Eichstätt – Der Hackerangriff auf die Stadtverwaltung Eichstätt hat sich nach bisherigem Stand nicht gezielt gegen die Kommune gerichtet. Das teilte die Stadt Eichstätt mit. Die Täter seien mit überwiegender Wahrscheinlichkeit über eine Schwachstelle bei einer Software eingedrungen, die das Rathaus einsetzt, und das, obwohl dort eine Zwei-Faktor-Authentifizierung genutzt wurde. Ein spezifisches politisches Motiv sei nicht erkennbar. Die Stadt sei als Kundin mutmaßlich völlig zufällig ins Visier der Kriminellen geraten, gegen die international ermittelt wird.
Einen Phishing-Auslöser sieht die Stadt derzeit nicht: Es gebe keinen Hinweis darauf, dass etwa jemand aus der Belegschaft durch eine betrügerische Mail auf einen schädlichen Link hereingefallen ist.
Ransomware und doppelte Erpressung
In der Nacht vom 8. auf den 9. Oktober nahm der Angriff seinen Anfang. Es war ein sogenannter Ransomware-Angriff. Der Begriff setzt sich aus dem englischen Ransom (Lösegeld) und Software zusammen. Nach der Definition des Bundesamtes für Sicherheit in der Informationstechnik verschlüsseln Angreifer damit möglichst viele Dateien und Systeme ihres Opfers, sodass der Zugriff unmöglich wird. Danach fordern sie Geld für die Freigabe.
In Eichstätt meldeten sich die Täter nach Abschluss des Angriffs bei der Verwaltung und gaben den Einbruch zu erkennen. Eine ausdrückliche Lösegeldforderung ging bei der Stadt aber nicht ein. Grundsätzlich würde sich die Kommune nicht erpressen lassen, das entspreche auch der Empfehlung der Bundesvereinigung der kommunalen Spitzenverbände.
Außerdem lag ein Fall von „Double Extortion“ vor, zu Deutsch „Doppelte Erpressung“. Zuerst kopierten die Täter den Großteil der städtischen Daten auf einen Server im Ausland, anschließend verschlüsselten sie die Server. Es sei zu befürchten, dass sie die Daten veröffentlichen könnten, bisher sei das nicht geschehen. Unklar ist noch, ob die Täter mit der Kopie arbeiten, also die Dateien öffnen oder lesen können. Ebenso ist nicht geklärt, ob personenbezogene Daten darin enthalten sind. Die Stadt nimmt diese Gefahr nach eigenen Angaben sehr ernst. Sobald belastbare Informationen vorliegen, will sie umgehend informieren und besonders betroffene Gruppen gezielt ansprechen. Vorsorglich rät sie zu erhöhter Vorsicht, etwa bei Mitteilungen, die im Namen der Stadt verschickt werden. Ausführliche Infos gibt es unter www.eichstaett.de.
Wiederhochfahren der Server
Für den Neustart hat die Stadt alle Zugänge zu der Software gekappt, die das Sicherheitsproblem darstellte, und arbeitet künftig nicht mehr mit diesem Anbieter zusammen. Die Verwaltung hatte tägliche Sicherungskopien ihres Arbeitsstandes angelegt, aus Sicherheitsgründen verteilt auf mehrere Server in unterschiedlichen deutschen Rechenzentren. Weil die Angreifer mehrere Tage im System bleiben konnten, wurde die Datensicherung umfassend auf Integrität und mögliche Kompromittierung geprüft. Nach bisherigen Ergebnissen stehen geeignete Kopien für einen kontrollierten Wiederaufbau bereit. Die Server können zurückgesetzt und mit der jeweils letzten Sicherung wieder bestückt werden. Abgestimmt hat die Stadt dieses Vorgehen mit Sicherheitsbehörden, darunter dem Landesamt für Sicherheit in der Informationstechnik, sowie mit einer eigens beauftragten Firma für Cybersicherheit.
Josef Grienberger, der Oberbürgermeister, kündigte an: „Wir werden den Angriff selbstverständlich auch kritisch aufarbeiten und die gewonnenen Erkenntnisse nutzen, um unsere Systeme und Abläufe weiter zu verbessern.“ Die Stadt habe in den vergangenen Jahren IT-Sicherheit hohen Stellenwert eingeräumt, aber absolute Sicherheit gebe es gegen international agierende Hackergruppen nicht.
Auf einen Blick
- Angriffsbeginn war in der Nacht vom 8. auf den 9. Oktober
- Infos der Stadt: www.eichstaett.de
Hintergrund
Die Stadt rät zur Vorsicht bei Nachrichten in ihrem Namen. Die Verbraucherzentrale beschreibt auf ihrer Website, woran sich Phishing-Mails erkennen lassen. Eine solche Mail ist demnach grundsätzlich so aufgebaut: Anrede, Grund der Mailverschickung, Notwendigkeit zum Handeln, Zeitdruck, Konsequenzen bei Untätigkeit sowie Link oder Dateianhang. Bank und andere Geschäftspartner sprechen Kunden laut Verbraucherzentrale niemals mit „Sehr geehrter Kunde“ an.
Die Verbraucherzentrale warnt aber auch, dass man selbst bei namentlicher Anrede oder echt wirkenden Logos nicht sicher sein kann, da Kriminelle diese täuschend echt nachbauen. Wer nicht entscheiden kann, ob eine Mail echt ist, solle beim echten Anbieter nachfragen, aber nicht direkt auf die verdächtige Mail antworten.
Auch wer nur auf einen Link klickt, ohne Daten preiszugeben, befindet sich laut Verbraucherzentrale bereits in einer gefährlichen Situation. Falls ein Schadprogramm auf dem Rechner gelandet ist, sollte man prüfen, ob PIN, Passwörter oder Sicherheitsfragen geändert werden müssen, und bei betroffenem Online-Banking die Bank informieren. Wer einen Dateianhang geöffnet hat, sollte den Rechner nicht mehr nutzen, bis er wieder „sauber“ ist.
Eigene Einschätzung
Die Stadt erklärt die Technik des Angriffs verständlich und benennt offen, was noch ungeklärt ist. Für Bürgerinnen und Bürger zählt vor allem die Frage, ob persönliche Daten in der Kopie stecken. Dazu fehlt bislang eine Antwort. Bis dahin ist Misstrauen gegenüber angeblichen Stadt-Mails sinnvoll.
