Berliner Datenklau: Die nutzlosen Tipps des BSI

00:00:00: Stell dir mal folgende Situation vor.

00:00:03: Du kaufst dir das massivste, teuerste Sicherheitsschloss für deine Haustür – es hat wirklich alle erdenklichen Prüfsiegel ist von den höchsten Behörden zertifiziert!

00:00:13: Du drehst den Schlüssel um, hörst so ein sattes Klicken und fühlst dich absolut sicher.

00:00:19: Aber was du in diesem Moment nicht ahnst?

00:00:22: Der Einbrecher ist längst in deinem Haus.

00:00:26: Der Klassiker.

00:00:27: Er spaziert einfach durch die Wände, er benutzt ein eigenes Werkzeug aus dem Keller um deinen Tresor aufzuschweißen und ja, spaziert dann ganz gemütlich mit deiner Wertsachen-Kassette durch die Hintertür hinaus.

00:00:38: Genau das ist beim Land Berlin passiert!

00:00:41: Absolut Ja.

00:00:41: Und damit willkommen zu dieser tiefen Analyse.

00:00:44: Mein Kollege und ich wir sind übrigens deine KI Host für heute moderieren diese Ausgabe für das Format Diagnose Deutschland der Labnews Media LLC

00:00:54: Und wir schauen uns heute mal an, was da wirklich hinter den Kulissen passiert ist.

00:00:59: Wir nehmen uns ja gerne komplexe Themen vor und zerlegen sie für dich!

00:01:04: Die Grundlage unserer heutigen Analyse ist ein echt brisanter Artikel mit dem Titel «Die nutzlosen Tipps des BSI – technische Analyser am Berliner Datenklau».

00:01:14: Ein sehr harter Titel aber leider ziemlich treffend.

00:01:18: Ja absolut!

00:01:20: Wir wollen heute herausfinden wie Und das muss man sich mal auf der Zunge zergehen lassen, wie fünf Komma acht Terabyte an teils hochsensiblen Daten aus einem Regierungsnetz abfließen konnten.

00:01:31: Und dass – obwohl das Bundesamt für Sicherheit in der Informationstechnik, also das BSI mit seinen ganzen Vorgaben scheinbar voll im Boot war!

00:01:40: Um diese schiere Dimension des Vorfalls überhaupt greifen zu können müssen wir uns zuerst einmal den Zeitstrahl ansehen.

00:01:46: Lass uns das machen?

00:01:47: Ja.

00:01:47: Die Faktenlage aus unserer Quelle zeichnet da ein Bild dass für jeden IT-Verantwortlichen da draußen ein absolutes Albtraumszenario ist.

00:01:57: Die Angreifer hatten zwischen dem siebten und mindestens dem zwölften August – wahrscheinlich sogar bis zum vierzehnten August, im Jahr auch in den letzten Jahren –

00:02:08: völlig unbemerkten

00:02:11: Zugriff auf die Systeme zweier wirklich wichtiger Senatsverwaltungen in Berlin.

00:02:16: Das waren einerseits die Verwaltungen für Mobilität, Verkehr, Klimaschutz und Umwelt.

00:02:22: Und auf der anderen Seite für Stadtentwicklung, Bauen und Wohnen.

00:02:25: Krass!

00:02:26: Erst am vierzehnten August wurden die betroffenen Häuser dann physisch und logisch vom restlichen Netz isoliert.

00:02:32: D. h., wir sprechen hier von der ganzen Woche in der sich Angreifer einfach ungehindert in Regierungsnetzwerken bewegen konnten?

00:02:39: Ich meine wer operiert denn auf so einem Level?

00:02:41: Die

00:02:41: Gruppe nennt sich Ry Cedar.

00:02:43: Das ist kein loser Zusammenschluss von ein paar hackernen dunklen Kellern, sondern ein hochprofessionelles Geschäftsmodell.

00:02:51: Man nennt das Ransomware as a Service.

00:02:54: Die Entwickler der Shardsoftware vermieten ihre eigene Infrastruktur an sogenannte Affiliates also quasi die eigentlichen Einbrecher.

00:03:00: Ah!

00:03:01: Also im Grunde wie so ein Franchise-System für organisierte Kriminalität?

00:03:05: Exakt

00:03:06: – ein kriminelles Franchize Und Ryceeda nutzt dabei die Methode der doppelten Erpressung.

00:03:11: Zuerst verschlüsseln sie die Systeme, um den kompletten Betriebplan zu legen.

