News Schwaches Passwort mit gravierenden Folgen: Hacker lassen Traditionsunternehmen untergehen

[PCGH-Redaktion]

Ein einziges schwaches Passwort reichte aus, um ein britisches Unternehmen nach 158 Jahren Existenz effektiv dem Untergang zu weihen. Die Akira-Ransomware-Gruppe verschlüsselte alle Daten und forderte wohl 5 Millionen Pfund - das Aus für 700 Arbeitsplätze.

Was sagt die PCGH-X-Community zu Schwaches Passwort mit gravierenden Folgen: Hacker lassen Traditionsunternehmen untergehen

Bitte beachten: Thema dieses Kommentar-Threads ist der Inhalt der Meldung. Kritik und allgemeine Fragen zu Online-Artikeln von PC Games Hardware werden hier gemäß der Forenregeln ohne Nachfrage entfernt, sie sind im Feedback-Thread besser aufgehoben.

 

[Incredible Alk]

Man muss aber fairerweise auch dazu sagen: Wenn ein einzelnes schwaches Passwort eines einzelnen Mitarbeiters dazu verwendet werden kann, eine komplette Firma vollständig lahmzulegen ist die Schuld sicher nicht nur beim Mitarbeiter zu suchen - dann hat die IT-Sicherheit auch auf ganzer Linie versagt.

Mal ehrlich, selbst wenn jemand mich mit vorgehaltener Waffe bedroht und ich ihm alle Passwörter und Zugänge verraten müsste die ich kenne hätte derjenige keine Chance, damit das Unternehmen bei dem ich arbeite (das nebenbei noch deutlich älter ist als KNP Logistics) spontan zu killen, trotz ziemlich hoher Position. Klar könnte damit viel Schaden angerichtet werden, aber alles was existentiell ist bzw. katastrophale Folgen haben kann ist nicht online zugänglich oder durch mehrfache Sicherheitssysteme geschützt, die eine einzelne Person nicht umgehen kann, selbst der CEO nicht.

Ich will damit nicht sagen dass so ein Angriff/Katastrophe unmöglich wäre oder man sich vollständig davor schützen könnte... das geht nicht, man kanns dem Angreifer nur maximal schwer machen dass er ein leichteres Ziel sucht. UNd genau das scheint das Opfer hier gewesen zu sein: Ein leichtes Ziel. Keine Password-Policy für Mitarbeiter, ein einzelner Zugang reicht um die ganze Firma zu verschlüsseln. Schade für die 700 Mitarbeiter, von denen vermutlich 690 nix dafür können.

 

[RyzA]

Ich denke auch das man nicht einen einzelnen Mitarbeiter dafür verantwortlich machen kann.
Hier hat die komplette Unternehmensführung und IT-Abteilung (falls sie überhaupt eine richtige hatten) total versagt.
Tragisch ist auch das sie die 5 Millionen Pfund nicht zahlen konnten. Hätten sie keinen Kredit bekommen können?
Ein Unternehmen was so alt und bekannt ist müsste doch sowas bekommen?

 

[Gast1753866602]

Da hab ich mehrere Fragen.... wo ist die Datensicherung? Wo die Firewall? Wo das redundante System?
Erschreckend ist leider, dass es von diesen Firmen die IT-technisch ähnlich aufgestellt sind, immer noch zu viele gibt.
Als Beispiel folgende Geschichte:
Ich rufe in einer Firma an wg. Problem mit Onlineanwendung und Buchhaltungsprogramm. Nachdem ich aufgeschalten bin, frage ich wie die WTS-Verbindung stattfindet denn mir wurde gesagt, dass es einen WTS dort gibt. Dann wird mir erklärt "Also der IT-Admin hat eine Remoteverbindung auf einen Windows-7 PC eingerichtet, das ist unser FileServer und Terminalserver...

Danach bin ich erstmal Kaffeetrinken gegangen und hab mich um etwas anderes gekümmert

VG,

 

[ameisenmann]

Ich bin auch schockiert, dass es der IT offenbar nicht möglich war, alles mit Backups neu aufzusetzen.
Auf so ein Katastrophen-Szenario muss man vorbereitet sein. Selbst wenn es bedeutet, dass man vllt. eine Woche an Daten/Arbeit verliert. So ein komplettes Armageddon muss Teil eines jeden IT-Sicherheitskonzepts sein. Da hat die Firma am falschen Ende gespart und bekam die Quittung.

