Cyberangriff bei MTS

Das Vertriebsunternehmen MTS mit Firmensitz im beschaulichen Wolfratshausen/Oberbayern ist vergangenes Wochenende Ziel eines Cyber-Angriffs geworden. Wie MTS in einer Pressemeldung bekannt gegeben hat, wurden von den Hackern alle Serverdaten verschlüsselt. MTS wurde zur Zahlung einer hohen Lösegeldsumme aufgefordert. „Wir haben mit allen dafür verantwortlichen Stellen (Polizei, Bundes- und Landesämter, Versicherung etc.) Kontakt aufgenommen und die notwendigen Schritte eingeleitet“, erklärt MTS in seiner Meldung. MTS hat bereits alle Rechner zur Datenwiederherstellung an einen hochspezialisierten Entschlüsselungsexperten gegeben. „Wir müssen aber davon ausgehen, nicht vor nächster Woche wieder voll arbeitsfähig zu sein“, heißt es von MTS. Das Unternehmen entschuldigt sich bei seinen Kunden für alle eventuellen Unannehmlichkeiten und bittet um Verständnis und Unterstützung in dieser schwierigen Situation.
 
MTS hat für seine Partner und Händler alle wichtigen Informationen zum Daten-Hack und dessen Auswirkungen kurz und bündig zusammengefasst – wir geben diese Agenda hier 1-zu-1 wieder:
 
Kommunikation:
"Unsere Telefonanlage funktioniert wieder, unser Außendienst ist wie gewohnt erreichbar und auch die bekannten E-Mailadressen funktionieren ohne Probleme. Es besteht auch keine Gefahr einer Infizierung bei Kommunikation mit uns. Sie können uns also jederzeit auf den gewohnten Wegen erreichen."

Auslieferungen:
"Sofortaufträge können wir schnell zur Auslieferung bringen, wenn uns diese als E-Mail (am besten in PDF-Form), als Fax oder auf telefonischem Wege erreichen. Wichtig ist dabei, dass Sie uns die genaue Lieferanschrift mitteilen, da wir keinen Zugang zu den hinterlegten Daten haben. Als Proforma-Lieferschein legen wir den Kommissionierschein mit bei und Ihren ausgedruckten Auftrag. Alle Terminaufträge liegen uns in ausgedruckter Form vor und Sie müssen sich nicht darum kümmern, solange Sie keine Änderungen wünschen."

EDI:
"Ankommende Bestellungen können wir sehen und ausdrucken, eine Übertragung auf herkömmlichen Weg wäre uns aktuell aber definitiv lieber. Aktuell können wir keine Rückübertragungen in EDI (DESADV-Lieferschein oder INVOIC-Rechnung) machen."

Rechnungen:
"Werden erst erstellt, wenn wir wieder über unsere Warenwirtschaft verfügen können."

Datenleck:
"Den Erpressern geht es in erster Linie um Lösegeldzahlungen, wir können aber ein Datenleck und eine Weitergabe Ihrer Daten nicht 100 Prozent ausschließen. Einkaufsdaten (wer was wieviel bei uns eingekauft haben) sind ja nicht besonders sensible Daten, aber bei unseren Kunden mit Lastschriftverfahren wäre es möglich, dass auch die Kontoverbindungen geleakt wurden. Auch damit kann man zunächst nicht allzu viel anfangen, aber wir möchten Sie bitten, in nächster Zeit Ihre Abbuchungen genauer zu prüfen und ggf. zurückgehen zu lassen. Bitte entschuldigen Sie alle eventuellen Unannehmlichkeiten und wir möchten Sie um Verständnis und Unterstützung in dieser schwierigen Situation bitten. In jedem Fall werden wir Sie auf dem Laufenden halten.“

Cyberkriminalität - Wie groß ist die Gefahr, wie ist das richtige Verhalten, wenn man Opfer einer Attacke wurde und wie kann man sich davor schützen? Wir haben Konstantin Pfliegl, IT-Experte und Redakteur unserer Schwesterpublikation "Com! professional", um vier Tipps gebeten.

