Mehr als acht Monate, nachdem einer der reichsten Bezirke Amerikas einen verheerenden Cyberangriff erlitten hat, sind die schmerzhaften und kostspieligen Folgen noch immer nicht überwunden.
The Suffolk County legislature in eastern Long Island voted last week to subpoena four county employees with knowledge of the fall 2022 ransomware attack that disabled county websites, servers, and databases. Anfang dieses Monats gab der Landkreis die Einstellung seines ersten Chief Information Security Officer (CISO) für den Bereich „ “ bekannt. Das Unternehmen räumte zudem ein, dass das Fehlen eines eigenständigen Plans zur Reaktion auf Vorfälle im Zusammenhang mit dem „ “ () im vergangenen Jahr wahrscheinlich zur langwierigen Wiederherstellung beigetragen habe.
Mit jeder neuen Schlagzeile zieht es mir ein wenig im Magen zusammen. Es sind bereits so viele Monate vergangen, und die Behörden versuchen immer noch, zu rekonstruieren, was genau geschehen ist und warum. In meiner Branche höre ich fast jede Woche von Cyberangriffen, doch dieser hier betraf mich persönlich.
Im vergangenen September stürzte meine Mutter und brach sich den Arm, woraufhin ich mich von meiner Wohnung in New York City eilig auf den Weg zurück in mein Elternhaus in Suffolk County machte, um bei ihrer Pflege zu helfen. Der Cyberangriff erfolgte zwei Tage später und zwang den Landkreis dazu, seine Website sowie weitere webbasierte Anwendungen, die den 1,5 Millionen Einwohnern der Region dienten, außer Betrieb zu nehmen. Die Landespolizei musste in eingreifen, um die örtlichen Rettungskräfte zu unterstützen, indem sie bei Verkehrskontrollen Kennzeichen, Vorstrafenregister und andere wichtige Daten abfragte, während 911 Disponenten die Anrufe von Hand protokollierten. Die E-Mail-Dienste für 10 000 Beamte wurden eingestellt. Die Auszählung der Stimmen bei den Zwischenwahlen verzögerte sich . Und der lokale Immobilienmarkt – der überall eine große Rolle spielt, ganz besonders aber im vornehmen East End von Long Island – erlitt einen herben Rückschlag, da keine Grundbuchauszüge unter und andere geschäftliche Vorgänge bearbeiten konnte.
In den folgenden Monaten kümmerte ich mich um meine kämpferische Mutter, während sie sich einer Physiotherapie unterzog, und beobachtete, wie der Landkreis – weniger kämpferisch, eher hilflos und scheiternd – sich durch seine ganz eigene Art der Rehabilitation schleppte. Ein forensischer Bericht von „ “ ergab, dass Hacker acht Monate vor dem eigentlichen Ransomware-Angriff „ “ in Dezember 2021 über eine Sicherheitslücke im Büro des County Clerk in das System eingedrungen waren. Nachdem sie sich Zugang verschafft hatten, installierten die unentdeckten Eindringlinge die Bitcoin-Mining-Software „ “ ( ), Exfiltrations-Tools und Überwachungssysteme, erstellten gefälschte Konten und erbeuteten rund 26 000 Sozialversicherungsnummern sowie fast eine halbe Million Führerscheinnummern.
Dieser Bericht vermittelt trotz all seiner ernüchternden Erkenntnisse nur die halbe Wahrheit. Im Zuge des Angriffs sind zahlreiche Enthüllungen ans Licht gekommen, die belegen, dass Suffolk ein bedauerliches Beispiel dafür ist, dass Cybersicherheit nicht ernst genommen wird.
Die Kosten der Geschäftstätigkeit
Anstatt ein Lösegeld in Höhe von 2,5 Millionen Dollar an die Hacker zu zahlen, entschied sich der Landkreis dafür, die Dienste eigenständig wiederherzustellen. Es dauerte mehr als fünf Monate, bis die Website wieder betriebsbereit war, und auch heute noch sind einige Online-Dienste, darunter die Abfrage von Grundbuchauszügen und die Bezahlung von Abwasserrechnungen, nicht verfügbar.
