#10 Rumäniens Grundbuch-Hack – Als der Immobilienmarkt digital stillstand

00:00:00: Dieser Podcast wurde inhaltlich von Nikolaus Stapels zusammengestellt.

00:00:04: In dieser Reihe erzählen wir wahre Geschichten aus der Welt der Cyberkriminalität, der IT-Sicherheit und digitaler Risiken.

00:00:12: Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können und wie wichtig es ist, aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

00:00:21: Hallo zusammen ja willkommen zu unserer heutigen Untersuchung.

00:00:25: Also, wir springen heute direkt rein in einen scheinbar völlig gewöhnlichen Dienstagmorgen.

00:00:31: Den vierzehnten Juli-Zweitausendsechsundzwanzig!

00:00:34: Stell dir vor du hast monatelang auf diesen Tag hingearbeitet.

00:00:39: Du sitzt beim Notar – der Kaffee auf dem Tisch ist noch warm?

00:00:43: Der Stift schwebt förmlich über den Kaufvertrag für dein allererstes eigenes Haus.

00:00:48: Ein tolles Gefühl eigentlich.

00:00:50: Genau Alle Papiere sind geprüft, der Notar klickt auf seinen Bildschirm um die finale Bestätigung aus dem Grundbuch abzurufen und dann nix.

00:00:59: Mit dieser Ladebalken, der sich endlos dreht ne?

00:01:02: Exakt eine Fehlermeldung!

00:01:04: Der Bildschirmpfried ein... Und was in diesem Moment in diesem Einbüro passiert?

00:01:10: das geschieht zeitgleich im ganzen Land.

00:01:13: Inhalt von wenigen Stunden stand der gesamte Immobilienmarkt von Rumänien

00:01:16: still.

00:01:17: Und wir sprechen hier nicht von einer kurzen Unterbrechung, wo man mal eben den Router neu startet.

00:01:21: Zuerst hieß es ja noch kleine technische Störungen

00:01:25: Wie das am Anfang immer so ist?

00:01:26: Richtig Aber dass entpuppte sich rasend schnell als der schwerwiegendste Cyberangriff in der Geschichte der rumänischen Grundbuchbehörde kurz ANCPI Ein Angriff, der das Herzstück der Immobilianwirtschaft komplett lahmgelegt hat.

00:01:44: Und genau da wollen wir heute ansetzen!

00:01:46: Wir wollen verstehen, wie ein ungesichertes digitales Fundament nicht nur ein paar Server sondern eine ganze Volkswirtschaft einfrieren kann?

00:01:54: Absolut!

00:01:55: Dieser Fall zwingt uns nämlich unsere Definition von kritischer Infrastruktur völlig neu zu überdenken – wir denken da immer an Stromnetze oder Krankenhäuser.

00:02:05: Hm,

00:02:05: Wasserwerke und sowas...

00:02:07: Ja aber ein digitales Grundbuch.

00:02:10: Dieser Heck beweist, dass ein intaktes aber unerreichbares Verwaltungssystem eine Wirtschaft genauso effektiv stoppen kann als hätte man physische Fabriken in die Luft gejagt.

00:02:28: Kurze Zeit später kollabieren auch sämtliche internen Anwendungen.

00:02:32: Sogar die E-Mail-Server der Behörde waren weg, die waren digital im Grunde nicht mehr existent?

00:02:37: Wahnsinn!

00:02:38: Und die Auswirkungen waren halt sofort da – man muss sich mal die reinen Zahlen vor Augen führen.

00:02:43: In Rumänien wechseln jährlich so zwischen Hundertfünfzigtausend und Hundertsiebzigtauend Immobilien den Besitzer.

00:02:49: Allein im Monat davor, also im Juni-Zwanzig-Sächsenzwanzig gab es über fünfzigtaUSend Transaktionen.

00:02:57: Das ist eine gewaltige Menge.

00:02:59: Und von einer Sekunde auf die andere konnten Notare keine Käufe mehr beurkunden, Banken haben Kredite gestoppt weil sie keine Hypotheken eintragen konnten.

