#11 Cyber-Katastrophenfall in der Kommune – Als Anhalt-Bitterfeld lahmgelegt wurde

00:00:00: Dieser Podcast wurde inhaltlich von Nikolaus Stapels zusammengestellt.

00:00:04: In dieser Reihe erzählen wir wahre Geschichten aus der Welt, der Cyberkriminalität, der IT-Sicherheit und digitaler Risiken.

00:00:11: Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können Und wie wichtig es ist aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

00:00:19: Ja und heute schauen wir uns einen Fall an der wirklich Geschichte geschrieben hat.

00:00:23: Also wir analysieren heute forensisch wie es zum allerersten offiziellen Cyberkatastrophenfall in Deutschland kommen konnte.

00:00:31: Unser Ziel ist es ja, diese ganzen strukturellen Lücken zu verstehen – also die Kettenreaktionen, die im Juli-Zweitausend-Einundzwanzig dazu geführt haben das im Landkreis Anhalt Bitterfeld und Sachsen-Anhalt quasi buchstäblich die digitalen Lichte ausgegangen sind.

00:00:46: Genau wenn wir so im Alltag über Katastrophe nachdenken Dann haben wir meistens sofort diese sehr plastischen physischen Bilder im Kopf, oder?

00:00:57: Ja.

00:00:58: Total!

00:00:58: Also

00:00:58: so weggespüllte Straßen nach einer Flut eingestürzte Brücken oder halt ein Großbrand... Die Zerstörung ist da greifbar.

00:01:06: man kann mit dem Finger drauf zeigen das Ausmaß irgendwie mit eigenen Augen sehen und das Gebiet auch ganz exakt einkrenzen.

00:01:13: Mhm absolut.

00:01:14: Aber bei einer Cyberkatastrophe, da stehen die Gebäude ja noch also die Sonne scheint, die Straßen sind intakt Die physische Welt ist völlig unberührt.

00:01:23: Naja, aber die unsichtbare Infrastruktur also das was unsere moderne Gesellschaft eigentlich so zusammenhält, dies einfach verdampft!

00:01:31: Genau das der Punkt.

00:01:33: Stell dir vor also du der uns gerade zuhört Du bist alleinerziehend und wartest wirklich dringend auf die Auszahlung deines Ketangeldes.

00:01:41: Ein Klassiker?

00:01:42: Oder du hast ein Handwerksbetrieb, hast grade richtig viel Geld in ein neues Firmenfahrzeug investiert muss das Zwingen zulassen, um am nächsten Tag Aufträge abzuarbeiten.

00:01:52: Du gehst also zum Abend?

00:01:54: Ja und das Gebäude steht majestätisch da wie immer?

00:01:56: Richtig!

00:01:58: Aber die Mitarbeiter hinter den Schreibtischen schauen auf komplett schwarze Bildschirme.

00:02:03: Krass Der Staat ist in diesem Moment digital einfach komplett ausradiert.

00:02:07: Nichts geht mehr.

00:02:08: Und dieser absolute Stillstand der begann mit einem eigentlich recht unscheinbaren Vorfall am Abend des fünften Juli.

00:02:16: Ja, das war am Montag.

00:02:17: So ging die System-Administratoren erst unregelmäßigkeiten auf bei der Synchronisation des zentralen Mail-Servers – der Kreisverwaltung.

00:02:28: Der Server arbeitete einfach nicht mehr so wie er sollte und in einer idealen Welt wäre das genau der Moment gewesen, in dem ein hochspezialisiertes IT-Sicherheitsteam sofort Alarm schlägt.

00:02:41: Die würden die Lockpiles durch Forsten und das Netzwerk sofort isolieren!

00:02:45: Aber, und da müssen wir ehrlich sein.

00:02:47: Wir sprechen hier ja von der Realität einer deutschen Kommunalverwaltung ne?

00:02:51: Von den einundzwanzig vorgesehenen Stellen im IT-Bereich des Landkreises waren zu diesem Zeitpunkt ganze drei besetzt.

00:02:58: Ja, Wahnsinn!

00:02:59: Drei Personen für die gesamte digitale Infrastruktur eines Landkreis mit über hundertfünfzigtausend Einwohnern Das ist kein technisches Pech mehr, das ist ein massives strukturelles Versagen.

00:03:14: Wenn der Tresor mit den hoch sensiblen Daten von hunderttausenden Menschen in einer Montagnacht von einer derart chronisch unterbesetzten Abteilung bewacht werden muss – dann ist das System ja schon vor dem ersten Hackerangriff kollabiert!

