Der Experte vom Chaos Computer Club (CCC) sieht den enormen Hackerangriff auf die Landesbehörden in Berlin im Gespräch mit Euronews auch als eine Chance.
100-prozentige Sicherheit gibt es nicht, aber offenbar haben "leicht zu erratende Passwörter" und andere Unachtsamkeiten den Hackerangriff in Berlin erleichtert. Das erklärt der Experte Dirk Engling vom Chaos Computer Club im Gespräch mit Euronews nach dem enormen Zugriff auf die Daten der Landesbehörden von Berlin.
WERBUNG
WERBUNG
Der Software-Spezialist bestätigt, dass der Angriff der Cyberkriminellen "in seiner Breite den größten bekannt gewordenen in der Geschichte der deutschen Verwaltungen" darstellt. Die Hackergruppe Rhysida hat die abgeschöpften Daten im Darknet veröffentlicht, nachdem ihre Forderung nach 2 Millionen Euro in Bitcoin nicht erfüllt worden war.
Bundesinnenminister Alexander Dobrindt hat inzwischen auch einen sogenannten "Cyberdome" in Form eines Schutzschirms gegen Sabotage und Drohnen angekündigt.
Wahl-IT offenbar nicht vom Hackerangriff in Berlin betroffen
Die gute Nachricht ist, dass die Wahl-IT 14 Tage vor der Landtagswahl in Berlin offenbar nicht von dem Datenklau betroffen ist.
"Man kann solche Vorfälle auch als Chance begreifen, kritisch die Schutzmaßnahmen der gesamten IT-Infrastruktur zu hinterfragen", sagt Programmierer Dirk Engling vom CCC.
Der Chaos Computer Club ist - seinen eigenen Angaben nach - die größte Hackervereinigung Europas. Verschiedene CCC-Mitglieder sind auch in der Politikberatung tätig, sie verstehen sich als Vermittler im Spannungsfeld technischer und sozialer Entwicklungen.
Das gesamte Interview mit dem Sprecher des Chaos Computer Clubs, dem Software-Entwickler Dirk Engling, können Sie hier nachlesen.
Euronews: Fünf Terabyte Daten aus der Berliner Verwaltung liegen jetzt im Darknet. Wie groß ist das Problem wirklich?
Chaos Computer Club: Die schlichte Datenmenge sagt recht wenig über den Umfang eines Leaks aus, 16 Zeichen eines wichtiges Passworts für einen wichtigen Account können mehr Sprengkraft haben als Gigabyte-weise Logs. Dass aber die Angreifer eine solche Datenmenge exfiltrieren konnten, deutet darauf hin, dass die IT-Dienstleister nicht so genau hingeschaut haben, wer sich in den Systemen der Verwaltung unbefugt herumgetrieben hat. Wichtig ist aber festzustellen, dass nicht die komplette Berliner Verwaltung betroffen ist, inbesondere die Wahl-IT scheint in diesem Vorfall nicht kompromittiert.
Wie schwerwiegend ist dieser Angriff – handelt es sich um einen der größten IT-Sicherheitsvorfälle einer deutschen Landesverwaltung?
In seiner Breite ist der Vorfall schon der größte bekannt gewordene in der Geschichte der deutschen Verwaltungen. Es ist aber nicht auszuschließen, dass andere staatliche Systeme nicht ausspioniert werden, ohne dass dies in einem sehr öffentlichen Lösegeldfall mündet. In den meisten Fällen werden solche Datenlecks im Schwarz- oder Graumarkt gehandelt.
Was sagt die Tatsache, dass rund 1,4 Millionen Dateien veröffentlicht wurden, über den Umfang des ursprünglichen Zugriffs der Hacker aus?
Auch hier sagt die Menge der Dateien allein nichts über den Zugriff aus. Der Inhalt ist aber streckenweise brisant. Von Details über den Zivilschutz in der Bundesrepublik bis zu Informationen zu laufenden Verfahren der Kriminalämter und Organigramme der Behörden ist querbeet alles dabei. Diese Diversität der abgeflossenen Daten deutet darauf hin, dass weite Teile der Infrastruktur betroffen sind und die Täter sich mit erbeuteten Passwörtern ihren Zugriff noch erweitern konnten.
Was würden Sie denjenigen sagen, die jetzt Angst haben, dass ihre Daten im Darknet stehen?
Die Hürde, Einsicht in die geleakten Daten zu nehmen, ist inzwischen denkbar gering. Die Bezeichnung “Darknet” ist sehr schwammig und heißt in diesem Fall nur, dass der Zugriff die Nutzung des Anonymisierungsnetzwerks “Tor” erfordert. Dies ist inzwischen auch technisch weniger versierten Menschen möglich, das Tor-Projekt stellt beispielsweise eigens konfigurierte Versionen von Firefox zur Verfügung, in die das Protokoll eingebaut ist und auch von anderen Browsern gibt es Ableger, die sich mit wenigen Klicks installieren lassen. Damit sind die Informationen faktisch als “veröffentlicht” zu betrachten. Dies ist natürlich keine schöne Situation für die Betroffenen und mein Mitgefühl ist bei denen, die unfreiwillig Informationen von der Verwaltung verarbeiten lassen mussten und nun erhöhter Gefahr für Leib und Leben oder Folgeangriffe unter Zuhilfenahme der veröffentlichten Daten ausgesetzt sind.
Muss Berlin davon ausgehen, dass die Daten dauerhaft im Umlauf bleiben?