00:03:08: ganz normale Bürger bekamen keine Eigentumsnachweise mehr.

00:03:12: Der Markt war komplett blockiert

00:03:14: und was diese Blockade so unfassbar dramatisch machte war eine tickende Uhr im Hintergrund.

00:03:19: Es gab da eine gesetzliche Deadline am ersten August zwanzig sechsundzwanzig.

00:03:24: Ah ja!

00:03:25: Die Sache mit der Mehrwertsteuer

00:03:26: Genau.

00:03:27: Die sogenannte TVA für Neubauten sollte von neun Prozent auf satte einundzwanzig Prozent steigen.

00:03:34: Tausende Käufer hatten ihre Termine extra so gelegt, dass sie unbedingt noch im Juli abschließen.

00:03:39: Wenn man das mal durchrechnet – Das bedeutete für viele Familien fast den finanziellen Ruin

00:03:44: Absolut!

00:03:49: Und du in diese einundzwanzig Prozent Regelung fällst, dann sprechen wir selbst bei einer Standardwohnungen von mehr Kosten von über vierzehntausend Euro.

00:03:57: Nur weil eine Behörde offline geht!

00:04:00: Das ist ja als würde man auf der Autobahn fahren die Bremsen versagen und in Stutt eines Notstreifens is da einfach ne Betonmauer.

00:04:06: Sehr passendes Bild.

00:04:08: Aber wie kann es sein dass dieses E-Terrasystem einen ganzen nationalen Markt kontrolliert ohne das es Ausweichmöglichkeiten gibt?

00:04:15: Keine Frollbackprozesse für die Notare.

00:04:17: Das ist so ein bisschen der Fluch der Digitalisierung.

00:04:20: In der IT-Sicherheit hatten wir historisch bedingt immer diesen extrem starken Fokus auf den Datenschutz, also auf die Vertraulichkeit.

00:04:27: Ob

00:04:27: jemand mitliest?

00:04:28: Genau!

00:04:29: Die Frage war immer können fremde unsere Daten lesen?

00:04:32: aber dieser Fall zeigt einen Paradigmenwechsel – die Verfügbarkeit ist genauso wichtig.

00:04:37: Stimmt

00:04:38: was nützen mir streng gereinige Weibungen wenn ich selbst nicht dran komme?

00:04:41: Richtig Und wenn ein Staat solche Systeme aufbaut, aber keine manuellen Notfallverfahren also papierbasierte Backups etabliert dann steht das Land in so einer Krise schlichtweg still.

00:04:52: Okay!

00:04:53: Wenn man sowas hört denkt man als Laie ja sofort an irgendwelche hochspezialisierten staatlichen Hacker.

00:05:00: Ein militärischer Geheimdienst mit riesigen Budget.

00:05:03: Ja

00:05:03: Das ist oft die erste Vermutung Aber wenn wir uns den mutmaßlichen Täter hieran sehen sieht die Realität völlig anders aus.

00:05:10: Die Sicherheitsfirma Kehla hat den ja forensisch identifiziert, oder?

00:05:14: Ganz genau.

00:05:15: Der Täter nannte sich Byte to Breach im Netz und Kehler hat anhand von digitalen Spuren, Browser-Artifakten

00:05:21: usw.,

00:05:22: einen Mann namens Sakaria Machtjub aus Oran-Algerien ausgemacht.

00:05:27: Also kein Staatstrojaner sondern

00:05:29: Ein rein finanziell motivierte Einzeltreter ein Solounternehmer der Cyberkriminalität sozusagen

00:05:36: Krass!

00:05:37: Er agierte als sogenannte Initial Access Broker.

00:05:40: Solche Leute knacken schlecht gesicherte Netzwerke, um die Zugänge dann in Darknetforen weiter zu verkaufen oder sie versuchen eben selbst Lösegeld zu erpressen.

00:05:50: Der hat ja angeblich sogar ganz normal über Telegram und Signal kommuniziert?

00:05:55: Und er hatte eine Fake-Firmen Website diese Pentesting-LTD!

00:05:58: Richtig?!

00:05:59: Ja darüber hat der ganz uningeniert seine gestohlenen Daten und Dienste beworben.