00:03:27: Na ja, und bei dieser extremen personellen Auslastung ist es halt auch irgendwie logisch dass die Admin's dann entschieden haben.

00:03:34: Die Analyse von dieser vermeintlichen Mail-Serverstörung einfach auf den nächsten Morgen zu verschieben.

00:03:40: Verständlich!

00:03:40: Ja...

00:03:41: Die ging halt vom ganz regulären Softwarehänger aus nicht vor dem gezielten Angriff.

00:03:45: Und dieser nächste Morgen also der sechzehnte Juli, der liefert an den absoluten Schock.

00:03:50: Um null sechs Frau neunundvierzig schlägt das Brandschutzzystem des Netzwerksalarm.

00:03:55: Es registriert massenhaft richtig merkwürdige Dateienendungen auf den zentralen Serverlaufwerken.

00:04:01: Und als die Mitarbeiter dann versuchen, auf ihre Systeme zuzugreifen, prangt da eine digitale Lösegeldforderung.

00:04:07: Oh yeah!

00:04:09: Einsatz, den wirklich niemand absolut niemand in seinen Firmenetzwerk sehen will – das stand.

00:04:14: Landkreisanhalt Bitterfeld You are Fakt Do not touch anything.

00:04:19: Wow.

00:04:20: Also die IT-Leitung und die externe Chief Digital Officer des Landkreises, die reagieren in diesen ersten Minuten eigentlich sehr drastisch aber verhältnismäßig angemessen.

00:04:32: Die trennen das administrative Netz sofort physisch vom Internet.

00:04:36: also sie kappen wirklich alle Verbindungen nach außen und fahren die Kernserver runter.

00:04:41: Das Problem ist dann nur die geografische Verteilung der Verwaltung.

00:04:45: Ah ok, weil der Landkreis nicht aus einem einzigen Gebäude heraus operiert richtig?

00:04:49: Genau!

00:04:50: Die Rechner und Server stehen weit verteilt an den Standorten Köthen, Zerbst- und Bitterfeldwolfen.

00:04:57: Oh Gott... Ja und die IT Abteilungen gerät in Dämonent in absolute Panik bei dem Gedanken das gleich um sieben oder acht Uhr morgens die völlig ahnungslosen Mitarbeiter an diesen ganzen anderen Standortens ins Büro kommen

00:05:09: Sich ein Kaffee holen.

00:05:10: Genau, sich einen Kaffe holen und völlig routiniert ihre infizierten Rechner hochfahren!

00:05:15: Und

00:05:15: was wäre dann passiert?

00:05:16: Naja jeder Rechne der in diesem Moment hochgefahren und mit dem internen Netzwerk verbunden worden wäre hätte die Schadsoftware wie einen Flächenbrand einfach weiter verteilt.

00:05:26: Krass

00:05:27: Das hätte unzählige weitere Verschlüsselungsprozesse ausgelöst.

00:05:30: Um genau das zu verändern greifen sie ja zur radikalsten analogsten Verteidigungslinie diese überhaupt noch gab oder?

00:05:38: Ja richtig

00:05:39: Und dann könnt ihr ja keine E-Mails mehr schreiben.

00:05:41: und das Internet war tot, also wird die gute alte Haussprechanlage reaktiviert.

00:05:47: IT-Mitarbeiter rennen da buchstäblich durch die Flure der verschiedenen Gebäude, reißen Türen auf, kleben hastig handgeschriebene Warnzettel auf die Monitore der Kollegen?

00:05:57: Hm, total surreal!

00:05:59: Und die ziehen bei den Computern physisch die Netzstecker aus den Steckdosen.

00:06:03: Das musst du mir mal vorstellen, eine moderne deutsche Verwaltung wird innerhalb von wenigen Minuten in die Zeit vor der Digitalisierung zurückgebompt.

00:06:10: Und die unmittelbaren Konsequenzen für den Alltag sind halt enorm!

00:06:14: Hundertsechzig spezifische Fachverfahren fallen auf Einschlag aus.

00:06:19: Hundertsächzig?

00:06:19: Ja also das sind diese spezialisierten Softwareprogramme für die verschiedenen Abteilungen alles weg.

00:06:25: Warte mal stopp...das klingt für mich in dieser Entgültigkeit echt ein bisschen absurd.

00:06:32: ich meine Wenn bei uns im Büro mal der zentrale Server abstürzt oder wir uns was weiß ich einen Virus einfangen, dann ruft irgendwer den IT-Support an.

