Der Server stand nach außen offen wie ein Scheunentor

Branche: Verlagswesen / Mitarbeitende: +100

Dieser Fall hätte definitiv vermieden werden können, wenn das Unternehmen einen IT-Dienstleister mit stärkerem Fokus auf IT-Sicherheit beauftragt hätte. Doch davon ahnt der Geschäftsführer noch nichts, als er am Sonntag eine Mail nicht verschicken kann. Am Montagmorgen sind bereits Teile seines Unternehmens verschlüsselt, die interne IT schlägt Alarm.

Das Unternehmen handelt zügig und wählt unsere 24/7 Notfallnummer.

Unser Team gibt die Empfehlung, den ganzen Standort offline zu schalten und macht sich sofort auf den Weg nach Süddeutschland. Binnen weniger Stunden sind wir vor Ort und werden während des technischen Onboardings beauftragt, die forensische Analyse und den Wiederaufbau der Systeme parallel durchzuführen. Wir machen uns an die Arbeit.

Bereits am ersten Abend gelingt es uns, die Internetverbindung für einen temporären Notbetrieb wiederherzustellen und erste grundlegende Absicherungen der Umgebung umzusetzen. Innerhalb der folgenden vier Tage arbeiten wir vor Ort an der Wiederinbetriebnahme der Systeme und führen gleichzeitig eine forensische Prüfung der produktionskritischen IT-Infrastrukturen durch. Dabei tauschen wir uns regelmäßig mit dem IT-Dienstleister aus.

Schnell wird klar: Der IT-Dienstleister ist für den Angriff mitverantwortlich.

Der externe Dienstleister hatte für das Unternehmen einen fehlerhaft konfigurierten Server ins Netz gestellt, der nach außen offen stand wie ein Scheunentor. Trotz seiner mangelhaften Arbeit bleibt er vor Ort und hilft uns, den Schaden zu beheben. Die enge Zusammenarbeit mit dem Dienstleister und der internen IT trägt dann auch entscheidend zu unserem Erfolg bei: Innerhalb weniger Tage gelingt es uns, die Situation effizient zu bewältigen.

Viele Unternehmen lagern ihre IT-Infrastruktur aus und verlassen sich dann blind darauf. Um Risiken zu verringern, sollte z. B. bei der Auswahl eines Dienstleisters geprüft werden, ob dieser zertifiziert ist. Zusätzlich empfehlen wir regelmäßige Kontrollen zum Thema Datensicherheit.

Joanna Lang-Recht, Head of IT Forensics

Wie ist der Fall ausgegangen?

Auch nach der Abreise geht für uns die Arbeit an dem Fall weiter: In unserem IT-Forensik- Labor unterziehen wir die Backup-Systeme einer gründlichen Prüfung, um nur saubere wieder einzuspielen. Gleichzeitig setzen wir das Active Directory neu auf und sichern es ab für die Zukunft – damit der Betrieb zügig wieder aufgenommen werden kann.

Das Unternehmen hatte sich von Anfang an dafür entschieden, nicht mit den Erpressern zu kommunizieren. Die geklauten Daten werden nach Ablauf der Frist auf einer Leak-Page veröffentlicht. Wir helfen dabei, diese Daten zu klassifizieren, den Angriff zur Anzeige zu bringen und die entsprechenden Meldungen herauszugeben. Diese speziellen Daten waren nicht sensibel, da die Angreifer an der falschen Stelle gesucht haben. Glück im Unglück für das Unternehmen.

Autorin Joanna Lang-Recht