Was steckt hinter dem Online-Angriff auf Kaseya?
Das lsst sich noch nicht absehen. Kaseya hat weltweit 36.000 Kunden. Wenn bei diesen Kunden Updates aufgespielt werden mssen, erledigt Kaseya das fr die. Oder wenn ein Kunde eine neue Software braucht, dann bekommt er die direkt von diesem Dienstleister. Da muss kein Systemadministrator mehr Hand anlegen. An deren Computernetzwerken drften mehrere hunderttausend Endgerte hngen. Die sind ber das Fernwartungssystem von Kaseya erreichbar. Wieviele von denen ausspioniert wurden, um dann Daten zu verschlsseln und die Betreiber anschlieend zu erpressen, damit diese wieder Zugriff auf ihre Daten bekommen, wissen wir nicht. Bisher wird von einer Gesamterpressungssumme von 70 Millionen Dollar gesprochen. Aber die hat mir noch kein Behrden- oder Unternehmenssprecher offiziell besttigt. Schon gestern hat sich ein IT-Dienstleister aus Deutschland an das Bundesamt fr Sicherheit in der Informationstechnik, kurz BSI, gewandt und mitgeteilt, dass er die Fernwartungssoftware VSA von Kaseya einsetzt. Gestern Abend sollen 5000 Computer davon betroffen gewesen. Die Zahl soll heute auf mehr als 20.000 gestiegen sein. Auch da liegen aber keine offiziellen Zahlen vor, sondern nur Schtzungen aus Sicherheitskreisen. Die haben im Fall Kaseya eine Sicherheitslcke ausgenutzt, einen Erpressungstrojaner in die Fernwartungssoftware VA eingeschleust, und der wurde dann per Fernwartung, wenn ein Update aufgespielt werden musste, wenn ein System repariert werden musste, dann auf dieses System gespielt. Kaseya hat die Wartungscloud am Freitag abgeschaltet und die Kunden aufgefordert, die lokal laufenden Fernwartungssystemen auch abzuschalten. Die Sicherheitslcke soll demnchst geschlossen werden, heit es. Kaseya wollte dazu keine Details bekannt geben. Die ersten Lsegeldforderungen sind bekannt geworden. Das Problem dabei: Auch Firmen, die aktuelle Backups ihrer Daten haben, werden voraussichtlich bezahlen. Denn die Strategie der Online-Kriminellen hat sich gendert. Die verschlsseln nicht einfach nur Festplatten und verlangen fr den Schlssel Lsegeld. Sie saugen zuvor sensible, vertrauliche Daten ab, verschlsseln dann. Das Erpressungsgeschft verluft zweistufig: Erstens wird fr den Schlssel bezahlt und zweitens dafr, dass die sensiblen Daten nicht verffentlicht werden. Hinter dem Hack soll die russische Gruppe REvil oder R-Evial stecken. Sicherheitsforscher haben die seit ungefhr einem halben Jahr im Blick. Die Gruppe soll von Russland aus operieren. Aber das heit nicht, dass sie fr die Regierung arbeite. Wir haben es hier mit klassischer organisierter Kriminalitt zu tun. Das Erpressungsgeschft bringt hohe Gewinne bei geringem Risiko. Und deshalb haben die Attacken mit Erpressungssoftware seit gut zwei Jahren erheblich zugenommen. Die Gruppe Revil geht dabei sehr sorgfltig vor, d.h. die analysieren jedes Computernetzwerk, dessen Daten sie anschlieend absaugen und das sie dann verschlsseln wollen. Und erst wenn sie ein komplettes Kataster dieses Computernetzwerks erstellt haben, dann schlagen sie zu. Der langfristige Schutz muss an drei Punkten ansetzen: 1. Wir brauchen endlich ein besseres Management der Sicherheitslcken. Denn die werden fr Sicherheitsbehrden offen gehalten, damit die ihre Abhraktionen und Online-Ermittlungen auf Basis dieser Sicherheitslcken fhren knnen. Alle Sicherheitslcken mssen gemeldet und geschlossen werden. Auch im neuen IT-Sicherheitsgesetz 2.0 haben wir immer noch keine Meldepflicht fr Sicherheitslcken. Und was wir dann noch brauchen, zweitens: Wir haben in Sachen Fernwartung zu viel automatisiert. Das schafft zu viele Angriffspunkte, z.B. bei automatischen Updates. Da braucht es den gebten Blick von Systemadministratoren. Und drittens: Die Sicherheitsindustrie muss gezielter auf derartige Attacken vorbereitet sein, z. B. Verschlsselungssoftware muss schon bei Zugriff auf bestimmte Speicheradressen im Arbeitsspeicher abgefangen und unschdlich gemacht werden.