00:06:04: Aber wir müssen darüber reden, wie der überhaupt da reingekommen ist.

00:06:08: Ich stelle mir da immer so millionenschwere Sicherheitslücken vor Zero Day Exploits wo die beste Firewall machtlos is'.

00:06:16: Und genau da wird es erschreckend banal.

00:06:19: Laut der rumänischen Cyber-Sicherheitsbehörde DNSC gab's da keine genialen neuen Hackertools

00:06:25: Sondern

00:06:26: eine fatale Kombination aus uralten bekannten ungepetschten Schwachstellen und schlichtweg gestohlenen Zugangsdaten.

00:06:34: Gestohlene Zugangs-Daten?

00:06:36: hat da echt jemand seinen Passwort auf einem Post-Ed stehen gehabt oder auf eine Fishingmail geklickt?

00:06:42: Wahrscheinlich war es etwas subtiler, aber genauso vermeidbar – das lief höchstwahrscheinlich über sogenannte Infostealer also Schadsoftware wie SteelSier oder der Raccoon-Stealer.

00:06:55: Erklär' das mal kurz!

00:06:56: Merkt der Mitarbeiter davon

00:06:58: nichts?!

00:06:58: Nein, absolut nichts.

00:07:00: Jemand klickt auf einen harmlos aussehenden Link und der Infostealer nistet sich lautlos im Hintergrund ein.

00:07:06: Sein einziger Job ist es den Browser-Auszusaugen.

00:07:10: Also Passwörter, Cookies alles?

00:07:12: Alles!

00:07:13: Das wird in kleine verschlüsselte Pakete gepackt und automatisch an einen Server der Kriminellen geschickt – oft direkt in einen Telegrammkanal.

00:07:21: Und diese Pakete werden dann verkauft.

00:07:24: By To Breach hat sich also quasi den Haustürschlüssel einfach im Darknet

00:07:29: Ganz genau.

00:07:30: Er spaziert einfach durch die Vordertür

00:07:33: Aber was er dann da drin gefunden hat, das ließ sich ja wie ein totaler Albtraum.

00:07:38: Es gab Berichte dass die Behörde noch veraltete Systeme Wie Windows XP und Windows sieben eingesetzt hat.

00:07:44: Ja und Windows Server zwei tausend drei.

00:07:47: Dafür gab es teilweise seit über einem Jahrzehnt keine Sicherheitsupdates mehr.

00:07:51: Das ist unglaublich

00:07:52: aber das war nur die Spitze des Eisbergs.

00:07:56: Viel verheerender war die gesamte Architektur, es war ein komplett flaches Netzwerk.

00:08:00: Was genau heißt Flach in dem Zusammenhang?

00:08:03: Stell dir einen sicheres Behörden-Netzwerk wie ein U-Boot vor – Es hat Schotten!

00:08:07: Wenn in einer Abteilung Wasser einbricht oder eben ein Hacker eindringt, schließt man das Schott.

00:08:12: Der Rest bleibt trocken.

00:08:13: Ah,

00:08:13: dass ist diese Netzegmentierung.

00:08:15: Exakt.

00:08:16: Bei der Grundbuchbehörde gab es diese Schotthen nicht.

00:08:19: Wer einmal drin war konnte von der Buchhaltung bis zu den Kerndatenbanken durchmarschieren ohne nochmal kontrolliert zu werden.

00:08:26: Und dann kam ja noch dieses Active Directory dazu, also das digitale Einwohner-Melderamte des Netzwerks wo die Richte verwaltet werden?

00:08:34: Ohja!

00:08:35: Da arbeitet man mit Gruppenrichtvinien, also zentralen Befehlen von ganz oben und das war ein reines Disaster.

00:08:42: Da gab es eine Richtlinge, die hieß buchstäblich Disable Windows Firewall Also einen Befehl den eigenen Schutzschild einfach mal abzuschalten.

00:08:51: Das ist eigentlich unvorstellbar in einer kritischen Behörde.

00:08:53: Das ist kein offenes Fenster mehr, das ist ein blinkendes Neonschild für jeden Einbrecher.