00:03:15: Und dann fordern Sie Lösegeld?

00:03:17: Genau!

00:03:18: Wenn das Opfer nicht zahlt, um die Systemen wieder zu entschlüsselnen folgt die zweite Stufe – die Drohung alle vor der Verschlüsselung kopierten Daten im Darknet zu veröffentlichen.

00:03:27: Das

00:03:27: ist natürlich eine brutale Hebelwirkung.

00:03:30: Die Forderung an Berlin lag damals bei dreißig Bitcoin was umgerechnet so rund zwei Millionen Euro waren.

00:03:37: Ja richtig viel Geld.

00:03:39: Berlin hat sich dann geweiger zu zahlen, was ja politisch auch die einzig vertretbare Haltung bei Erpressungen ist.

00:03:45: Aber die Konsequenzen waren halt verheerend!

00:03:48: Das kann man so sagen.

00:03:49: – am vierten September hat Rosida dann ernst gemacht und den kompletten Datensatz gelegt.

00:03:56: Die Täter selbst sprachen von eins Komma vier vier Millionen Dateien.

00:04:00: Wahnsinn!

00:04:01: Das sind wie du schon sagtest fast sechs Terabyte.

00:04:05: Und wenn man sich ansieht, was da alles drin war wird es völlig absurd.

00:04:08: Ja erzähl mal!

00:04:09: Was war da drin?

00:04:10: Da lagen Personalakten ganz sensible Gesundheitsdaten, Atteste sogar Geburtsurkunden von Mitarbeitern.

00:04:17: Oh mein Gott...

00:04:18: Aber eben auch Schwachstellen, Analgesen zur Trinkwasserversorgung und das ist echt heftig der Leitfaden zivile Verteidigung im Land Berlin.

00:04:28: Warte mal, lass uns das mal kurz sacken lassen.

00:04:31: Da liegen Krankmeldungen von Mitarbeitern im selben digitalen Regal wie die Zivilverteidigung der Hauptstadt.

00:04:38: Ja, völlig irre, oder?

00:04:40: Absolut absurd!

00:04:43: Wie kann so ein gigantischer Datenabfluss über Tage unbemerkt bleiben?

00:04:47: Diese Durchmischung der Daten ist so ein zentraler Punkt auf den wir später auch noch genauer schauen müssen – was diesen Vorfall institutionell aber so extrem brisant macht, ist eigentlich die Papierform.

00:05:00: Wie meinst du das?

00:05:01: Also, das BSI war zwar nicht der direkte Betreiber des Landesnetzes – dafür ist in Berlin das IT-DZ zuständig.

00:05:08: Aber für diese Basisinfrastruktur lag ein sogenanntes ISMS-Zertifikat nach ISO-Centro-Center-Counts vor.

00:05:16: Und das basiert auf dem IT-Grundschutz vom BSI?

00:05:20: Lass uns das kurz für unsere Hörer übersetzen, die jetzt vielleicht nicht jeden Tag irgendwelche Audits durchführen.

00:05:24: Ein ISMS-Zertifikat bedeutet doch im Grunde genommen nur dass eine externe Stelle mal geprüft hat ob die Behörde systematisch Informationssicherheit betreibt oder?

00:05:34: Ja, in der Theorie schon.

00:05:36: Ein Information Security Management System, so heißt das ja ausgeschrieben nach BSI Grundschutz verpflichtet eine Organisation eigentlich dazu Risiken zu bewerten und bestimmte technische und organisatorische Maßnahmen umzusetzen.

00:05:50: Klingt erst mal gut!

00:05:51: Das E-Governmentgesetz in Berlin macht diesen Grundschuz sogar zur absoluten Pflicht.

00:05:56: Das Zertifikat hing also bildlich gesprochen schön gerahmt an der Wand im Ministerium.

00:06:00: Es bescheinigt quasi Hey Prozesse existieren Aber….

00:06:04: Das Problem ist halt ein Zertikat, prüft oft primär nur die Dokumentation.

00:06:09: Es prüfte nicht in Echtzeit ob Herr Müller im Bauamt vielleicht sein Passwort auf einem Post-it am Monitor kleben hat.

00:06:14: Ah

00:06:15: ja... und womit wir dann auch direkt bei der bitteren Realität wären?

00:06:19: Die Quelle dekonstruiert ja wirklich sehr präzise warum diese schönen BSI Vorgaben in der Praxis einfach – naja komplett verdampft sind!

00:06:27: Oh ja das tun sie.

00:06:28: Es gibt da dieses eine eklatante Beispiel aus dem League.

