#6 Colonial Pipeline – Als Ransomware die Benzinversorgung traf

00:00:00: Dieser Podcast wurde inhaltlich von Nikolas Stapels zusammengestellt.

00:00:04: In dieser Reihe erzählen wir wahre Geschichten aus der Welt, der Cyberkriminalität, der IT-Sicherheit und digitale Risiken.

00:00:10: Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können und wie wichtig es ist, aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

00:00:19: Ich bin Nora

00:00:20: Und ich bin Nico.

00:00:21: Also lass uns direkt reinspringen!

00:00:24: Der siebte Mai.

00:00:26: Stell dir vor, es ist kurz vor fünf Uhr morgens und innerhalb von nicht mal zwei Stunden verschwinden hundert Gigabyte an hochsensiblen Daten von den Servern der Colonial Pipeline Company.

00:00:39: Ja

00:00:40: das ging rasend schnell!

00:00:41: Genau Und nur fünfzehn Minuten später also wirklich ne Viertelstunde trifft das Management eine absolut krasse Entscheidung.

00:00:49: sie ziehen einfach den Stecker

00:00:51: Komplett.

00:00:52: Ein neuntausend Kilometer langes Netzwerk wird abgeschaltet, ein Netz das normalerweise fast unsichtbar im Hintergrund läuft und einfach mal forty-fünf Prozent der gesamten Treibstoffversorgung der US Ostküste sichert.

00:01:06: Wahnsinn oder?

00:01:07: Ja!

00:01:08: Und das Verrückte ist ja Sie haben es nicht gemacht weil die Pipeline selbst gehackt wurde sondern weil das Unternehmen in dem Moment völlig blind war.

00:01:16: Wir machen heute eine ausführliche Untersuchung dieses Vorfalls quasi eine Fallstudie

00:01:21: Richtig.

00:01:21: Wir stützen uns da auf Regierungsberichte, Aussagen vom FBI und auch forensische Analysen von IT-Sicherheitsfirmen?

00:01:29: Genau!

00:01:30: Weil wir wollen uns heute anschauen wie so eine eigentlich banale Schwachstelle plötzlich zu einer nationalen Versorgungskrise führen kann.

00:01:38: Um aber diese panischen fünfzehn Minuten zu verstehen musste uns vielleicht kurz die Architektur von so ner Anlage erklären.

00:01:45: Klar, gern.

00:01:46: Also wir haben es da im Grunde mit zwei komplett getrennten Welten zu tun die aber und das ist das Problem oft so sehr miteinander verschmelzen.

00:01:56: Okay

00:01:57: Auf der einen Seite hast du die IT also die Information Technology Das sind die ganz normalen Bürorechner das Abrechnungssystem Die Buchhaltung

00:02:08: Also dass was jedes Unternehmen irgendwie hat

00:02:10: Genau.

00:02:11: Und auf der anderen Seite steht dann die OT Das steht für Operational Technology.

00:02:17: Das sind in diesem Fall die physischen Pumpen, die Drucksensoren und riesige Ventile in der Pipeline.

00:02:24: Die pumpen jeden Tag über hundert Millionen Galonnen Benzin- und Kerosin durchs Land.

00:02:30: Das ist eine unvorstellbare Menge!

00:02:32: Absolut – und der Angriff also diese Ransomware hat nur die IT Seite getroffen.

00:02:39: Die Steuerungsanlagen für die Pipeline, also die OT liefen zu dem Zeitpunkt eigentlich völlig normal weiter.

00:02:45: Warte da muss ich direkt mal einhaken?

00:02:47: Ja!

00:02:48: Wenn die OT – also die eigentlichen Pumpen gar nicht infiziert waren warum stoppt man dann den physischen Fluss des Benzins?

00:02:55: das klingt doch im ersten Moment nach einer völligen Überreaktion

00:02:58: oder?!

00:02:59: Ja, aus der Außenperspektive wirkt das total so.

00:03:02: Aber auf architektonischer Ebene war das eigentlich der einzig logische Schritt zur Schadensbegrenzung.

00:03:08: Warum genau?

00:03:09: Naja, das Stichwort hier ist ITOT-Konvergenz.

00:03:13: Früher waren diese Netzwerke komplett getrennt – man nennt es AirGapT.

00:03:17: Es gab keine Verbindung!