 

[Incredible Alk]

Ich bin auch schockiert, dass es der IT offenbar nicht möglich war, alles mit Backups neu aufzusetzen.

Um Backups zu nutzen muss man vorher welche machen... und die irgendwo hintun wo die nette Ransomware sie nicht grade mitverschlüsselt - ein Punkt wo viele schon scheitern: Das Backup aufm NAS bringt nix wenn der NAS im gleichen Netzwerk hängt wie das angegriffene System.

Wie gesagt, Firmen die das kleine 1x1 der IT-Sicherheit umsetzen sind in aller Regel ziemlich sicher vor solchen Vollkatastrophen. Nicht weil das 100%tigen Schutz bietet sondern weils ausreichend andere Firmen gibt die IT-technisch noch in den 80ern bis 90ern unterwegs sind (und selbst da wusste man was Backups sind).

 

[sterreich]

Hier ein paar mehr Details:

Akira Ransomware attack shuts down 158-year-old KNP Logistics business in UK

Akira ransomware attack forces 158 year old UK logistics firm KNP Logistics to halt operations, showing severe impact of operational disruption.

www.cybersecurity-insiders.com

tl;dr:
-) Lösegeld wurde erfolglos gezahlt (kein Kommentar ob Teilsumme)
-) Betroffener MA war C-level
-) Hatte Zugang zu deren "secure database" ()

Und natürlich, repeat offender
Vor 2 Jahren erst der selbe Spaß wodurch 730 von 900 Mitarbeitern rausgeworfen wurden.

Kettering firm KNP Logistics Group's sudden collapse upsets drivers

Lorry drivers say they were given no warnings of any problems and have been left out of pocket.

www.bbc.com

Ach, wie schön wäre doch eine persönliche Haftung von Managern...

Man muss aber fairerweise auch dazu sagen: Wenn ein einzelnes schwaches Passwort eines einzelnen Mitarbeiters dazu verwendet werden kann, eine komplette Firma vollständig lahmzulegen ist die Schuld sicher nicht nur beim Mitarbeiter zu suchen - dann hat die IT-Sicherheit auch auf ganzer Linie versagt.

This.
Wenn ein einziges Passwort deine Firma erledigen kann war da IT wohl in erster Linie ein "Kostenfaktor", sei es Personal- oder generelles Budget. Von IT-Sicherheit reden wir lieber erst gar nicht.

Und weil hier manche Backups erwähnen:
Die müssen
1. Vorhanden sein
2. Immutable (was ein entsprechendes Setup vorraussetzt)

Würde mich nicht wundern, wenn Punkt 1 schon nicht erfüllt war.

 

[RyzA]

Hier ein paar mehr Details:

Akira Ransomware attack shuts down 158-year-old KNP Logistics business in UK

Akira ransomware attack forces 158 year old UK logistics firm KNP Logistics to halt operations, showing severe impact of operational disruption.

www.cybersecurity-insiders.com

tl;dr:
-) Lösegeld wurde erfolglos gezahlt (kein Kommentar ob Teilsumme)
-) Betroffener MA war C-level
-) Hatte Zugang zu deren "secure database" ()

Lösegeld wurde also doch gezahlt? Ja ok, es gibt keine Garantie ob die Erpresser dann ihr Wort halten.

Und natürlich, repeat offender
Vor 2 Jahren erst der selbe Spaß wodurch 730 von 900 Mitarbeitern rausgeworfen wurden.

Kettering firm KNP Logistics Group's sudden collapse upsets drivers

Lorry drivers say they were given no warnings of any problems and have been left out of pocket.

www.bbc.com

Ach, wie schön wäre doch eine persönliche Haftung von Managern...

Die haben ja nichts daraus dazu gelernt.

Um die Geschäftsführung tut es mir nicht leid. Aber um die vielen Mitarbeiter welche nichts dafür können.

 

[GHOSTMD]

3 Generationen Backup???
Irgendwer? Oder ist das auch schon "aus der Mode" gekommen?
Sicher gehen dann auch Daten verloren...
aber sicherlich nicht so schlimm das die Firma schliesst oder Mitarbeiter
entlassen werden???