00:06:42: Klar!

00:06:43: Die spielen dann im Zweifel ein Backup vom Vortag auf und nach ein paar Stundenausfall arbeiten wir einfach weiter.

00:06:49: Warum dauert das hier in Anhalt Bitterfeld bitte Monate?

00:06:53: Also sieben Monate bis der Normalbetrieb wieder hergestellt ist?

00:06:57: Naja, weil wir bei Ransomware eben nicht von einem simplen Systemabsturz oder einem klassischen Virus sprechen.

00:07:02: Der Dateien vielleicht einfach nur löscht oder das System verlangsamt

00:07:05: Sondern?

00:07:06: Ransomeware ist eine digitale Geiselnahme und zwar auf allerhöchstem kryptografischem Niveau.

00:07:12: Die Täter nutzen hochkomplexe Verschlüsselungsalgorithmen um wirklich jede einzelne Datei, jede Datenbank und jedes Betriebssystem unlesbar zu machen.

00:07:21: Das heißt ohne den Schlüssel geht auch nichts

00:07:24: Exakt.

00:07:24: Ohne den spezifischen Entschlüsselungs-Ki sind diese Daten mathematisch schlichtweg unzugänglich, da kannst du nix reparieren.

00:07:32: und was dein Backup vom Vortag angeht?

00:07:35: Ja!

00:07:36: Die Forensiker vom Landeskriminalamt haben bei der späteren Untersuchung festgestellt dass die Täter nicht erst am Abend des fünften Juli als dieser Mailserver hakte in das System eingedrungen sind.

00:07:48: Moment

00:07:48: wann dann?

00:07:50: Die waren bereits seit dem zweiten Juni im Netzwerk.

00:07:53: Was?

00:07:54: Die waren über einen Monat lang unbemerkt im System.

00:07:57: Ja,

00:07:58: ein voller Monat!

00:07:59: Okay

00:07:59: um da mal eine Analogie zu ziehen... ...die haben also nicht einfach nachts die Tür eingetreten irgendwie das Tafelsilber in einem Sack gestopft und sind schreiend davon gelaufen.

00:08:08: Nein überhaupt nicht!

00:08:09: Die haben sich eher heimlich auf unseren Dachboden geschlichen, haben da wochenlang unerkannt gewohnt unsere täglichen Gewohnheiten studiert In aller Ruhe herausgefunden wo die wertvollsten Dokumente liegen

00:08:21: Ganz genau.

00:08:22: Und dann haben sie gemütlich alle Schlösser im gesamten Haus ausgetauscht, bevor Sie uns am Ende komplett vor die Tür gesetzt haben.

00:08:29: Perfektes Bild.

00:08:31: und nicht nur das!

00:08:32: Während die auf diesem sprichwörtlichen Dachboden saßen, haben sie ganz gezielt die Infrastruktur manipuliert, die genau so einen Angriff eigentlich verhindern sollte.

00:08:42: Wie sind die denn überhaupt reingekommen?

00:08:44: Da müssen wir uns den technischen Zugangsweg anschauen – also das

00:08:48: wie?!

00:08:49: Der initiale Einbruch Der erfolgte über Schwachstellen in extern erreichbaren Mail- und VPN-Servern.

00:08:56: In der IT-Sicherheitswelt sprechen wir hier von Lücken, die als Proxyshell beim Microsoft Exchange-Server bekannt waren.

00:09:04: Also das waren Schwachsstellen für die es eigentlich längst Updates gab?

00:09:09: Ja!

00:09:10: Und genau da liegt das Problem des chronischen Personalmangels den wir vorhin schon besprochen haben – Das Patchmanagement also das zeitnahe Einspielen von Sicherheitsupdates wurde schlichtweg vernachlässigt

00:09:20: Weil die Leute fehlten.

00:09:21: Genau!

00:09:22: Und stell dir Proxy Shell einfach wie einen gefälschten Generalüberbegriff vor, der gaukelt dem Mail-Server vor, Der Angreifer sei ein legitimer Systemadministrator mit weitreichenden Rechten.

00:09:34: Ah und dann sind sie drin?

00:09:35: Richtig – und nachdem diese erste Hürde mal genommen war, helft den einem Reifern.

00:09:40: ein zweites massives strukturelles Problem

00:09:43: Nämlich

00:09:43: Eine unzureichende Netzwerksägmentierung.

00:09:46: Das musste vielleicht etwas genauer erklären.