00:03:19: Und heute?

00:03:19: Heute vernetzt man das alles um effizienter zu sein.

00:03:23: Das Abrechnungssystem in der IT muss ja wissen, wie viel Treibstoff gerade durch ein bestimmtes Ventil in der OT fließt.

00:03:30: Damit sie dem Kunden die Rechnung schicken können.

00:03:33: Wenn jetzt aber die IT durch so eine Ransomware verschlüsselt wird verliert das Unternehmen schlichtweg die Sichtbarkeit!

00:03:41: Die wussten einfach nicht ob die Hacker nicht vielleicht schon eine Brücke ins OT-Netzwerk geschlagen hatten.

00:03:46: Das heißt Sie waren wirklich im Blindflug unterwegs?

00:03:49: Exakt.

00:03:50: Und wenn Angreifer die Kontrolle über Druckventile in einer Pipeline übernehmen, da sprechen wir dann nicht mehr über verschlüsselte Echsellisten.

00:03:58: Da geht es um potenzielle physische Explosionen.

00:04:01: Krass!

00:04:02: Das ist ja als würde man einem riesigen Krankenhaus komplett den Strom abdrehen nur weil vorne im Empfangsbereich am Schalter ein Computervirus aufgetaucht.

00:04:13: Das sind ziemlich guter Vergleich, ja.

00:04:15: Eine extrem drastische Entscheidung aber in dem Moment vielleicht echt die einzige um das überlebende Anlage zu sichern.

00:04:21: und diese Notbremsung im digitalen Raum hat sicher dann rasend schnell auf unsere physische Welt übertragen.

00:04:27: Ohja!

00:04:28: Und wie?

00:04:29: Die Pipeline war kaum abgeschaltet da brach an der Ostküste schon das absolute Chaos aus.

00:04:35: was da gesellschaftlich passiert ist zeigt irgendwie wie extrem fragil unsere Lieferketten sind.

00:04:41: Dabei muss man betonen und das haben Energieanalysten damals immer wieder gesagt, dass landesweit eigentlich genug Reserven da waren.

00:04:48: Die Raffinerien haben ja weiter produziert.

00:04:51: Das Benzin war also eigentlich da

00:04:52: Genau!

00:04:53: Das physische Produkt war da.

00:04:55: Es lag halt nur an den falschen Orten.

00:04:57: Und das ist der Punkt wo die menschliche Psychologie in so einer Krise verrückt spielt?

00:05:01: Die Knappheit an den Tankstellen entstand ja nicht primär weil sofort keinen Nachschub mehr kam

00:05:05: Sondern durch Panik oder?

00:05:07: Ja

00:05:07: Absolut.

00:05:08: Die Leute haben in den sozialen Netzwerken Bilder von den ersten geschlossenen Tankstellen gesehen und das war dann so eine selbsterfüllende Prophezeiung.

00:05:17: Genau die fuhren los und haben es drei oder vier Fache von ihrem normalen Bedarf gekauft, da gab's wirklich absurdes Sehen!

00:05:25: Menschen haben Benzin in Plastiktüten abgefüllt.

00:05:27: In Plastik-Tüten?

00:05:28: Das ist ja lebensgefährlich!

00:05:31: Die Behörden mussten sogar offizielle Warnungen rausgeben, dass Treibstoff brennbar ist und normale Plastikküten einfach auflöst.

00:05:40: In Washington DC liefen siebenundachtzig Prozent der Tankstellen komplett leer.

00:05:44: Wahnsinn?!

00:05:45: Der

00:05:45: Preis ist auf über drei Dollar pro Galone geschossen – das war der höchste Stand seit Jahrzehnteilzehn.

00:05:50: Fluggesellschaften mussten außerplanmäßige Tankstops einlegen.

00:05:54: Ein rein digitales Problem wurde quasi über Nacht zu einer massiven Gefahr für die öffentliche

00:06:00: Ordnung.".

00:06:01: Und wenn man sich dann anschaut, wer das Ganze ausgelöst hat?

00:06:04: Da landen wir bei einer Gruppierung namens Darkseid.

00:06:07: Genau!

00:06:07: Die saßen wohl mutmaßlich in Russland richtig?

00:06:10: Richtig

00:06:11: und das Interessante ist die Struktur dahinter.

