Ein Scanner, ein altes Passwort, eine Woche zu fünft
Über Ransomware-Fälle wird meistens dann geschrieben, wenn sie spektakulär ausgehen. Dieser ging nicht spektakulär aus, und genau deshalb steht er hier: Er zeigt zwei Dinge, die man mitnehmen kann, ohne vorher alles verloren zu haben.
Der Kunde war seit Jahren unauffällig. Kein Vorfall, keine Auffälligkeit, eine dieser Umgebungen, bei denen man nach dem zehnten ruhigen Jahr innerlich das Kapitel schließt.
Der Einstieg
Zwei Schwachstellen, die einzeln lästig sind und zusammen ausreichten.
Die erste war ein veraltetes Standardpasswort auf einem Netzwerkscanner. Ein Gerät, das scannt und die Ergebnisse irgendwohin legt, seit Jahren im Netz, seit der Inbetriebnahme nicht angefasst. Die zweite war eine fehlerhafte VPN-Konfiguration, die dem Gerät und damit dem, der es übernommen hatte, mehr Reichweite gab als vorgesehen.
Es geht hier nicht darum, dass jemand geschlampt hätte. Es geht darum, wo bei einer Sicherheitsbetrachtung üblicherweise hingesehen wird: auf Server, auf Clients, auf Firewalls. Ein Scanner ist in dieser Aufzählung kein Gerät, sondern Büroausstattung. Er taucht in der Inventarliste als Anschaffung auf und nicht als System mit Anmeldedaten. Genau deshalb steht dort noch das Passwort aus dem Handbuch.
Drucker, Scanner, Kameras, Klimasteuerungen, unterbrechungsfreie Stromversorgungen mit Netzwerkkarte — die Liste der Geräte, die niemand für Computer hält, ist in jedem Netz länger, als der Betreiber vermutet.
Der Ausgang, und wo der Schaden wirklich lag
Die Verschlüsselung ließ sich vollständig vereiteln. Es gab keinen Datenverlust. Verhindert war damit die Verschlüsselung, nicht die Anwesenheit des Angreifers — und genau deshalb wurde trotzdem komplett neu aufgebaut. Das BKA wurde eingeschaltet, die betroffenen Systeme wurden komplett neu installiert, ein ohnehin für das dritte Quartal geplanter Serveraustausch wurde vorgezogen.
Klingt nach einem guten Ende, und gemessen an dem, was hätte passieren können, ist es eines.
Trotzdem war der Fall teuer — nur nicht dort, wo man es erwartet. Der wirtschaftliche Schaden entstand zum größten Teil beim IT-Dienstleister: rund eine Woche Einsatz mit fünf Personen. Eine Woche, in der fünf Leute nicht das gemacht haben, wofür sie eingeplant waren. Beim Kunden kam der Arbeitsausfall dazu, den niemand beziffert hat, weil in solchen Wochen niemand mitschreibt.
Das ist die erste Lehre, und sie ist unbequem: Ein Vorfall ohne Datenverlust ist kein Vorfall ohne Kosten. Wer die Abwehr eines Angriffs als Erfolg verbucht und danach zur Tagesordnung übergeht, verbucht eine Woche zu fünft als Nullnummer. Sie taucht in keiner Schadensstatistik auf und in keinem Sicherheitsbericht — nur im Ergebnis des Quartals.
Beim Wiederaufbau nur nicht ausführbare Dateien zurückholen
Beim Wiederaufbau wurden die Systeme neu installiert — so weit erwartbar. Aus dem Backup wurden anschließend aber nicht alle Daten zurückgeholt, sondern ausschließlich nicht ausführbare Dateitypen, nach einer eigens dafür festgelegten Endungsliste.
Der Gedanke dahinter ist so einfach, dass er beim ersten Hören unterschätzt wird. Ein Backup, das während einer laufenden Kompromittierung entstanden ist, enthält den Zustand von damals — mitsamt allem, was der Angreifer bis dahin abgelegt hat. Eine vollständige Rücksicherung stellt zuverlässig auch das wieder her. Man baut das System neu auf, holt die Daten zurück und importiert dabei möglicherweise genau die Datei, die einen beim ersten Mal hereingelassen hat.
Dokumente, Tabellen, Bilder, Datenbankauszüge kann man zurückholen. Ausführbares nicht. Was ausführbar ist, kommt aus der Installation, nicht aus der Sicherung.
Das ist keine Erfindung dieses Falls und auch nichts, was in einer Herstellerdokumentation steht. Es ist eine Entscheidung, die während der Wiederherstellung getroffen werden musste — und genau das ist der falsche Zeitpunkt dafür. Wer in dieser Lage zum ersten Mal darüber nachdenkt, welche Dateiendungen er zurücklassen will, denkt darüber nach, während fünf Leute warten.
Die Liste gehört vorher geschrieben. Sie ist eine halbe Stunde Arbeit an einem ruhigen Nachmittag und beantwortet im Ernstfall die Frage, bei der man sonst improvisiert.
Zwei Sätze zum Mitnehmen
Auch nach Jahren ohne Vorfall bleibt ein einzelnes Standardpasswort auf einem Randgerät ein vollwertiger Einstiegspunkt. Die Jahre ohne Vorfall sind kein Beleg dafür, dass es keinen gibt — nur dafür, dass ihn bisher niemand gesucht hat.
Und: Die Wiederherstellung nach einem Sicherheitsvorfall ist kein Restore. Sie ist ein Wiederaufbau, bei dem das Backup eine Datenquelle ist und keine Vorlage. Dass ein Backup auch einen kaputten Zustand zuverlässig zurückbringt, hat uns ein ganz anderer Fall vorgeführt — dort ohne jeden Angreifer.
Dass die Sicherung im Ernstfall überhaupt bereitsteht, ist dabei keine Selbstverständlichkeit. Was sie stillschweigend aushöhlt, steht in Wenn die Sperre länger hält als die Aufbewahrung und im stillen Backup-Ausfall.