Interview zum Cyberangriff auf KTR Systems Gehackt! Ein Unternehmen berichtet

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

SoSafe GmbH

SIEVERS-SNC Computer & Software GmbH & Co. KG

KTR Systems GmbH

Hackerangriffe können KMU genauso sehr treffen wie große Konzerne. Was beide ebenfalls gemeinsam haben: Sie wollen als Opfer aus Scham meist nicht über die Ereignisse sprechen. Ganz im Gegensatz zu Olaf Korbanek, IT-Leiter bei der KTR Systems GmbH, und Stefan Ohlmeyer vom IT-Partner Sievers-Group. Ein Interview über geduldige Systemeindringlinge, den Dreiklang der IT-Sicherheit und den Wert von externer Unterstützung.

Es war eine normale Sommernacht, als sich für die KTR Systems GmbH aus Rheine das Worst-Case-Szenario ereignete: Hacker drangen in die interne Kommunikation ein und zweigten durch umgeleitete Zahlungen insgesamt 640.000 Euro ab. Der Angriff traf das mittelständische Technologieunternehmen sowie die 24 eigenen, teils internationalen Tochtergesellschaften mit insgesamt über 1.500 Mitarbeitern hart. Olaf Korbanek war zu diesem Zeitpunkt bereits IT-Leiter bei KTR Systems und hat den Angriff miterlebt. Heute berichtet er offen über seine Erfahrungen. Zusammen mit Stefan Ohlmeyer von der Sievers-Group, einem IT-Systemhaus aus Osnabrück, zeigt er auf, wie andere Unternehmen sich gegen Hackerangriffe schützen können – und warum offene Kommunikation mindestens genauso viel wert ist wie ein funktionierendes Sicherheitssystem.

Security-Insider: Herr Korbanek, vielleicht können Sie uns zu Beginn kurz mit auf eine Reise in die Vergangenheit nehmen. Wann genau haben Sie bemerkt, dass KTR Systems zum Opfer eines Hackerangriffs geworden ist?

Olaf Korbanek: Das war im Sommer 2019. Als die Unternehmensleitung mich kontaktierte, war ich gerade auf dem Abiball meiner Tochter. Ich solle sofort auf die Arbeit kommen, hieß es. In der Unternehmenszentrale in Rheine warteten schon ein Kollege und die Kriminalpolizei. Zu diesem Zeitpunkt war noch nicht genau klar, was passiert war – fest stand aber, dass eine hohe Geldsumme an falsche Konten überwiesen wurde, insgesamt 640.000 Euro.

Security-Insider: Das ist schon eine beträchtliche Summe. Wie haben sich die Hacker denn Zugriff zu Ihren Systemen verschafft?

Olaf Korbanek: Wir hatten unsere Postfächer damals schon in der Cloud – allerdings verfügten noch nicht alle Zugänge über eine Zwei-Faktor-Authentifizierung. Diese ermöglicht einen Zugriff nur nach Identitätsnachweis mittels einer Kombination zweier unterschiedlicher und unabhängiger Komponenten. Mithilfe einer Phishing-Mail konnten die Unbekannten dann per Identitätsdiebstahl ein damals noch nicht über den zweiten Faktor abgesichertes Postfach übernehmen. Wie sich im Nachhinein herausstellte, hatte es im Vorfeld eine Reihe von Social Engineering Anrufen gegeben, mit denen die Eindringlinge vermutlich das Angriffsziel identifizierten. Nach erfolgreicher Übernahme des Postfaches überwachten sie über mehrere Wochen sehr akribisch den internen Schriftverkehr und warteten auf die passende Gelegenheit. Als dann Überweisungen der Tochtergesellschaften an KTR Systems anstanden, fingierten die Hacker eine täuschend echte interne Mail, die eine Änderung der Kontodaten verkündete. Auf einmal sollte das Geld dann nicht mehr auf eine lokale Bank, sondern an die HSBC Bank in London überwiesen werden.

Security-Insider: Nehmen wir mal die Systemhausseite mit rein. Herr Ohlmeyer, kommt es häufiger zu solchen strategisch geplanten Angriffen auf Unternehmen?

Stefan Ohlmeyer: Was sich damals bei KTR Systems abgespielt hat, ist ein Musterbeispiel für einen Hackerangriff. Mit den Social Engineering-Anrufen wird vor dem Eindringen versucht, den Angerufenen durch zwischenmenschliche Manipulation zur Preisgabe von vertraulichen Informationen zu bewegen, um mehr Details über interne Abläufe und Angestellte herauszufinden. Wenn sie gut gemacht sind, lassen sich die Anrufe meist erst im Anschluss als Manipulationsversuch enttarnen.

Security-Insider: Zurück zu Herrn Korbanek. Wie ging es dann weiter? Wie lange dauerte es, bis die Änderung an der Bankverbindung auffiel?

Olaf Korbanek: Die Betrüger schafften es in einem Zeitraum von vier Wochen zweimal, einzelne Tochtergesellschaften zu täuschen. Beim dritten Versuch flog der Betrug dann auf, da die Finanzabteilung einer unserer Tochterfirmen in den USA den Bankenwechsel hinterfragte und sich beim Hauptsitz rückversicherte. Somit konnte ein weiterer Schaden vermieden werden.

