Wären die IT-Systeme der Stadtwerke Neumünster (SWN) einen Tag länger online gewesen, dann hätten die Hacker ihr Ziel erreicht. „Dann wären unsere Daten verschlüsselt gewesen“, berichtete Stadtwerkechef Michael Böddeker. Die Weichen für einen Erpressungsversuch der Hacker wären gestellt gewesen. Warum es nicht so kam, warum die Zahl der Hacker-Angriffe massiv zugenommen hat und wie man sich davor schützen kann, darüber diskutierte am zweiten Tag des VKU-Stadtwerkekongresses in Hannover ein hochkarätig besetztes Panel unter dem Titel „Cyberbedrohungslage Deutschland – Wie resilient sind unsere Kritischen Infrastrukturen aufgestellt?“.
Seit über einem Dreivierteljahr hatten sich die Angreifer mit ihrer Schadsoftware offenbar schon in den Systemen der SWN befunden. "Das konnten wir nachweisen. Sie haben sich langsam immer weiter vorgetastet, ohne dass die Systeme beschädigt wurden“, resümierte Böddeker. Im August letzten Jahres entdeckte die IT-Abteilung der SWN dann Auffälligkeiten im System. "Wir haben sofort den Krisenstab einberufen und dann innerhalb von eineinhalb Stunden den kompletten Stadtwerkekonzern vom Netz genommen", berichtete Böddeker.
"Zahlungswege waren beeinträchtigt"
Vor allem die umfassende und schnelle Kommunikation sei in den ersten Minuten und Stunden zentral gewesen, sowohl mit den zuständigen Behörden und den rund 870 Mitarbeitenden. "Die Versorgung der Kunden war nicht beeinträchtigt, aber die Zahlungswege", so der Stadtwerkechef. Das machte auch die anstehenden Lohnüberweisungen an die Mitarbeitenden zur Herausforderung.
Auf zwei bis drei Millionen Euro schätzt Böddeker den entstandenen Schaden. Der Angriff sei aus einer ganz anderen Ecke gekommen als man erwartet habe. Die IT-Sicherheit zum damaligen Zeitpunkt vergleicht er mit einem gut ausgebauten Sicherheitszaun um das eigene Haus. "Woran wir nicht gedacht haben, ist dass jemand in die Wohnung des Hausmeisters einbricht und die Schlüssel für das Haus entwendet."
Bereits 2016 gab es einen Hackerangriff in Neumünster
Zugriffe auf das Firmennetzwerk dürften deshalb nicht über private Rechner möglich sein, folgert der erfahrene Energiemanager. Die IT-Infrastruktur bei den SWN wurde komplett erneuert, regelmäßig wird in Sicherheitsschulungen der Mitarbeitenden investiert. Auch Ports an den Rechnern, etwa für USB-Sticks sind nicht mehr zugelassen. Bereits 2016 hatte es einen ähnlichen Angriff auf die Stadtwerke Neumünster gegeben, dies stellte sich bei der Aufklärung der Hackerattacke in 2023 heraus. Warum damals kein größerer Schaden entstand und ein Erpressungsversuch ausblieb, ist bis heute unklar.
"Größte Bedrohung geht von Ramsomware aus"
Die Bedrohungslage in Sachen Cyberkriminalität hat sich in den vergangenen Jahren massiv verschärft. "Die größte Bedrohung geht aktuell von Ransomware aus", bestätigte Jan Sanders, Regierungsdirektor beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Zahl der Angriffe, aber auch der identifizierten Schwachstellen in Unternehmen habe enorm zugenommen.
"Die Täterseite hat sich in den letzten Jahren deutlich professionalisiert. Wir reden mittlerweile von einer Underground-Economy, die im Darknet jegliche Waren und Dienstleistungen krimineller Art anbietet", ergänzte Fred-Mario Silberbach, Leitender Krimnialdirektor beim Bundeskriminalamt (BKA).
"Sehr hohe Bedrohung durch russische Geheimdienste"
"Die kritische Infrastruktur ist mittlerweile ein vorrangiges Ziel von Hackerangriffen. Wir befinden uns aus militärischer Sicht in einer sehr hohen politischen Bedrohung insbesondere durch Russland", sagte Konteradmiral Roland Obersteg, Chef des Stabes Kommando Cyber- und Informationsraum bei der Bundeswehr. Man sehe „ein deutliches Bestreben russischer Geheimdienste, auch unter Nutzung ziviler Komponenten, bei uns in kritische Infrastrukturen einzudringen“ bekräftigte Obersteg.
Um im Fall eines Hackerangriffs möglichst schnell reagieren und den Schaden im besten Fall gering halten zu können, sei eine gezielte Krisenprävention in Form von Krisen- und Ablaufplänen zentral, verdeutlichte BKA-Experte Silberbach. Um die Chancen bei der Strafverfolgung nach den Tätern zu erhöhen, sei es wichtig, die Behörden sehr frühzeitig einzubeziehen, um vorhandene Spuren in den Systemen sichern zu können. „Diese Spuren brauchen wir sehr schnell.“
"Bereiten Sie sich auf den Ernstfall vor"
„Nach einem Angriff ist es wichtig, möglichst schnell in einen Informationsaustausch zu kommen, der Faktor Zeit ist hier entscheidend“, stimmte Bundeswehr-Admiral Obersteg zu.
„Vernetzen sie sich, bereiten Sie sich darauf vor, was im Ernstfall zu tun ist“, appellierte Heiko Sanders vom BSI. Auf der Homepage www.polizei,de/zac etwa findet man sämtliche Cybercrime-Kompetenzstellen. Cybersicherheit erfordere personelle Ressourcen und sollte in jedem Unternehmen ein Thema für die Geschäftsführung sein, ergänzte Obersteg.
Neue EU-Richtlinie soll Cybersicherheit weiter fördern
Eine Stärkung des Cybersicherheitsniveaus strebt auch die EU mit der Umsetzung der sogenannten Richtlinie zur Netzwerk- und Informationssicherheit (NIS 2) an. Diese voraussichtlich mit einer leichten Verzögerung wohl bis Frühjahr nächstes Jahr umgesetzt werden muss. Diese verpflichtet Unternehmen zu höheren Investitionen in diesem Bereich und sieht unter anderem Pflichtschulungen für das Management vor. Der Geltungsbereich erstreckt sich künftig auf alle Unternehmen ab einer Größe von 50 Mitarbeitenden. (hoe)