00:09:48: Klar

00:09:49: Also Netzwerkssegmentierung bedeutet eigentlich, dass man digitale Brandschutztüren im System einbaut.

00:09:55: Die Personalabteilung sollte technisch komplett isoliert von der Buchhaltung sein und das Bürgeramt isoliert vom internen Mail-Server.

00:10:03: In

00:10:03: Anhalt

00:10:04: Bitterfeld fehlten diese internen Barrieren aber weitgehend.

00:10:07: Das heißt wenn die einmal drin waren konnten sie überall hin?

00:10:10: Exakt!

00:10:10: Die Angreifer konnten sich lateral also quasi seitwärts nahezu ungehindert im gesamten Netzwerk ausbreiten.

00:10:17: Sie sind von einem kompromittierten Zugangspunkt zum nächsten gesprungen, haben immer mehr administrative Konten übernommen und haben dann ganz gezielt die bestehende Sicherheits- und Antivirensoftware deaktiviert.

00:10:29: Das heißt ja im Klartext?

00:10:30: Die hatten wochenlang völlig freie Hand im Herzstück einer deutschen Behörde?

00:10:35: Völlig freie Hand.

00:10:37: Und bevor Sie dann am besagten fünften Juli bei automatisierte PowerShell-Befähle, also diese tiefgreifenden Kommandozeilenbefehle im Betriebssystem die eigentliche Verschlüsselung aktivierten haben sie noch einen extrem entscheidenden Schritt gemacht.

00:10:52: Was haben Sie getan?

00:10:53: Sie haben dreiundsechzig Gigabyte an hochsensiblen Verwaltungsdaten heruntergeladen und heimlich auf Ihre eigenen Server kopiert.

00:11:03: Das ist riesig!

00:11:06: Wenn jemand so viele Daten aus einer Kreisverwaltung stielt, dann stellt sich ja unmittelbar die Frage nach den Tätern.

00:11:12: Wer investiert einen Monat Arbeit um die IT einer ländlichen Kommune in Sachsen-Anhalt zu infiltrieren?

00:11:18: Ja das fragt man sich... Die forensischen Untersuchungen führten relativ bald zu einer Tätergruppe namens Double Spider.

00:11:25: Die operieren in der Szene auch unter dem Namen Grief oder Pay or Grief.

00:11:30: Okay noch nie gehört wer es ist.

00:11:31: Das ist keine Ansammlung von Hobby-Hackern, die da irgendwo in einem dunklen Keller sitzen.

00:11:36: Das ist ein globales hochprofessionell organisiertes Erpressersündikat!

00:11:42: Die sind eine Abspaltung der ziemlich berüchtigten Ransomware-Familie Doppel-Paymer.

00:11:47: Ah ok...Doppel Paymar sagt mir was?

00:11:50: Weißt man wo die

00:11:51: sitzen?!

00:11:51: Ja…die Ermittlungen belegen sehr klare Verbindungen dieser Täter nach Russland, Moldavien und in die Ukraine.

00:11:59: Sie akieren halt gezielt aus sogenannten Safe Havens heraus, also aus Ländern deren Justizbehörden überhaupt nicht mit westlichen Strafverfolgern kooperieren.

00:12:09: Die lassen dieses Heiberkriminellen quasi gewähren so lange die keine inländischen Ziele angreifen.

00:12:14: Es sind also hoch organisierte Kriminelle und ihr primäres Ziel war logischerweise Geld richtig?

00:12:20: Genau!

00:12:20: Die forderten vom Landkreis Anhalt Bitterfeld etwa fünfhunderttausend Euro Lösegeld natürlich in Kryptowährungen.

00:12:27: Und wie hat der Landkreis reagiert, haben die überlegt zu zahlen?

00:12:30: Naja.

00:12:30: Der Landkreist hat sich sofort an das Bundesamt für Sicherheit in der Informationstechnik gewandt also das BSI und die offizielle völlig kompromisslose Leitlinie des BSI in solchen Fällen lautet es wird unter keinen Umständen gezahlt

00:12:45: Was ja auch sinnvoll ist oder ich meine warum sollte man denen vertrauen?

00:12:49: Absolut, das ist die einzig strategisch sinnvolle Herangehensweise.

00:12:53: Es gibt in dieser Welt der Cyberkriminalität einfach Null Garantien.

00:12:57: Ja?

00:12:57: Selbst wenn eine Kommune zahlt bedeutet es noch lange nicht dass die Täter auch wirklich einen funktionierenden Entschlüsselungs-Key übergeben.