00:08:59: Und es gab noch eine Richtlinie MiGuard-At-Admins.

00:09:03: Gepaart mit fatalen Fehlkonfigurationen in den Zugriffsrechten wie zum Beispiel Generic All.

00:09:09: Okay, Generic all – das klingt wie so einen Generalschlüssel?

00:09:13: Es ist noch gefährlicher!

00:09:15: Es bedeutet nicht nur dass du einen Master Schlüssel hast….

00:09:18: Du hast als völlig normaler Besucher das Recht, die am Automaten ganz legal einen dauerhaften Administratorausweis zu drucken.

00:09:26: Ach du meine Güte!

00:09:27: Er lockt sich also als normaler User ein und macht sich selbst zum Gott über das System?

00:09:32: Völlig unbemerkt ja...

00:09:34: Aber wie kann das

00:09:35: sein?!

00:09:36: Die Behörde hat in den letzten zwanzig Jahren angeblich hundertfünfunddreißig Millionen Euro für Digitalisierung ausgegeben.

00:09:43: Tja… Und rate mal, wie viel davon in die Cyber-Sicherheit floss.

00:09:47: Ich hab die Zahlen ja hier.

00:09:48: Es waren etwa Null, zwei Prozent also rund dreihundertfünftausend Euro in zweierzehnten.

00:09:55: Das ist das absolute Budgetparadoxon.

00:09:58: Man baut einen Hightech-Bankdreser für hunderte Millionen und kauft für die Vordertür ein Vorhängeschloss für fünf Euro im

00:10:04: Baumarkt.

00:10:05: man fokussiert sich also nur auf bunte Apps und neue Features aber vergisst das Fundament.

00:10:10: Und dass es ihnen am vierzehnten Juli krachend auf die Füße gefallen.

00:10:15: Der Täter ist also mit Atmenrechten drin und versucht, Lüsegeld zu erpressen.

00:10:19: Genau!

00:10:20: Die Behörden zahlen nicht und er beschließt das System zu zerstören.

00:10:23: aber er nutzt dafür nicht mal aufwendige Ransomware

00:10:25: sondern eine

00:10:26: Taktik die sich Living of the Land nennt.

00:10:29: Er lebt von dem was schon da ist.

00:10:30: Also er bricht nicht mit einem eigenen Brecheisen ein sondern nimmt einfach die Werkzeuge der Hausmeister die da eher rumliegen.

00:10:36: Sehr treffend!

00:10:37: Er nutzte native Windows-Werkzeuge wie PowerShell oder PsycSec Tools die Admins jeden Tag nutzen, um Server zu warten.

00:10:44: Und damit hat er dann massenhaft virtuelle Maschinen und Datenbanken gelöscht?

00:10:47: Ja ein klassischer Inhibit-System Recovery Attack!

00:10:52: Er wollte nicht nur die aktiven Systeme zerstören sondern auch alle Backups vernichten, die irgendwie übers Netzwerk erreichbar waren...

00:11:01: ...und hier kommen wir in diesen dichten Nebel aus widersprüchlichen Aussagen.

00:11:05: Wir müssen das mal strikt trennen.

00:11:08: Der Täter behauptete in den Foren ganz ungeniert, ich habe alles vernichtet.

00:11:14: Er sagte er hätte Ransomware ausgerollt, den Source Code vom GitLab-Server gestohlen und sämtliche Brögadaten abgezogen.

00:11:22: Aber ANCPI und die Cyberbehörde DNSC haben dem massiv widersprochen.

00:11:28: Völlig richtig!

00:11:29: Die offiziellen Stellen sagten ganz klar Die autoritativen technischen und rechtlichen Datenbanken, also die echten Grundbücher waren nie kompromittiert.

00:11:40: Sie geben zwar zu, dass ein paar Daten abgeflossen sind – also Mitarbeiter-Loggins oder Fragmente vom Quellcode – aber die zentralen Grundstücksdaten der Bürger seien sicher!

00:11:52: Und sie seien auch nicht unwiederbringlich gelöscht worden?

00:11:55: Aber warte mal….

