Folge 10 von 13 · Anatomie eines Hacks
Über Nacht standen 72 Rathäuser still.
Angegriffen wurde keines davon – sondern ihr gemeinsamer IT-Dienstleister.
In der Nacht auf den 30. Oktober 2023 traf es einen kommunalen IT-Dienstleister in Südwestfalen. Der erste deutsche Fall in dieser Serie.
- Der Weg hinein führte laut dem später veröffentlichten Forensik-Bericht über einen VPN-Zugang ohne zweiten Faktor.
- Von dort arbeiteten sich die Angreifer im internen Netz weiter, bis sie Administratorrechte für die gesamte Domäne hatten. Dann verschlüsselten sie.
- Am Morgen sind rund 70 Kommunen mit zusammen etwa 1,7 Millionen Einwohnern ohne ihre Fachverfahren. Bürgerbüro, Kfz-Zulassung, Elterngeld, Standesamt – nicht langsam, sondern weg.
- Der Weg zurück zieht sich über Monate. Im Einsatz sind rund 170 eigene Mitarbeiter und mehr als 50 externe Partner.
Die Folgen
- rund 70 Kommunen betroffen, etwa 1,7 Millionen Einwohner
- allein ein Landkreis beziffert seinen Schaden für vier Monate auf rund 1,5 Mio. Euro
- der Dienstleister ließ forensisch untersuchen und veröffentlichte den Bericht
Warum ich diese Geschichte teile
Weil keine dieser Kommunen etwas falsch gemacht hat. Sie hatten ausgelagert – wirtschaftlich richtig und alternativlos. Nur hatte niemand die zweite Frage gestellt: Was tun wir, wenn dieser Partner ausfällt? Drei Punkte:
- Machen Sie sich die Abhängigkeit klar. Welche Abläufe stehen still, wenn ein Dienstleister ausfällt? Lohnabrechnung, Warenwirtschaft, Telefonie, E-Mail – meist hängt mehr an einem Anbieter, als man denkt.
- Ein Notfallplan, der IT voraussetzt, ist keiner. Liegt Ihre Telefonliste im ausgefallenen System, kommen Sie nicht an sie heran. Ausdruck, Ordner, Safe – altmodisch und im Ernstfall das Einzige, was funktioniert.
- Fragen Sie nach der Wiederanlaufzeit. Nicht „sind Sie sicher?“ – darauf sagt jeder ja. Sondern: „Wie lange dauert es, bis wir wieder arbeiten können, und was steht dazu im Vertrag?“
Die gute Nachricht: Diese Fragen lassen sich vorher beantworten. Ich stelle sie auch mir selbst – ich bin ja ebenfalls Dienstleister. Bei einem Penetrationstest schauen wir nicht nur auf Ihre eigene Technik, sondern auch auf die Abhängigkeiten, die von außen hineinreichen.
Ehrliche Frage: Wie lange könnte Ihr Betrieb weiterarbeiten, wenn Ihr wichtigster IT-Dienstleister morgen früh nicht mehr erreichbar wäre?
Quelle: öffentlich dokumentiert (Cyberangriff auf die Südwestfalen-IT, Oktober 2023; u. a. der selbst veröffentlichte Forensik-Bericht, heise online, Borns IT-Blog).