Mit Hilfe von Dell-Technik Häfele übersteht Ransomware-Angriff

Anbieter zum Thema

Dell GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Die Häfele Gruppe, ein deutscher Anbieter von Möbel- und Baubeschlägen, elektronischen Schließsystemen und LED-Beleuchtung, hat Anfang 2023 eine Cyber-Attacke erfolgreich gemeistert, wie kürzlich verlautbart wurde. Fast alle Geräte und Systeme waren mit Malware infiziert und verschlüsselt, sodass die IT nicht mehr funktionierte. Nur die Backups blieben unversehrt. Dank der Lösungen und Services von Dell Technologies habe das Unternehmen innerhalb weniger Monate zum normalen Geschäftsbetrieb zurückkehren können – diesmal mit ausgereiftem Sicherheitskonzept.

Am 2. Februar 2023 stand das Telefon von Daniel Feinler, CISO bei der Häfele Gruppe, nicht mehr still: Sein Unternehmen wurde angegriffen. Das international aufgestellte Familienunternehmen mit Hauptsitz in Nagold wurde 1923 gegründet und bedient heute an über 150 Standorten in 38 Ländern die Möbelindustrie, Architekten, Handwerk und Handel mit Einrichtungs- und Baubeschlägen, elektronischen Schließsystemen und LED-Leuchten. Im Geschäftsjahr 2023 erzielte die Häfele Gruppe einen Umsatz von 1,71 Milliarden Euro bei einem Exportanteil von 82 Prozent.

Bildergalerie

Bildergalerie mit 5 Bildern

An diesem Tag im Februar wird der Betrieb von einer Hackergruppe angegriffen, die dafür die Schad-Software von Lockbit nutzt – dem größten RaaS-Anbieter (Ransomware-as-a-Service) weltweit. Die Ransomware Lockbit kommt ohne große manuelle Eingriffe aus. Nachdem der Angreifer einen einzelnen Host infiziert hat, verbreitet sich das Schadprogramm infektionsartig und verschlüsselt alle erreichbaren Systeme in einem Netzwerk. Klassische Sicherheitslösungen haben es schwer, Lockbit zu stoppen.

„Da der Angriff um vier Uhr morgens passierte, wurde er zuerst in Neuseeland und Australien entdeckt“, erinnert sich Feinler. „Als Corporate-IT wurden wir umgehend von den dortigen Kollegen informiert, dass unser Netzwerk korrumpiert ist.“ Alle Geräte, die zum Zeitpunkt der Attacke über eine Netzwerkverbindung verfügen, sind mit Malware infiziert und verschlüsselt. Die Kriminellen übernehmen zudem die zentrale IT-Infrastruktur in Nagold – sodass weltweit nichts mehr geht: Admin-Passwörter etwa im Microsoft Active Directory werden geändert, damit hat das IT-Team von Häfele keinen Zugriff mehr auf die Systeme. Produktion und Logistik stehen still, Website und Shop sind nicht mehr erreichbar.

Die Backups sind nicht verschlüsselt

Unmittelbar nach dem Angriff werden alle Systeme von Häfele vorsichtshalber heruntergefahren und vom Netz getrennt. Häfele ist ein Dell-Kunde, der zahlreiche Dell-Server und Speichersysteme nutzt. Daher treffen zugleich mit den ersten IT-Forensikern Mitarbeiter des Dell-Incident-Response-and-Recovery-Teams (IRR) zusammen mit dem Krisenteam von Häfele in Nagold ein und übernehmen die Koordination aller weiteren Maßnahmen.

Weltweit sind rund 60 Experten und Dienstleister in den kommenden Tagen und Wochen damit beschäftigt, die IT der Häfele Gruppe direkt vor Ort oder remote wiederherzustellen. Hilfreich ist im ersten Augenblick, dass das Unternehmen für den Ernstfall ein Cyber-Incident-Handbuch erstellt hat, das in gedruckter Form bereitliegt, also zugänglich ist. Ein zentraler Vor-Ort-Ansprechpartner von Dell Technologies stellt gemeinsam mit den Verantwortlichen von Häfele sicher, dass alle nahtlos zusammenarbeiten.

Als Glück im Unglück erweist sich das Backup am zentralen Standort: Die Dell EMC Data Domain ist das einzige IT-System, das vom Cyber-Angriff nicht betroffen ist. Der Zugriff auf alle Daten ist somit sichergestellt, und sämtliche Konfigurationsdateien und Passwörter für das Netzwerk sind hinterlegt, was das Hochfahren der Infrastruktur enorm erleichtert. „Wir haben uns sofort entschieden, auf Nummer sicher zu gehen und weltweit alle Endgeräte und Systeme neu aufzusetzen und eine komplett neue IT-Sicherheitsarchitektur aufzubauen“, erklärt Feinler.

