Hackerangriff Berlin- massiver Datenklau

@ApexOne
In unserer Firma gibt es regelmäßig Sicherheitsschulungen. Die IT schickt regelmäßig Test Phishingmailsherum. Du glaubst gar nicht wie viele trotzdem ihr Passwort nutzen.
Menschliches Versagen gibt es immer.

JosephConrad schrieb:Du glaubst gar nicht wie viele trotzdem ihr Passwort nutzen.
Menschliches Versagen gibt es immer.

Ich kann es mir vorstellen - da helfen nur Abmahnungen.
Ich weiß, eine Welt bricht zusammen wenn man eine kriegt, aber es führt auch zur "Heilung".

JosephConrad schrieb:Nachdem die Hacker über den Zugriff eines Mitarbeiters auf eine Phishing Seite Schadsoftware installieren konnten, waren sie erst einmal drin. Das sie großflächig Zugriff erhielten lag wohl daran, dass Mitarbeiter ihre Passwörter in Datein unter ungesicherten Ordnern unverschlüsselt abgespeichert hatten,.die sie dann nutzen konnten.

ApexOne schrieb:Der Legende nach wurde der Mitarbeiter aufgefordert einen PowerShell Befehl auszuführen.

Ich bin da wirklich fast vom Glauben abgefallen:




https://thehackernews.com/2026/08/terminalfix-uses-fake-cloudflare.html?m=1

Den Mitarbeitern kann man das nicht anlasten, ne PowerShell in einer Nicht-Entwicklungsumgebung....

In jeder Firma ist der Chef der IT-Sicherheit der Hauptverantwortliche. Wie oft werden Updates der SW gemacht, wie oft Sicherheitsschulungen, wie stark müssen Passwörter sein, wie oft müüssen sie gewechselt werden, wie segmentiert ist das interne Netz, gab es Tools die aktiv nach Sicherheitslücken suchen (Nessus-Scan, Qualys VMDR)?

Man kann natürlich in jeder Firma oder Behörde immer etwas verbessern.

Ich weiss jetzt nicht genau wie gut das o.g. in Berlin war, aber wenn aber Mitarbeiter unverantwortlich bei Phishing oder mit Passwörtern umgehen dann hilft auch die beste IT nix mehr.

JosephConrad schrieb:Ich weiss jetzt nicht genau wie gut das o.g. in Berlin war, aber wenn aber Mitarbeiter unverantwortlich bei Phishing oder mit Passwörtern umgehen dann hilft auch die beste IT nix mehr.

Da stimme ich dir zu, kann ich aber in diesem Fall - verfügbare PowerShell - nicht sehen. Das sind imo Basics. Es gibt keinen sinnvollen Grund ein solch mächtiges Tool dem Endnutzer zur Verfügung zu stellen, es sei denn der Admin verteilt einige seiner Aufgaben auf Nutzerebene eben mit diesem Terminal.

behind_eyes schrieb:Da stimme ich dir zu, kann ich aber in diesem Fall - verfügbare PowerShell - nicht sehen. Das sind imo Basics. Es gibt keinen sinnvollen Grund ein solch mächtiges Tool dem Endnutzer zur Verfügung zu stellen, es sei denn der Admin verteilt einige seiner Aufgaben auf Nutzerebene eben mit diesem Terminal.

Man weiss ja nicht welcher User das gemacht hat, auf welchem Rechner und was seine Aufgaben waren. Bei uns gibt es fast nur SW-Entwickler und trotzdem könnten Passwörter rausgehen, wie ich oben schon beschrieben habe. Hinterher zu meckern ist natürlich eine andere Sache. Die Warnung von Microsoft ist ja wohl auch erst ein paar Tage alt.

JosephConrad schrieb:Man weiss ja nicht welcher User das gemacht hat, auf welchem Rechner und was seine Aufgaben waren.

Wir wissen es nicht, sie werden es wissen zumindest habe ich da was gelesen.

JosephConrad schrieb:Bei uns gibt es fast nur SW-Entwickler und trotzdem könnten Passwörter rausgehen, wie ich oben schon beschrieben habe.

