Wenn der Cyberangriff plötzlich Realität wird

Woran haben Sie den unbefugten Zugriff zuerst bemerkt?

Michael Selb: Den Vorfall konnten wir relativ rasch erkennen. Etwa eine Stunde nach dem ursprünglichen Phishing-E-Mail wurden wir von der vermeintlichen Absenderin informiert, dass aktuell betrügerische E-Mails im Umlauf sind. Dadurch entstand unmittelbar der Verdacht, dass ein Zusammenhang mit dem kurz zuvor geöffneten E-Mail bestehen könnte. Nach einer ersten Überprüfung haben wir sofort entsprechende Sicherheitsmaßnahmen eingeleitet.

Was war das Einfallstor?

Michael Selb: Nach derzeitigem Kenntnisstand handelte es sich um einen professionell gestalteten Phishing-Angriff. Dabei wurde eine legitime Kommunikation vorgetäuscht und eine täuschend echt aussehende Anmeldeseite verwendet. Solche Angriffe sind mittlerweile sehr schwer von echten Anmeldeseiten zu unterscheiden.

Welche Maßnahme haben Sie sofort nach Feststellung des Angriffs gesetzt?

Michael Selb: Unmittelbar nach Bekanntwerden wurden die Zugangsdaten geändert, zusätzliche Sicherheitsmaßnahmen gesetzt, unser IT-Dienstleister eingebunden sowie unsere Cyberversicherung informiert. Parallel dazu wurden die Logdaten analysiert und erste Sicherungsmaßnahmen umgesetzt.

Was mussten Sie in weiterer Folge tun?

Michael Selb: In weiterer Folge mussten die Systeme technisch analysiert, betroffene Kontakte informiert und die erforderlichen datenschutzrechtlichen Schritte gesetzt werden. Zusätzlich wurden weitere Sicherheitsmaßnahmen eingeführt bzw. bestehende Maßnahmen erweitert, um vergleichbare Vorfälle künftig möglichst zu verhindern. Der organisatorische Aufwand war deutlich höher als zunächst angenommen.

Haben Sie den Vorfall angezeigt?

Michael Selb: Ja. Der Vorfall wurde an die zuständigen Stellen und natürlich auch an die Datenschutzbehörde gemeldet. Zusätzlich erfolgte eine Meldung an die Cybercrime-Stelle des Bundesministeriums für Inneres sowie in weiterer Folge eine Strafanzeige gegen unbekannte Täter.

Haben Sie Unterstützung von Ihrer Cyberversicherung bekommen?

Michael Selb: Ja. Die Cyberversicherung hat unmittelbar nach der Meldung reagiert und ihren Cyber Incident Response Service aktiviert. Dadurch standen rasch spezialisierte IT- und Sicherheitsexpert:innen zur Verfügung, die uns bei der Analyse des Vorfalls, der Absicherung der Systeme, der Risikobewertung sowie bei den erforderlichen organisatorischen und rechtlichen Schritten unterstützt haben. Diese professionelle Unterstützung war insbesondere in den ersten Stunden und Tagen nach dem Vorfall sehr wertvoll.

Gibt es eine wichtigste Erkenntnis aus dem Vorfall?

Michael Selb: Die wichtigste Erkenntnis lautet für uns: Zugangsdaten und insbesondere MFA-Bestätigungen sollten ausschließlich dann eingegeben bzw. bestätigt werden, wenn der Anmeldevorgang bewusst selbst gestartet wurde. Moderne Phishing-Angriffe sind mittlerweile äußerst professionell gestaltet und für Anwender:innen oft nur sehr schwer von legitimen Anmeldeseiten zu unterscheiden.

Mindestens genauso wichtig ist jedoch eine andere Erkenntnis: Die größte Gefahr entsteht oft nicht durch mangelndes Wissen, sondern durch die Hektik des Tagesgeschäfts. Wenn man unter Zeitdruck steht, viele Aufgaben gleichzeitig erledigt und "nur schnell noch etwas abhaken" möchte, ist man deutlich anfälliger für solche Angriffe. Hätte mich vor dem Vorfall jemand gefragt, hätte ich überzeugt gesagt, dass uns so etwas nicht passieren kann. Im Nachhinein erkennt man innerhalb weniger Sekunden, woran man den Angriff hätte erkennen können.

In der konkreten Situation fehlt jedoch oft die notwendige Aufmerksamkeit, weil man sich auf das Tagesgeschäft konzentriert und nicht jedes E-Mail mit hundertprozentiger Aufmerksamkeit prüft. Genau deshalb sind neben technischen Schutzmaßnahmen vor allem Achtsamkeit, Bewusstsein und das konsequente Hinterfragen von Login-Aufforderungen entscheidend.

Ich denke, dass der wichtigste Hinweis für Kolleg:innen ist, sich bewusst zu machen, dass solche Angriffe mittlerweile jeden treffen können und oft weit professioneller aufbereitet sind, als man es erwarten würde. Gleichzeitig hat sich gezeigt, wie wichtig es ist, rasch zu reagieren, externe Spezialist:innen beizuziehen und bestehende Sicherheitsmaßnahmen laufend zu hinterfragen und weiterzuentwickeln.

Vielen Dank für das Gespräch.