Oder seh ich das falsch / zu einfach?
Blöd natürlich wenn die Backups auch mit verschlüsselt wurden.
Weil man sich nicht die Mühe gemacht hat die extern auf einer eigenen
sekundären Hauseigenen IT Infrastruktur zu lagern.

 

[loco30]

Mir tuen nur die Mitarbeiter leid.
Für die Firma hält sich massiv in Grenzen.
Da hat eindeutig die IT versagt.
Wobei vermutlich die Firma einfach sparen wollte, und die IT von ein Kollege der alles über PCs weiss verwaltet worden ist.

 

[sterreich]

Die haben ja nichts daraus dazu gelernt.

Leider ganz üblich.
Wir hatten einen Kunden, den es 3 mal in 2 Jahren erwischt hat, bis sie für IT-Sicherheit endlich Geld in die Hand genommen haben. Nach 5 Jahren Ruhe sparen sie wieder in dem Bereich

Hab auch neulich einen Bericht eines Dienstleisters gelesen. Haben bei einem Red-Team Assignment grobe Schwachstellen in der Infra des Kunden aufgedeckt. Patchen permanent vom Management aufgeschoben wegen "Geschäftskontinuität". Ca. ein Jahr darauf hat es sie erwischt durch eine der ungepatchten Schwachstellen...
Da konnten sie sich das Patchen dann gleich sparen und die Systeme von Grund auf neu aufsetzen

3 Generationen Backup???

3-2-1 ist heutiger Branchenstandard
3 Kopien (mindestens)
2 verschiedene Medien (e.g. Cloud und HDD)
1 Offsite Location

Und immutable käme noch hinzu.

 

[Christoph1717]

3 Generationen Backup???
Irgendwer? Oder ist das auch schon "aus der Mode" gekommen?

"Dabei wird von dem Datenbestand ständig ein dreifaches Backup verschiedenen Alters (Großvater, Vater, Sohn) von einem Datenträger gemacht."

Da kann ich mich noch dunkel dran erinnern, da war was bei meiner Ausbildung vor etwa 15 Jahren.

 

[Incredible Alk]

3-2-1 ist heutiger Branchenstandard
3 Kopien (mindestens)
2 verschiedene Medien (e.g. Cloud und HDD)
1 Offsite Location

Branchenstandard ist geil - mein privates System ist schon dicker als das
In dem System hätte ich von meinen wirklich wichtigen Daten ein "6-3-2"

 

[oldserver84]

Also ich würde bei Aussagen wie "Da hat die IT versagt" etwas vorsichtig sein. Ich wette, vor dieser Nachricht kannte kaum jemand die Firma – und noch weniger jemanden, der dort arbeitet (ich übrigens auch nicht).

Wenn das Kennwort von einem einzigen Mitarbeiter reicht, um alles zu verschlüsseln, dann würde ich fast vermuten, dass es da gar keine richtige IT-Abteilung gibt. Und falls doch, dann ist das wahrscheinlich ein kleines Team, das sich hauptsächlich um Dinge wie PC-Tausch oder Mobilgeräte kümmert – also eher First-Level-Themen.

Alles darüber hinaus dürfte (wenn überhaupt) an externe Dienstleister ausgelagert worden sein – und die machen halt genau so viel, wie bezahlt wird. Ich hab auch das Gefühl, dass IT in dem Unternehmen eher als Kostenstelle gesehen wurde, nicht als kritischer Bestandteil der Firma.

 

[GHOSTMD]

"Dabei wird von dem Datenbestand ständig ein dreifaches Backup verschiedenen Alters (Großvater, Vater, Sohn) von einem Datenträger gemacht."

Da kann ich mich noch dunkel dran erinnern, da war was bei meiner Ausbildung vor etwa 15 Jahren.

Danke jetzt fühl ich mich gleich wieder Steinalt

3-2-1 ist heutiger Branchenstandard
3 Kopien (mindestens)
2 verschiedene Medien (e.g. Cloud und HDD)
1 Offsite Location

Und immutable käme noch hinzu.