00:13:04: Oftmals ist sie zur Verschlüsselung genutzte Software so fehlerhaft programmiert, dass man selbst mit dem Key nicht alle Daten fehlerfrei wiederherstellen kann.

00:13:13: Das heißt, das Geld wäre weg und die Daten trotzdem kaputt.

00:13:16: Richtig.

00:13:17: Zudem finanziert ja auch jede gezahlte Summe direkt die Forschung, die Entwicklung und die Durchführungen der nächsten Angriffe auf andere Institutionen.

00:13:25: Klar

00:13:26: das ist ein Geschäftsmodell.

00:13:27: Der Landkreis blieb jedenfalls hart und verweigerte die Zahlung.

00:13:31: Okay Aber um diesen Widerstand zu brechen, griffen die Hacker dann ja zu einer Methode, die man double extortion nennt.

00:13:37: Also die doppelte Erpressung.

00:13:40: Weil die Verwaltung nicht für die Entschlüsselung zahlen wollte, drohten die Täter damit diese dreiundsechzig Gigabyte an kopierten Daten einfach zu veröffentlichen?

00:13:48: Richtig fies!

00:13:49: Ja und um zu beweisen dass sie nicht blöffen stellte die Gruppe Grief ein zweihundert Megabyte großes Datenpaket im freizugänglichen Darknet Online.

00:13:58: Und wenn wir uns mal anschauen das in diesem Daten steckte Dann wird die wahre Dimension dieses Angriffs erst richtig greifbar.

00:14:05: Es ging dann nämlich nicht nur um ein paar langweilige interne Memos.

00:14:09: Ne, absolut nicht!

00:14:10: Die Leaks betrafen wirklich den Kern der kommunalen Demokratie und Verwaltung.

00:14:14: Es handelte sich um Privatadressen, Handynummern und sogar detaillierte Bankdaten von Kreistagsmitgliedern.

00:14:20: Krass!

00:14:21: Außerdem wurden nicht öffentliche Sitzungsprotokolle veröffentlicht.

00:14:24: Aber das, was den Fall wirklich über so eine reine Datenschutzverletzung hinaushebt war die Kompromittierung einer hochkomplexen GES-Umweltdatenbank.

00:14:33: GES?

00:14:34: Ja!

00:14:35: GES steht für Geoinformationssysteme.

00:14:38: Man muss dazu den historischen Kontext der Region kennen.

00:14:40: Die Gegend um Bitterfeld war über Jahrzehnte das Zentrum der ostdeutschen Chemieindustrie.

00:14:45: Dementsprechend lag an dem Erdreich und im Grundwasser massive Altlasten.

00:14:49: Ah ok

00:14:50: Und in genau dieser spezifischen Datenbank lagen jahrzehntelange Analysen, Bohrproben und Schadstoffwerte.

00:14:58: Wenn diese Daten weg sind, verschlüsselt oder noch viel schlimmer unbemerkt manipuliert wurden dann hat das direkte Auswirkungen auf jedes Bauvorhaben und den Umweltschutz vor Ort.

00:15:09: es geht hier also wirklich um kritische Lebensgrundlagen.

00:15:14: Diese enorme Fallhöhe, also dieser komplette Stillstand der Behörde gepaart mit dem Verlust von sensibelsten Gesundheits- und Umweltdaten, das führte dann zu einem historisch einmaligen Verwaltungsakt.

00:15:27: Genau!

00:15:27: Am neunten Juli, im Jahr ist es die Zeit, um drei Tage nachdem die Bildschirme schwarz wurden, rief der Landkreis offiziell den Katastrophenfall aus.

00:15:36: Wegen eines Computer-Virus muss man sich mal auf der Zunge zergehen lassen.

00:15:40: Das hatte es in Deutschland auf kommunaler Ebene zuvor einfach noch nie gegeben!

00:15:44: Ja, und man muss den administrativen Mechanismus dahinter verstehen um zu begreifen warum dieser Schritt überhaupt so entscheidend war.

00:15:53: Normalerweise sind staatliche Behörden in Deutschland ja an das extrem strenge zeitfressende Vergaberecht gebunden.

00:15:59: Wenn du einen externen IT-Dienstleister brauchst oder hundert neue Laptops kaufen willst, musst du das wochen oder monatelang europaweit ausschreiben.

00:16:09: Und in einer Cyberkrise, in der buchstäblich jede Minute zählt ist dieser bürokratische Weg natürlich das sichere Todesurteil für jede Wiederherstellung?