Security-Insider: Wenn Sie den Hergang so beschreiben, Herr Korbanek, gab es doch einige Stellen, an denen der Betrug hätte auffliegen können. Warum ist das nicht passiert?

Olaf Korbanek: In der Nachbereitung ist uns aufgefallen, dass der finanzielle Schaden für KTR Systems entstanden ist, weil es an drei Aspekten gemangelt hat. Zunächst hätte eine einfache Nachfrage bei kritischen Stammdatenänderungen in der Zentrale und ein strikteres Vier-Augen-Prinzip schon geholfen. Zeitgleich war es ein ärgerlicher Zufall, dass gerade dieses Postfach in der laufenden Migration auf eine 2-Faktor-Authentifizierung eher am Ende als ganz zu Beginn berücksichtigt wurde. Wir hätten bei der Migration die Besitzer von Postfächern mit hohem Angriffspotenzial zuerst umstellen und schulen sollen. Zuletzt war die User Awareness noch nicht stark entwickelt. Dieser Dreiklang aus Menschen, Technik und Organisation war bei uns noch nicht ausgereift genug, was schlussendlich den Erfolg der Hacker begünstigte.

Security-Insider: Herr Ohlmeyer, wie wichtig ist eine gute User Awareness?

Stefan Ohlmeyer: Betrüger geben sich oft als Mitarbeiter aus und manipulieren mit ihren Mails oder Anrufen die Angestellten, die sich aufgrund des Arbeitsplatzes nicht privat begegnen. Allgemein sollte jede Mail mit einem gewissen Maß an Skepsis betrachtet werden, selbst wenn man dem Kollegen, der diese Mail höchst wahrscheinlich verfasst hat, vertraut. Wie Herr Korbanek schon richtig erklärt hat, müssen noch mehr Faktoren berücksichtigt werden, allerdings spielt die User Awareness schon eine große Rolle.

Security-Insider: Das klingt, als wäre der Angriff im Nachhinein gründlich aufgearbeitet worden. Was waren die schlussendlichen Learnings, die Ihr Vorgehen noch heute beeinflussen?

Olaf Korbanek: Wir waren im Nachgang sehr aktiv und haben verinnerlicht, dass es wirklich jeden und jedes Unternehmen treffen kann. Der größte Fehler ist die Annahme, dass man keine Angriffsfläche bietet. Wichtig ist es, sich an dem eben erwähnten Dreiklang zu orientieren. Für dieses Wissen haben wir Lehrgeld bezahlt – das wollen wir anderen Unternehmen ersparen. Bei der KTR steht das Thema IT-Security seither ganz weit oben auf der Agenda. Da zudem außer dem finanziellen Schaden kein Produktionsausfall oder Datenverlust zu beklagen war, sehen wir den Vorfall tatsächlich ein wenig als heilsamen Schock.

Stefan Ohlmeyer: KTR Systems hat die richtigen Schlüsse aus dem Vorfall gezogen. Wichtig war vor allem, dass sie das Thema nicht aus Angst vor der Öffentlichkeit für sich behalten haben, sondern offen damit rausgegangen sind. Diese offene Kommunikation ist fast mehr wert als jede IT-Security-Software. Die Kommunikation schützt nicht nur die eigene Firma, sondern sensibilisiert auch andere Unternehmen.

Security-Insider: Und was sagen Sie anderen Unternehmen heute? Was haben Sie genau für eine Reaktion auf den Angriff gezeigt?

Olaf Korbanek: Das richtige Management des ganzen Sicherheitssektors ist ausschlaggebend. Die Kriminalpolizei hatte uns sogar bestätigt, dass wir technisch zum damaligen Zeitpunkt sehr gut aufgestellt waren. Wir hätten es auch mit dem Abschluss der Einführung der Zwei-Faktor-Authentifizierung bewenden lassen können. Direkt nach dem Angriff haben wir dann aber ein User Awareness-Tool eingeführt, intensiv geschult und zusätzlich neben den bereits vorhandenen Virenscannern und Firewall-Konzepten noch die auf künstlicher Intelligenz fußende Lösung Darktrace Antigena E-Mail eingeführt. Zwei Jahre nach dem Angriff erkannten wir allerdings, dass es sinnvoll ist, einen externen Experten hinzuzuziehen, der unsere organisatorischen Maßnahmen beurteilt, managt und mitoptimiert. Daher haben wir uns an die Sievers-Group, einem Dienstleister für ganzheitliche IT-Architekturen zur strategischen Unternehmensführung, gewandt. Sie haben uns mit Herrn Ohlmeyer einen eigenen Berater zur Verfügung gestellt, der uns mit seiner Expertise dabei unterstützt, unsere Vorschriften und unsere Dokumentation wasserdicht und zugleich praxisrelevant zu gestalten.

Security-Insider: Herr Ohlmeyer, wie muss ein Unternehmen am besten vorgehen, um ausreichend geschützt zu sein?