00:11:57: wenn der Täter doch die Netzwerkbackups lösen konnte... Warum musste Rumänien dann nicht wirklich komplett bei Null anfangen?

00:12:04: Die absolute Rettung waren sogenannte AirGapt Backups.

00:12:07: Offline-Backups!

00:12:08: Ganz genau, das ist eine Sicherheitskopie die physisch vom Netzwerk getrennt ist.

00:12:14: Da gibt es keine Kabel kein WLAN.

00:12:16: Stell dir vor du ziehst die Festplatte ab und legst sie in einen Tresor

00:12:20: Und da der Hacker in Algerien saß und nicht physisch im Serverraum in Bucharest kam er einfach nicht dran.

00:12:26: Exakt Sie waren unsichtbar und unangreifbar für ihn.

00:12:30: Das hat den totalen Datenverlust verhindert.

00:12:32: Okay,

00:12:33: Gott sei Dank!

00:12:34: Aber trotzdem war das ITERRA-System ewig offline?

00:12:37: Man drückt ja nicht einfach einen Knopf und spielt das Backup zurück

00:12:40: oder?!

00:12:41: Auf keinen Fall – das wird grob fahrlässig.

00:12:43: Du musst erstmal alle infizierten Server physisch vom Netz trennen.

00:12:47: Dann beginnt die forensische Prüfung.

00:12:49: Die haben das System dann in eine gesicherte Governmentcloud migriert unter Leitung des Geheimdienstes STS.

00:12:56: Richtig Und jedes Stück Code muss auch versteckte Hintertüren geprüft werden.

00:13:01: So was dauert oft Wochen und in der Zeit bleibt der Markt eben

00:13:04: offline.".

00:13:04: Und selbst als das System wieder anlief, war der Albtraum ja nicht vorbei – es sind definitiv Daten abgeflossen!

00:13:11: Ja, Netzwerkstrukturen, Quellcodes, Mitarbeiterdaten aus dem Active Directory...

00:13:17: Warum sind diese Daten so gefährlich?

00:13:19: Auch wenn es nicht das eigentliche Grundbuch

00:13:21: ist?!

00:13:21: Naja mit dem Quellcode kennst du jeden versteckten Gang im System für den nächsten Angriff….

00:13:26: Und mit den Mitarbeiter-Daten kannst du perfekte hochgradig personalisierte Fishingmails schreiben.

00:13:32: Lass uns das mal auf den Worst Case für einen normalen Bürger übertragen!

00:13:36: Wenn ein Täter wirklich exakte Kopien meiner Grundbuchdaten hätte, gepaart mit meiner Adresse und Ausweißnummer?

00:13:44: Dann sprechen wir über massiven Betrug.

00:13:46: Identitätsdiebstahl, gefälschte Urkunden, Kredite in meinem Namen... Man könnte mich digital quasi enteignen oder erpressen.

00:13:55: Absolut Eine Immobilie ist oft der größte finanzielle Wert eines Menschen.

00:14:00: Und wie fragil diese staatliche Datenspeicherung ist, zeigte sich ja nur zwei Tage später – am sechzehnten Juli-Zweißen sechsundzwanzig.

00:14:07: Ah da gab's ja diesen zweiten Schlag richtig!

00:14:10: Das MIEPE wurde attackiert

00:14:12: Genau das Ministerium für Investitionen und europäische Projekte.

00:14:16: Da fiel plötzlich die App für private Begünstigte aus.

00:14:19: Ob dass derselbe Täter war weiß man bis heute nicht sicher oder?

00:14:23: Nein, das ist nicht abschließend geklärt.

00:14:25: Aber es zeigt eine extreme Kettenreaktion in der Verwaltung!

00:14:29: Es macht deutlich wie gefährlich unsere Abhängigkeit von diesen Single-Point of Failures ist

00:14:33: Und das bringt uns unweigerlich zu den Lehren aus diesem Vorfall.

00:14:37: Wir fordern ja ständig mehr Digitalisierung weil uns Papierkram nervt aber zwingen wir den Staat damit nicht dazu Systeme hastig online zu bringen die er mit seinen Budgets gar nicht schützen kann?

