Bei uns ist doch nichts zu holen

Diesen Sommer haben wir einen Fall untersucht, der die Frage beantwortet. Der Shop, um den es geht, ist genau so einer: klein, spezialisiert, treue Stammkundschaft, digitale Produkte. Unbefugte hatten ihn elf Wochen lang unter Kontrolle – nicht als Kollateralschaden eines automatisierten Scans, sondern als gepflegten Zugang, der über Wochen ausgebaut wurde.

Der Kunde bleibt hier ungenannt. Der Ablauf ist es wert, erzählt zu werden, weil er sich fast beliebig wiederholen lässt.

Drei Tage

Am Anfang stand kein spektakulärer Einbruch, sondern ein Update, das nicht eingespielt wurde.

Der Hersteller einer weit verbreiteten Backup-Erweiterung veröffentlichte eine Sicherheitskorrektur – mit dem ausdrücklichen Hinweis, sofort zu aktualisieren. Auf dem Shop lief noch die Vorgängerversion.

Das ist kein Pech, sondern Methode. Mit der Veröffentlichung einer Sicherheitskorrektur wird öffentlich, wo die Lücke sitzt und wie sie funktioniert. Was dann folgt, ist Fließbandarbeit: Das Netz wird nach Systemen abgesucht, die noch nicht aktualisiert haben. Der Zeitraum zwischen „behoben“ und „ausgenutzt“ beträgt bei verbreiteten Erweiterungen heute Stunden bis wenige Tage.

Ein Aktualisierungsfenster von zwei Wochen – für viele Betreiber ein normaler Rhythmus – ist unter diesen Bedingungen kein Rhythmus mehr. Es ist eine offene Tür mit Zeitstempel.

Drei Tage später war die Website übernommen.

Was danach passierte, war keine Maschine mehr

Der erste Zugriff lief automatisiert. Alles Weitere nicht.

Zwei Sekunden nach dem Einbruch legte das eingeschleuste Programm ein Administratorkonto an – mit einem unauffälligen Vor- und Nachnamen und einer Freemail-Adresse. Kein „admin2“, kein Zufallsstring. In einer Kundenliste mit mehreren hundert Einträgen fällt so ein Name nicht auf. Das Konto hat in zweieinhalb Monaten nie etwas bestellt und nie einen Namen hinterlegt. Es war ausschließlich ein Schlüssel.

In den Wochen darauf kam nach und nach dazu:

• eine Fernsteuerung, die ohne Anmeldung funktionierte – eine Adresse, die jeder aus dem Internet aufrufen konnte, und wer den passenden Schlüssel kannte, führte damit beliebige Befehle auf dem Server aus
• ein Programm, das gezielt die Zugangsdaten der Kundendatenbank aus der Konfigurationsdatei las und eine eigene Verbindung dorthin aufbaute, an der Shop-Software vorbei
• mehrere Dateiverwaltungswerkzeuge, mit denen sich der Server über den Browser durchsuchen lässt
• ein zweites, drittes, viertes Konto als Rückfallebene

Besonders aufschlussreich ist die Tarnung. Die eingeschleusten Programme trugen Namen, die nach ganz normalen Erweiterungen klingen. Eines war einem Produkt nachempfunden, das auf der Website tatsächlich im Einsatz war – mit einer angehängten Silbe im Namen. Wer die Liste der installierten Erweiterungen überfliegt, sieht fünfzig Einträge und nichts Auffälliges.

Ein Teil des Schadcodes lag nicht einmal als Datei auf dem Server, sondern in der Datenbank und wurde bei jedem Seitenaufruf von dort geladen. Ein Blick in die Dateien hätte diese Programme nicht gefunden.

Das ist der Punkt, an dem die Vorstellung vom „Hacker, der etwas mitnimmt und wieder verschwindet“ auseinanderfällt. Hier hat jemand einen Zugang aufgebaut, gesichert und über Wochen gepflegt.

Warum ausgerechnet dieser Shop?

Weil die Frage „Was ist dort zu holen?“ von einer falschen Annahme ausgeht. Angreifer suchen nicht diesen einen Shop. Sie suchen verwundbare Server – und ein Server ist auch dann wertvoll, wenn der Umsatz darauf klein ist.

Was ein übernommener Shop wert ist:

Die Kundendaten. Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Bestellhistorie, Passwort-Hashes. Nicht spektakulär – aber verwertbar. Die eigentliche Gefahr liegt darin, dass viele Menschen dasselbe Passwort mehrfach verwenden. Ein geknacktes Shop-Passwort ist dann ein Postfach-Passwort.

Die Rechenleistung und die Reputation. Der Server verschickt Spam, hostet Betrugsseiten oder dient als Zwischenstation. Dass die Domain bis dahin unauffällig war, ist dabei ein Vorteil, kein Hindernis.

Die Sichtbarkeit bei Google. Eine gewachsene Domain mit Vertrauensvorschuss lässt sich für versteckte Werbeseiten nutzen, die Besucher gar nicht zu sehen bekommen – nur Suchmaschinen.

Die Zugänge dahinter. Datenbank, FTP, Hosting-Konto, Lizenzschlüssel, das hinterlegte Backup-Ziel. Wer die Zugangsdaten eines Backup-Speichers hat, kommt an vollständige Kopien der Kundendatenbank – an einem Ort, den niemand mehr im Blick hat.