00:06:31: man fand dort Ernsthaft Klartext-Passworter in Dateien, die allen Ernstes Passwort.ducx hießen?

00:06:37: Ja das tut schon weh beim Lesen!

00:06:40: Und die Passwörter selbst waren so Dinge wie Sonnenschein, Dreizehn oder AHAbus C-Zwölf.

00:06:45: Ich meine es klingt doch eher nach Ninzehundert-Achtenneunzig als nach Zwei-Tausendsechsundzwanzig.

00:06:49: Was das technisch eigentlich bedeutet ist vielen Anwendern leider gar nicht bewusst.

00:06:53: wenn du ein Passwort in einem ganz simplen Word Dokument auf einen Netzlaufwerk speicherst verliert es komplett seinen Status als Authentifizierungsgeheimnis.

00:07:02: Weil's einfach nur noch Text ist?

00:07:04: Genau, es ist keine kryptografische Hürde mehr!

00:07:07: Es ist schlichtweg eine Datei.

00:07:09: Sobald ein Angreifer auch mit den allerniedrigsten Privilegien lesend auf dieses Dateisystem zugreifen kann, ist die gesamte Passwortrichtlinie der ganzen Behörde komplett wertlos.

00:07:19: Wer lesen kann hat die Schlüssel zum Königreich.

00:07:22: Exakt und bei Passwörtern wie Sonnenschein XIII greift ohnehin kein Schutz.

00:07:27: Solche Wörter stehen in wirklich jeder Standard-Hackerwörternbuchliste.

00:07:30: Die werden von Programmen in Millisekunden automatisiert

00:07:33: durchprobiert.".

00:07:34: Da muss ich jetzt aber mal kurz kritisch einhaken!

00:07:37: Wir reden hier ja von einer wirklich massiven Exfiltration, fast sechs Terabyte an Daten verlassen das Netzwerk.

00:07:44: Richtig!

00:07:45: Wenn ich jetzt zu Hause an meinem privaten Rechner tagelang solche absurden Datenmengen auf irgendeinen fremdenserver Hochlade drosselt mein Provider doch irgendwann die Leitung Oder erschickt mir eine Warnung, weil das Muster einfach so extrem von der Norm abweicht.

00:08:00: Ja sollte man meinen!

00:08:01: Wie kann denn dann ein gigantisches Regierungsnetzwerk mit, ich glaube, sechshundert Standorten bei so einem massiven Abfluss völlig stumm bleiben?

00:08:11: Das ist das ganz eklatante Versagen der Detektionsmechanismen.

00:08:15: Im BSI-Grundschutz gibt es sehr wohl Bausteine für die Erkennung von solchen Angriffen und Anomalien Aber – und das ist der Knackpunkt Ein Landes-Netzbetreiber gab bereits im Juni, in den letzten Jahren öffentlich zu, dass die sogenannten Fachverfahren gar nicht zentral inventarisiert sind.

00:08:33: Fachverfahren?

00:08:34: Also die spezifischen Softwareanwendungen der einzelnen Ämter?

00:08:37: Genau, die!

00:08:38: Und das ist der Klassiker in der IT.

00:08:41: Ohne Inventarliste weiß die IT-Abteilung gar nicht was sie eigentlich gehört und was ich nicht kenne kann ich auch logischerweise nicht überwachen.

00:08:48: Ja und das macht Sinn man fischt quasi im Trüben

00:08:51: Absolut Das ist die logische Konsequenz.

00:08:54: Ohne so ein lückenloses Asset-Inventar kannst du kein säuberes Patchmanagement betreiben, weil du ja gar nicht weißt welche veralteten Server noch in irgendeinem Kellerabteil vor sich hin tuckern.

00:09:04: Du kannst das Netz nicht sauber segmentieren und vor allem fehlt dir die flächendeckende Abdeckung für Überwachungssensoren.

00:09:10: Die Vorgaben des BSI existieren zwar auf dem Papier aber wenn die Sensoren in der Praxis nicht überall installiert sind wandern eben sechs Terabyte über Tage in Weg nach draußen ohne dass irgendwo im Kontrollzentrum eine rote Lampe blinkt.

00:09:22: Lass uns hier mal kurz einen Schritt zurücktreten.

00:09:25: Ich glaube, viele unserer Hörer die vielleicht in Firmen IT-Abteilungen arbeiten nicken gerade resigniert weil sie genau dieses Dilemma zwischen Theorie und Praxis echt gut kennen.

