er, um automatisiert einen Druckauftrag an jedes dieser unsicheren Geräte zu senden. Drucker von zwölf Bildungseinrichtungen wie Princeton, Brown, Northeastern, UC Berkley, DePaul, Amherst, Smith College und Mt. Holyoke spuckten Flugblätter mit antisemitischen Parolen aus.