Monatelang mitgelesen: Wie Angreifer bei einem Reifenhersteller rund 50.000 Euro umleiteten

Aufgefallen ist der Angriff nicht in der IT, sondern in der Buchhaltung. Ein Reifenhersteller mahnte einen Kunden wegen offener Rechnungen. Die Antwort: Das sei längst bezahlt. Und es stimmte. Das Geld war überwiesen worden, nur nicht an den Reifenhersteller, sondern auf ein Konto im Ausland. Betroffen waren mehrere Rechnungen, zusammen rund 50.000 Euro.

Kein technisches System hatte angeschlagen. Der Angreifer hatte über Monate in der E-Mail-Kommunikation des Unternehmens mitgelesen, bevor er zuschlug. Dieser Beitrag erzählt, wie das ablief, was wir an einem Arbeitstag rekonstruieren konnten und wo die Spur endete. Die Fallstudie mit allen Eckdaten steht unter Referenzen.

Der Anruf: Der Angreifer sei nicht mehr im System

Das Unternehmen hat mehr als 100 IT-Arbeitsplätze und eine eigene IT-Abteilung. Einen Vertrag mit uns gab es nicht. Der erste Kontakt kam per Telefon, nach dem Angriff, und mit einer klaren internen Einschätzung: Die Angreifer seien nicht mehr im System.

Genau diese Annahme darf man in diesem Moment nicht treffen. Solange niemand belegt hat, wie der Angreifer hereingekommen ist, muss man davon ausgehen, dass er weiterhin Zugang hat und mitliest, auch jetzt, während über ihn gesprochen wird. Wir haben deshalb empfohlen, sofort einzugreifen. Das Unternehmen hielt die Lage nicht mehr für akut und legte den Termin selbst fest. Innerhalb von 24 Stunden waren wir vor Ort.

Die erste Stunde: Lagebild vor Aktionismus

Bevor irgendetwas geändert wird, muss klar sein, womit man es zu tun hat. Welche Systeme laufen im eigenen Haus, welche extern oder in der Cloud, welches E-Mail-System ist im Einsatz, wer hat worauf Zugriff. Und vor allem: Wie wurde der Angriff bemerkt? Hier lautete die Antwort: gar nicht technisch. Bemerkt hat ihn die Buchhaltung, über eine Mahnung.

Daraus folgt die Arbeitsannahme für alles Weitere: Bis zum Beweis des Gegenteils hat der Angreifer weiterhin Zugang. Wer in dieser Lage vorschnell Passwörter ändert oder Konten löscht, warnt ihn womöglich und vernichtet Spuren, die man für die Rekonstruktion braucht.

Wie der Angreifer vorging

Am Ende des ersten Arbeitstages war der Weg nachgezeichnet. Er bestand aus wenigen, unauffälligen Bausteinen, die zusammen sehr wirksam waren.

Weiterleitungsregeln waren bei den bisherigen Prüfungen im Haus nicht als Angriffsweg in Betracht gezogen worden. Das ist kein ungewöhnlicher blinder Fleck: Eine Regel in einem Postfach sieht aus wie eine Einstellung, nicht wie ein Einbruch.

Wo es anfing und warum die Spur dort endet

Der Zugang muss Monate vor den umgeleiteten Zahlungen entstanden sein. Die Analyse ergab Hinweise auf einen früheren Vorfall, der die Geschäftsführung nie erreicht hatte. Als wahrscheinlichen Ausgangspunkt ergaben die Erkenntnisse eine Firewall, die seit rund einem Jahr keine Herstellerunterstützung mehr hatte, also keine Sicherheitsupdates für bekannte Schwachstellen, und trotzdem weiter im Einsatz war.

Lückenlos belegen ließ sich das nicht, und so steht es auch im Bericht. Die Firewall speicherte lokal nur die letzten 10.000 Einträge, ein externes Protokollsystem gab es nicht. Im gewöhnlichen Betrieb ist ein solcher Speicher innerhalb weniger Tage überschrieben. Was Monate zurückliegt, ist schlicht nicht mehr da.

Es war nicht ein einzelner Fehler, sondern eine Verkettung. Jedes Glied für sich wirkt harmlos: eine Firewall, die noch läuft; ein Speicher, der sich selbst überschreibt; eine Regel in einem Postfach. Zusammen ergeben sie einen Weg, auf dem ein Angreifer monatelang unbemerkt bleibt.

Kein Vorwurf an die IT-Abteilung

Die IT-Abteilung des Unternehmens bestand aus erfahrenen, guten Technikern, teils mit Jahrzehnten Berufserfahrung. Das Problem war nicht die Erfahrung, sondern die Art der Aufgabe. Interne IT-Abteilungen sind dafür da, den Betrieb aufrechtzuerhalten: Server verwalten, Arbeitsplätze betreuen, Störungen beheben. Ein Angriff ist das Gegenteil davon. Jemand arbeitet gezielt daran, diesen Betrieb zu unterwandern und auszunutzen.

Das ist kein Tagesgeschäft, und es ist keine Schande, dafür Unterstützung zu holen. Im Ernstfall braucht jede IT-Abteilung Hilfe von außen, auch die beste. Und eine Geschäftsführung kann technische Aussagen ihrer IT oft nicht selbst prüfen. Eine unabhängige Zweitmeinung schafft Klarheit, ohne jemanden bloßzustellen.

Bericht und Maßnahmenplan: erst bereinigen, dann überwachen

Am folgenden Tag haben wir den schriftlichen Bericht übergeben. Er trennt, was festgestellt ist, was nur Indizien stützen und was offen bleibt, damit die Geschäftsführung weiß, worauf sie bauen kann. Dazu kam ein Maßnahmenplan, nach Dringlichkeit geordnet, so dass die interne IT in dieser Reihenfolge vorgehen kann. Die Umsetzung lag beim Unternehmen und seiner IT-Abteilung.

Den Maßnahmenkatalog haben wir vorab mit G DATA CyberDefense abgestimmt. Ergebnis: Nach vollständiger Umsetzung und nachweislich sauberem Ausgangszustand wäre der Einsatz von G DATA Managed XDR möglich. Die Reihenfolge ist kein Detail. Angriffserkennung setzt man nicht auf Systeme, in denen ein Angreifer noch sitzen kann; auf kompromittierten Systemen meldet sie im besten Fall den Ist-Zustand.

Sicherheitsvorfälle sind Chefsache

Der frühere Vorfall hatte die Geschäftsführung nie erreicht. Daraus folgt keine Schuldfrage, sondern eine Regel für den Meldeweg: Jeder Verdacht gehört ohne Umweg zur Geschäftsführung, auch wenn er sich später als harmlos herausstellt. Für Unternehmen, die unter NIS2 fallen, nimmt § 38 BSIG die Geschäftsleitung ausdrücklich in die Pflicht. Unabhängig davon gehört der Meldeweg in die Verfahrensdokumentation und das interne Kontrollsystem: wer meldet, an wen, wie schnell.

Was andere daraus lernen können

Wenn Sie gerade selbst den Verdacht haben, dass jemand in Ihrer E-Mail-Kommunikation mitliest: Rufen Sie uns an, 0621 877 55 990, rund um die Uhr und auch ohne bestehenden Vertrag. Bei einem Angriff helfen wir sofort, auch wenn Sie eine eigene IT-Abteilung haben.

Verwandte Themen: Wer hier weiterdenkt, liest bei E-Mail-Sicherheit gegen Rechnungsbetrug, Phishing und Ransomware und Überwachung rund um die Uhr weiter.