00:09:35: Oh ja das kennen sehr viele!

00:09:37: Aber lass uns mal den Anwalt des Teufels spielen.

00:09:40: Angenommen dass Land Berlin hätte seine Hausaufgaben perfekt gemacht also keine Passwort dort DOC keine trivialen Passwörter komplett lückenlose Inventarlisten Hätte das eine Gruppe wie Ricida wirklich aufgehalten?

00:09:55: Das

00:09:55: ist die echt unbequeme Wahrheit, die der Artikel hier herausarbeitet.

00:10:00: Höchstwahrscheinlich nein!

00:10:01: Echt

00:10:01: nicht?!

00:10:01: Nein

00:10:02: und das liegt einfach daran dass die BSI-Empfehlungen strukturell oft auf Bedrohungsmodelle aus den Zwei-Tausendzehnerjahren abzielen.

00:10:10: Okay... Die klassischen Tipps lauten ja immer nutze starke Passwörter installiere Sicherheitsupdates zeitnah und lasst einen Virenscanner laufen.

00:10:19: Moderne Ransomware-Gruppen operieren aber auf einem Level, dass diese ganzen Maßnahmen schlichtweg umgeht.

00:10:25: Okay!

00:10:26: Wie machen die das?

00:10:27: Ein

00:10:27: riesiges Einfallstor sind heute echte Zero Days auf Perimetergeräten.

00:10:32: Gut, das müssen wir mal kurz aufdröseln.

00:10:34: für alle... ein Zero Day ist ja eine Schwachstelle in einer Software, die dem Hersteller noch völlig unbekannt ist – für dies also logischerweise auch noch gar kein Patch geben kann.

00:10:43: Richtig

00:10:44: Und Perimeter-Geräte, das sind quasi die Türsteher am Rand des Netzwerks

00:10:48: oder?!

00:10:49: Also wie so VPN-Gateways oder Firewalls?

00:10:52: Vollkommen

00:10:52: richtig zusammengefasst.

00:10:53: Das klassische BSI-Modell setzt ja implizit darauf, dass eine Lücke irgendwann bekannt wird der Hersteller ein Update baut und der Administrator das dann zeitnah einspielt.

00:11:03: Ja

00:11:04: Aber wenn der Angreifer einen Zero Day auf deinem VPN Gateway ausnutzt ist er sofort drin.

00:11:10: Da hilft dir dann auch kein perfekt geupdateter Windows Defender auf dem Laptop von irgendeinem Sachbearbeiter mehr

00:11:16: Krass.

00:11:17: Und es geht noch wesentlich tiefer rein in die Architektur.

00:11:20: Die Quelle beschreibt, dass Angreifer das Vertrauen des Systems gegen sich selbst ausnutzen – also beispielsweise durch den Missbrauch von Microsoft Trusted Signing-Zertifikaten.

00:11:28: Warte mal wie funktioniert das denn?

00:11:30: Eine Signatur von Microsoft ist doch eigentlich so das goldene Siegel, das dem Computer sagt hey dieses Programm ist sauber!

00:11:37: Das kannst du sicher ausführen.

00:11:38: Wie fälschenhäcker das?

00:11:40: In der Witze ist hier fälschendes oft gar nicht.

00:11:42: Sie erlangen es einfach missbräuchlich, ein Computer vertraut ja Programmen die kryptografisch von so einer anerkannten Stelle signiert sind.

00:11:51: Angreifer gründen dann zum Beispiel einfach Briefkastenfirmen, oder sie nutzen kleine Schwachstellen in den Registrierungsprozessen dieser Entwicklerportale aus.

00:12:00: Um sich ein echtes Zertifikat zu holen?

00:12:02: Genau!

00:12:03: Sie holen sich völlig legitime von Microsoft- oder anderen Instanzen offiziell abgenickte Zertifikate für ihre eigene Schadsoftware.

00:12:11: Das heißt, der Vierenscanner auf dem Rechner der Behörde schaut sich die Datei an, sieht dieses echte, gültige Microsoft-Siegel und lässt den Einbrecher freundlich lächelnd durch weil er wirklich denkt es sei ein ganz normales Windows Update?

00:12:25: Exakt

00:12:25: so läuft das!

00:12:27: Das ist kein Programmiertfehler, dass es einen Angriff auf das Vertrauensmodell selbst.

00:12:31: Wahnsinn.

00:12:32: Und um zu verstehen warum klassische Sicherheitssoftware dann völlig blind Müssen wir wirklich mal einen Blick auf die Architektur unserer Betriebssysteme werfen.

