So ruiniert ein Hackerangriff ein Unternehmen (Teil 2)

Was bisher geschah: Zwei Mitarbeiter des Maschinenbau-Unternehmens „MüllerMeier Dichtring GmbH“, die über beinahe uneingeschränkte Zugriffsrechte verfügen, haben sich unwissentlich Malware auf Ihrem Rechner installiert. Der Administrator ist gerade in Urlaub, was zur Folge hatte, dass das Virenschutzprogramm nicht auf dem neuesten Stand war. Ein Keylogger liest unbemerkt Daten mit und ein bis jetzt nicht aktivierter Krypto-Trojaner (Erpressungstrojaner) beginnt nun, sein unheilvolles Werk zu verrichten.

»So ruiniert ein Hackerangriff (Teil 1)

Wie geht es nun weiter?

Montag, 8 Uhr:

Da Frau Fischer Ihren Rechner am Freitag nicht heruntergefahren hat, konnte der Krypto-Trojaner gestern um 01:34 Uhr aktiviert werden und hat über Nacht sämtliche Daten auf den File-Servern verschlüsselt, auf die Frau Fischer Zugriffsrechte hatte. Sämtliche Produktionspläne, Konstruktionspläne, Kundendaten, Lieferdaten und alle zentralen Netzwerk-Applikationen die die Firma benötigt, sind aufgrund der Verschlüsselung nicht mehr verfügbar.

Das Unternehmen steht still!

Die Forderung des Cyberkriminellen auf dem PC von Frau Fischer lautet, 10 Bitcoins (ca. 60.000 Euro, Stand 11/2017) an ein anonymes Bitcoin-Wallet zu überweisen. Im Gegenzug würden dann die Unternehmensdaten wieder entschlüsselt.

Nach einer hektischen Beratung mit der Geschäftsleitung und der Polizei wird beschlossen, nicht an den Erpresser zu zahlen.

Montag, 10 Uhr:

Glücklicherweise hat man ja ein Backup der Daten.

Der Plan steht: Restore der Daten durchführen, um so schnell wie möglich wieder arbeitsfähig zu sein.

Haken an der Sache: Niemand im Unternehmen weiß, wie mit der Backuplösung ein Restore durchgeführt wird. Der Vertreter des Administrators ist mangels Einweisung nicht in der Lage, die Daten wiederherzustellen.

Montag, 11 Uhr:

Nachdem man festgestellt hat, dass man nicht an die Daten des Backups kommt, da niemand die Software korrekt bedienen kann, beginnt eine hektische Zeit voller Telefonanrufe bei diversen IT Dienstleistern. Die bekannten IT Dienstleister in der unmittelbaren Umgebung sind leider nicht in der Lage sich um das Problem zu kümmern, da sie gerade voll ausgelastet sind und keine Ressourcen verfügbar haben.

Montag, 12:30 Uhr:

Endlich wurde ein IT Dienstleister gefunden, der allerdings aus einiger Entfernung zu erhöhten Kosten anreisen muss und daher erst in einer Stunde eintrifft.

Montag, 13:30 Uhr:

Der Dienstleister beginnt seine Arbeit, stellt aber nach kurzer Zeit fest, dass niemand weiß, wo die für den Restore der verschlüsselten Backupdaten benötigten Passwörter liegen.

Es muss also unbedingt der Administrator kontaktiert werden. Dieser liegt gerade am Strand in Thailand und ist nicht zu erreichen. Es vergeht wertvolle Zeit, während man verzweifelt versucht, den Administrator zu erreichen. Die Zeitverschiebung von 7 Stunden erschwert das ganze Vorhaben natürlich enorm.

Dienstag, 17 Uhr:

Der Betrieb kann nun seit fast 2 Tagen nicht mehr arbeiten. Zum Glück hat man mittlerweile den Administrator erreicht und versucht nun den Restore durchzuführen. Dass der Administrator angesichts einer Flugzeit von ca. 14 Stunden nicht zurückkommen kann und unglücklicherweise keinen PC zur Verfügung hat, macht die Sache nicht leichter.

Hinzu kommt noch, dass die letzte erfolgreiche Sicherung vor 10 Tagen stattgefunden hat (also am letzten Arbeitstag des Administrators). Da das Backup nicht überwacht wurde, konnte der Fehler leider nicht früher entdeckt werden. Somit steht ein Datenverlust von rund 10 Tagen bevor.

