Ich bin Jens Decker. In meiner Rolle als Berater, Unternehmer und Gesch\u00e4ftsf\u00fchrer mehrerer IT-Unternehmen habe ich mich auf die Vorbereitung von Unternehmen auf Cyberangriffe spezialisiert und helfe ihnen dabei, solche Vorf\u00e4lle zu bew\u00e4ltigen. Was ich hier schildere, ist kein Theorieszenario, sondern eine Erfahrung, die ich pers\u00f6nlich gemacht habe.<\/p>\n\n\n\n
Es war ein sp\u00e4ter M\u00e4rzabend im Jahr 2022. Nach einem langen Tag, der gegen sechs Uhr morgens begonnen hatte, war ich endlich in meinem Hotelzimmer. Als ich einen Anruf erhielt, dass mit den IT-Systemen einer meiner Kunden etwas nicht stimmte und sie teilweise unerreichbar waren, war mir klar, dass es noch eine lange Nacht werden w\u00fcrde.<\/p>\n\n\n\n
Ich machte mich umgehend auf den Weg in die Firma, die nur f\u00fcnf Minuten vom Hotel entfernt war. Dort traf ich mich mit einem Kollegen und wir gingen direkt in die Serverr\u00e4ume. Unsere erste Priorit\u00e4t war es, nach offensichtlichen Fehlern zu suchen – war die Serverhardware eingeschaltet? Gab es einen Fehler im Speicher? Gab es einen Stromausfall oder war eine Netzwerkkomponente ausgefallen? Aber soweit wir feststellen konnten, lief alles wie es sollte.<\/p>\n\n\n\n
So begann um etwa 23:30 Uhr unsere tiefergehende Suche nach einem m\u00f6glichen Fehler. Wir versuchten vergeblich, per Remote Desktop auf einen der Domain Controller zuzugreifen und entschieden uns ein physisches Terminal anzuschlie\u00dfen. Wir sahen beim Einschalten des Bildschirms ein normales Login-Fenster, doch der Login funktionierte nicht. Langsam keimte in uns der Verdacht auf, dass wir es mit etwas Ernsthaftem zu tun hatten.<\/p>\n\n\n\n
Wir wollten uns einen \u00dcberblick verschaffen und gingen mit dem Terminal die ESXi Hosts durch. Bei jedem Host, an den wir uns anschlossen, sahen wir nur einen wei\u00dfen Text auf einem schwarzen Bildschirm “Hypervisor not found”. Der Verdacht wuchs mit jedem Host den wir uns ansahen.<\/p>\n\n\n\n
Um 23:50 Uhr war uns dann endg\u00fcltig klar, dass etwas Ernsthaftes vor sich ging. Wir zogen sofort alle Stecker und trennten alle Serverkomponenten in beiden Rechenzentren vom Strom, um den laufenden Angriff zu stoppen. Um 0:10 Uhr war alles aus und es stellte sich die Frage: “Wie geht es weiter?”. Wir waren uns aber sicher, dass wir den Angriff zumindest aufgehalten hatten. Dies war der Moment, um kurz innezuhalten.<\/p>\n\n\n\n
Wir gingen nach drau\u00dfen, z\u00fcndeten uns eine Zigarette an und \u00fcberlegten uns die n\u00e4chsten Schritte. Das Wichtigste war jetzt, Ruhe zu bewahren und \u00fcberlegt zu handeln. Es wurde uns bewusst, dass wir uns auf eine schlaflose Nacht einstellen mussten, auch die n\u00e4chsten Tage w\u00fcrden eher einem Marathon gleichen und ganz sicher kein Spaziergang werden.<\/p>\n\n\n\n
Die Uhr zeigte 0:45 Uhr, als wir begannen, die wichtigsten Stellen im Unternehmen zu informieren. Unsere Kollegen in der IT waren sofort wach und gef\u00fchlt noch w\u00e4hrend dem Gespr\u00e4ch auf dem Weg zu uns. Wir brauchten jetzt alle Mann an Deck. Dann informierten wir die Inhaber der Firma und wichtige Entscheidungstr\u00e4ger. Die Rufbereitschaft sprach zun\u00e4chst von einem gr\u00f6\u00dferen IT-Ausfall, der sich bis zum n\u00e4chsten Tag hinziehen wird, um die Informationshoheit den Inhabern zu \u00fcberlassen.<\/p>\n\n\n\n
Die folgenden Stunden waren von intensiven Gespr\u00e4chen und Entscheidungen gepr\u00e4gt. Gegen drei Uhr morgens hatten wir die wichtigsten Personen informiert und es war allen klar, dass wir uns inmitten eines Cyberangriffs befanden. Um 3:30 Uhr stand dann auch endg\u00fcltig fest, was passiert war: Die Backups waren verschl\u00fcsselt, die Systeme zum Teil betroffen und ausgeschaltet. Wir waren wieder in der “Steinzeit” angekommen. Es war nichts mehr da au\u00dfer ein Block Papier und ein Bleistift.<\/p>\n\n\n\n