“„Die bedauerliche Tatsache ist, dass die Cyberkriminellen mehr Zugriff auf das Netzwerk des Sachbearbeiters hatten als die IT-Abteilung des Landkreises jemals.“Steve Bellone, Landrat des Landkreises Suffolk
Die Kosten für die Bewältigung des Datenlecks und die Wiederherstellung der Dienste werden sich nach den neuesten Schätzungen des Landkreises auf insgesamt 5,7 Millionen Dollar belaufen, auch wenn Sicherheitsexperten davon ausgehen, dass diese Zahl noch steigen könnte.
Ob der Landkreis die Sache einfach hätte hinnehmen und das Lösegeld zahlen sollen, ist Gegenstand einer (heftigen) Debatte unter , obwohl viele Experten der Ansicht sind, dass die Zahlung von Lösegeld ein Unternehmen dem Risiko weiterer Angriffe aussetzt. Sobald der ursprüngliche (und andere) Hacker erkennen, dass Sie bereit sind zu zahlen, werden sie möglicherweise immer wieder an den Futtertrog zurückkehren.
[Lesen Sie auch: Die Kunst der Verhandlungen bei Ransomware-Angriffen]
Was steht nicht zur Debatte? Die äußerst mangelhafte Vorbereitung des Landkreises.
Was sichtbar ist, was nicht
Aufgrund mangelnder Transparenz hinsichtlich der Netzwerkendpunkte geriet der Landkreis in den ersten Wochen nach dem Angriff in große Schwierigkeiten. „Die bedauerliche Tatsache ist, dass die Cyberkriminellen mehr Zugriff auf das Netzwerk des Sachbearbeiters hatten als die IT-Abteilung des Landkreises jemals“, erklärte Landrat Steve Bellone im Februar auf einer Pressekonferenz der Organisation „ “ . Ein effektives Endpunktmanagement , einschließlich einer umfassenden Erfassung und Bestandsaufnahme der Ressourcen , hätte den Sicherheitsteams geholfen, sobald der Sicherheitsvorfall entdeckt worden wäre.
Dass kein CISO vorhanden war – eine Führungskraft, die die Vertreter der Kommunalverwaltung auf die mangelnde Vorbereitung hätte aufmerksam machen, sie bei der Umsetzung kosteneffizienter Verbesserungsmaßnahmen begleiten und nach dem Hackerangriff die Lage unter Kontrolle bringen können –, trug nicht gerade zur Verbesserung der Situation bei. Für viele Landes- und Kommunalverwaltungen, die häufig unter Finanzengpässen leiden und sich im Bereich der Cybersicherheit nicht besonders gut auskennen, erscheint ein CISO als Luxus und ein Cyberangriff als eine ferne und unwahrscheinliche Bedrohung. Die letztgenannte Annahme ist schlichtweg falsch; die erstgenannte ist zwar nachvollziehbar, doch gibt es Umgehungsmöglichkeiten.
[Lesen Sie auch: Wie CISOs Burnout bekämpfen und ihre berufliche Laufbahn verlängern können]
Suffolk prüfte 30 Bewerber für die Besetzung der ersten CISO-Stelle, bevor die Wahl auf Kenneth Brancik fiel, den ehemaligen Leiter der Cybersicherheit beim Mount Sinai Health System, der ein Jahresgehalt von 184 214 Dollar erhalten wird, wie Newsday- , berichtete. Ein solcher Preis mag für manche Kommunalverwaltungen und andere kleine Unternehmen unerschwinglich sein, doch Optionen wie oder die gemeinsame Nutzung von CISO-Diensten gewinnen zunehmend an Beliebtheit, um die Kosten für Cyber-Fachwissen zu senken.
Teilnahme an landesweiten Maßnahmen
Die Teilnahme an den landesweiten Programmen von „ “ ( ) versorgt kommunale, Stammes- und Kreisbehörden zudem zunehmend mit Informationen und Beratung – sowie mit Finanzmitteln! –, zu denen sie aus eigener Kraft keinen Zugang gehabt hätten. Achtundvierzig Bundesstaaten haben sich um einen Anteil an dem auf vier Jahre angelegten Cybersicherheits-Förderprogramm „ “ mit einem Volumen von 1 Milliarde US-Dollar beworben, das Teil des in der 2021. Legislaturperiode verabschiedeten Infrastrukturgesetzes der Biden-Regierung in Höhe von 1,2 Billionen US-Dollar ist. Da diese Mittel in den letzten Monaten nach und nach an die Bundesländer geflossen sind, nutzen die Landesbehörden sie, um Dienstleistungen gemeinsam mit Einrichtungen innerhalb des jeweiligen Bundeslandes zu erbringen.