00:16:17: Absolut!

00:16:19: Aber durch die formelle Ausrufung des Katastrophenfalls wird dieses Vergaberecht legal ausgehebelt.

00:16:24: Ah, verstehe...

00:16:25: Gelder für Nothilfen können sofort freigemacht werden Und vor allem erlaubt.

00:16:30: dieser Status ist dem Landkreis, offiziell Amtshilfe bei übergeordneten Landes- und Bundesbehörden sowie beim Militär anzufordern.

00:16:51: Major Jering und Hauptmann Vogues gehörten zu diesem Team.

00:16:54: Und das war für die allererste grobe Bereinigung zuständig!

00:16:58: In der Fachsprache, unter den Helfern wurde dieser Prozess sehr schnell als die sogenannte Waschstraße bekannt.

00:17:03: Waschstrasse?

00:17:05: Wie sieht denn so eine Wasch-Straße in der Praxis

00:17:07: aus?!

00:17:08: Die sitzen ja wahrscheinlich nicht da und drücken einfach bei tausend Rechnern auf.

00:17:11: Formatieren oder?

00:17:12: Schön wär's?

00:17:13: – nein es ist ein unglaublich mühsamer manueller Prozess….

00:17:17: Der kontrollierte Wiederanlauf von so einer kompromittierten IT-Infrastruktur, der duldet absolut keine Fehler.

00:17:24: Du kannst nicht einfach ein Backup nehmen und das übers alte System drüberspielen.

00:17:30: Die Soldaten- und IT-Experten mussten wirklich zu rund eintausend einzelnen Rechnern physisch hingehen, sie mussten die Festplatten forensisch sichern falls Beweise für das LKA gesucht wurden und dann die Laufwerke nach militärischen Standards mehrfach überschreiben und löschen.

00:17:50: Das grundlegende Startprogramm auf dem Mainboard musste überprüft oder neu geflasht werden, um auch wirklich sicher zu gehen dass sich die Schadsoftware nicht tief in der Hardware eingenistet hat.

00:18:01: Wahnsinn!

00:18:02: Ja?

00:18:02: Und erst danach konnte eine saubere, vorab geprüfte Grundinstallation des Betriebssystems aufgespielt werden.

00:18:08: Weil wenn du auch nur einen einzigen infizierten USB-Stick oder einen versteckten Dateifetzen übersiehst kann sich das gesamte System in der nächsten Woche direkt wieder von selbst verschlüsseln!

00:18:24: Da

00:18:28: prallten wirklich Welten aufeinander.

00:18:31: Ein interner Abschlussbericht des BSI, der später dem MDR zugespielt wurde, kritisierte den Landkreis stellenweise scharf.

00:18:38: Was stand da drin?

00:18:40: Das BSI sprach von einer herausfordernden Zusammenarbeit.

00:18:45: Es gab laut dem Bericht zeitweise zwei konkurrierende technische Einsatzleitungen Also ein ganz klassisches Kompetenzgerangel.

00:18:52: Oh je.

00:18:53: Noch gravierender war aber, die Verwaltung konnte in den ersten kritischen Tagen nicht einmal eine vollständige Liste all ihrer Fachverfahren vorlegen.

00:19:02: Die wussten also gar nicht welches Software sie überhaupt nutzen?

00:19:05: Genau und wenn man als Incident Response Team – also diese externen Krisenmanager – nicht genau weiß welche Programme die Behörde eigentlich nutzt und welche Server dafür relevant sind Dann kann man auch keine Prioritäten beim Wiederaufbau setzen.

00:19:22: Man flickt das System quasi im Blindflug.

00:19:24: Dieses Aufeinanderprallen von Welten gipfelte dann in einem Vorfall, der in einem anderen Podcast mal extrem treffend als die zerbrochene Vase betitelt wurde.

00:19:34: Ah ja!

00:19:35: Die Geschichte...

00:19:36: Eine externe hochspezialisierte Incident Response Firma namens Shure Secure war da sehr schnell vor Ort.

00:19:43: Die brachten halt so diese Private Sektor-Mentalität mit.

00:19:47: Also extrem schnelles Handeln, pragmatische Lösungen und die legten auch einen präzisen Plan vor um die Kernfunktion der Verwaltung binnen vier bis sechs Wochen wieder ans Netz zu bringen.

00:19:57: Aber nach kurzer Zeit zog dieses Team einfach wieder

00:19:59: ab.

00:20:00: Warum?

00:20:01: Was ist passiert?

