Das Update lag längst bereit. Es fehlte nur auf einem einzigen Server.

2017 verlor Equifax, eine der größten Wirtschaftsauskunfteien der USA, die Daten von rund 147 Millionen Menschen. Nicht durch einen raffinierten Trick, sondern durch eine Verkettung sehr gewöhnlicher Versäumnisse.

1. Im März 2017 wird eine Lücke in einer weit verbreiteten Web-Komponente öffentlich. Das Update steht praktisch sofort bereit.
2. Intern wird angewiesen zu aktualisieren. Auf einem einzelnen Portal passiert das nicht – es stand auf keiner Bestandsliste. Ein Suchlauf, der es hätte finden sollen, findet es ebenfalls nicht.
3. Über genau dieses System kommen die Angreifer herein und bewegen sich weiter. Rund zweieinhalb Monate lang bemerkt das niemand.
4. Warum so lange? Auf einem Überwachungssystem war ein Zertifikat abgelaufen. Die Sicherheitstechnik konnte den verschlüsselten Verkehr nicht mehr mitlesen – und meldete deshalb nichts. Auch nicht, dass sie selbst blind war.

Die Folgen

• Daten von rund 147 Millionen Menschen abgeflossen
• rund zweieinhalb Monate unbemerkter Zugriff
• Vergleich mit US-Behörden über bis zu 700 Mio. US-Dollar
• Vorstandschef, IT-Chef und Sicherheitschef verließen das Unternehmen

Warum ich diese Geschichte teile

Weil hier kein einziger Schritt exotisch war. Jeder davon passiert in normalen Unternehmen jede Woche. Drei Punkte:

• Man kann nicht schützen, was man nicht kennt. Ein aktuelles Verzeichnis Ihrer Systeme ist die Grundlage von allem. Ohne das bleibt jedes Update-Programm Stückwerk.
• Ein bereitstehendes Update ist noch kein eingespieltes Update. Zwischen „wir haben das angewiesen“ und „es ist überall drauf“ liegt der ganze Schaden.
• Auch Schutztechnik fällt aus – und zwar leise. Ein abgelaufenes Zertifikat, ein voller Datenträger, ein gestoppter Dienst: Überwachung muss selbst überwacht werden.

Die gute Nachricht: Genau danach lässt sich gezielt suchen. Bei einem Penetrationstest gehen wir die Systeme durch, die von außen erreichbar sind – auch die, die auf keiner Liste mehr stehen – und prüfen, wo Updates fehlen.

Penetrationstest unverbindlich anfragen

Eine Frage, die selten gestellt wird: Wann haben Sie zuletzt geprüft, ob Ihre Überwachung überhaupt noch meldet?

---

Quelle: öffentlich dokumentiert (Equifax-Datenpanne 2017; u. a. Anhörungen im US-Kongress, Bericht des US-Rechnungshofs GAO, heise online).