Cyber-Erpressungen nehmen zu: Geld oder Daten!
Kriminelle wollen eine halbe Million Euro in der Kryptowährung Monero vom Landkreis Anhalt-Bitterfeld erpressen. Das ist kein Einzelfall.
Was macht man, wenn eine Behörde von einem massiven Cyberangriff lahmgelegt wird? Wenn die Mitarbeitenden dringend darauf hingewiesen werden müssen, dass sie ihre Rechner herunterfahren sollen, damit das schon im System befindliche Virus nicht noch mehr Schaden anrichten kann? Wenn das aber aus gegebenem Anlass natürlich nicht per E-Mail geht? Dann kann sich glücklich schätzen, wer noch über eine Lautsprecheranlage verfügt.
Der Landkreis Anhalt-Bitterfeld – 8 Standorte, 20 Ämter, rund 1.000 Mitarbeiter:innen –, der am 6. Juli vergangenen Jahres von einer solchen Attacke getroffen wurde, hatte so zumindest ein Werkzeug, um im allerersten Moment nach der Entdeckung des Angriffs Notfallmaßnahmen einleiten zu können. Es war nicht der erste Angriff dieser Art auf eine Institution der öffentlichen Hand, aber einer, der besonders viel Aufmerksamkeit erlangte. Denn der Landkreis entschloss sich schnell, den Katastrophenfall auszurufen. Das ist eine Maßnahme, die sonst etwa bei extremen Wetterereignissen vorkommt – aber bislang nicht bei einem Cyberangriff.
Die Angreifer:innen kamen vermutlich über eine Phishing-Mail ins System. Die Forderung der Gruppe „Pay or Grief“ (Zahle oder trauere): eine halbe Million Euro, zu zahlen in der Kryptowährung Monero. Im Vergleich zu Angriffen auf Wirtschaftsunternehmen eine überschaubare Summe. Dass sie es dennoch ernst meinten mit der Drohung, machten die Angreifer:innen bald nach der Attacke deutlich: Sie veröffentlichten einen Teil der erbeuteten Daten, darunter Handynummern und Bankverbindungen von Kreistagsabgeordneten sowie Sitzungsprotokolle.
Attacken mit Erpressersoftware – Ransomware genannt – sind einer der großen Cybercrime-Trends der vergangenen Jahre. Das Prinzip: Kriminelle verschaffen sich Zugang zum IT-System ihres Opfers und verschlüsseln und/oder kopieren die Daten. Anschließend setzen die Angreifer:innen die Opfer unter Druck. Sie sollen ein Lösegeld zahlen, andernfalls blieben die Daten verschlüsselt, würden veröffentlicht oder Dritte wie Geschäftspartner:innen oder Patient:innen über den Angriff informiert und so die Reputation infrage gestellt.
Kryptowährung als übliches Zahlungsmittel
Das Vorgehen ist so beliebt, dass sich eine eigene Branche in der Branche entwickelt hat: Ransomware as a Service. Dabei vermieten Ransomware-Entwickler:innen ihre Software. Auch wer selbst keine Ahnung von entsprechender Programmierung hat, kann so Angriffe fahren. Die Zahlung läuft auch hier typischerweise per Kryptowährung.
„Cyber-Erpressungen entwickeln sich zur größten Bedrohung“, schreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Jahresbericht 2021. Die Folgen „können tage- oder wochenlange Netzwerkausfälle bedeuten, in denen Produktion oder Dienstleistungsangebote nur eingeschränkt oder gar nicht mehr zur Verfügung stehen“.
Dabei sind Online-Erpressungen kein neues Phänomen. Sehr wohl aber die Summen, die die Angreifer:innen verlangen – und die teilweise gezahlt werden. So brachten 2021 einzelne US-amerikanische Unternehmen jeweils Summen im zweistelligen Millionenbereich auf. Bis ein Angriff bemerkt wird, kann einige Zeit vergehen. Zeit, in der die Angreifer:innen ihre Schadsoftware im System verteilen und sich weitere Zugriffe verschaffen können. Auch in Anhalt-Bitterfeld lag etwa ein Monat zwischen Infektions- und Ausbruchszeitpunkt.
„Die Situation ist beschissen, aber nicht hoffnungslos“, sagt der damalige Landrat Anhalt-Bitterfelds Uwe Schulze (CDU) kurz nach dem Angriff. Die Kreisverwaltung war in weiten Bereichen nicht mehr arbeitsfähig – ob das nun eine Bafög-Zahlung oder eine Kfz-Anmeldung betraf. Für Angreifer:innen sind Verwaltung und öffentliche Einrichtungen daher ein attraktives Ziel. Zwar sind sie in der Regel weniger finanzkräftig als Unternehmen – doch die sensiblen Daten der Bürger:innen machen sie erpressbar.