Ein kleiner Shop ist für Angreifer nicht uninteressant. Er ist leichter. Das ist die ganze Auswahl.

Elf Wochen unbemerkt

Der unangenehmste Teil des Fallberichts ist nicht der Angriff. Es ist die Dauer.

Aufgefallen ist der Vorfall erst, als der Shop nicht mehr erreichbar war – und auch dann sah es zunächst nach einer Betriebsstörung aus. Die erste Reaktion war eine Wiederherstellung aus dem Backup durch den Hoster. Sie hat den Zustand nicht beendet, sondern fortgesetzt: Das eingespielte Backup war bereits infiziert.

Das ist typisch und wird regelmäßig unterschätzt. Wer seit elf Wochen kompromittiert ist, hat elf Wochen an Backups, die den Schadcode enthalten. „Wir spielen einfach das Backup von letzter Woche ein“ funktioniert bei einem länger laufenden Vorfall nicht – man stellt den Angreifer mit wieder her.

In diesem Fall mussten wir uns rückwärts durch mehrere Stände arbeiten, bis wir einen fanden, der nachweislich vor dem Erstzugriff lag. Geprüft haben wir ihn nicht nach Gefühl, sondern indem wir jede einzelne Datei des Systemkerns – knapp 2.800 Stück – gegen die offiziellen Prüfsummen des Herstellers abgeglichen haben. Erst als dieser Abgleich sauber war, kein fremdes Konto existierte und keine der eingeschleusten Komponenten mehr auffindbar war, wurde daraus die neue Grundlage.

Und selbst dieser Stand durfte nicht unverändert online gehen: Er enthielt noch eine Lücke, die erst Wochen später geschlossen wurde und über die zwischenzeitlich eine zweite Angriffswelle gelaufen war. Unaktualisiert wäre er binnen Tagen erneut offen gewesen.

Warum ist das elf Wochen niemandem aufgefallen? Weil niemand hingesehen hat. Und niemand hat hingesehen, weil es nicht beauftragt war.

Das ist keine Schuldzuweisung an den Betreiber. Es ist der Normalzustand bei Websites ohne Wartungsvereinbarung – und wir sagen das auch als Dienstleister, der in solchen Konstellationen ebenfalls nicht hinsieht, weil es schlicht nicht Teil des Auftrags ist. Eine automatische Prüfung auf veränderte Dateien hätte diesen Vorfall in der ersten Woche sichtbar gemacht. Sie kostet wenig. Sie war nicht eingerichtet.

Was der Vorfall tatsächlich gekostet hat

Nicht die Bereinigung. Die ist Handwerk und planbar.

Teuer wird alles, was danach kommt: die forensische Untersuchung, die Auswertung der Server-Protokolle, die Prüfung mehrerer Wiederherstellungsstände, der Nachimport der zwischenzeitlich eingegangenen Bestellungen, das Zurücksetzen sämtlicher Zugangsdaten. Dazu die Betriebsunterbrechung.

Und dann der Teil, der sich nicht technisch lösen lässt. Sobald personenbezogene Daten betroffen sind, greifen Meldepflichten: 72 Stunden für die Meldung an die Aufsichtsbehörde, dazu die Prüfung, ob alle betroffenen Kundinnen und Kunden einzeln benachrichtigt werden müssen. Beides bleibt bestehen, auch wenn technisch längst alles bereinigt ist. Die Bereinigung beendet den Zustand – sie macht nicht ungeschehen, dass die Daten elf Wochen lang zugänglich waren.

Der Aufwand für die Aufarbeitung überschritt die Kosten mehrerer Jahre Wartung deutlich. Das ist nicht die Ausnahme, das ist die Regel.

Was wir daraus mitnehmen

Sicherheitsupdates brauchen ein Zeitfenster von Tagen, nicht Wochen. Bei sicherheitsrelevanten Korrekturen entscheidet die Geschwindigkeit darüber, ob man betroffen ist oder nicht. Das lässt sich nicht nebenbei erledigen und nicht quartalsweise.

Jemand muss hinsehen. Eine automatische Prüfung auf veränderte Dateien, ein Blick auf neue Benutzerkonten, eine Kontrolle der installierten Erweiterungen. Nichts davon ist aufwendig – aber es muss jemand tun, und dieser Jemand muss dafür beauftragt sein.

Backups sind kein Sicherheitskonzept. Sie helfen gegen Festplattenausfall und Fehlbedienung. Gegen einen Angreifer, der seit Wochen im System ist, helfen sie nur, wenn man weiß, ab wann sie sauber sind – und das weiß man nur mit einer ordentlichen Untersuchung.

Wo personenbezogene Daten verarbeitet werden, ist Sicherheit keine Kür. Wer einen Shop betreibt, ist datenschutzrechtlich verantwortlich – und muss angemessene technische Maßnahmen sicherstellen. Diese Verantwortung lässt sich nicht an den Dienstleister abgeben. Sie lässt sich aber gemeinsam tragen, wenn der Dienstleister die Mittel dafür bekommt: Zeit, Werkzeuge, ein Budget. Ohne Auftrag gibt es keine Zuständigkeit, und ohne Zuständigkeit sieht niemand hin.

Das ist der eigentliche Punkt dieses Textes. Eine Website ohne regelmäßige Wartung ist heute kein Kostenrisiko mehr, das man bewusst eingehen kann. Sie ist ein offenes System, bei dem nur noch die Frage offen ist, wann jemand vorbeikommt.