In Kürze:
- Magnetbau Schramme wurde gehackt und holte sich den IT-Sicherheitsdienstleister G DATA Advanced Analytics zur Hilfe. Mit Incident Response, also Vorfallsbewältigung, analysierten sie den Angriff und konnten so gegen die Forderung der Angreifer vorgehen.
- Einen hundertprozentigen Schutz gegen Cybercrime gibt es nicht. Doch wer präventiv einige Regeln beachtet und einen Notfallplan hat, kann sich gegen das Schlimmste schützen.
- Die Coronapandemie hat nicht nur die Digitalisierung beschleunigt, sondern auch die Zahl der Cyberangriffe erhöht.
300.000 Euro Lösegeld – so lautete die Forderung der Cyberkriminellen, die sich in die Netzwerke von Magnetbau Schramme gehackt haben. Der Angriff fand gegen 22 Uhr statt. Ein beliebter Zeitpunkt bei Eindringlingen. So haben sie die ganze Nacht, um die Systeme zu befallen. Beim Hersteller für Elektromagnete war das nicht anders. Erst am nächsten Morgen wurde der Angriff bemerkt. Da waren schon rund 50 Prozent der Systeme infiziert. Die Täter gingen taktisch mithilfe von Ransomware vor. Heißt: Sie nutzten eine Schadsoftware, über die ein Trojaner in das Netzwerk versandt wurde, der dann die Daten verschlüsselt. Nur wer zahlt, erhält wieder Zugriff.
Angriff mit Ransomware auf Unternehmen
Wie die Angreifer ins Netzwerk kamen, lässt sich nicht sicher sagen. „Wahrscheinlich über einen E-Mail-Anhang“, sagt Marcello Ficht, Leiter der IT bei Magnetbau Schramme. Es spreche auch viel dafür, dass die Eindringlinge schon ein paar Monate vor dem Angriff unbemerkt in den Netzen unterwegs waren – „trotz aller Absicherung wie Künstliche Intelligenz im Netzwerk“.
Das liegt vor allem daran, dass Cyberkriminalität schon längst kein Kavaliersdelikt mehr ist. „Die Täter sind Profis“, erklärt Michael Zimmer. „Man kann ohne weiteres von organisierter Kriminalität sprechen. Mittlerweile werden die Angriffswerkzeuge so schnell entwickelt, dass die Updates der Antiviren-Programm kaum hinterherkommen“, so der Geschäftsführer von G DATA Advanced Analytics. Einen hundertprozentigen Schutz gibt es nicht.
Den IT-Sicherheitsdienst hatte Magnetbau Schramme beauftragt, nachdem der Angriff entdeckt wurde. Mithilfe von Incident Response, also Vorfallsbewältigung, haben Zimmer und sein Team den Fall schrittweise analysiert. Zunächst fand eine kurze Aufnahme statt: Worum geht es? Wie wurde der Angriff bemerkt? Welche Werkzeuge sind vorhanden? Dann wurde ein spezieller Incident-Response-Händler aktiviert, der die einzelnen Maßnahmen gesteuert hat. Am Ende wurde geprüft, ob die Back-ups standhaft sind – und das waren sie. Glücklicherweise.
So konnten die Systeme über die Back-ups wiederhergestellt werden. „Für uns kam es nicht infrage eine so hohe Lösegeldsumme zu bezahlen“, sagt Ficht. Dennoch: Alles in allem hat die Schadensanalyse und Wiederherstellung der Netze rund vier Tage gedauert – eine lange Zeit in Anbetracht des Arbeitsausfalls im Unternehmen sowie dem Arbeitsaufwand von G DATA Advanced Analytics und den IT-Forensikern. „Insgesamt beläuft sich der Schaden auf 100.000 Euro“, sagt Ficht. Neben der Schadensbewältigung hat er den Vorfall auch polizeilich gemeldet – bisher ohne Erfolg.
Cybercrime-Attacken polizeilich melden
Dennoch ist das laut Carsten Meywirth, Leiter der Abteilung Cybercrime beim Bundeskriminalamt (BKA), genau der richtige Weg. „Wir führen im Augenblick einige Ermittlungsverfahren gegen Angriffe auf Unternehmen durch“, sagt er. Zudem werden auch Beratungsgespräche mit wesentlichen Tipps und Hinweisen gegeben. Von einem Alleingang und Dialog mit den Kriminellen rät er ab. „Mit Erpressern verhandelt man nicht“, sagt er.