00:20:02: Weil diese schnellen Eingreiftruppen der Privatwirtschaft voll auf die langsamen Mühlen der deutschen Bürokratie trafen.

00:20:08: Ach typisch!

00:20:09: Ja Die vom Land hastig bereitgestellten, sofort Budgets waren vertraglich aufgebraucht.

00:20:15: Neue Verträge mussten natürlich geprüft werden, Formulare mussten mit Stempeln versehen werden und Zuständigkeiten mussten geklärt werden.

00:20:22: Wahnsinn!

00:20:23: In so einer Krise?

00:20:26: Die Bürokratie blockierte komplett den Geldfluss.

00:20:29: Es gab keine klaren Finanzierungszusagen für die nächsten Phasen Und so verlief dieser vierwöchige Rettungsplan einfach im bürokratischen Sande.

00:20:37: Und das Resultat von diesen massiven Reibungsverlusten war am Ende halt verheerend.

00:20:42: Es dauerte unglaubliche zweihundert sechs Tage, andere Quellen sprechen sogar von zweihundert und sieben Tagen bis der Katastrophenfall Ende Januar Zwei-Tausend-Zwanzig endlich offiziell aufgehoben werden konnte.

00:20:57: Fast sieben Monate lang befand sich diese deutsche Verwaltung im absoluten Ausnahmezustand.

00:21:03: Die finanziellen Schäden und die Wiederaufbaukosten, die beliefen sich auf weit über zwei bis zweieinhalb Millionen Euro.

00:21:11: Das ist so irre!

00:21:12: Das einzig positive – wenn man das überhaupt zu nennen kann – am Ende dieses monatelang Marathons konnten wohl tatsächlich so achtzig- bis neunzig Prozent der Verwaltungsdaten aus sauberen alten Backups rekonstruiert werden?

00:21:26: Immerhin

00:21:27: Ja aber der Preis dafür war gigantisch Und das führt uns eigentlich zwingend zur Frage Wie verhindern wir, dass das jemals wieder passiert?

00:21:36: Anhalt Bitterfeld hat weitreichende strategische Konsequenzen für sich selbst gezogen.

00:21:40: Die bauen jetzt ein zentralisiertes IT-Amt auf Passwörter werden drastisch restriktiver gehandhabt und das sogenannte Bring Your Own Device also das Arbeiten mit privaten Smartphones oder Laptops im Behördennetz wurde strikt verboten

00:21:53: was ja auch absolut die richtigen organisatorischen Lehren sind.

00:21:57: Aber wenn wir uns die technischen Grundlagen anschauen, gibt es für jede Kommune und jedes Unternehmen ganz klare Leitplanken, die heute schlichtweg nicht verhandelbar sind.

00:22:07: Zähl mal auf!

00:22:08: Was ist das Wichtigste?

00:22:09: Erstens ein rigoroses Patchmanagement und eine lückenlose manipulationssichere Protokollierung.

00:22:16: Wenn eine Lücke wie Proxy Shell bekannt wird muss diese sofort geschlossen werden – nicht erst nächste Woche

00:22:21: Logisch.

00:22:22: Und die Lockdateien müssen in einem separaten System gesichert werden, an das die Angreifer nicht so einfach herankommen – sonst tappt die Forensik nach dem Angriff komplett im Dunkeln!

00:22:32: Was ist Punkt zwei?

00:22:33: Zweitens Wir brauchen die vorhin erwähnten internen Brandschutz-Türen also eine rigorosene Netzwerkssegmentierung gepaart mit dem Prinzip der minimalen Berechtigungen.

00:22:44: Selbst wenn das Konto eines Sachbearbeiters im Bauamt geknackt wird, darf dieser Account niemals die technischen Rechte besitzen um auf Datenbarken der Finanzverwaltung zuzugreifen.

00:22:54: Das klingt alles extrem logisch.

00:22:56: und was tun wir, wenn die Hacker trotzdem bis zu den Servern durchbrechen?

00:22:59: Dann

00:22:59: greift Punkt drei – Offline-Backups!

00:23:02: Ein Backup ist absolut wertlos, wenn es permanent mit dem Hauptnetzwerk verbunden ist und von der Ransomradern einfach mit verschlüsselt wird.

00:23:11: Backups müssen physisch getrennt aufbewahrt werden und das ist der entscheidende Teil, der wieder Anlauf aus diesen Back-Ups muss regelmäßig geprobt werden.

00:23:19: Bringt ja nichts wenn man im Ernstfall nicht weiß wie man es wieder aufspielt.