Nicht ausgeschlossen, richtig.
Bei uns - vom SW Entwicklung bis zum Lageristen - gibt es qualitative Abstufungen. Während ich auf meinem Rechner ne Menge Adminrechte habe, sind die der Verwaltung komplett zu.
Dafür stehe ich besonders unter Beobachtung.

Für so Risiken wie Passwortweitergabe usw sehe ich das man da als Admin nix machen kann außer regelmäßig password lease.. Aber der Angriff hier war vermeidbar ganz ohne das man auf Mitarbeiterkompetenz hätte bauen müssen.

behind_eyes schrieb:Für so Risiken wie Passwortweitergabe usw sehe ich das man da als Admin nix machen kann außer regelmäßig password lease.. Aber der Angriff hier war vermeidbar ganz ohne das man auf Mitarbeiterkompetenz hätte bauen müssen.

Wie ich verstanden habe, kamen die Hacker zwar rein, den großen übergreifenden Datenklau konnten sie aber dank der gefundenen Passwörter machen.

So oder so: letztendlich ist der IT-Sicherheitsbeauftragte und die speziellen Mitarbeiter zur Verantwortung zu ziehen.

JosephConrad schrieb:Wie ich verstanden habe, kamen die Hacker zwar rein, den großen übergreifenden Datenklau konnten sie aber dank der gefundenen Passwörter machen

Das klingt interessant, falls du da irgendwann noch einen link hast, bin ich interessiert.

behind_eyes schrieb:Das klingt interessant, falls du da irgendwann noch einen link hast, bin ich interessiert.

Wie naiv die Berliner Verwaltung mit IT-Sicherheit umgeht, offenbaren einige der zahllosen Dokumente, die jetzt in die Hände von Hackern geraten sind. „Passwort.docx“ heißt etwa eine unverschlüsselte Datei mit allen möglichen Zugangsdaten, darunter das Kennwort „Sonnenschein13“. Und aus einer anderen Liste geht hervor, dass ein Sachbearbeiter überall das gleiche, schwache Passwort verwendet hat: „Ahabostsee123“.

Quelle: https://taz.de/Cyberangriff-auf-Berliner-Verwaltung/!6208741/

und:

..

Zudem brüsteten sich die Erpresser damit, Zugangsdaten und Passwörter im Klartext erlangt zu haben - unter anderem für Datenbanken der Verwaltung und Zahlungsdienstleister.

Quelle: https://www.zdfheute.de/panorama/kriminalitaet/berlin-hackerangriff-senat-daten-erpressung-100.html

behind_eyes schrieb:Ich sehe es andersrum, Fachwissen im Metier ist Gold wert und sollte Voraussetzung sein.
Softskills wie Diplomatie und Paragrafen-Reiterei kann man einkaufen.
Ich weiß das dies mittlerweile anders gelebt wird, so wie du sagst, ich finde es aber nicht richtig.
Der Verantwortliche für IT muss Schwachstellen sofort beurteilen können, alles was danach kommt ist Bonus und ggffls ergänzbar.
Wenn ich für ne digitale Sicherheit verantwortlich bin aber nur gut weiß wie ich mich juristisch verteidigen kann, dann bin ich an der Stelle falsch.

Vielleicht vergleichen wir am Ende auch Äppel mit Birnen: Datenschutzbeauftragte sind eher an der 'Front' so wie Behördenleiter als Minister. Bei nem Minister sage ich weiterhin, es nützt nem Innenminister nicht mehr zwingend dass er mal selbst auf Streife war oder nem Verteidigungsminister wie Biwak geht, da sind ggf. politische Experten die ihr Ressort effektiv voranbringen können und die politisch gut vernetzt sind wertiger. Pistorious ist für mich da ne Art Ausnahme weil er mal diente/Wehrdienst leistete und bis dato in Summe relativ gut ankam oder beliebt war, auch wenn er wohl mutmaßlich am Ende in der BuReg oder parteiintern gerne mal ausgebremst wurde. Es gab dann aber Leute wie Guttenberg die auch mal WD leisteten oder dienten aber nicht wirklich positiv in Erinnerung geblieben sind. Im Zweifel habe ich dann lieber gute Minister als ex-XYZ. Im Idealfall beides.