Jubb so ungefähr hatte ich das im Kopf
halt nur "Oldschool"

 

[Zik7]

Ich hab auch das Gefühl, dass IT in dem Unternehmen eher als Kostenstelle gesehen wurde, nicht als kritischer Bestandteil der Firma.

Das ist mit Sicherheit bei vielen Firmen so!

 

[soulstyle]

Schon komisch, ein Passwort und alles geht Down in der Firma?

Keine Sicherheitsredundanz?

Backups usw?
Alle verschlüsselten/gehackten Platten raus, Backup offline rein, Passwörter ändern...das als laienhafte Vorstellung...weil ich kein IT-Sicherheitsexperte bin.

 

[Incredible Alk]

Alter was stimmt denn mit euch nicht?

Ja, die im Verlustfalle unwiederbringlichen Daten sind unter anderem die gesammelten Bilder, Musik und Videos meiner letzten 40 Lebensjahre - aber ich verspreche euch, alle Leute die darin vorkommen sind bekleidet.

Das ist ja auch alles größenordnungsmäßig nicht viel für heutige Maßstäbe...

Nicht mal 300GB sind der "innere Kern" meiner Daten die ich keinesfalls verlieren möchte. Das mehrfach zu backuppen ist ja weder aufwendig noch teuer.


Um zum Thema zurückzukommen: Die tatsächlichen wirklich betriebswichtigen Daten sind bei mittelständischen Unternehmen meist auch nicht grade riesig. Ein Logistikunternehmen wird eher nicht zig Terabytes an Daten vorhalten müssen.
Es ist oftmals nicht mal der oft zitierte Kostenfaktor sowas einrichten zu lassen. Sowas nicht zu haben ist schlichtweg ein strammer Managementfehler: Entweder man wusste nicht dass mans braucht oder man wusste dass mans braucht aber ist bewusst ins Risiko gegangen um einen meist vergleichsweise geringen Betrag zu sparen. Beides ist würde ich sagen inkompetent.

 

[RyzA]

Alter was stimmt denn mit euch nicht?

Ja, die im Verlustfalle unwiederbringlichen Daten sind unter anderem die gesammelten Bilder, Musik und Videos meiner letzten 40 Lebensjahre - aber ich verspreche euch, alle Leute die darin vorkommen sind bekleidet.

Das ist ja auch alles größenordnungsmäßig nicht viel für heutige Maßstäbe...
Anhang anzeigen 1499887

Nicht mal 300GB sind der "innere Kern" meiner Daten die ich keinesfalls verlieren möchte. Das mehrfach zu backuppen ist ja weder aufwendig noch teuer.

Bei uns sind es ca 2 TB Daten welche wir mehrfach und offline gesichert haben. Dazu zähle ich wirklich wichtige Daten wie Familienfotos und Videos. Damals war die Qualität noch nicht ganz hoch, sonst wäre es noch mehr Speicherplatz.

Um zum Thema zurückzukommen: Die tatsächlichen wirklich betriebswichtigen Daten sind bei mittelständischen Unternehmen meist auch nicht grade riesig. Ein Logistikunternehmen wird eher nicht zig Terabytes an Daten vorhalten müssen.
Es ist oftmals nicht mal der oft zitierte Kostenfaktor sowas einrichten zu lassen. Sowas nicht zu haben ist schlichtweg ein strammer Managementfehler: Entweder man wusste nicht dass mans braucht oder man wusste dass mans braucht aber ist bewusst ins Risiko gegangen um einen meist vergleichsweise geringen Betrag zu sparen. Beides ist würde ich sagen inkompetent.

Ja die haben grob fahrlässig gehandelt. Wie DAUs quasi.

 

[Mephisto_xD]

Ich habe früher Firmen verachtet, die nicht voll durchdigitalisiert sind, aber mittlerweile habe ich eher Respekt. Denn immerhin weiß man dort, dass "IT" kein Hobbyprojekt ist, dass man mal dem Junior anvertraut.

Es tut weh so etwas lesen zu müssen. Besonders wenn das rettende Backup in diesem Fall sogar auf einen größeren USB Stick gepasst hätte, das wirklich wichtige sind hier ja "nur" PDFs und Excel Tabellen. Einmal die Woche, im Zweifel Freitagnachmittag, und es wäre schmerzhaft, aber nicht katastrophal gewesen.