Folge 5 von 13 · Anatomie eines Hacks
22.000 Rechner verschlüsselt – und der Konzern zahlte keinen Cent
Diese Folge handelt ausnahmsweise nicht davon, wie jemand hereinkam. Sondern davon, was danach passierte.
März 2019, Norwegen: Bei Norsk Hydro, einem der größten Aluminiumhersteller der Welt, verschlüsselt Schadsoftware über Nacht rund 22.000 Rechner an 170 Standorten. Die Produktion steht.
Was dann geschah, ist der Grund, warum diese Geschichte bis heute erzählt wird:
- Die Angreifer fordern Lösegeld. Das Unternehmen zahlt nicht – und entscheidet sich stattdessen für etwas Ungewöhnliches: vollständige Offenheit.
- Weil die eigene Website nicht mehr erreichbar ist, informiert der Konzern über Facebook. Dazu tägliche Pressekonferenzen, live und ohne Beschönigung.
- In den Werken wird auf Handbetrieb umgestellt. Erfahrene Mitarbeiter fahren Anlagen nach ausgedruckten Anweisungen weiter – die Produktion läuft langsamer, aber sie läuft.
- Der Wiederaufbau dauert Monate. Das Unternehmen teilt seine Erfahrungen anschließend öffentlich, damit andere daraus lernen können.
Die Folgen
- rund 22.000 Rechner an 170 Standorten verschlüsselt
- Produktion wochenlang im Handbetrieb, teils nach Papierausdrucken
- Schaden im mittleren zweistelligen Millionenbereich
- kein Lösegeld gezahlt
- gilt bis heute international als Musterbeispiel für Krisenkommunikation
Warum ich diese Geschichte teile
Weil die meisten Beiträge zu IT-Sicherheit bei der Frage aufhören, wie jemand hereinkommt. Die zweite ist genauso wichtig: Was, wenn es doch passiert? Drei Punkte:
- Ein Notfallplan ist kein Dokument, sondern eine Übung. Hier konnte umgeschaltet werden, weil Menschen wussten, was zu tun ist – nicht, weil es irgendwo aufgeschrieben stand.
- Schweigen kostet mehr als Reden. Wer offen informiert, behält die Deutungshoheit – und das Vertrauen von Kunden, Mitarbeitern und Presse.
- Nicht zahlen ist möglich – wenn die Sicherungen stimmen. Wer funktionierende, vom Netz getrennte Backups hat, muss nicht verhandeln.
Die gute Nachricht: Beide Fragen lassen sich vorher beantworten. Ein Penetrationstest zeigt, wie weit jemand käme. Ein Notfallplan zeigt, was dann passiert. Bei einem Test schaue ich deshalb auch an, was im Ernstfall wirklich greift – und was nur auf dem Papier steht.
Hand aufs Herz: Wüssten Ihre Mitarbeiter am Montagmorgen, was zu tun ist, wenn nichts mehr geht?
Quelle: öffentlich dokumentiert (Angriff auf Norsk Hydro 2019; u. a. eigene Lageberichte und Pressekonferenzen des Unternehmens, BBC, heise online).