Lesen Sie auch: Was kosten die Folgen von Datenverlust?

Mittwoch, 9 Uhr:

Der Restore konnte mit Hilfe des Administrators und des IT Dienstleisters endlich gestartet werden. Da es sich allerdings um Datenmengen im Terabyte-Bereich handelt, nimmt dieser Vorgang rund 2 Tage in Anspruch. Die von dem benötigten Zeitaufwand und dem zu erwartenden Datenverlust vollkommen überraschte Geschäftsleitung versteht die (IT) Welt nicht mehr. Der Geschäftsführer ist nervlich am Ende!

Freitag, 8 Uhr:

Der Restore konnte endlich alle Daten vom Backup wiederherstellen. Nach nunmehr 4 Tagen, an denen das Unternehmen praktisch stillstand, liegen die Nerven natürlich bei allen Mitarbeitern blank.

Freitag, 14 Uhr:

Da man mittlerweile seit einer Woche nicht mehr produziert hat, ist es dem Unternehmen nicht mehr möglich, seine Lieferverträge einzuhalten. Der zu Beginn erwähnte Automobilhersteller muss infolgedessen ebenfalls seine Produktion stoppen, da ein wichtiger Dichtring fehlt und in Zeiten von just-in-time natürlich kein Vorrat vorhanden ist.

Freitag, 15 Uhr:

Dass ein großer Automobilhersteller seine Produktion wegen Problemen in der Lieferkette stoppen muss, bleibt natürlich nicht lange unbemerkt. Es gibt Pressemeldungen, in denen die Vorgänge der letzten Tage veröffentlicht werden.

Wie Sie sich vor Hackerangriffen schützen: 10 Tipps

Zwischenfazit

Was hätte man also besser machen können als die Firma „MüllerMeier Dichtring GmbH“?

Ungeschulte Mitarbeiter

Der erste Fehler, der begangen wurde, war, dass Frau Fischer ihren Rechner nicht heruntergefahren hat. Ganz abgesehen von den unnötigen Stromkosten hatte der Krypto-Trojaner die Chance, über das Wochenende aktiv zu werden. Abhilfe schafft hier ein Security Awareness Training.

Keine adäquate Vertretung für den Administrator

Zweiter Fehler war, dass keine professionelle und eingewiesene Vertretung für den Administrator vorhanden war. Ein gravierender Fehler, wie die Folgeereignisse gezeigt haben!

Man hätte sich viel Zeit, Geld und Aufwand ersparen können, wäre diese professionelle Vertretung vorhanden gewesen. Diese hätte zum Beispiel die Aktualität des Virenschutzprogramms und des Backups überwacht und somit vermutlich verhindert, dass der Krypto-Trojaner überhaupt ins System eindringen konnte. Und auch wenn das Virenschutzprogramm aus irgendwelchen Gründen während der Abwesenheit des Administrators nicht aktuell gehalten worden wäre, hätte man auf ein Backup der Daten zurückgreifen können. Da das Backup jedoch nicht von der Vertretung überwacht wurde, musste man den Datenverlust in Kauf nehmen.

Gratis Checkliste: 25 Prüfpunkte für einen entspannten Administratorurlaub

Ein weiterer Grund für eine gute Vertretung: auch wenn alles schiefgegangen wäre und das Virenschutzprogramm sowie das Backup nicht aktuell waren, hätte man sich mit einer professionellen Vertretung den IT Dienstleister sparen können. Und viel wichtiger: Man hätte den Restore sofort starten können! Damit hätte man sich mehrere Tage Stillstand und damit bares Geld gespart!

Mein Tipp

Sie sehen, dass die professionelle Vertretung des Administrators unbedingt geregelt sein muss. Auch für den Fall, dass ein Administrator kurzfristig krankheitsbedingt ausfällt, sollte gesorgt sein. Worauf Sie dabei achten sollten können Sie in dieser kostenfreien Checkliste nachlesen:

In Teil 3 erfahren Sie, wie das Unternehmen endgültig ruiniert wird. 

»So ruiniert ein Hackerangriff ein Unternehmen (Teil 3)