Standortverschleierung ...
Ich hatte neulich in einem Gespräch etwas erfahren, dass mich nachdenklich gemacht hat, und warum ich mal irgendwie eine Einordnung haben möchte. — Und zwar ging es um Hacker.
Eine Person erwähnte das die ja alle aus China und Russland kommen um die Demokratie zu zerstören, das Gegenüber meinte allerdings, dass "der Hacker direkt neben ihm sitzen könnte und er trotzdem angezeigt bekäme das er aus autoritären Schurkenstaaten kommt".
Stimmt das?
Die kurze Antwort lautet: Ja, das stimmt absolut.
Die Vorstellung, dass Cyberangriffe geografisch direkt an den physischen Standort des Angreifers gekoppelt sind, ist einer der größten Mythen in der IT-Sicherheit.
Die Rolle von VPNs und Proxyservern
Ein Hacker muss sich nicht physisch in einem Schurkenstaat befinden, um so zu wirken.
Durch die Nutzung von VPNs (Virtual Private Networks) oder Proxyservern kann der Datenverkehr über Server in nahezu jedem Land der Welt umgeleitet werden.
Der Prozess
Der Hacker baut eine Verbindung zu einem Server in Sonstwo-Stadt auf und von dort aus zum Ziel. — Die IP-Adresse, die beim Opfer ankommt, ist die des Servers.
Das Ergebnis
Für das System des Opfers sieht es so aus, als käme der Angriff aus einem Schurkenstaat.
Botnetze: Die Armee der "gekaperten" Computer
Hacker nutzen oft keine eigenen, direkt zurückverfolgbaren Server, sondern sogenannte Botnetze. — Dabei handelt es sich um Tausende infizierte Computer oder IoT-Geräte (wie smarte Kühlschränke, Router oder Webcams) weltweit, die der Hacker heimlich übernommen hat.
Die Verschleierung
Wenn ein Hacker einen Angriff startet, schickt er den Befehl über das Botnetz. — Das Ziel sieht dann nicht die IP des Hackers, sondern die von hunderten verschiedenen Geräten weltweit — oft handelt es sich dabei um völlig unbeteiligte Rechner in Deutschland, den USA oder Japan, die der Hacker als "Sprungbrett" missbraucht.
In der professionellen Cyber-Spionage wird oft gezielt versucht, Spuren zu legen, die in eine bestimmte Richtung deuten (z. B. durch die Verwendung von kyrillischen Zeichen in Code-Fragmenten oder durch gezielte Wahl von Servern in politisch spannungsreichen Regionen). — Das soll Sicherheitsforscher auf eine falsche Fährte locken und politische Spannungen erzeugen.
Fazit
Im Internet ist die IP-Adresse, die man sieht, oft nur eine Momentaufnahme der letzten Station eines Datenpakets — nicht der Ursprung. — Ein Hacker könnte im schlimmsten Fall in der Wohnung nebenan sitzen, sein Signal über ein öffentliches WLAN in einem Café schicken, von dort einen Server in Vietnam ansteuern und dann dein System angreifen.
Die digitale Welt erlaubt es, eine "falsche Identität" in Bezug auf den Standort so leicht anzunehmen, dass geografische Herkunftsinformationen in der IT-Forensik meist erst der Anfang der Ermittlung sind, niemals aber der Beweis.