Stadt Wien: Einbruch in Online-Speicher flog nur durch Zufall auf
Was bekannt ist: der Fall in Kürze
Nach dem, was heise online berichtet, haben Unbefugte Dokumente der Stadt Wien aus einem Online-Speicher heruntergeladen. Das ist der Kern der Meldung. Interessant ist weniger der Einbruch selbst als der Weg, auf dem er ans Licht kam: Die Schwachstelle, über die der Zugriff möglich war, wurde zum Kauf angeboten. Erst dadurch wurde der Vorfall entdeckt. Die Details dazu, etwa welche Art von Dokumenten betroffen war, wie viele es waren oder wie lange der Zugriff bestand, nennt die uns vorliegende Zusammenfassung nicht. Darüber spekulieren wir hier bewusst nicht. Wer die Einzelheiten nachlesen will, findet sie bei heise online.
Trotzdem lässt sich aus dem bekannten Teil schon viel ableiten. Eine Stadtverwaltung ist keine kleine Bude ohne IT-Abteilung. Sie hat Personal, Budgets, Vorgaben und Verantwortliche für Informationssicherheit. Wenn selbst dort ein Einbruch nicht durch die eigene Überwachung auffällt, sondern über den Handel mit der Lücke, dann sollte sich jeder Mittelständler fragen, wie er selbst einen solchen Vorfall überhaupt bemerken würde.
Warum der Zufallsfund das eigentliche Problem ist
Man kann die Geschichte als Erfolg lesen: Der Vorfall wurde schließlich entdeckt. Man kann sie aber auch als Warnung lesen, und das ist die ehrlichere Variante. Entdeckt wurde der Einbruch, weil jemand anderes die Schwachstelle zu Geld machen wollte. Hätte der Verkäufer es unterlassen, wäre der Zugriff womöglich unbemerkt geblieben. Das ist der Teil, der Sorgen machen sollte.
Ein Einbruch, den man nur durch äußere Umstände bemerkt, ist ein Einbruch ohne Erkennungsfähigkeit. In der Praxis sehen wir das auch bei kleineren Unternehmen regelmäßig: Die Frage lautet nicht, ob jemand Zugriff hatte, sondern ob man es überhaupt hätte sehen können. Wer keine Zugriffsprotokolle führt oder sie nie ansieht, kann diese Frage nach einem Vorfall nicht beantworten. Das hat zwei Folgen.
Erstens bleibt der Schaden unklar. Ohne Protokolle weiß man nicht, welche Daten abgeflossen sind. Im Zweifel muss man vom schlimmsten Fall ausgehen, also davon, dass alles, was im Speicher lag, betroffen ist. Das macht jede Meldung an Betroffene und Behörden größer und teurer, als sie sein müsste.
Zweitens bleibt die Dauer unklar. Je länger ein Zugriff unbemerkt läuft, desto mehr kann abgezogen werden. Zeit ist bei solchen Vorfällen fast immer der Faktor, der aus einem Ärgernis eine Krise macht.
Online-Speicher: bequem, aber ein attraktives Ziel
Online-Speicher und Cloud-Freigaben haben sich in den letzten Jahren in fast jedem Betrieb etabliert, oft schleichend. Ein Mitarbeiter richtet für ein Projekt eine Freigabe ein, ein Dienstleister bekommt einen Link, ein Angebot wird per Download-Link statt per Mail verschickt. Das ist praktisch, und niemand will diese Bequemlichkeit missen. Aus Sicht eines Angreifers ist ein solcher Speicher aber ein sehr lohnendes Ziel, weil dort Dokumente gebündelt liegen: Verträge, Angebote, Personalunterlagen, Kundendaten, Pläne.
Dazu kommt ein strukturelles Problem. Ein Online-Speicher ist aus dem Internet erreichbar, sonst wäre er nicht nützlich. Jede Schwachstelle in der Software dahinter, jede falsch gesetzte Berechtigung und jeder vergessene Zugang ist damit potenziell von außen nutzbar. Dass Schwachstellen gehandelt werden, zeigt der Wiener Fall ganz konkret: Es gibt einen Markt dafür, und wer eine funktionierende Lücke in verbreiteter Software hat, findet Interessenten.
Wichtig ist die Unterscheidung, woran es liegen kann. Es gibt grob drei Ursachen für einen Einbruch dieser Art:
- Eine Lücke in der Software selbst. Hier hilft vor allem schnelles Einspielen von Updates und ein Betreiber, der Sicherheitsmeldungen zeitnah umsetzt.
- Falsche Konfiguration. Zu weit gefasste Freigaben, öffentliche Links ohne Ablaufdatum, Standardpasswörter. Das ist menschlicher Fehler und gleichzeitig der häufigste Fall.