00:06:13: Wir stellen uns Hacker ja oft als so Typen im Hoodie vor, die im dunklen Keller sitzen.

00:06:18: Das klassische Klischee halt

00:06:20: Genau, aber hier haben wir es mit einem hochprofessionellen Geschäftsmodell zu tun.

00:06:25: Das nennt sich Ransomware as a Service – kurz RAZ.

00:06:29: Das klingt ja fast wie Software-as-a-Service sowie ein modernes Softwareunternehmen!

00:06:33: Es ist erschreckend.

00:06:34: ähnlich….

00:06:35: Ja...

00:06:35: Das ist quasi ein böswilliges Startup.

00:06:38: die haben eigene Entwickler, die haben HR Strukturen und die basteln richtig schicke Benutzeroberflächen für ihre Erpressungsseiten.

00:06:45: Der Vergleich trifft es perfekt.

00:06:47: Die Kernentwickler von Darkseid schreiben die eigentliche Software, also die Verschlüsselung und stellen die Server – aber sie suchen sich ihre Opfer meistens gar nicht selbst!

00:06:56: Wer macht das dann?

00:06:57: Dafür heuern Sie sogenannte Achilliets an… Also Partner.

00:07:03: Die führen den eigentlichen Angriff durch ….

00:07:06: Und wenn dann Lösegeld gezahlt wird, fließen oft so zehn bis zwanzig Prozent automatisch an die Entwickler... ...und der Rest blätt beim Affiliate

00:07:13: Ein echtes Franchise-Modell für Kriminelle.

00:07:16: Genau, und sie versuchen dabei extrem professionell aufzutreten.

00:07:21: Darkseid hatte sogar eine PR-Seite im Darknet!

00:07:24: Stimmt.

00:07:24: ich habe gelesen die haben behauptet Sie hätten eine Art Ethikkodex keine Krankenhäuser keine Schulen angreifen.

00:07:31: Ja, sie haben sogar zwanzigtausend Dollar an Wohltätigkeitsorganisationen gespendet

00:07:36: Die das Geld dann aber abgelehnt haben oder?

00:07:38: Richtig und sie boten den Opfern tatsächlich einen Kundenservice an.

00:07:43: Mit Chat Support, um bei der Entschlüsserung zu helfen.

00:07:47: Ein Chat Support für Erpressungsopfer – das musste dir mal auf die Zunge zergehen lassen.

00:07:51: Das ist aber elementar für ihr Modell!

00:07:54: Das nennt sich Double Extortion also doppelte Erpressung.

00:07:57: Wie

00:07:57: funktioniert es genau?

00:07:58: Erst stehlen Sie die Daten dann verschlüsseln sie die Systeme Und dann drohen sie sensible Filmindaten zu veröffentlichen wenn nicht gezahlt wird.

00:08:08: Damit das klappt, muss das Opfer vertrauen können dass es nach der Zahlung wirklich den Schlüssel kriegt.

00:08:13: Klar!

00:08:14: Sonst würde ja niemand Millionen überweisen.

00:08:16: Aber warte mal kurz.

00:08:18: Da gibt es doch einen riesigen Widerspruch in dieser ganzen Darkseitsache.

00:08:21: Welchen meinst du?

00:08:22: Naja die Hecker sagen selbst sie sind unpolitisch.

00:08:25: Sie wollen eigentlich kein Chaos verursachen Sondern nur abkassieren.

00:08:29: Richtig?

00:08:29: Genau, das war deren Statement nach dem Angriff!

00:08:32: Ist ihnen da dann nicht schlichtweg ihr eigenes Geschäftsmodell völlig aus den Fugen

00:08:37: geraten?!

00:08:38: Ich meine sie haben sicher ein extrem kritisches Ziel ausgesucht.

00:08:41: wenn du die Treibstoffversorgung der USA lahm legst hast du doch am nächsten Tag das FBI, die NSA und das Militär am Hals?

00:08:48: Absolut!

00:08:49: Das war ein massiver strategischer Fehler von diesem Affiliat.

00:08:53: Die haben die Grenze von normaler Wirtschaftskriminalität zu einem nationalen Sicherheitsrisiko überschritten.

00:08:59: Eben, und Kriminelle wollen doch eigentlich lieber im Schatten bleiben?