Stefan Ohlmeyer: Gegenfrage: Was heißt „ausreichend geschützt“? - hundertprozentige Sicherheit gibt es nicht, das wissen wir alle, aber unsere Vision lautet: „Ruhig schlafen trotz Cyber-Gefahren“. Im Falle eines mittelständischen Unternehmens wie der KTR-Systems ist es wichtig, von Anfang an einen systematischen Ansatz zu verfolgen, der zeigt, welche konkreten Maßnahmen in welchem Umfang wirklich wichtig und zu priorisieren sind. Gerade nach einem Angriff ist es sinnvoll, mit System vorzugehen und nicht in puren Aktionismus zu verfallen. Zu Beginn steht immer die Cyber-Hygiene, also die Basis-Sicherheitsmaßnahmen im Vordergrund. Ob diese bereits gut umgesetzt sind, lässt sich mit einer Status Quo Analyse zeigen. In diesem Fall haben wir den Status anhand der VdS 10000-Richtlinien, einem speziell auf KMU zugeschnittenen Maßnahmenkatalog zur Sicherstellung der Informationssicherheit, ermittelt. Die sich daraus ergebenden Maßnahmen müssen dann sukzessive umgesetzt werden.

Security-Insider: Aber wenn man sich an diesem Standard orientiert, ist das Unternehmen ja nicht automatisch sicher. Wie lange dauert ein solches Projekt denn an?

Stefan Ohlmeyer: Ein IT-Sicherheits-Projekt endet nie. Natürlich ist zu Beginn ein Grundbestand an Sicherheitstechnik und -maßnahmen unerlässlich. Wichtig ist allerdings, dass alle Maßnahmen regelmäßig geprüft, kontrolliert und – ganz wichtig – verbessert werden. Stichwort: kontinuierlicher Verbesserungsprozess. Das gilt für technische Maßnahmen, z. B. die ständige Sicherstellung des aktuellen Stands der Technik, aber auch organisatorische Maßnahmen wie Mitarbeiter-Offboarding-Prozesse oder Patchmanagement-Verfahren. Diese müssen immer wieder auf den Prüfstand gestellt werden.

Security-Insider: Was können IT-Systemhäuser wie die Sievers-Group denn für solche Unternehmen tun, was diese nicht selbst erledigen können?

Stefan Ohlmeyer: Den Finger in die Wunde legen. Herr Korbanek wird das bestätigen können. Als Externe mit starkem Fokus auf das Thema Informationssicherheit haben wir eine andere Perspektive auf die Prozesse, die IT, die Kommunikation und die Awareness. So regen wir den internen Dialog an und helfen bei der Entwicklung bzw. Weiterentwicklung von Maßnahmen.

Olaf Korbanek: Was man bei der Zusammenarbeit mit einem externen Experten nicht unterschätzen darf, ist neben dem Fachwissen auch die immense Erfahrung in solchen Fällen. Hackerangriffe sind in der Wirtschaft immer noch ein gleichsam peinliches Ereignis. Keiner möchte es zugeben, wenn das eigene Unternehmen betroffen ist. Aber gerade die offene Kommunikation zwischen den Unternehmen könnte viele Schäden vermeiden. Auch im Mittelstand ist die Bedrohung real. Wir wurden damals ausgetrickst – das soll anderen Unternehmen erspart bleiben.

Security-Insider: Offene Kommunikation kann also anderen Unternehmen dieses Schicksal ersparen. Haben Sie deswegen den Weg in die Öffentlichkeit gewählt?

Olaf Korbanek: Ja und nein. Es geht bei der Transparenz nicht nur um den äußeren Effekt. Auch das Unternehmen selbst, die Mitarbeiter und Kollegen, profitieren von einem offenen Umgang mit diesem Angriff. Es nimmt sehr viel Unsicherheit, beantwortet offene Fragen und hilft dabei, in Zukunft noch vorsichtiger zu sein. Ich selbst treffe mich beispielweise privat mit einer Gruppe anderer IT-Verantwortlicher aus mittelständischen Unternehmen – alle waren schon Opfer von Hackerangriffen. Ich selbst profitiere in meinem beruflichen Alltag von ihren Erfahrungen. Aus diesem Grund habe ich mir die Erlaubnis der Geschäftsführung eingeholt, auch öffentlich über unsere Geschichte zu sprechen.

Security-Insider: Herr Ohlmeyer, wie stehen Sie abschließend zu dem Vorgehen von Herrn Korbanek und KTR Systems?

Stefan Ohlmeyer: Eigentlich gibt es dem nichts mehr hinzuzufügen. Ich bin mir sicher, dass viele Unternehmen von der Offenheit Herr Korbaneks und KTR Systems profitieren können. Denn es zeigt nicht nur, dass es jeden treffen kann und wie man reagiert, sondern auch, wie wichtig der offene Umgang mit der Thematik ist.

Security-Insider: Herr Korbanek, Herr Ohlmeyer, vielen Dank für das transparente und interessante Gespräch.

(ID:49061842)