00:12:40: Lass uns das tun!

00:12:41: IT-Systeme sind in sogenannten Schutzringen aufgebaut, meistens spricht man von Ring Null und Ring Drei.

00:12:48: Okay lasst uns das mal irgendwie greifbar machen.

00:12:50: Stell dir die Architektur deines Computers einfach Mal wie ein gigantisches Hochsicherheitsgebäude vor.

00:12:57: Ring drei, das ist die riesige belebte Lobby im Erdgeschoss.

00:13:01: Da halten sich die ganzen normalen Benutzer auf.

00:13:03: Da laufen die Standardprogramme wie dein Webbrowser oder deinen E-Mail-Programm und in dieser Lobby stehen auch die Wachleute.

00:13:10: Genau!

00:13:11: Das sind unsere normalen Viren-Scanner und die klassischen BSI-Schutzmaßnahmen.

00:13:15: Richtig?

00:13:16: Eine sehr, sehr gute Analogie.

00:13:26: tiefste Tresorraum des gesamten Gebäudes.

00:13:30: Wer in Ring Null ist, hat die völlig uneingeschränkte absolute Kontrolle über die gesamte Hardware, den Arbeitsspeicher und eben das Betriebssystem.

00:13:40: Okay?

00:13:40: Wer im Kernel ist, bestimmt quasi die Realität für alles was oben in der Lobby passiert.

00:13:46: Moderne Angreifer streben gar nicht mehr danach sich in der lobby mit dem Virenscanner anzulegen Die nutzen eine Technik die nennt sich BYOVD

00:13:56: OVD, was heißt das?

00:13:57: Das steht für Bring Your Own Vultrable Driver.

00:14:01: Sie bringen also ihren eigenen verwundbaren Treiber mit.

00:14:04: Ganz genau!

00:14:05: Sie schleusen einen Hardware-Treiber auf das System der zwar ein offizielles gültiges Zertifikat besitzt wie wir ja eben besprochen haben, der aber einen bekannten Programmierfehler hat.

00:14:16: Ah und den nutzen sie aus.

00:14:17: Richtig über diesen Fehler verschaffen sich selbst Zugang zu Ring Null Und sobald der Angreifer dann im Körnel sitzt, dreht er den Vierenscanner oben in der Lobby einfach den Strom ab.

00:14:31: Wahnsinn!

00:14:32: Oder er manipuliert die Datenströme gleich so dass der Vierendscanner nur noch harmlose Prozesse sieht.

00:14:37: Die Sicherheitssoftware merkt nicht einmal das sie manipulieren wurde.

00:14:40: Das BSI rät uns also streng genommen, am Eingang total penibel nach Leuten mit Sturmhaube und Brecheisen zu suchen.

00:14:47: Aber das bringt überhaupt nichts wenn der Angreifer längst eine offizielle Hausmeister-Uniform trägt durch den Haupteingang spaziert und sich unten im Keller einfach den Generalschlüssel für das gesamte Gebäude besorgt.

00:14:59: Er braucht gar kein Brech Eisen her weil ihm das Haus eh schon gehorcht!

00:15:05: Und das führt uns direkt zum nächsten Punkt, der klassische Schadsoftware eigentlich fast schon überflüssig macht.

00:15:13: Man nennt das Living of the Land – also das Leben aus dem Land.

00:15:17: Oft wird es auch als Fileless Attacks, also datailose Angriffe bezeichnet.

00:15:22: Datailos?

00:15:24: Wie geht das

00:15:24: denn?!

00:15:25: Die Angreifer installieren nach dem ersten Einbruch oft gar keine eigene Schad-Software mehr!

00:15:30: Sie nutzen die Werkzeuge, die einfach schon da sind…

00:15:32: Ganz genau!

00:15:33: Jedes Windows-System hat ja extrem mächtige Administrationswerkzeuge an Bord.

00:15:38: PowerShell, Remote Desktopverbindung, PSEC.

00:15:41: Klar!

00:15:42: Das sind exakt dieselben Werkzeuge die die IT Abteilung der Behörde jeden Tag selbst nutzt um das Netzwerk zu warten.

00:15:49: Der Angreifer agiert dann nur noch im Arbeitsspeicher und tippt Befehle in diese ohnehin vorhandenen Tools ein.

00:15:59: Es gibt schlichtweg keine.

