Folge 4 von 13 · Anatomie eines Hacks
Der Angriff kam nicht über die Firma. Er kam über ein Wohnzimmer.
Ein Mitarbeiter, ein privater Rechner, eine vergessene Software – und der Zugriff auf Millionen Passwort-Tresore.
2022 traf es LastPass – einen Anbieter von Passwort-Managern. Ein Unternehmen, dessen ganzes Geschäft aus Sicherheit besteht.
Trotzdem gelang der Einbruch. Und zwar an einem Ort, an den kaum jemand denkt:
- Die Angreifer griffen nicht die Firma an, sondern einen einzelnen Mitarbeiter – einen von nur vier Menschen mit Zugriff auf die entscheidenden Schlüssel.
- Der Weg führte über seinen privaten Rechner zu Hause. Dort lief eine veraltete Medien-Software mit einer bekannten Lücke, für die es längst ein Update gab.
- Darüber installierten sie einen Tastatur-Mitschnitt und lasen sein Master-Passwort mit – eingegeben, nachdem er sich per zweitem Faktor angemeldet hatte.
- Damit kamen sie an die Schlüssel für die Kunden-Backups in der Cloud. Rund zwei Monate lang blieb das unbemerkt.
Die Folgen
- verschlüsselte Passwort-Tresore von Kunden flossen ab
- Metadaten wie hinterlegte Website-Adressen lagen unverschlüsselt dabei
- Millionen Nutzer mussten ihre Passwörter komplett neu setzen
Warum ich diese Geschichte teile
Weil sie zeigt, wie weit die eigene Angriffsfläche reicht. Seit dem Homeoffice endet sie nicht mehr am Firmengebäude. Drei Punkte:
- Das Homeoffice gehört dazu. Wer von zu Hause auf Firmensysteme zugreift, bringt sein privates Netz und seine privaten Geräte mit hinein.
- Ein zweiter Faktor schützt den Zugang – nicht das Gerät. Sitzt die Schadsoftware erst auf dem Rechner, greift sie nach der Anmeldung. MFA bleibt Pflicht, ist aber kein Freibrief.
- Wenige Menschen mit sehr großen Rechten sind das eigentliche Ziel. Angreifer suchen nicht die schwächste Technik, sondern die wichtigste Person. Das ist übrigens kein Argument gegen Passwort-Manager. Wer Passwörter in einer Excel-Tabelle verwaltet, steht deutlich schlechter da. Getroffen wurde nicht das Verfahren, sondern ein Rechner.
Die gute Nachricht: Man kann prüfen, wie weit die eigene Angriffsfläche reicht. Bei einem Penetrationstest schauen wir nicht nur auf die Firewall, sondern auch darauf, welche Wege von außen – Homeoffice eingeschlossen – wirklich nach innen führen.
Wie ist das bei Ihnen geregelt: Greifen Mitarbeiter von privaten Geräten auf Firmensysteme zu?
Quelle: öffentlich dokumentiert (LastPass-Sicherheitsvorfall 2022; u. a. die eigenen Vorfallberichte des Unternehmens, Ars Technica, BleepingComputer, heise online).