- Gestohlene Zugangsdaten. Ohne zweiten Faktor reicht ein einziges abgegriffenes Passwort.
Welche dieser Ursachen in Wien vorlag, geht aus der Zusammenfassung nicht hervor. Die Frage, die sich daraus für Sie ergibt, ist aber unabhängig davon: Welche dieser drei Türen stehen bei uns offen?
Was „Schwachstelle zum Kauf" für Unternehmen praktisch heißt
Dass eine Schwachstelle zum Kauf angeboten wird, klingt nach Geheimdienstfilm. Für die Praxis im Mittelstand ist die Konsequenz aber nüchtern: Lücken sind eine Ware. Ob sie dann gegen eine Behörde, einen Konzern oder einen Handwerksbetrieb eingesetzt werden, entscheidet nicht die Größe des Opfers, sondern die Frage, wer dieselbe Software einsetzt und wie leicht der Zugang ist.
Viele Mittelständler wiegen sich in dem Gedanken, für Angreifer uninteressant zu sein. Dieser Gedanke stimmt bei automatisierten Angriffen nicht. Wenn eine Lücke in einer verbreiteten Anwendung bekannt ist, wird breit gescannt, und es trifft jeden, der die verwundbare Version offen ins Netz stellt. Dabei fragt niemand nach der Branche oder dem Umsatz.
Daraus folgt eine unangenehme, aber hilfreiche Rechnung: Sie können nicht verhindern, dass Lücken entstehen. Sie können nur beeinflussen, wie lange eine Lücke bei Ihnen offen ist, wie viel ein Angreifer damit erreichen kann und wie schnell Sie es merken. Genau an diesen drei Stellschrauben setzt ein vernünftiges Sicherheitskonzept an, wie wir es unter IT-Sicherheit für Unternehmen beschreiben.
Zugriffe protokollieren: das Fundament, das oft fehlt
Wenn man aus dem Wiener Fall eine einzige technische Lehre ziehen will, dann diese: Ohne Protokolle gibt es keine Erkennung. Protokollierung klingt langweilig und wird deshalb gern aufgeschoben. Sie ist aber die Voraussetzung dafür, dass aus einem unbemerkten Einbruch ein erkannter Vorfall wird.
Was sollte ein Online-Speicher im Betrieb mindestens aufzeichnen?
- Wer hat sich wann und von welcher Adresse angemeldet, auch Fehlversuche.
- Wer hat welche Dateien heruntergeladen, freigegeben oder gelöscht.
- Wann wurden Freigabelinks erstellt, geändert oder genutzt.
- Wann wurden Berechtigungen oder Benutzerkonten verändert.
Entscheidend ist der zweite Schritt: Die Protokolle müssen auch jemand lesen. Ein Logfile, das 90 Tage lang niemand öffnet, hat keinen Nutzen. Sinnvoll sind einfache Regeln, die bei Auffälligkeiten melden: ungewöhnlich viele Downloads in kurzer Zeit, Anmeldungen zu untypischen Uhrzeiten, Zugriffe aus Ländern, in denen Sie keine Mitarbeiter haben. Das muss kein großes Überwachungszentrum sein. Für viele Betriebe reicht ein Dienstleister, der diese Meldungen entgegennimmt und bei Bedarf eingreift. Genau so etwas lässt sich im Rahmen von Managed Hosting abbilden, wenn Ihre Daten oder Anwendungen ohnehin bei einem Betreiber liegen.
Zwei Anmerkungen aus der Praxis. Erstens: Prüfen Sie, wie lange Ihre Protokolle aufbewahrt werden. Manche Dienste löschen sie nach wenigen Tagen, und dann ist ein Einbruch, der Wochen zurückliegt, nicht mehr nachvollziehbar. Zweitens: Protokolle gehören an einen Ort, an den ein Angreifer mit den Rechten eines normalen Benutzers nicht herankommt. Sonst kann er seine Spuren verwischen.
Cloud-Speicher und Freigaben aufräumen
Die meisten Betriebe haben in ihren Speichern mehr Freigaben, als sie vermuten. Das ist kein Vorwurf, sondern das Ergebnis von Jahren pragmatischen Arbeitens. Ein Aufräumtag kann hier erstaunlich viel bringen. Gehen Sie dabei systematisch vor.
Beginnen Sie mit den öffentlichen Links. Wo gibt es Freigaben, die jeder mit dem Link öffnen kann? Wer hat sie angelegt, und wird der Link noch gebraucht? Links ohne Ablaufdatum sind ein klassisches Altlastenproblem: Sie sind monatelang aktiv, obwohl das Projekt längst abgeschlossen ist.