Bei Datenschutzbeauftragen muss ich mich selbst mal einlesen um hier besser zu verstehen ob das Prinzip da auch noch so gut anwendbar ist wie bei Ministern.

behind_eyes schrieb:Den Mitarbeitern kann man das nicht anlasten, ne PowerShell in einer Nicht-Entwicklungsumgebung....

IMO: Jaein. Ich habe nicht mal formell IT studiert sondern mich weitgehend selbst fortgebildet bzw. über Jahre und andere Wege mein Wissen erweitert, auch beruflich. Letztendlich - das ist vielleicht mein bias - hätte ich selbst bei einer perfekten Mail (potenziell spear-phishing plus social Engineering als Vorbereitung um ein Mail samt Link wirklich als unscheinbar aussehen zu lassen dass selbst ich bzw. relative Experten draufklicken) spätestens bei der Powershell-Eingabeaufforderungen sofort Zweifel bekommen und gerafft, dass das ein Angriff ist. Notfalls hätte ich bei Unsicherheiten die IT anrufen können ehe ich irgendwas mache. Gerade weil ich als Endanwender schon rein privat ohne Schulung weiß, dass Cloudflare verification so gar nicht abläuft. Aber gut, ich bin auch eher sensibilisiert und auch im Privaten sehr umsichtig und vorsichtig was jede Mail und jeden Link angeht.

Jetzt ist das mein Bias und nicht jede Person bringt erweitertes IT-Sec Grundinteresse mit, fair. Aber das hätten dann Schulungen hier abdecken müssen. Ferner hätte die IT Powershell soweit es geht abschalten müssen, auf der Anwenderebene, weil nicht benötigt. Hier haben also meines Erachtens zwei Anker fehlgeschlagen: Anwender und IT-Sicherheitsstruktur an sich. Man muss im Zweifel Anwenderfehler und Unachtsamkeiten mit "einpreisen", aber dann hätte hier die IT-Sicherheitsstruktur greifen müssen.

Jetzt haben wir halt so oder so den Salat.

Ach ja und das hier noch:

JosephConrad schrieb:

Wie naiv die Berliner Verwaltung mit IT-Sicherheit umgeht, offenbaren einige der zahllosen Dokumente, die jetzt in die Hände von Hackern geraten sind. „Passwort.docx“ heißt etwa eine unverschlüsselte Datei mit allen möglichen Zugangsdaten, darunter das Kennwort „Sonnenschein13“. Und aus einer anderen Liste geht hervor, dass ein Sachbearbeiter überall das gleiche, schwache Passwort verwendet hat: „Ahabostsee123“.

Quelle: https://taz.de/Cyberangriff-auf-Berliner-Verwaltung/!6208741/

----

Ganz ehrlich? Ich muss doch gerade als öffentliche Verwaltung mit Cyberangriffen rechnen und da besonders schulen bzw. die IT-Infrastruktur härten, gerade weil da Verschlusssachen zusammenlaufen! Gerade in der heutigen Zeit!

Der Bundestagshack war 2014 oder so. Das ist jetzt wieder 12 Jahre her, genug Zeit um zu lernen! Es gibt keine 100%ige Sicherheit aber hier hat man doppelt oder ggf. dreifach reingeschissen.

Warden schrieb:IMO: Jaein. Ich habe nicht mal formell IT studiert sondern mich weitgehend selbst fortgebildet bzw. über Jahre und andere Wege mein Wissen erweitert, auch beruflich. Letztendlich - das ist vielleicht mein bias - hätte ich selbst bei einer perfekten Mail (potenziell spear-phishing plus social Engineering als Vorbereitung um ein Mail samt Link wirklich als unscheinbar aussehen zu lassen dass selbst ich bzw. relative Experten draufklicken) spätestens bei der Powershell-Eingabeaufforderungen sofort Zweifel bekommen und gerafft, dass das ein Angriff ist. Notfalls hätte ich bei Unsicherheiten die IT anrufen können ehe ich irgendwas mache. Gerade weil ich als Endanwender schon rein privat ohne Schulung weiß, dass Cloudflare verification so gar nicht abläuft. Aber gut, ich bin auch eher sensibilisiert und auch im Privaten sehr umsichtig und vorsichtig was jede Mail und jeden Link angeht.