00:14:47: Das ist genau der Punkt.

00:14:48: Der Druck is riesig Aber Digitalisierung ohne proportionales Sicherheitsbudget ist grobe Fahrlässigkeit.

00:14:55: Es muss sich dringend was ändern.

00:14:57: Was sind denn die konkreten Tipps für Behörden und IT-Verantwortliche?

00:15:00: Erstens, strikte Netzsegmentierung Zero Trust Vertraue niemandem blind auch wenn er schon durch die Vordertür gekommen ist.

00:15:08: Jede Abteilung fragt quasi nochmal nach dem Ausweis?

00:15:11: Ganz genau!

00:15:12: Zweitens das Prinzip des Least Privilege Kein Wildwuchs mehr bei Atmenrechten.

00:15:20: Jeder bekommt nur die Rechte, die er zwingend für seinen Job braucht.

00:15:24: Drittens ist dann wahrscheinlich das Active Directorina?

00:15:27: Richtig!

00:15:28: Regelmäßige genadenlose Prüfungen – ein Befehl wie Firewall abschalten darf einfach nicht existieren.

00:15:35: und viertens die Backups.

00:15:37: Ergabt-Backups sind keine Option mehr.

00:15:40: Sie sind die absolute Pflicht Die letzte Lebensversicherung.

00:15:44: Und da gab es noch das Logging richtig?

00:15:46: Ja.

00:15:47: Fünftens Ausführliches Logging.

00:15:49: Wenn ein System nicht protokolliert, wer wann welche Datei angefasst hat bist du bei der Forensik völlig blind.

00:15:57: Okay

00:15:57: das gilt für die IT.

00:15:58: aber was raten wir?

00:15:59: Unternehmen Banken und Notaren?

00:16:02: Die hängen ja am Tropf dieser Systeme

00:16:04: Redundanz schaffen.

00:16:05: man darf sich nicht blind auf die ständige Verfügbarkeit staatlicher Plattformen verlassen.

00:16:10: Man braucht Notfallpläne Business Continuity Konzepte um auch mal wochenlange Ausfälle zu überbrücken

00:16:16: und für uns als ganz normale Bürger.

00:16:19: Wir müssen halt auch wachsam sein, Skepsis bei Fishing, Schutz der eigenen Identitätsdaten – besonders wenn es um Mails rundum Immobilientransaktion geht.

00:16:28: Definitiv!

00:16:29: Digitale Sicherheit betrifft jeden Käufer-und Verkäufer direkt

00:16:33: Wenn man das alles mal sacken lässt?

00:16:35: Es gibt da einen provokanten Gedanken zum Schluss.

00:16:38: Wir lagern unsere gesamte Existenz in zentrale staatliche Datenbanken aus.

00:16:44: Wem unser Land gehört Wer wir sind, was wir besitzen.

00:16:48: Und wir vertrauen dabei blind auf die technische Kompetenz der Behörden?

00:16:51: Genau!

00:16:53: Aber was passiert mit einer Demokratie und einer Wirtschaft wenn das Vertrauen in dieses digitale Fundament durch einen einzigen Hecker dauerhaft erschüttert wird?

00:17:03: Kann ein digitaler Staat überhaupt noch ohne Vertrauen funktionieren?

00:17:08: Ein ziemlich heftiger Gedanke...

00:17:10: Absolut!

00:17:11: Da sollte man definitiv mal drüber nachdenken.

00:17:13: Vielen Dank, dass du bei dieser Folge dabei warst.

00:17:16: Denk daran!

00:17:17: Cyber-Sicherheit beginnt nicht erst beim großen Angriff sondern bei den kleinen Entscheidungen im Alltag.

00:17:23: Wenn dir die Folge gefallen hat abonniere den Podcast und teile ihn gerne mit Freunden, Kolleginnen und Kollegen.

00:17:30: Schreib uns auch gerne deine Gedanken zur Folge oder deine Ideen für eine der nächsten Episoden.

00:17:34: Bis zur nächsten Folge.

00:17:36: bleib aufmerksam und digital sicher.