Lösegeld wurde nicht gezahlt
Anhalt-Bitterfeld entschied sich trotz allem früh gegen eine Lösegeldzahlung. „Die Frage stand ungefähr zehn Sekunden im Raum, dann hat man sich tief in die Augen geguckt und gesagt: Die öffentliche Hand wird keine Lösegeldforderungen bedienen“, berichtet Sabine Griebsch, Chief Digital Officer der Landkreisverwaltung und technische Einsatzleiterin beim Umgang mit dem Angriff, bei einer Veranstaltung im Dezember.
Dieser Text stammt aus der taz am wochenende. Immer ab Samstag am Kiosk, im eKiosk oder gleich im Wochenendabo. Und bei Facebook und Twitter.
Auch Expert:innen, etwa des BSI, raten von Lösegeldzahlungen ab. Zum einen, weil die Täter:innen das Geld in Infrastruktur und Personal neuer Angriffe stecken können. Und zum anderen, weil auch eine Zahlung keine Garantie dafür ist, die Daten wiederzubekommen.
Doch auch ohne Lösegeldzahlung sind die Kosten für den Landkreis nicht ohne. Zwei Millionen Euro seien bislang geflossen, die Systeme wieder aufzubauen. Und fertig ist man immer noch nicht. „Wir rechnen aktuell mit einem Abschluss der Arbeiten Ende 2. Quartal 2022“, sagte Griebsch im Februar der taz. Eines der grundsätzlichen Probleme: Es fehle an qualifiziertem Personal. Die Leitung des neuen IT-Amtes ist weiterhin unbesetzt, in der ersten Runde seien nur zwei Bewerbungen eingegangen und der geeignetere Kandidat abgesprungen. In der zweiten Runde dann: null Bewerbungen. Das Problem kennen auch andere Behörden. In der freien Wirtschaft lässt sich mit IT-Kenntnissen schlichtweg ein Vielfaches an Geld verdienen.
Unabhängig davon bekommen die Verwaltungen des Landkreises ein neues Niveau an IT-Sicherheit verordnet. Die Mindestpasswortlänge wurde erhöht, lokale Administrator-Accounts abgeschafft, das Bewusstsein der Mitarbeiter:innen für IT-Sicherheit und Angriffe gestärkt. Doch zu sehr in die Karten schauen lassen möchte sich Sabine Griebsch nicht. Sie geht davon aus, dass Angreifer:innen sehr genau hinschauen werden, wenn die Systeme in Anhalt-Bitterfeld wieder komplett am Netz sind – und ausloten, wie gut das Abdichten funktioniert hat.
Bislang sind im Internet nicht noch weitere persönliche Daten aufgetaucht, die von den Erpresser:innen in Anhalt-Bitterfeld erbeutet sein könnten. Es ist allerdings nicht ausgeschlossen, dass es noch dazu kommt – oder dass, bislang unentdeckt, Datensätze bereits im Darknet gehandelt werden. Sabine Griebsch rät anderen Kommunen dringend, „einen Plan B oder überhaupt einen Plan in der Tasche“ zu haben, für den Fall eines Angriffs. Ihre Vermutung: „Die paar Vorfälle, die jetzt in die Öffentlichkeit getreten sind, sind wirklich nur die Spitze des Eisberges.“
40.000 mal Danke!
40.000 Menschen beteiligen sich bei taz zahl ich – weil unabhängiger, kritischer Journalismus in diesen Zeiten gebraucht wird. Weil es die taz braucht. Dafür möchten wir uns herzlich bedanken! Ihre Solidarität sorgt dafür, dass taz.de für alle frei zugänglich bleibt. Denn wir verstehen Journalismus nicht nur als Ware, sondern als öffentliches Gut. Was uns besonders macht? Sie, unsere Leser*innen. Sie wissen: Zahlen muss niemand, aber guter Journalismus hat seinen Preis. Und immer mehr machen mit und entscheiden sich für eine freiwillige Unterstützung der taz! Dieser Schub trägt uns gemeinsam in die Zukunft. Wir suchen auch weiterhin Unterstützung: suchen wir auch weiterhin Ihre Unterstützung. Setzen auch Sie jetzt ein Zeichen für kritischen Journalismus – schon mit 5 Euro im Monat! Jetzt unterstützen
meistkommentiert
Denkwürdige Sicherheitskonferenz
Europa braucht jetzt Alternativen zu den USA
„Edgy sein“ im Wahlkampf
Wenn eine Wahl als Tanz am Abgrund verkauft wird
Überraschung bei U18-Wahl
Die Linke ist stärkste Kraft
RTL Quadrell
Klimakrise? War da was?
Absturz der Kryptowährung $LIBRA
Argentiniens Präsident Milei lässt Kryptowährung crashen
Ukraine-Verhandlungen in Saudi-Arabien
Wege und Irrwege aus München