Prüfen Sie danach die Benutzerkonten. Gibt es Konten ehemaliger Mitarbeiter, die nie deaktiviert wurden? Gibt es Zugänge von externen Dienstleistern, deren Zusammenarbeit beendet ist? Gibt es geteilte Sammelkonten, bei denen niemand mehr weiß, wer das Passwort kennt? Jedes dieser Konten ist ein möglicher Einstieg.
Dann kommt das Prinzip der geringsten Rechte. Nicht jeder muss auf alles zugreifen. Die Buchhaltung braucht keinen Zugriff auf Konstruktionsunterlagen, der Vertrieb keinen auf Personalakten. Je kleiner der Kreis, desto kleiner der Schaden, wenn ein einzelnes Konto kompromittiert wird.
Und schließlich: Wissen Sie überhaupt, welche Speicherdienste im Unternehmen genutzt werden? Neben dem offiziellen Dienst gibt es oft private Konten bei Anbietern, in die Mitarbeiter geschäftliche Dateien kopieren, weil es schneller geht. Diese „Schatten-IT" lässt sich nicht verbieten, aber man sollte sie kennen und ein brauchbares offizielles Angebot machen.
Der Datenschutzvorfall: Plan vor dem Ernstfall
Der zweite Teil unseres Blickwinkels betrifft den Umgang mit dem Vorfall selbst. Wenn personenbezogene Daten betroffen sind, greifen in Deutschland die Pflichten der Datenschutz-Grundverordnung. Dazu gehört, einen Vorfall dokumentiert zu bewerten und in bestimmten Fällen innerhalb enger Fristen der Aufsichtsbehörde zu melden. Wer am Tag des Vorfalls zum ersten Mal überlegt, wer das eigentlich entscheidet und wen man anruft, verliert wertvolle Stunden.
Ein brauchbares Konzept muss nicht dick sein. Zwei bis drei Seiten reichen, wenn sie klare Antworten geben:
- Wer ist Ansprechpartner? Eine Person mit Stellvertreter, erreichbar auch am Wochenende, mit Telefonnummern auf Papier oder offline griffbereit.
- Wer entscheidet über eine Meldung? Meist die Geschäftsführung gemeinsam mit dem Datenschutzbeauftragten, falls vorhanden.
- Was passiert in den ersten Stunden? Zugänge sperren, Passwörter zurücksetzen, Beweise sichern, nichts überschreiben oder löschen.
- Wer wird informiert? Interne Stellen, Versicherung, Behörde, gegebenenfalls Betroffene und Kunden.
- Wer hilft technisch? Ein Dienstleister, der im Zweifel sofort erreichbar ist, am besten schon vertraglich vereinbart.
Üben Sie den Ablauf einmal durch, zum Beispiel an einem fiktiven Szenario: „Ein Mitarbeiter meldet, dass ein Freigabelink im Netz aufgetaucht ist." Schon dieser kurze Durchlauf zeigt meist Lücken, etwa dass niemand weiß, wie man Zugriffsprotokolle exportiert oder wer Passwörter für Dienstkonten zurücksetzen darf.
Falls Ihr Unternehmen unter die Anforderungen der NIS2-Richtlinie fällt oder als Zulieferer für Betroffene arbeitet, kommen weitere Melde- und Nachweispflichten hinzu. Eine Einordnung dazu finden Sie unter NIS2 & IT-Sicherheit.
Was das für den Mittelstand bedeutet
Aus dem Wiener Fall lassen sich keine Rückschlüsse auf technische Einzelheiten ziehen, wohl aber auf Haltung und Vorbereitung. Hier die Punkte, die wir Mittelständlern konkret empfehlen, geordnet nach Aufwand und Wirkung.
Sofort, in dieser Woche:
1. Inventur der Speicherdienste. Welche Online-Speicher und Freigabedienste werden im Betrieb genutzt, offiziell und inoffiziell? Eine einfache Liste genügt.
2. Öffentliche Links prüfen. Alle ohne Ablaufdatum und ohne aktuellen Bedarf deaktivieren.
3. Zweiten Faktor aktivieren. Für jeden Zugang zu Speichern, E-Mail und Verwaltungsoberflächen. Das ist die günstigste Einzelmaßnahme mit großer Wirkung.
4. Verwaiste Konten sperren. Ehemalige Mitarbeiter, beendete Dienstleister, Testkonten.
Innerhalb eines Monats:
5. Protokollierung einschalten und prüfen. Sind Download- und Anmeldeprotokolle aktiv, wie lange werden sie aufbewahrt, und wer wird bei Auffälligkeiten benachrichtigt?
6. Berechtigungen nach dem Prinzip der geringsten Rechte überarbeiten. Sensible Ordner nur für den nötigen Kreis.
7. Updates verbindlich regeln. Wer sich um Sicherheitsupdates kümmert, wie schnell sie eingespielt werden und wer es kontrolliert. Bei selbst betriebenen Systemen ist das der wichtigste Punkt, bei Diensten von Anbietern sollten Sie nachfragen, wie der Anbieter damit umgeht.