Ja du, aber das trifft auf Petra aus der Reisekostenabrechnung nicht zu, die weiß garnicht das es PowerShell gibt und was es bedeutet, wie bei vielen anderen Fachbegriffen mit denen sie täglich konfrontiert wird ohne es zu merken.

behind_eyes schrieb:Ja du, aber das trifft auf Petra aus der Reisekostenabrechnung nicht zu, die weiß garnicht das es PowerShell gibt und was es bedeutet, wie bei vielen anderen Fachbegriffen mit denen sie täglich konfrontiert wird ohne es zu merken.

Dann darf eine nicht geschulte / nicht sensibilisierte Petra aus der RK halt nicht an eine Aufgabenbearbeitung in eine nicht gehärtete isolierte/nicht beschnittene Rechnerumgebung gelassen werden, die am Netz hängt und eingehende Mails bearbeitet. Und die IT-Sec da muss sich fragen wo man vermeidbar gepennt hat.

So einfach ist das.

Ich bin eigentlich jemand der nicht stammtischartig losmeckert wenn mal was schiefgeht aber hier war die Katastrophe meines Erachtens zumindest auf dem Wege mehr als vermeidbar. Ich erwarte für eine öffentliche Landesverwaltung die Verschlusssachen bearbeitet andere (höhere) Standards der IT-Sicherheit. Strukturell wie personell.

behind_eyes schrieb:Ja du, aber das trifft auf Petra aus der Reisekostenabrechnung nicht zu, die weiß garnicht das es PowerShell gibt und was es bedeutet, wie bei vielen anderen Fachbegriffen mit denen sie täglich konfrontiert wird ohne es zu merken.

Das Problem war aber, dass von Petras Account aus Ordner mit Dateien erreichbar waren, die gültige Passwörter enthielten. Dass das so nicht geht, weiss schon ein Grundschüler. Dementsprechend sollten auch die dafür schuldigen Mitarbeiter zur Rechenschaft gezogen werden.

Ob es Petra aus der Reiskostenabteilung war, oder wer sonst mit welchem Fachwissen wirklich die angegebenen Befehle eingetippt hat, weiss keiner.

JosephConrad schrieb:Ob es Petra aus der RFeiskostenabteilung war, oder wer sonst mit welchem Fachwissen wirklich die angegebenen Befehle eingetippt hat, weiss keiner.

Man wird sicherlich intern nachvollziehen können wer den Link und den Befehl geöffnet hat. "Weiß keiner" kaufe ich da nicht ab.

Letztendlich sehe ich hier sowohl Anwenderfehler wie auch Strukturfehler.

Warden schrieb:Man wird sicherlich intern nachvollziehen können wer den Link und den Befehl geöffnet hat. "Weiß keiner" kaufe ich da nicht ab.

Also ich meine: weiss keiner hier. Es sei denn die Hacker haben auch die Logging Dateien auf den Servern gelöscht, um den Hack zu verschleiern. Dann weiss es nur der, der die Befehle eingetippt hat. Ich vermute aber, dass sie keinen root Zugang hatten und ihnen das dann doch nicht möglich war.

Warden schrieb:Dann darf eine nicht geschulte / nicht sensibilisierte Petra aus der RK halt nicht an eine Aufgabenbearbeitung in eine nicht gehärtete isolierte/nicht beschnittene Rechnerumgebung gelassen werden, die am Netz hängt und eingehende Mails bearbeitet. Und die IT-Sec da muss sich fragen wo man vermeidbar gepennt hat.

Das setzt voraus das man das Problem erkannt hat. Das war aber offenbar nicht der Fall.