00:09:03: Richtig!

00:09:04: Präsident Biden hat ja dann sogar den Notstand ausgerufen – das Justizministerium, die CISA, die gesamte Maschinerie der US-Regierung ist da hochgefahren.

00:09:14: Die Hecker haben sich die größte Zielscheibe der Welt auf den eigenen Rücken gemalt

00:09:17: Was uns zu der Frage bringt, die wahrscheinlich jeden Unternehmer gerade brennend interessiert.

00:09:21: Ich versuche das wirklich zu begreifen.

00:09:24: Colonial Pipeline ist ein Acht Milliarden Dollar Unternehmen.

00:09:28: Ja?

00:09:29: Der CEO hat später ausgesagt sie hätten hunderte Millionen Dollar in die IT gesteckt und dann kommen diese Hacker einfach rein!

00:09:38: Wie zur Hölle ist das passiert?

00:09:41: Gab es da so einen hochkomplexen Zero Day Exploit?

00:09:45: Nein... Die Realität ist fast schon schmerzhaft banal.

00:09:50: Es gab keinen krassen Hollywood-Hack!

00:09:53: Der ganze Angriff basierte auf einem einzigen kompromittierten Passwort.

00:09:57: Ein Passwort für was?

00:09:58: Für ein altes, eigentlich inaktives VPN-Konto Ein Virtual Private Network, mit dem sich Mitarbeiter von außen ins Firmennetz einwählen können.

00:10:09: Ein einziges Passwort das wahrscheinlich irgendwo im Darknet aufgetaucht ist reicht aus um so ein riesiges Unternehmen zu Fall zu bringen?

00:10:16: Genau!

00:10:16: Es war wohl aus einem alten Datenleck einer ganz anderen Plattform.

00:10:20: Verstehe ich das richtig?

00:10:22: Das Unternehmen gibt Millionen für Firewalls aus aber am Ende war es so als hätte man die dickste Tresortür der Welt eingebaut und dann den Schlüssel einfach draußen unter die Fußmatte gelegt.

00:10:32: Das beschreibt es perfekt!

00:10:34: Das Passwort allein hätte aber vielleicht gar nicht gereicht, wenn es nicht einen fatalen zweiten Fehler gegeben hätte...

00:10:41: Und der wäre?

00:10:42: Es

00:10:42: gab keine Multifaktor-Otentifizierung für diesen Zugang.

00:10:46: Kein MFA

00:10:47: Richtig!

00:10:48: Kein Code ofs Handy kein Token.

00:10:50: Ein einfaches Passwort hat gereicht.

00:10:53: Das ist einfach fehlende digitale Hygiene.

00:10:55: Aber wie kann so ein Zugang überhaupt noch aktiv

00:10:58: sein?!

00:10:58: Das ist ein klassisches Problem.

00:11:00: Unternehmen wachsen, Leute verlassen die Firma.

00:11:03: alte Systeme werden vergessen aber nicht abgeschaltet.

00:11:06: wir nennen das Netzwerkvollnis oder Shadow IT.

00:11:09: Die Hacker haben das Passwort einfach probiert und zack waren sie im internen Netzwerk

00:11:14: Und von da aus konnten Sie sich ausbreiten.

00:11:15: Genau!

00:11:17: Lateral bewegen, Rechte sichern, Daten abziehen und die Ransomware zünden.

00:11:22: Cyberrisiken enden heute einfach nicht mehr an der Firewall.

00:11:25: Damit lag das Problem dann ja voll auf dem Schreibtisch von CEO Joseph Blount.

00:11:30: Die Pipeline steht, fünfzig Millionen Menschen haben bald kein Benzin mehr – was machst du da?

00:11:35: Blount entscheidet sich am Ende dazu zu zahlen!

00:11:37: Ja….

00:11:38: Das war am siebten oder achten Mai.

00:11:40: Fünfundsiebtzig Bitcoin – das waren damals etwa vier Komma vier Millionen US-Dollar.

00:11:44: und das obwohl das FBI und die US Sicherheitsbehörde CISA immer dringend davon abraten Lösegeld zu zahl'n.

00:11:51: Richtig

00:11:52: …das FBI sagt immer Zahlen belohnt Kriminelle und es gibt keine Garantie.