Weitreichende Sicherheitsmaßnahmen umgesetzt

Ein kurz vor dem Angriff eingerichteter „Whiteroom“ mit Hardware, die noch nicht im Netz war, ermöglicht den Aufbau der neuen IT-Infrastruktur in einer sicheren Umgebung und die schnelle Wiederherstellung geschäftskritischer Workloads. Gleichzeitig erwirbt Häfele neue Latitude-Notebooks von Dell inklusive Managed Detection and Response Services für alle 9.000 Endgeräte. Hinzukommen zwölf VxRail E660F als HCI und zwei S5248F-Switches von Dell. Drei PowerEdge-Server-MX7000-Chassis mit jeweils vier PowerEdge-MX750C-Servern mit Intel-Xeon-CPUs und ein PowerStore-1200T-Gerät für Storage befinden sich ebenfalls im „Whiteroom“.

Die Systeme wurden von Dell Technologies komplett gelöscht, neu installiert und rund um die Uhr überwacht, bevor sie wieder in Betrieb genommen wurden. Das sollte verhindern, dass sich Angreifer irgendwo versteckt eingenistet haben.

Zero-Trust-Ansatz mit SASE

Um ein erneutes Eindringen von Cyber-Kriminellen zu verhindern, verfolgt das Unternehmen künftig einen konsequenten Zero-Trust-Ansatz. Dabei wird der Zugang zu einer IT-Ressource grundsätzlich verweigert und muss explizit für bestimmte Nutzer oder User-Gruppen freigegeben werden. Gelangen die Angreifer in den Besitz von Passwörtern eines Mitarbeiters, ist ihr Aktionsradius im Firmennetz so stark eingeschränkt.

Ein SASE-Konzept (Secure Access Service Edge), Netzwerksegmentierung, eine Härtung der gesamten Infrastruktur, Vulnerability-Management sowie interne und externe Penetrationstests gehören ebenfalls zur neuen IT-Sicherheitsarchitektur. Darüber hinaus hat Häfele ein SIEM-System (Security Information and Event Management) und ein externes SOC (Security Operations Center) zur 24x7-Überwachung des Netzwerks implementiert. So können Bedrohungen und Anomalien frühzeitig erkannt und verdächtige Systeme isoliert werden. Gleichzeitig wird die Rolle der IT-Sicherheit innerhalb der Firmengruppe gestärkt: Eine neu gegründete „Corporate Information Security Organisation“ kümmert sich fortan um alle Aspekte, in diesem Zuge wird auch die Position des CISO geschaffen.

Bildergalerie

Bildergalerie mit 5 Bildern

Rasche Rückkehr zum Normalbetrieb

Schritt für Schritt kehrte Häfele dank der umgesetzten Maßnahmen wieder zum Normalbetrieb zurück. Nach nicht einmal zwei Wochen sind der Verzeichnisdienst Microsoft Active Directory, der Mail-Server und der Zugriff auf Office 365 wiederhergestellt. Nach sechs Wochen laufen ERP- und Shop-System wieder, sodass der Order-to-Cash-Prozess – vom Eingang einer Kundenbestellung bis zur Bezahlung der offenen Forderung – funktioniert. Danach folgen alle anderen Häfele-Workflows, der letzte ist Ende des Jahres 2023 „repariert“.

„Wenn die IT durch einen Cyber-Angriff ausfällt, zählt jede Minute“, resümiert Feinler. „Dell Technologies hat uns bei der Bewältigung dieses Sicherheitsvorfalls perfekt unterstützt. Hand in Hand haben die Experten weltweit zusammengearbeitet, damit wir schnell wieder zum normalen Geschäftsalltag zurückkehren konnten. Die Geschwindigkeit und die Qualität der Services, aber auch die Erreichbarkeit unserer Ansprechpartner – alles war außergewöhnlich“, zeigt er sich zufrieden.

Teamarbeit erwies sich als entscheidender Erfolgsfaktor. Genauso entscheidend wie die Technik war in Feinlers Augen „eine schnelle und transparente Kommunikation mit allen Stakeholdern“. Belegschaft, Kunden und Lieferanten wurden fortwährend über die aktuelle Situation und Fortschritte informiert. „Der menschliche Aspekt ist in einem solchen Fall extrem wichtig. Die technischen Maßnahmen sind das eine, das andere sind Kommunikation und Vertrauen, um den Zusammenhalt zu stärken. Nur gemeinsam schafft man es, gestärkt aus einer Krise zu kommen“, so Daniel Feinler weiter.

(ID:50115345)