“An dem Tag, an dem Sie angegriffen werden, sollten Sie einen Plan parat haben, den Sie sofort umsetzen können, anstatt hektisch herumzurennen und zu überlegen, was zu tun ist.“Richard Donoghue, Rechtsberater des Untersuchungsausschusses für Cyberangriffe des Landtags des Staates New York
Das Ministerium für Informationstechnologie des Bundesstaates New Hampshire unterstützt beispielsweise Kommunalverwaltungen, Schulbezirke und Wasserversorgungsbezirke bei der Einführung der Multi-Faktor-Authentifizierung und der Schulung von IT-Mitarbeitern. Illinois stellt Dienste seines landesweiten Sicherheitsoperationszentrums zur Verfügung und bietet damit erweiterte Funktionen zur Endpunktüberwachung, um die Netzwerktransparenz für Landkreise, Städte, Sheriff-Behörden, Notrufdienste ( 911 ) und Wasserverbände zu verbessern.
„Unser Ziel im ersten Jahr ist es, landesweit eine möglichst breite Abdeckung und Sichtbarkeit für die gemeinsame Verteidigung zu erreichen“, erklärte Adam Ford, CISO von Illinois, kürzlich gegenüber Statescoop unter .
Der Wert eines Plans zur Reaktion auf Sicherheitsvorfälle
Doch Suffolks wohl gravierendster Fehler war das Fehlen eines Plans zur Reaktion auf Vorfälle im Zusammenhang mit dem „ “. Bei Cyberangriffen geht es nicht mehr um die Frage, ob sie stattfinden, sondern wann. Es wird passieren, ganz gleich, wie sehr Sie auch planen. Daher ist es unerlässlich, einen Notfallplan für Sicherheitsvorfälle parat zu haben – dieser ist möglicherweise das wichtigste Instrument im Arsenal eines Unternehmens. Suffolk verfügte über keinen derartigen Plan, was maßgeblich dazu beitrug, dass der Landkreis so viel Zeit und Geld benötigte, um sich wieder zu erholen.
Obwohl der Landkreis über einen allgemeinen Notfallplan verfügt, sei dieser „nicht speziell auf Cyberangriffe ausgerichtet“, erklärte Richard Donoghue, Rechtsberater des von der Legislative eigens eingesetzten Untersuchungsausschusses für Cyberangriffe, gegenüber „Newsday“ Anfang dieses Monats. „An dem Tag, an dem Sie angegriffen werden“, fuhr er fort, „sollten Sie einen Plan parat haben, den Sie sofort umsetzen können, anstatt hektisch herumzurennen und zu versuchen, herauszufinden, was zu tun ist.“
Inwieweit weitere Probleme und Zahlungen hätten vermieden werden können, wird sich in den kommenden Wochen zeigen, sobald die vier vorgeladenen Personen, die über Kenntnisse der IT-Praktiken von Suffolk verfügen, gezwungen sind, vor dem Untersuchungsausschuss auszusagen.
Der Arm meiner Mutter ist zwar verheilt, doch ihr Arzt sagt, dass sie noch monatelang unter den Folgen leiden wird. Die Erholung könnte durchaus ein Jahr dauern. Das Gleiche gilt offenbar auch für Suffolk County, das sich nach wie vor mit seinen Fehlern der Vergangenheit auseinandersetzen und diese erklären muss. Ein Abschlussbericht des Untersuchungsausschusses wird voraussichtlich zum ersten Jahrestag des Anschlags vorliegen.
Zweifellos werden wir noch weitere Pressekonferenzen mit Landrat Bellone erleben, der eine dichte, weiße Haarpracht trägt. Kann es noch weißer werden? Die Zeit – und möglicherweise weitere Vorladungen – werden es zeigen.