00:16:04: Wenn diese systemeigenen Tools in falschen Händen so unfassbar gefährlich sind, warum konfiguriert man die Rechner in einer Behörde dann nicht einfach so restriktiv dass ein ganz normaler Mitarbeiter dieser Administrationstools gar nicht erst aufrufen kann?

00:16:19: Man härtet doch die Systeme ab!

00:16:21: Hier beißt sich die schöne Theorie der IT-Sicherheit echt gnadenlos mit der harten Realität einer deutschen Verwaltung.

00:16:28: Das BSI empfiehlt so eine Systemhärtung ja durchaus.

00:16:32: Aber in einer Landesverwaltung laufen hunderte dieser sogenannten Fachverfahren.

00:16:37: Das ist spezialisierte Software für KFZ-Zulassungen, Für Einwohnermeldeämter, Für die Auszahlung von Wohnengeld usw.

00:16:45: Viele dieser Programme sind um es vorsichtig zu sagen steinalt und architektonisch eine absolute Katastrophe.

00:16:52: Das kann ich mir vorstellen.

00:16:53: Die verlangen oft völlig absone Rechte tief im Betriebssystem, nur um überhaupt zu starten.

00:16:58: Das heißt also wenn diese IT-Abteilung die Sicherheitsschrauben mal nach BSI Standard anzieht stehen am nächsten Morgen einfach alle Burgerämter still weil die Software streikt?

00:17:07: Das

00:17:07: ist der ständige Kampf der Administratoren vor Ort.

00:17:10: das BSI formuliert seine Vorgaben oft mit diesem netten Beisatz so ferntechnisch möglich.

00:17:16: Ah, da schlupps Loch!

00:17:17: Genau in der Praxis wird dieser Beisat zur universellen Ausrede.

00:17:21: Die Härtung wird deaktiviert, damit das zwanzig Jahre alte Fachverfahren irgendwie weiterläuft.

00:17:26: Die Kompatibilität siegt eigentlich immer über die Sicherheit.

00:17:30: Lass uns das mal bis hierhin zusammenfassen!

00:17:33: Und selbst wenn sie mal umgesetzt wird, bekämpft sie eigentlich die Bedrohungen von gestern während moderne Angreifer mit gültigen Zertifikaten direkt in den Körnel marschieren und die Bordmittel des Systems gegen uns richten.

00:17:53: Wenn also die Prävention fast unmöglich scheint, müssten wir den Einbruch doch wenigstens schnell bemerken!

00:17:59: Aber schauen wir uns mal an was in Berlin passierte nachdem der Angriff endlich öffentlich wurde?

00:18:06: Diese Reaktionen zeigen doch eigentlich die ganze Hilflosigkeit.

00:18:10: Oh ja, nach solchen Vorfällen beobachten wir fast immer eine Form von – ich nenn's mal Sicherheitstheater.

00:18:17: Sicherheitsteater?

00:18:19: Ja es müssen sichtbare Maßnahmen ergriffen werden um der Öffentlichkeit irgendwie Handlungsfähigkeit zu demonstrieren.

00:18:26: Nach dem Lieg wurden dann beispielsweise alle Behörden angewiesen die Passwörter vorsorglich zu verschärfen.

00:18:31: Okay.

00:18:32: Außerdem wurde der Homeoffice-Zugang für die betroffenen Senatsverwaltungen vorübergehend gekappt und man hat dann nachträglich zwölf Tausendsysteme auf Virensignaturen gescannt.

00:18:42: Für den Laien oder auch den Politiker klingt das ja erst mal nach wirklich entschlossenen Krisenmanagement, so nach dem Motto wir machen jetzt alles dicht neue Passwörter, Scans laufen auf Hochtouren.

00:18:54: aber mal aus rein technischer Perspektive war das mehr als nur ein Placebo?

00:18:59: Es war größtenteils völlig wirkungslos!

00:19:01: Wirklich.

00:19:02: Nehmen wir mal den massenhaften Passwortwechsel.

00:19:06: Wenn du das Passwort eines Benutzers änderst, ist es so als würdest du das Schloss an der Haustür austauschen?

00:19:12: Das Problem ist aber wenn der Angreifer bereits im System drin ist hat er längst aktive Sitzungen.

00:19:18: In Windows-Netzwerken funktioniert das über sogenannte Kerberostickets

00:19:23: Wattel!

00:19:24: Stell dir das mal so vor wie ein VIP-Bändchen auf einem Konzert.

00:19:28: Eine perfekte Beschreibung, ja?

00:19:30: Das Passwort brauchst du eigentlich nur um an der Abendkasse deinen VIP-Bändchen also das Kerberusticket zu bekommen.