8. Vorfallplan schreiben und einmal durchspielen. Zwei bis drei Seiten, klare Rollen, Telefonnummern.
Laufend:
9. Von außen prüfen lassen. Was ist aus dem Internet tatsächlich erreichbar? Ein Website-Audit zeigt, welche Dienste und Oberflächen von außen sichtbar sind und wo es offensichtliche Schwächen gibt. Das ersetzt keinen vollständigen Sicherheitstest, deckt aber oft Dinge auf, die niemand mehr auf dem Schirm hatte.
10. Backups getrennt halten. Eine Sicherung, die vom selben Konto aus erreichbar ist wie die Originaldaten, schützt nicht vor Löschung durch einen Angreifer. Sie schützt auch nicht vor dem Abfluss von Daten, aber sie sichert Ihnen die Handlungsfähigkeit.
Ein ehrlicher Hinweis zum Schluss dieses Abschnitts: Keine dieser Maßnahmen macht Sie unangreifbar. Ziel ist, dass ein Einbruch auffällt, begrenzt bleibt und dass Sie wissen, was als Nächstes zu tun ist. Genau daran hat es offenbar gefehlt, als die Lücke in Wien erst über ihren Verkauf bekannt wurde.
Die Rolle des Dienstleisters
Viele Mittelständler haben keine eigene IT-Abteilung, sondern einen externen Betreuer, oft einen kleinen Betrieb vor Ort, der „schon immer" alles macht. Das kann gut funktionieren. Es sollte aber klar geregelt sein, was dieser Dienstleister tatsächlich tut. Fragen Sie nach, statt anzunehmen:
- Werden Sicherheitsupdates für die eingesetzten Systeme aktiv eingespielt, und wie wird das nachgewiesen?
- Wer sieht Zugriffsprotokolle ein, und gibt es Alarmierung bei Auffälligkeiten?
- Wie schnell ist jemand erreichbar, wenn etwas passiert, auch außerhalb der Bürozeiten?
- Gibt es eine Dokumentation, die auch ein anderer Dienstleister verstehen würde?
Gerade für Betriebe in unserer Region ist ein erreichbarer Ansprechpartner in der Nähe ein echter Vorteil. Wenn Sie Unterstützung bei Betreuung und Absicherung Ihrer Systeme suchen, schauen Sie bei IT-Service Friesland vorbei. Für die schnelle Hilfe im Alltag lässt sich vieles auch per Fernwartung erledigen, ohne dass jemand erst anreisen muss.
Häufige Fragen
Muss ich einen Einbruch in meinen Online-Speicher immer melden?
Nicht jeder Vorfall ist meldepflichtig. Entscheidend ist, ob personenbezogene Daten betroffen sind und welches Risiko für die Betroffenen entsteht. Diese Einschätzung sollte dokumentiert werden, am besten gemeinsam mit einem Datenschutzbeauftragten oder einer fachkundigen Beratung. Gilt eine Meldepflicht, sind die Fristen eng, deshalb lohnt sich ein vorbereiteter Ablauf.
Wie merke ich überhaupt, dass jemand Dateien heruntergeladen hat?
Nur über Protokolle. Aktivieren Sie die Download- und Anmeldeprotokolle Ihres Speicherdienstes und legen Sie fest, wer sie auswertet. Ohne diese Aufzeichnungen bleibt ein Zugriff meist unsichtbar, so wie es im Wiener Fall ohne den Verkaufsversuch der Lücke wohl geblieben wäre.
Ist ein Cloud-Dienst eines großen Anbieters automatisch sicher?
Nein. Ein seriöser Anbieter kümmert sich um die Software und die Infrastruktur, aber Konfiguration, Berechtigungen und Zugangsdaten liegen in Ihrer Verantwortung. Viele Vorfälle entstehen durch zu offene Freigaben oder schwache Zugänge, nicht durch Fehler des Anbieters.
Was bringt mir ein zweiter Faktor, wenn die Lücke in der Software liegt?
Gegen eine Lücke in der Software selbst hilft er nur begrenzt. Er schützt aber zuverlässig vor dem sehr häufigen Fall gestohlener Passwörter. Deshalb ist er eine Grundmaßnahme, ersetzt aber keine Updates und keine Protokollierung. Beides gehört zusammen.
Wie bekomme ich Daten zurück, wenn sie gelöscht oder verschlüsselt wurden?
Hier hilft eine saubere, getrennt aufbewahrte Sicherung. Fehlt sie, kann in manchen Fällen noch eine professionelle Datenrettung helfen, eine Garantie gibt es dafür aber nicht. Planen Sie deshalb die Sicherung, bevor etwas passiert.