Wochen unentdeckt im Netz: Was der Angriff auf Berlin über Angriffserkennung lehrt

Was ist über den Angriff auf Berlin inzwischen bekannt?

Seit dem 14. August sind zwei Berliner Senatsverwaltungen vom Landesnetz getrennt; wie lange ein Wiederanlauf dauert, haben wir in Sechs Tage Stillstand beschrieben.

Inzwischen hat die Ransomware-Gruppe Rhysida den Angriff auf ihrer Leak-Seite für sich reklamiert. Sie behauptet, rund 5,8 Terabyte Daten erbeutet zu haben, und fordert 30 Bitcoin — nach dem Kurs der Meldung rund zwei Millionen Euro. Genannt werden dabei ausgerechnet die Aktenarten, die man am wenigsten in fremden Händen haben möchte: Bußgeldverfahren, Verträge, Angaben zu kritischer Infrastruktur, Notfallpläne und Passwörter. Diese Zahlen und Kategorien stammen von den Tätern und sind nicht unabhängig bestätigt — Erpresser übertreiben regelmäßig, um Druck aufzubauen.

Zwei Punkte auf dieser Liste verdienen trotzdem Aufmerksamkeit, weil sie für jeden Betrieb gelten. Notfallpläne in der Hand des Angreifers heißt: Er weiß, wie Sie reagieren werden. Und Passwörter heißen: Der Vorfall ist mit der Wiederherstellung nicht vorbei, weil die Zugänge weiterleben. Wer Zugangsdaten verloren hat, muss sie flächendeckend wechseln — nicht nur die, von denen er es weiß.

Belastbar ist etwas anderes: Eine Datenmenge dieser Art zieht man nicht in einer Nacht ab. Wer so etwas behält, war vorher lange im Netz — unbemerkt. Und genau darin liegt die Lehre, die auf jeden Betrieb übertragbar ist, unabhängig davon, ob die 5,8 Terabyte stimmen.

Was bedeutet „Verweildauer“ — und warum ist sie die wichtigste Zahl?

Die Verweildauer (englisch dwell time) ist die Zeit zwischen dem ersten erfolgreichen Eindringen und dem Moment, in dem der Angriff bemerkt wird. Sie ist deshalb die zentrale Kennzahl, weil in ihr alles passiert, was den Schaden ausmacht:

• Umsehen: Welche Server gibt es, wo liegen die interessanten Daten, wie heißt der Domänenadministrator?
• Rechte ausweiten: Vom gekaperten Standardkonto zum Konto mit vollem Zugriff.
• Backups suchen: Weil ein Erpresser nur zahlungswirksam ist, wenn die Wiederherstellung nicht funktioniert.
• Daten abziehen: Leise, über Tage, in unauffälligen Portionen.
• Erst zum Schluss: verschlüsseln — der einzige Schritt, den man ohne Erkennung überhaupt mitbekommt.

Anders gesagt: Die Verschlüsselung ist nicht der Angriff, sie ist sein Ende. Wer erst dann etwas merkt, hat den Angreifern wochenlang ungestört bei der Vorbereitung zugesehen.

Warum bemerkt wochenlang niemand etwas?

Weil Angreifer sich nach dem Einstieg wie normale Benutzer verhalten. Sie melden sich mit einem echten Konto an, nutzen Werkzeuge, die ohnehin auf jedem Windows-Server liegen, und arbeiten zu Zeiten, in denen Betrieb ist. Es gibt keinen Virus, den ein Scanner findet — es gibt nur Anmeldungen, die technisch völlig in Ordnung sind.

Dazu kommen drei Schwächen, die wir in fast jeder Übernahme sehen:

Es gibt keine Protokolle — oder niemand liest sie. Viele Systeme protokollieren durchaus, aber die Daten liegen lokal, werden nach 14 Tagen überschrieben und niemand wertet sie aus. Nach dem Vorfall fehlt dann genau das, was die Forensik bräuchte.