00:19:36: Ja?

00:19:37: Solange der Türsteher dieses Bändchen am Arm nicht explizit für ungültig erklärt kannst Du im Club beliebig oft ein und ausgehen wie Du willst!

00:19:44: Das heißt wenn die Administratoren nur die Passwörter an der Kasse ändern aber diese bestehenden VIP-bändchen der Angreifer nicht aktiv abreißen Also die Sitzonen invalidieren dann lacht der Anggreifer sich doch kaputt.

00:19:57: Genau Er lacht nur.

00:19:58: Er bleibt einfach im System völlig unbeeindruckt von diesem neuen Passwort?

00:20:03: Und was ist mit dem Stopp des Homeoffices und diesen großen Virenscans?

00:20:07: Den VPN-Zugang für das Homeoffice mal eben zu kappen, dass reduziert vielleicht die Angriffsfläche für den morgigen Tag Es ändert aber absolut nichts an den Fünfkommarachterabyte, die ja bereits abgeflossen sind.

00:20:19: Stimmt!

00:20:20: Und das Scannen von zwölftausend System auf irgendwelche Signaturen – Das läuft völlig ins Leere.

00:20:25: Wie wir ja gerade besprochen haben, operieren die Angreifer Files im Arbeitsspeicher- und Nutzenbordmittel.

00:20:30: Da findet der Scan nichts!

00:20:31: Richtig – ein klassischer Festplattenscan nach so bekannten Virensignaturen.

00:20:36: Findet dort einfach nichts weil die Anggreifer keine klassischen Viren hinterlassen haben.

00:20:40: Dann gab es da ja noch diese Warnung des BSI kurz vor den Wahlen in Berlin.

00:20:45: Die haben eindringlich vor gezielten Fishing-Mails gewarnt, die durch die erbeuteten Daten ermöglicht werden könnten – man nennt das ja Hack & Leak.

00:20:55: Sachlich ist diese Warning natürlich richtig!

00:20:57: Wer interne E-Mailverläufe und Aktenzeichen einer Behörde kennt, der kann täuschend echte Fishingmails schreiben.

00:21:04: Ja klar...

00:21:05: Aber diese Warnung adressiert doch nur den Folgeschaden.

00:21:08: Das ist ein Pflaster für die zweite Wunde, das eigentliche strukturelle Versagen also der ungehinderte Datenabfluss über mehrere Tage hinweg wird dadurch in keiner Weise behoben oder für die Zukunft irgendwie verhindert.

00:21:20: Was mich dabei wirklich fassungslos macht?

00:21:22: Die Behörden schreiben also hektische Rundschreiben mit irgendwelchen Passwort-Tipps anstatt mal die Architektur zu ändern.

00:21:29: Warum sträubt man sich in der Verwaltung so extrem gegen echte Detektionssysteme?

00:21:33: Ich meine, wir reden hier von Security Operations Centern.

00:21:36: Kurzen SoCs die ein riesiges Netzwerk rund um die Uhr in Echtzeit auf Anomalien überwachen könnten.

00:21:43: Das hat eigentlich zwei wesentliche Gründe.

00:21:46: Der erste ist die panische Angst vor false positives Also falschen Alarmen.

00:21:50: Okay Ein wirklich scharfgestelltes Überwachungssystem blockiert auch gerne mal legitime Prozesse, wenn sie auch nur ganz leicht ungewöhnlich aussehen.

00:21:59: Und in einer Verwaltung gilt – wie wir ja vorhin beim Fachverfahren besprochen haben – die oberste Maxime!

00:22:05: Die Anwendung darf unter keinen Umständen stehen bleiben.

00:22:08: Ah, verstehe...

00:22:09: Man verzichtet also lieber auf den automatischen Notstopp als zu riskieren dass das Finanzamt am Ende für zwei Stunden nicht arbeiten kann.

00:22:17: Und der zweite Grund?

00:22:18: Das fehlen eine echt harten Wettsegmentierung.

00:22:21: Es ist architektonisch kompletter Wahnsinn, dass so hochsensible Dokumente der Zivilverteidigung auf denselben Serverstrukturen und im selben Active Directory liegen können wie die Krankmeldungen eines einfachen Straßenbauamtes.

00:22:34: Das ist wirklich verrückt!

00:22:36: Das Netz in kleine völlig isolierte Brandabschnitte zu untertrellen kostet halt enorm viel Zeit Geld und erfordert einen massiven kulturellen Wandel in der gesamten IT.