In den fr\u00fchen Morgenstunden bildete sich ein spontaner Krisenstab. Bis 5 Uhr gab es immer wieder Abstimmungen zwischen IT und Krisenstab, um Systeme und Kunden zu priorisieren. Wir \u00fcberlegten, wie wir die Systeme am besten wieder online nehmen sollten. Sp\u00e4testens zu diesem Zeitpunkt war allen Beteiligten klar, dass wir den operativen Betrieb f\u00fcr die n\u00e4chsten Tagen einstellen m\u00fcssen. Die Konsequenzen waren, das mehrere Tausend Mitarbeiter nicht zur Arbeit kommen konnten, hunderte Partner und Kunden keine Waren \/ Dienstleitungen bekamen. Die Firma stand am Rande des Abgrunds, wir hatten somit nur wenige Tage Zeit die IT wieder zum “Laufen” zu bekommen.<\/p>\n\n\n\n
R\u00fcckblickend verloren wir leider bis acht Uhr morgens wertvolle Zeit damit, einen Plan zu erstellen, den wir besser bereits “in der Schublade” gehabt h\u00e4tten. Erst ab 9 Uhr konnte die IT damit beginnen, die ersten Systeme in einer Notfallumgebung wieder aufzubauen. Hierf\u00fcr hatten wir inzwischen auch unsere IT-Partner mit ins Boot geholt. Zum Gl\u00fcck hatten wir bereits ein wirkliches gutes Netzwerk an Partnern, auf die wir uns verlassen konnten.<\/p>\n\n\n\n
Parallel dazu entschied der Krisenstab, die Darknet-Adresse zu \u00f6ffnen, die wir in einer Datei auf nahezu allen Systemen gefunden hatten. Keine gute Idee, wie sich herausstellen sollte. Mit dem \u00d6ffnen der Adresse begann ein Chat mit dem “Kundenservice” der Angreifer, die freundlichen “Mitarbeiter” setzen uns sofort ein Ultimatum von 24 Stunden. Sie forderten ein L\u00f6segeld in siebenstelliger Euro H\u00f6he in Bitcoin und boten uns im Gegenzug die Herausgabe der Entschl\u00fcsselungssoftware inklusive Passwort an. Sie versprachen, die exfiltrierten Daten zu l\u00f6schen und nicht zu ver\u00f6ffentlichen, wenn wir das L\u00f6segeld bezahlen w\u00fcrden. Wir haben nicht bezahlt. Die ersten Daten wurden nach 24 Stunden ver\u00f6ffentlicht.<\/p>\n\n\n\n
Gemeinsam mit unseren Partnern gelang es uns, um 22 Uhr des Folgetages die Basis-Komponenten der Infrastruktur neu aufzusetzen. Um 3 Uhr nachts waren die ersten Schichten geplant, der Krisenstab war aufgeteilt und 24h besetzt, die Techniker schliefen im Konferenzraum unter den Tischen, immer mal wieder f\u00fcr ein paar Stunden.<\/p>\n\n\n\n
Endlich, um vier Uhr morgens – fast 48 Stunden nach meinem letzten Schlaf – konnte ich mich ein paar Stunden hinlegen. Die n\u00e4chsten Wochen w\u00fcrden eine Herausforderung sein, wie ich sie zuvor nur in wenigen Situationen erlebt hatte. Wir brauchten technisches Wissen, Architekturwissen, Wissen \u00fcber die “alte” Infrastruktur und Zusammenh\u00e4nge, F\u00fchrungsf\u00e4higkeit, Entscheidungskraft, Teamf\u00e4higkeit und vor allem starke Nerven.<\/p>\n\n\n\n
R\u00fcckblickend wurde mir klar, dass die beste Waffe gegen Cyberangriffe die Vorbereitung ist. Es ist entscheidend, im Vorfeld eine gute Beziehung zu Dienstleistern aufzubauen und klare Krisenpl\u00e4ne zu erstellen. Es gibt keine Garantie, dass Sie einen Cyberangriff verhindern k\u00f6nnen, aber mit der richtigen Vorbereitung k\u00f6nnen Sie sicherstellen, dass Sie bereit sind, wenn er kommt.<\/p>\n","protected":false},"excerpt":{"rendered":"
Ich bin Jens Decker. In meiner Rolle als Berater, Unternehmer und Gesch\u00e4ftsf\u00fchrer mehrerer IT-Unternehmen habe ich mich auf die Vorbereitung von Unternehmen auf Cyberangriffe spezialisiert und helfe ihnen dabei, solche Vorf\u00e4lle zu bew\u00e4ltigen. Was ich hier schildere, ist kein Theorieszenario, sondern eine Erfahrung, die ich pers\u00f6nlich gemacht habe. Es war ein sp\u00e4ter M\u00e4rzabend im Jahr […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-2867","post","type-post","status-publish","format-standard","hentry","category-uncategorized"],"_links":{"self":[{"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/posts\/2867","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=2867"}],"version-history":[{"count":1,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/posts\/2867\/revisions"}],"predecessor-version":[{"id":2868,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/posts\/2867\/revisions\/2868"}],"wp:attachment":[{"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=2867"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=2867"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=2867"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}