Folge 3 von 13 · Anatomie eines Hacks

Wie ein einziges vergessenes Passwort die größte Benzin-Pipeline der USA stoppte

Kein Zero-Day. Kein Hollywood. Ein altes Konto, das niemand abgeschaltet hatte.

MFAKonteninventurFernzugang

Im Mai 2021 stand in weiten Teilen der US-Ostküste der Kraftstoff still. Betroffen war Colonial Pipeline – Betreiber der größten Kraftstoff-Pipeline der USA, rund 8.800 Kilometer lang.

Bei so einem Ziel erwartet man einen hochkomplexen Angriff. Der Einstieg war erschreckend unspektakulär:

  1. Die Angreifer brauchten keine unbekannte Sicherheitslücke. Sie hatten ein Passwort – aufgetaucht in einem Datenleck eines ganz anderen Dienstes.
  2. Es gehörte zu einem VPN-Konto, das längst nicht mehr gebraucht wurde. Nur: Abgeschaltet hatte es niemand.
  3. Geschützt war dieser Zugang allein durch das Passwort. Kein zweiter Faktor. Damit standen die Angreifer im Firmennetz.
  4. Dort verschlüsselten sie die kaufmännischen Systeme. Weil unklar war, wie weit der Angriff reichte, stoppte das Unternehmen den Pipeline-Betrieb selbst.

Die Folgen

  • eine Pipeline, die rund 45 % des Kraftstoffs für die US-Ostküste liefert, stand still
  • Panikkäufe – tausende Tankstellen waren leer
  • in mehreren Bundesstaaten wurde der Notstand ausgerufen
  • rund 4,4 Mio. US-Dollar Lösegeld gezahlt
  • erst nach etwa einer Woche floss wieder regulär Kraftstoff

Warum ich diese Geschichte teile

Weil hier nichts passiert ist, was ein Mittelständler nicht auch bei sich hätte. Das war kein Angriff auf modernste Technik – sondern auf eine Nachlässigkeit, die es praktisch überall gibt. Drei Punkte zum Prüfen:

  • Zweiter Faktor auf allen Fernzugängen. Ein Passwort allein ist keine Tür, sondern ein Vorhang.
  • Konten-Inventur. Wer hat bei Ihnen noch Zugänge, die niemand mehr braucht? Ehemalige Mitarbeiter, beendete Projekte, alte Testkonten. Was keiner mehr braucht, gehört abgeschaltet.
  • Passwörter werden wiederverwendet. Ein Passwort, das anderswo schon einmal im Einsatz war, ist kein Geheimnis mehr.

Die gute Nachricht: Vergessene Zugänge sind auffindbar – man muss gezielt danach suchen. Genau das ist bei einem Penetrationstest einer der ersten Schritte: Wir finden die Konten, von denen im Unternehmen niemand mehr weiß, und prüfen, wie weit man damit käme.

Penetrationstest unverbindlich anfragen

Wüssten Sie aus dem Stand, wie viele aktive Zugänge es bei Ihnen gibt – und ob jeder davon noch gebraucht wird?

Quelle: öffentlich dokumentiert (Colonial Pipeline 2021; u. a. Aussage des Unternehmenschefs vor dem US-Senat, Analyse von Mandiant, heise online).