JosephConrad schrieb:Das Problem war aber, dass von Petras Account aus Ordner mit Dateien erreichbar waren, die gültige Passwörter enthielten. Dass das so nicht geht, weiss schon ein Grundschüler. Dementsprechend sollten auch die dafür schuldigen Mitarbeiter zur Rechenschaft gezogen werden.

Ob es Petra aus der Reiskostenabteilung war, oder wer sonst mit welchem Fachwissen wirklich die angegebenen Befehle eingetippt hat, weiss keiner.

Genau deswegen ist Petra für mich ebenfalls nicht das Problem.

Letztlich is das ein strukturelles Problem, da mal wieder jedes Bundesland sein eigenes Süppchen kocht. Die IT-Sicherheit deutscher Behörden gleicht einem riskanten Flickenteppich, da der Föderalismus jedem Bundesland die eigene Organisation der Cybersicherheit erlaubt.

Während die Ministerien auf Bundesebene und wirtschaftsstarke Bundesländer wie Bayern, Baden-Württemberg oder Hessen ihre Systeme stark zentralisiert und in eigenen Abwehrzentren gebündelt haben, ist die Lage insbesondere auf kommunaler Ebene im gesamten Bundesgebiet besorgniserregend. Kleinen Städten, Gemeinden und Landkreisen fehlt es akut an Geld und Fachpersonal, weshalb dort oft veraltete Software läuft.

Wichtige Sicherheitsstandards des Bundesamtes für Sicherheit in der Informationstechnik (BSI) werden mangels gesetzlicher Pflichten nur freiwillig umgesetzt. Um Kosten zu sparen, schließen sich viele Kommunen mit zentralen IT-Dienstleistern zusammen. Das ist anfällig für Domino-Effekte, wie der Totalausfall von über 100 Verwaltungen durch den Angriff auf die Südwestfalen IT zeigte.

Und weil sich einige Bundesländer aus Angst vor dem Verlust ihrer Eigenständigkeit gegen eine starke Zentralstelle beim BSI wehren, wird der öffentliche Sektor trotz der dramatischen Vorfälle in Berlin wohl für Erpressung und Spionage anfällig bleiben.

Wer heute mit dem Finger auf Berlin zeigt, wird vielleicht schon morgen selbst ausgezählt.

JosephConrad schrieb:Letztlich is das ein strukturelles Problem, da mal wieder jedes Bundesland sein eigenes Süppchen kocht. Die IT-Sicherheit deutscher Behörden gleicht einem riskanten Flickenteppich, da der Föderalismus jedem Bundesland die eigene Organisation der Cybersicherheit erlaubt.

Und Berlin ist da noch ein Spezialkandidat, unsere Hauptstadt lässt dann auch noch jeden Bezirk, jeder Bezirksregierung seine eigenen Süppchen hier kochen.

Berlin schafft es nicht einmal ausreichend Briefumschläge zu haben, damit die Straftätern den Haftantritt postialisch mitteilen können.
Wie sollen die da noch für IT Sicherheit sorgen können?

Einem nicht unerheblichen Teil der Beamten dürfte das auch eher egal sein, weil es keine Konsequenzen haben wird.
Und selbst politische Konsequenzen sind heutzutage ja eher nicht mehr zu erwarten.

Berlin ist kaputt und das schlimmste? Es ist keine Besserung in Sicht, jede Krise wird dort locker und leicht ausgesessen oder man geht ein wenig Tennis- und Basketballspielen.
Es interessiert die Politik nicht einmal richtig.

Ein solches Datenleck bei Facebook hätte weit mehr Aufmerksamkeit und viele laute Politikerstimmen wären zu hören.

Warden schrieb:Es kommt drauf an - ein Verteidigungs- oder Innenminister muss auch nicht zwingend in längerem Maße oder überhaupt vorher mal in den Streitkräften bzw. Polizei, Zollverwaltung, etc. gewesen sein, weil man seine Berater hat

Die man aber drastisch reduzieren könnte, wenn man da jemanden hinsetzt der Ahnung hat von dem was er da tut.