00:11:57: Hat der CEO da also aus reiner Panik gehandelt, und die Prinzipien geopfert?

00:12:03: Es ist eher ein extremes Dilemma zwischen Theorie-und Praxis.

00:12:08: Die Behörden argumentieren makroökonomisch – jede Zahlung finanziert die nächste Ransomware-Kampagne.

00:12:14: Okay….

00:12:15: Und der CEO?

00:12:16: Der muss pragmatisch handeln!

00:12:18: Seine Aufgabe ist Business Continuity.

00:12:21: Er wusste, jeder Tag Stillstand gefährdet die nationale Infrastruktur und kostet Millionen.

00:12:27: Er hat im Grunde keine Garantie gekauft, sondern nur die kleine Hoffnung auf eine schnelle

00:12:31: Lösung.".

00:12:32: Aber Moment mal!

00:12:34: Man zeigt Millionen an Kriminelle in der Hoffnung für einen goldenen Entschlüsselungscode?

00:12:40: Und dann habe ich in den Berichten gelesen, dass dieses Tool von Darkseid so extrem langsam war, das sie am Ende doch alles selbst machen mussten….

00:12:49: Das ist die bittere Ironie an der Geschichte.

00:12:51: Ein teureres Lehrgeld kann es ja wohl kaum geben, oder?

00:12:54: Kaum.

00:12:55: Das Problem ist, Ransomware ist darauf programmiert Daten extrem schnell zu verschlüsseln.

00:13:00: Die Entschlüsselungstools hingegen die man dann kriegt sind oft total ineffizient programmiert.

00:13:05: Den Hackern ist es ja auch egal wie schnell du deine Daten zurückbekommst.

00:13:08: Hauptsache sie haben das Geld

00:13:10: Exakt!

00:13:11: Das Tool war so träge dass Colonial Pipeline sowieso auf die eigenen internen Backups zurückgreifen musste um die Systeme wieder hochzufahren.

00:13:18: Also war das Geld eigentlich umsonst bezahlt?

00:13:20: Das Geld schien weg zu sein Doch dann folgte ja etwa ein Monat später einen echter Gegenschlag der Justiz, was sich super spannend

00:13:28: fand.

00:13:28: Ohja!

00:13:29: Die Pressekonferenz vom siebten Juni...

00:13:31: Das Justizministerium gibt bekannt dass das FBI, dreiundsechzig Komma Sieben, der fünfundsiebzig Bitcoins sicherstellen konnte.

00:13:38: Der Wert war wegen eines Krypto-Crushes inzwischen zwar auf etwa zwei Komma Drei Millionen Dollar gesunken

00:13:43: aber immerhin.

00:13:45: Das ist doch faszinierend.

00:13:46: die Angreifer dachten wahrscheinlich sie nutzen das sicherste unsichtbarste Zahlungsmittel der Welt.

00:13:52: Wie holt das FBI denn Krypto-Geld zurück?

00:13:54: Das ist ein riesiges Missverständnis.

00:13:57: Bitcoin ist nicht völlig anonym...

00:13:59: Nicht!

00:14:00: Nein, es ist transparent und pseudonym – die Blockchain ist im Grunde ein riesiges offenes Kassenbuch.

00:14:07: Jede Transaktion ist dafür immer gespeichert und öffentlich einsehbar.

00:14:12: Es ist also eher eine glasklare Spur aus digitalen Brotkrummen der die Ermittler einfach folgen konnten.

00:14:18: Exakt Colonial hat das FBI extrem schnell eingeschaltet.

00:14:22: Die Ermittler konnten dann genau sehen, wie die Hacker die Bitcoins über mehrere Wallets verschoben haben.

00:14:28: Aber Seen heißt ja nicht gleich rankommen Man braucht doch ein Passwort für diese Wallets oder?

00:14:32: Ja den sogenannten Private Key Einen digitalen Schlüssel.

00:14:38: Und dem FBI ist es irgendwie gelungen an den Private Key von der Wallet zu kommen auf der das Geld geparkt war.

00:14:44: Wie haben sie das gemacht?

00:14:44: Haben Sie das verraten?

00:14:46: Die offiziellen Methoden bleiben geheim Aber meistens liegt das an Fehlern der Hacker selbst.

00:14:51: Also schlechte Sicherheit bei den Cyberkriminellen?