Ein Virenscanner ist keine Erkennung. Signaturbasierte Software erkennt bekannte Schadsoftware. Sie erkennt nicht, dass sich ein Buchhaltungskonto nachts um drei am Dateiserver anmeldet. Den Unterschied haben wir in EDR statt Virenscanner ausführlich behandelt.

Alarme laufen ins Leere. Es gibt Meldungen — sie gehen an ein Postfach, das niemand öffnet, oder sie sind so zahlreich, dass sie längst ignoriert werden.

Woran erkennt man einen Angreifer, der sich normal verhält?

Nicht am Werkzeug, sondern am Muster. Diese Signale sind im Mittelstand realistisch auswertbar:

• Anmeldungen zur Unzeit oder vom falschen Ort: Ein Konto meldet sich um 03:40 an oder aus einem Land, in dem niemand arbeitet.
• Ein Konto, das plausibel überall ist: Ein Nutzer greift plötzlich auf Server zu, mit denen er nie zu tun hatte.
• Neue Konten und neue Rechte: Ein frisch angelegter Administrator, den niemand beantragt hat.
• Deaktivierte Schutzfunktionen: Der Endpunktschutz meldet sich auf einem Server ab, Protokollierung wird ausgeschaltet.
• Ungewöhnlicher Datenabfluss: Große Uploads nachts, Verbindungen zu Cloud-Speichern, die nicht im Einsatz sind.
• Zugriffe auf die Sicherung: Wenn jemand die Backup-Konsole öffnet, der das nie tut, ist die Lage bereits ernst.

Keines dieser Signale ist für sich ein Beweis. Zusammen genommen ergeben sie aber ein Bild — und vor allem: Sie entstehen Wochen vor der Verschlüsselung.

Was verkürzt die Verweildauer im Mittelstand konkret?

Es braucht kein eigenes Sicherheitsteam. Diese fünf Maßnahmen bringen den größten Effekt pro investiertem Euro:

• Verhaltensbasierter Endpunktschutz (EDR) auf allen Servern und Arbeitsplätzen — nicht nur auf den Notebooks.
• Protokolle zentral sammeln und lange genug aufbewahren. Drei bis zwölf Monate sind realistisch; ohne sie ist nach einem Vorfall keine Aufklärung möglich.
• Alarme an einen Menschen mit Dienstzeit. Ein Alarm, der um 22:00 in einem unbeobachteten Postfach landet, ist keine Erkennung. Genau dafür gibt es betreute Modelle.
• Administrative Konten trennen. Wer täglich mit Adminrechten mailt, verschenkt den wichtigsten Alarm überhaupt — nämlich den, dass gerade Adminrechte benutzt werden.
• Netz segmentieren. Segmentierung verhindert den Angriff nicht, aber sie macht die Ausbreitung sichtbar und langsam. Details in VLAN-Segmentierung.

Und die vielleicht wichtigste Ergänzung: Die Sicherung muss unveränderbar sein. Sie ist das erste Ziel in der Verweildauer — wer sie schließt, nimmt dem Angreifer sein Geschäftsmodell.

Was sollten Sie als Nächstes tun?

Stellen Sie Ihrer IT oder Ihrem Dienstleister eine einzige Frage: „Wenn sich heute Nacht jemand mit einem gültigen Passwort an unserem Dateiserver anmeldet — wer erfährt das, und wann?“

Kommt darauf eine konkrete Antwort mit Namen und Zeitfenster, ist die Erkennung in Ordnung. Kommt „das würden wir schon sehen“, ist sie es nicht — denn genau das haben alle geglaubt, die es hinterher nicht gesehen haben.

Der zweite Schritt ist unbequemer, aber ehrlicher: einmal rückwärts prüfen. Welche administrativen Konten gibt es, wer hat sie zuletzt benutzt, gibt es Anmeldungen, die niemand erklären kann? Diese Durchsicht dauert einen halben Tag und ist die günstigste Sicherheitsmaßnahme, die wir kennen.

Wenn Sie dabei Unterstützung brauchen: Wir richten die Erkennung ein, werten die Meldungen aus und melden uns, bevor Sie es an Ihrer Verschlüsselung merken.