Die Energiebrache befasst sich seit geraumer Zeit und mit zunehmender Intensität mit dem Thema Cyber-Security. Die Übergriffe auf die Betreiber kritischer Infrastrukturen sind vielfältig. Der aktuelle Fall des Ludwigshafener Versorgers TWL dokumentiert einerseits die hohe kriminelle Energie der Täter, andererseits die Gefährungslage von Energieversorgern. Wie die TWL berichten, sieht sich das Unternehmen nun Lösegeldforderungen der Kriminellen gegenüber.
Die noch unbekannte Hackergruppe habe Kontakt mit TWL aufgenommen. „Das Unternehmen lehnt Lösegeldzahlungen an Kriminelle ab“, heißt es. Wie letzte Woche veröffentlicht, sei es einer noch unbekannten aber „offenbar hochprofessionellen“ Hackergruppe gelungen, in die IT-Systeme des Energieversorgers Technische Werke Ludwigshafen AG, TWL, einzudringen. Trotz unmittelbar nach Bemerken des Angriffs eingeleiteter Gegenmaßnahmen erbeuteten die Hacker Kundendaten sowie Mitarbeiter- und Geschäftsdaten.
Aufgrund der forensischen Untersuchungen, der Arbeiten an der Gefahrenabwehr und der Ermittlungen der Strafverfolgungsbehörden war das Unternehmen bis zum 11. Mai 2020 angehalten, keine Details zum Sicherheitsvorfall zu veröffentlichen. Nach dem jetzt kommunizierten Stand der Ermittlungen ist Folgendes passiert: Am 20. April hat TWL entdeckt, dass Kriminelle Daten von seinen Systemen stehlen, und umgehend Maßnahmen eingeleitet, um den weiteren Datendiebstahl zu stoppen. Dennoch wurden mehr als 500 GB an Daten gestohlen.
Cyber-Infektion über E-Mail-Anlage
Inzwischen ist dem Unternehmen bekannt, dass der Erstzugriff der Kriminellen Mitte Februar über eine infizierte E-Mail-Anlage erfolgte, die von den technischen Abwehrsystemen nicht erkannt wurde. In den darauffolgenden Wochen schafften es die Kriminellen, sich unerkannt im Netzwerk von TWL auszubreiten.
Nach der Entdeckung des Angriffs hat TWL nach eigenen Angaben sofort das zuständige Dezernat der Kriminalpolizei, das Dezernat Cybercrime des Landeskriminalamtes (LKA) Rheinland-Pfalz und das Bundesamt für Sicherheit in der Informationstechnik (BSI) eingeschaltet. Die Ermittlungen dauern noch an. Die zuständige Landesdatenschutzbehörde wurde von dem Vorfall in Kenntnis gesetzt. Ein externes Unternehmen für IT-Sicherheit wurde mit der forensischen Untersuchung und Abwehr des Vorfalls beauftragt.
Zugriff auf Prozessleittechnik konnte verhindert werden
Eine Verschlüsselung der Systeme sowie ein Zugriff auf die Prozessleittechnik konnten verhindert werden. „Die Versorgung der Stadt Ludwigshafen war und ist deshalb nicht gefährdet.“
Am 30. April 2020 hat die Hackergruppe Kontakt zu TWL aufgenommen und versucht, Lösegeld im zweistelligen Millionenbereich zu erpressen. Gedroht wurde mit der Veröffentlichung der gestohlenen Daten. Aufgrund der Ablehnung der Forderungen seitens TWL haben die Täter die erbeuteten Daten im „Darknet“ veröffentlicht.
– TWL
„Für TWL ist es selbstverständlich, keine Geschäfte mit Kriminellen zu machen und nicht auf Lösegeldforderungen einzugehen, um weitere kriminelle Machenschaften nicht noch zu fördern.“ Dazu komme, dass selbst die Zahlung eines Lösegelds erfahrungsgemäß nicht zu einem Stopp der Datenverbreitung im Internet geführt hätte.
Seit dem 11. Mai 2020 würden die Kunden des Unternehmens von den Kriminellen per E-Mail angeschrieben, in denen diese TWL mangelnde Kooperation und Fehlverhalten vorwerfen, um weiteren Druck auf das Unternehmen auszuüben. Parallel haben die Täter angefangen, die gestohlenen Daten im Darknet zu veröffentlichen. „Wir stehen in engem Kontakt mit den Ermittlungsbehörden und haben sämtliche Schritte mit ihnen abgestimmt.“ Gemeinsames Ziel ist es, dass die Täter ermittelt werden können.
Vermutlich alle Kunden und Geschäftspartner betroffen
Zu den im Darknet veröffentlichten Daten zählen nach aktuellem Stand personenbezogene Daten wie Name, Vorname und Anschrift, die E-Mail- Adresse oder Telefonnummer, sofern sie bei TWL hinterlegt ist, Angaben zum gewählten Tarif „und, sollte TWL eine Einzugsermächtigung erteilt worden sein, die Bankverbindung“. Das Unternehmen geht derzeit davon aus, dass alle seine Kunden und Geschäftspartner betroffen sind. Auch wenn es hierfür bisher keine konkreten Anhaltspunkte gibt, weist das Unternehmen seine Kunden darauf hin, dass durch den Hackerangriff leider die Gefahr besteht, dass Kriminelle die erbeuteten Daten für weitere Straftaten missbrauchen können. Aus diesem Grund bittet TWL seine Kunden, ihre Konten regelmäßig zu prüfen und bei ungewöhnlichen Kontobewegungen unverzüglich Kontakt mit Ihrer Bank aufzunehmen. Zudem sollten Passwörter, die in der Kommunikation mit TWL bspw. beim Zugang zum Kundenportal verwendet werden, zu ändern, TWL versorgt rund 100.000 Haushalte in Ludwigshafen und dem gesamten Bundesgebiet mit Energie und Trinkwasser.
Bereits im vergangenen Jahr hatten die neuen Vorstände die IT unmittelbar dem Vorstand zugeordnet und zum 1. Juli 2019 einen neuen IT-Leiter eingestellt. Im Dezember 2019 wurden tiefgehende Sicherheitsanalysen durchgeführt, um Maßnahmen zur Steigerung der IT-Sicherheit des Unternehmens zu identifizieren. „Leider ist es den Cyberkriminellen gelungen, vor der vollständigen Umsetzung der erarbeiteten Maßnahmen in die IT-Systeme von TWL einzudringen“, heißt es bei TWL. Das Unternehmen arbeite zusammen mit dem eingeschalteten externen Unternehmen für IT Sicherheit mit Hochdruck daran, zu verhindern, dass ein solcher Vorfall nochmals passieren kann.
https://www.contextcrew.de/wie-koennen-die-betreiber-kritischer-infrastrukturen-cyberangriffen-begegnen/