Ein Angriff mit Schadsoftware, die Auswirkungen und was zu tun ist

Die Mehrzahl der Industrieunternehmen ist inzwischen an einem Punkt gelangt, an dem die Produktions- und Fertigungsprozesse größtenteils mittels Digitalisierung effizienter gestaltet werden. Mit dieser Transformation einhergehen müsste konsequenterweise eine entsprechende Anpassung des IT-Sicherheitsniveaus, auch um die daraus resultierende Herausforderung hinsichtlich der Verfügbarkeit und Sicherheit aller Daten zu gewährleisten. Zum Beispiel durch eine Neugestaltung der Netzwerk-Infrastrukturen. Doch das ist keineswegs der Regelfall – im Gegenteil, Cyber-Sicherheit ist ein Aspekt der tendenziell (noch) eher vernachlässigt wird. Aus diesem Grund ist es Kriminellen möglich, ihre zunehmend gezielten Angriffe dergestalt durchführen zu können, indem sie oftmals schlichtweg vorhandene Schwachstellen in Systemen ausnutzen. Ein leichtes Spiel scheinbar, denn in einer aktuellen Umfrage* von 500 Sicherheitsbeauftragten gaben 65 Prozent der Teilnehmer an, dass sie Sicherheitslücken aufgrund veralteter Software haben. In der Realität zeigt sich dann, dass die enorm gestiegene Komplexität der Netzwerk-Infrastrukturen in Verbindung mit einem gezielten Angriff eine durchschlagende Wirkung haben kann. Wie etwa bei einem mittelständischen Unternehmen aus der Metallverarbeitung mit weit über 300 Mitarbeitern und mehreren Standorten, auch außerhalb von Deutschland – in dem bereits vor geraumer Zeit mit der Digitalisierung begonnen wurde, sodass mittlerweile annähernd alle Prozesse IT-gesteuert sind. Auswirkungen eines Angriffs Obwohl der Angriff über ZCrypt – eine Malware, die nicht nur eine Verschlüsselung der Daten initiiert, sondern sich als Virus auch replizieren und dann weiter verteilen kann – auf einen Standort außerhalb Deutschlands erfolgte, führte er zu einem Stillstand des gesamten Unternehmens. Denn der hohe Vernetzungsgrad – die Niederlassungen sind untereinander verbunden – hatte zur Konsequenz, dass kurzfristig für alle Standorte eine umfängliche externe Isolation notwendig wurde. Daraus resultierte ein einwöchiger Produktionsausfall, wodurch Aufträge nicht in geplanter Zeit gefertigt und ausgeliefert werden konnten. Insgesamt dauerte es mehr als sechs Wochen, bis – verbunden mit einem erheblichen Mehraufwand für alle Mitarbeiter – das Unternehmen wieder in den Regelbetrieb übergehen konnte. Was getan werden musste Aufgrund der Schwere des Angriffs und der Komplexität der Malware – es wurde befürchtet, dass über den Virus auch die Systeme in Deutschland stark befallen sein würden – bestand die Notwendigkeit erst einmal ALLE Systeme komplett herunterzufahren und jede externe Verbindung zeitweilig aufzuheben. Obwohl zeitnah agiert wurde, erstreckte sich der gesamte Prozess zur Wiederaufnahme jedoch über einen längeren Zeitraum: Im ersten Schritt fand systematisch die manuelle forensische Analyse aller Server auf Spuren einer Infektion statt. Sofern vorhanden wurde der jeweilige Server stillgelegt und vom Backup wiederhergestellt. Dies ermöglichte, den Betrieb sukzessive strukturiert wieder aufzunehmen. Nachdem alle relevanten Server online waren, konnte dann die Vernetzung der Standorte erfolgen – allerdings erst nach Etablierung eines angemessenen Schutzniveaus durch Firewalls zur Absicherung der Kommunikation zwischen den einzelnen Niederlassungen. Im Weiteren fand eine manuelle Untersuchung ALLER Endgeräte auf Befall mit Schadsoftware statt. Jeder infizierte Client wurden gelöscht und neu installiert, ein Reparaturversuch fand nicht statt. So ließ sich gewährleisten, dass diese zügig wieder in den Regelbetrieb übergehen konnten. Doch obwohl massiv parallel mit vielen Mitarbeitern an der Wiederherstellung gearbeitet wurde und sich der Virus in Deutschland nicht – wie eigentlich zu befürchten gewesen wäre – ausgebreitet hat, nahm der gesamte Prozess fast eine Woche Zeit in Anspr