Konstantin Pfliegl: „Opfer bemerken eine Infektion mit Ransomware meist erst dann, wenn auf dem Bildschirm die Lösegeldforderung erscheint. Dann ist das Kind bereits in den Brunnen gefallen - und es sind Daten verschlüsselt. Um den Schaden zu begrenzen, sollten betroffene Rechner unverzüglich vom Netzwerk getrennt werden. Anschließend scannt man das betroffene System mit einer Antivirenlösung und entfernt verdächtige Dateien. Da jede Woche neue Ransomware-Varianten auftauchen, gibt es kein Patentrezept, wie sich die Dateien entschlüsseln lassen. Empfohlen wird ein Wiederherstellen der Daten aus einem Backup.

Wenn nicht klar ist, welche Systeme genau betroffen sind, dann hilft in vielen Fällen ein Blick in die Protokolldateien weiter – so lässt sich ermitteln, welche Rechner zur fraglichen Zeit Zugriff auf Netzlaufwerke hatten. Auch die Metadaten verschlüsselter Dateien liefern Hinweise darauf, welche Benutzerkonten diese Dateien erzeugt haben.

Wenn die Situation komplexer ist oder diese Methoden nicht weiterhelfen, dann sollte man sich frühzeitig externe Hilfe durch einen erfahrenen Dienstleister aus dem Bereich IT-Security holen. Unternehmen sollten in jedem Fall eine Strafanzeige erstatten. Für die Aufklärung der Straftaten ist es wichtig, auch dem Weg der Infizierung auf die Spur zu kommen. Polizeiliche Ermittlungen erlauben weitergehende Untersuchungen wie die Verfolgung des Flusses der gezahlten Lösegelder.“
 
SAZsport: Zahlen oder nicht bezahlen? Was sagen die Profis?

Pfliegl: „Es ist nachvollziehbar, dass viele Unternehmen dazu neigen, das geforderte Lösegeld zu bezahlen. Die mehreren Tausend Euro, wie sie oft gefordert werden, fallen in der Regel weniger ins Gewicht als die Kosten für die Wiederherstellung der Daten - sofern das überhaupt möglich ist. Dennoch: Man sollte nicht zahlen! Mit der Zahlung des Lösegelds kapituliert man vor der Cyberkriminellen und unterstützt sie noch. Erst wenn möglichst viele Opfer nicht bezahlen, wird das illegale Erpressergeschäft unprofitabel.“
 
SAZsport: Wie kann man sich bzw. sein Unternehmen vor „Datenhacks“ schützen?

Pfliegl: „Als Unternehmen sollte man sich im Klaren darüber sein, dass die Frage nicht mehr ist, ob man erfolgreich angegriffen wird, sondern wann. Und: eine hundertprozentige Sicherheit gibt es nicht. Aber selbstverständlich kann man etwas für die Cybersecurity tun. Das Ziel sollte sein, dass Sicherheits-Level zu erhöhen – und es so dem Angreifer so schwer wie möglich zu machen.

Leider haben das aber viele Unternehmen noch nicht erkannt. In vielen Betrieben besteht dringender Handlungsbedarf beim Thema IT-Sicherheit. So empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI), 20 Prozent des IT-Etats in Sicherheit zu investieren. Nach Schätzungen geben Unternehmen aktuell weniger als 10 Prozent ihres IT-Budgets für Sicherheitsmaßnahmen aus.
Zum Beispiel die Gefahr von Ransomware und die kostspieligen Folgen kann man mit folgenden Tipps deutlich minimieren: Regelmäßige Backups anlegen, Updates und Patches installieren, Sicherheits-Tools installieren – und, ganz wichtig – Security-Awareness-Trainings für die Mitarbeiter.“
 
SAZsport: Und vielleicht auch noch spannend: Erfolgen die Hacks willkürlich, oder steckt ein System dahinter?

Pfliegl: „Sowohl als auch. Neben massenhaften Angriffsversuchen auf Unternehmen kommt es immer öfter auch zu gezielten Angriffen auf bestimmte Unternehmen. Diese gezielten Angriffe sind in der Regel deutlich ausgefeilter und die Systeme und Netze des angegriffenen Unternehmens werden ausführlich von den Cyber-Schurken erforscht. Erst dann kommt es zum Beispiel zu einer Verschlüsselung der Daten. Dieses aufwendige Vorgehen sorgt für eine größere Störung des Betriebsablaufs und es können höhere Lösegelder gefordert werden.“