00:14:53: Genau!

00:14:55: Wenn die ihren Key auf einem Server in einem Land speichern, mit dem die USA kooperieren kann das FBI den Server infiltrieren oder beschlagnahmen.

00:15:03: Krass – Die Angreifer haben also ihre eigene Medizin zu schmecken bekommen.

00:15:06: sie hatten selbst ihre sensibelsten Daten nicht im Griff.

00:15:09: So sieht es aus.

00:15:10: Okay….

00:15:11: Das ist zwar eine tolle Genugtuung aber wenn wir mal ehrlich sind für die Zuhörer Wenn du Betreiber eines Wasserwerks oder einer Lukistikfirma bist, bringt dir das im Ernstfall wenig.

00:15:23: Die Pipeline stand trotzdem still!

00:15:26: Aus unseren Quellen lassen sich ja wirklich überlebenswichtige Lehren ziehen.

00:15:31: Was sind denn so die wichtigsten Empfehlungen als Blueprint für die Zukunft?

00:15:35: Der allererste Punkt und das sollte jetzt echt jedem klar sein ist die strikte Trennung von ITV & OT.

00:15:41: Also Netzwerksegmentierung

00:15:43: Genau.

00:15:44: Und Multifakte-Authentifizierung für wirklich alle externen Zugänge!

00:15:49: Ohne Ausnahmen, auch regelmäßige Überprüfungen – wer überhaupt welche Rechte im System hat?

00:15:54: Ja man darf halt keine alten VPN-Zugänge rumliegen lassen.

00:15:58: Was ich in den Berichten auch stark fand das Thema Krisenmanagement.

00:16:03: die betonen immer wieder wie wichtig getestete Wiederanlaufpläne sind.

00:16:08: Ein Backup bringt dir nichts, wenn du im Notfall drei Wochen brauchst um es einzuspielen.

00:16:13: Man muss sowas wie Feuerwehrübungen machen.

00:16:16: Sogenannte Tabletop-Übungen ne?

00:16:18: Richtig!

00:16:19: Man muss einen ransomware Vorfall am Tisch mit der IT, der Geschäftsführung und auch der Kommunikationsabteilung durchspielen.

00:16:25: Vorbereitung ist alles.

00:16:27: Die beste Verteidigung ist Resilienz

00:16:30: Also die Fähigkeit nach einem Angriff schnell wieder aufzustehen

00:16:33: Genau.

00:16:34: Und für Unternehmen allgemein Geld!

00:16:36: Ransomware ist kein reines IT-Problem mehr, das ist ein Geschäftsrisiko.

00:16:41: Man muss seine kritischen Prozesse kennen und auch Abhängigkeiten von Dienstleistern prüfen.

00:16:45: Ja da kommt ja auch noch zur Perspektive für Versicherer und Berater dazu – die müssen branchenübergreifende Cumulierrisiken bewerten.

00:16:52: Also was passiert wenn bei einem Dienstleista das Licht ausgeht und plötzlich hundertfünfe stillstehen?

00:16:57: Das muss realistisch kalkuliert werden... Technische Mindeststandards wie MFA und Backups müssen einfach Pflicht in der Beratung sein?

00:17:04: Und man muss Cyberrisiken als Managementaufgabe sehen, nicht als Produktfrage für die IT-Abteilungen.

00:17:14: Wenn man sich das Ganze am Ende mal durch den Kopf gehen lässt – überlegt ihr mal!

00:17:17: Wenn ein einziges Vergessenes Passwort ausreicht um Menschen dazu zu bringen, sich an Tankstellen zu prügeln und Benzin in Plastiktüten abzufüllen

00:17:26: Ja, das war völlig absurd.

00:17:28: Wie fragil ist dann das Vertrauen in unserer hochvernetzte moderne Welt wirklich?

00:17:34: Die eigentliche Gefahr bei solchen Angriffen ist vielleicht gar nicht der Ausfall der Technik sondern der ausfall der gesellschaftlichen ordnung wenn die technik versagt.

00:17:43: vielen dank dass du bei dieser folge dabei warst.

00:17:46: denkt daran cyber sicherheit beginnt nicht erst beim großen angriff sondern bei den kleinen entscheidungen im alltag.

00:17:52: wenn ihr die folge gefallen hat abonnieren.