Die Daten sind wahrscheinlich inzwischen vielfach kopiert worden, einzig die Masse an Zugriffen auf die Files scheint gerade eine noch schnellere Verbreitung zu verhindern. Der wirklich wertvolle Teil der Informationen ist nun sehr wahrscheinlich für immer auf diese Art für interessierte Personen “öffentlich”.
Einiges kann behoben werden: Passwörter lassen sich neu vergeben, Vorkehrungen zum Zivilschutz unter Berücksichtigung des Vorfalls neu geplant werden, aber andere Dinge sind nun für immer verbrannt: Man kann nicht mal eben sein Geburtsdatum ändern und besonders exponierte Personen können nicht mal so eben umziehen.
Andere Daten sind hingegen unbedenklich: Liegenschaftskarten gehören eh nicht hinter verschlossene Server und kritische Infrastruktur sollte grundsätzlich redundant aufgebaut werden, so dass ein Leak nicht die mir nichts dir nichts die Zivilgesellschaft zum Umkippen bringen kann.
Welche Sicherheitsmaßnahmen hätten einen solchen Angriff verhindern oder zumindest deutlich früher erkennen können?
Es gibt keine einzelne Sicherheitsmaßnahme, die solche Angriffe verhindert. Ein hundertprozentig sicheres System liegt stromlos im Keller. Aber einige Dinge fallen schon ins Auge: Die im Leak sichtbar gewordenen trivial zu erratenden Passwörter können seit langem automatisch überprüft und zurückgewiesen werden. Eine Mehrfaktor-Authentifizierung der Mitarbeiter hilft gegen verlorene Passwort-Liste – bei Banken ist sowas ohnehin längst gang und gäbe. Die Gruppe, die hinter anderen Erpressungsfällen steckt, ist in der Vergangenheit durch sogenannte Phishing-Angriffe aufgefallen, also das Überrumpeln von Nutzern des Systems durch gefälschte E-Mails oder Anrufe. Dass aus so einem initialen unbefugten Zugriff heraus ein Angreifer über mehrere Tage Daten abziehen konnte, wirft Fragen auf nach fachlichen Grundlagen wie die Belastbarkeit der Kombination aus Netzwerksegmentierung, Berechtigungsmanagement, Endpoint- und Netzwerkerkennung sowie der Überwachung ausgehender Datenströme.
Muss Berlin damit rechnen, dass der Leak für weitere Cyberangriffe auf die Verwaltung genutzt wird?
Man kann solche Vorfälle auch als Chance begreifen, kritisch die Schutzmaßnahmen der gesamten IT-Infrastruktur zu hinterfragen. Eine Bestandsaufnahme, welche Systeme von den geklauten Passwörtern geschützt wurden, welche sensiblen Informationen über Menschen als “Sicherheitsfragen” hinterlegt wurden, ob sich eventuell noch Hintertürchen in den ausgespähten System befinden, all das kann dazu führen, alte Zöpfe abzuschneiden und ein neues System aufzusetzen, das gegen zukünftige Angriffe sicherer ist.Es ist auch wegen des offenbar gewordenen schlechten Zustands der Sicherung schwerlich davon auszugehen, dass die Mitglieder der hinter diesem Angriff stehenden Gruppe die einzigen waren, die Einblick in diese Daten genommen haben. Vielleicht ist es sogar besser, dass wir nun alle gewarnt sind, welche hochsensiblen Daten lange faktisch ungeschützt herumlagen und bei mehr oder minder freundschaftlich gesinnten staatlichen Hackern anderer Länder geflissentlich in Datenbanken für den Fall der Fälle sortiert wurden.
Was sollte Berlin jetzt sofort tun, um Folgeschäden zu verhindern?
Es gibt keine eine Wunderwaffe, ein hochkomplexes System wie eine Verwaltung von heute auf morgen abzusichern. Sicherheit ist auch immer ein Prozess, an dem alle Beteiligten gleichermaßen teilhaben müssen. Die offensichtlichsten Schritte wie das Abschalten kompromittierter Server und das Neuvergeben von Passwörtern sind augenscheinlich schon in die Wege geleitet. Aber die Administration muss nun tief in sich gehen, ein Post-Mortem über den Vorfall zusammenstellen und veröffentlichen und die Lehren daraus dokumentieren und umsetzen.
Eine Verwaltung braucht Vertrauen der Bürger, dass die gesammelten Daten sorgfältig behandelt werden.
Was praktisch passieren muss: Wie schon besprochen, müssen die Passwörter zurückgesetzt werden, am besten gleich einmal alle, aktive Sessions und ausgegebene Tokens müssen sofort invalidiert werden, Klartextpasswörter wie API-Keys müssen rotiert werden, Zertifikate müssen erneuert werden, alle privilegierten Accounts müssen kritisch überprüft werden, Mehrfaktoren-Authentisierung muss neu enroled werden, die kompromittierten System isoliert und neu aufgesetzt werden, die Logs akribisch auf noch unentdeckten Befall weiterer Systeme durchforstet werden, noch unentdeckte Hintertürchen aufgespürt und entfernt werden.
Ist der Angriff ein Beleg dafür, dass öffentliche Verwaltungen in Deutschland ihre IT-Sicherheit grundsätzlich neu aufstellen müssen?
Der Vorfall ist ein deutliches Fanal, dass das Kokettieren mit der Hilflosigkeit den IT-Systemen gegenüber ein Ende haben muss. Digitale Souveränität stellt sich nicht ein, indem man schlicht auf die Administration zeigt, sondern indem es selbstverständlich wird, mit Stolz den mündigen Umgang mit der IT zu meistern.