00:23:22: Exakt!

00:23:22: Und viertens Wenn die Bildschirme am Ende des Tages doch schwarz bleiben braucht jede Behörde Notfallhandbücher – und zwar auf Papier.

00:23:30: Ein PDF mit dem Notfallplan auf einem toten Server hilft halt niemanden

00:23:35: Stimmt.

00:23:35: Verwaltungen müssen analoge Ersatzverfahren trainieren, um Bürgerrechte und existenzielle finanzielle Hilfen zur Not auch wochenlang mit Stiftpapier-und Bargeldaufrecht zu erhalten.

00:23:46: Okay aber also sind wir doch mal völlig ehrlich wenn ich mir diese Liste an hochkomplexen Anforderungen so ansiehe, strikt es Segmentierung Offline Backups externe Incident Response Verträge auf Abruf.

00:23:57: kleine Kommunen kämpfen doch heute schon damit überhaupt einen einzigen Administrator zu finden der für dieses Gehalt des öffentlichen Dienstes arbeiten möchte.

00:24:04: Ja Das ist ein riesiges Problem.

00:24:06: Können wir da wirklich ernsthaft erwarten, dass das Bürgeramt von nebenan einen technologischen Stellungskrieg gegen international finanzierte hochprofessionelle Hacker-Syndicate gewinnt?

00:24:18: Das ist doch ein Kampf der von vornherein absolut verloren ist!

00:24:21: Da hast du völlig recht – eine einzelne Kommune die so komplett auf sich allein gestellt ist wird diesen Kampf auf Dauer immer verlieren.

00:24:30: Eben

00:24:31: Und genau deshalb fordert das BSI völlig zu Recht Bündnisse und überregionale Zusammenarbeit.

00:24:38: Es gibt ja auch schon erste Modelle für so Verteidigungspakte unter Kommunen.

00:24:43: Wie funktionieren die?

00:24:44: Naja, wenn eine Verwaltung angegriffen wird schicken die umliegenden Landkreise sofort ihre eigenen Netzwerkadministratoren rüber Um Manpower zu bündeln und gemeinsam diese Waschstraße zu betreiben.

00:24:56: Ah!

00:24:57: Clevere Idee.

00:24:57: Verwaltung darf einfach keine lokale Insellösung mehr sein, bei der jeder Bürgermeister seine eigene kleine Firewall baut.

00:25:07: Das lässt uns doch am Ende unserer forensischen Betrachtung mit einer sehr beunruhigenden großen Frage zurück oder?

00:25:13: Ja absolut!

00:25:14: Wenn

00:25:15: wir sehen wie angreifbar diese dezentrale Struktur ist und wenn wir gleichzeitig beobachten das ransomware-und dedos Angriffe massiv zunehmen oft eben orchestriert aus Ländern, die unsere Strafverfolgung bewusst ignorieren oder diese Angreifer sogar staatlich dulden.

00:25:30: Ist dann unser föderales System in dem jede noch so kleine Kommune ihre eigene kleine IT-Festung bauen muss im Zeitalter der organisierten Cyberkriege überhaupt noch überlebensfähig?

00:25:40: Das ist genau die Frage!

00:25:41: Oder müssen wir akzeptieren dass wir eine zentrale bundesweite hochgesicherte IT-Infrastruktur für alle Behörden brauchen Die von Top-Experten aus einer Hand verteidigt wird, auch wenn das unseren geliebten föderalen Prinzipien und der kommunalen Selbstverwaltung frontal widerspricht.

00:25:57: Das ist eine extrem weitreichende Debatte bei der wir entscheiden müssen ob die Sicherheit unserer Daten künftig über historischen Verwaltungsstrukturen stehen muss.

00:26:07: Fälle wie Anhalt Bitterfeld die zeigen uns brutal auf dass wir diese Diskussion einfach nicht länger aufschieben können.

00:26:13: Vielen Dank dass du bei dieser Folge dabei warst.

00:26:16: Denk daran Cyber-Sicherheit beginnt nicht erst beim großen Angriff, sondern bei den kleinen Entscheidungen im Alltag.

00:26:22: Wenn dir die Folge gefallen hat, abonniere dem Podcast und teile ihn gerne mit Freunden, Kolleginnen und Kollegen!

00:26:30: Schreibt uns auch gerne deine Gedanken zur Folge oder deine Ideen für eine der nächsten Episoden.

00:26:35: Bis zur nächsten Folge – bleib aufmerksam und digital sicher!