00:22:47: Und man darf da eine Sache nicht vergessen Das BSI berät nur.

00:22:51: Stimmt!

00:22:51: Es ist eine Fachbehörde, kein Netzbetreiber.

00:22:54: Ein BSI ohne hartes Durchgriffsrecht kann am Ende immer nur Warnungen aussprechen wenn das Kind längst im Brunnen ertrunken isst.

00:23:01: Das bringt uns zu der wirklich entscheidenden Frage für heute – was bedeutet das alles für die Zukunft?

00:23:06: Wie können wir das besser

00:23:07: machen?!

00:23:07: Die Synthese aus all diesen Analysen unserer Quelle ist eigentlich recht eindeutig.

00:23:12: Die Tipps des BSI sind nicht per se falsch.

00:23:14: Ein komplexes Passwort ist natürlich besser als Sonnenschein XIII Klar Aber diese Tipps sind absolut wirkungslos, wenn der flächendeckende Vollzug fehlt.

00:23:23: Moderne Ransom-Währgruppen hebeln klassische Härtungsmaßnahmen einfach aus in dem sie gültige Konten übernehmen und ihre Payloads im Arbeitsspeicher verstecken.

00:23:31: Was große Netzwerke heute wirklich brauchen geht weit, wirklich weit über gut gemeinte Tipps hinaus.

00:23:36: Wir sprechen davon Dingen wie Fido II oder?

00:23:39: Man liest ja immer wieder in solchen Berichten.

00:23:41: für viele klingt das wie ein kleiner Roboter aus Star Wars.

00:23:44: was ändert das in der Praxis?

00:23:46: Fido II ist ein Standard für eine phishingresistente Mehrfaktor-Authentifizierung.

00:23:52: Oft wird es durch so kleine physische Hardwaretoken umgesetzt, wie zum Beispiel ein USB Stick.

00:23:57: Aha!

00:23:58: Der Trick dabei ist selbst wenn ich dich am Telefon überliste und du mir dein Passwort verrätst oder wenn ich das aus einer dämlichen Datei auslese – es nützt mir als Angreifer absolut nichts.

00:24:09: Weil Du den Stick nicht hast?

00:24:11: Genau Ich brauche zwingend diesen physischen Stick, der an deinem Laptop steckt.

00:24:16: Das bricht vielen Angreifern sofort das Genick.

00:24:19: Dazu kommt dann die gnadenlose Segmentierung der Netze, die wir erwähnt haben.

00:24:23: und vor allem brauchen wir harte Detektionsschwellenwerte, die bei Anomalien zu einer automatischen Isolation von Systemen führen – und zwar innerhalb von Stunden nicht erst nach einer ganzen Woche!

00:24:41: Und das lässt uns am Ende dieser Analyse mit einer, finde ich sehr radikalen Frage zurück über die du liebe Hörerinnen und Lieberhörer mal wirklich nachdenken solltest.

00:24:53: Die Quelle hat ja diese völlig absurde Vermischung von streng geheimen Plänen zur Zivilverteidigung und ganz profanen Alltagsakten offengelegt.

00:25:03: Wenn unsere gigantischen, über Jahrzehnte gewachsenen Behördennetzwerke Strukturell und auch kulturell überhaupt nicht in der Lage sind, solche modernen Zero Day-und Ring Zero Angriffe rechtzeitig zu stoppen.

00:25:17: Ist der Traum der totalen Digitalisierung für kritische Infrastruktur dann vielleicht einfach gescheitert?

00:25:23: Das ist eine harte Frage!

00:25:24: Müssen wir hochsensible Daten wie Pläne zur Trinkwasserversorgung im Krisenfall vielleicht physisch komplett vom Netz nehmen?

00:25:32: Wieder zurück auf Papier gehen... oder sie in Räume bringen, die von jedem externen Netzwerk komplett isoliert sind.

00:25:39: Denn wie wir heute gesehen haben – kein Zertifikat an der Wand!

00:25:43: Kann deine Daten in einem flachen, sechshundert Standorte-Netzwerk jemals verlässlich schützen wenn der Einbrecher ganz offiziell durch die Vordertür spaziert?

00:25:52: Da ist was dran.

00:25:53: Denk mal drüber nach.

00:25:55: Wir sind deine KI-Hosts, der Labnews Media LLC und das war Diagnose Deutschland für heute.

00:26:01: Danke, dass du bei dieser tiefen Analyse dabei warst.

00:26:03: Bis zum nächsten Mal!