Angriff auf kritische Infrastruktur: So nimmt Swissport zur Ransomware-Attacke Stellung
Die Ransomware-Attacke auf den Flughafendienstleister Swissport sorgte letzte Woche weltweit für Schlagzeilen. Es kam zu Verspätungen beim Flugbetrieb. Die IT-Verantwortlichen bekamen die technischen Probleme relativ schnell wieder in den Griff. Viel mehr passierte nicht. Oder doch?
watson hat beim betroffenen Unternehmen nachgehakt und Antworten auf die dringlichsten Fragen gesucht.
Droht ein Daten-GAU?
Einige der gefährlichsten derzeit aktiven Ransomware-Banden lösen den eigentlichen Verschlüsselungs-Angriff (mittels Schadsoftware) in der Regel erst dann aus, nachdem es ihnen gelungen ist, das Opfer-Netzwerk auszuspionieren.
Häufig werden im fremden System mithilfe von Hacker-Werkzeugen zunächst potenziell wertvolle Dateien gestohlen – um damit ein zusätzliches Druckmittel für die geplante Erpressung in die Hände zu bekommen. Damit lässt sich das Opfer zusätzlich einschüchtern und mit der Veröffentlichung der Daten über die eigene Leak-Site im Darknet drohen.
watson hat bei Swissport nachgehakt, ob das Unternehmen ausschliessen kann, dass es einen «mehr als marginalen» Datenabfluss gegeben hat und deshalb nicht mit der Veröffentlichung von gestohlenen Daten zu rechnen ist.
Dazu erklärt Sprecher Stefan Hartung:
Auf die Frage, ob der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) informiert werden musste, gibt das Unternehmen Entwarnung:
Beim NCSC wird bestätigt, dass man in Kontakt stehe. Zu konkreten Fällen und laufenden Verfahren äussere man sich nicht, schreibt Medienverantwortliche Gisela Kipfer.
Wie viel Schaden wurde angerichtet?
Die Ransomware-Attacke auf die IT-Infrastruktur des Gepäckabfertigers Swissport begann am frühen Donnerstagmorgen und wurde laut Darstellung des betroffenen Unternehmens sofort entdeckt. Dennoch dauerte es bis Samstag, bis die IT-Fachleute die Lage vollständig im Griff hatten.
Laut Medienberichten war bei mehreren von Swissport abgefertigten Flughäfen der Betrieb gestört, darunter Zürich.
Der Mutterkonzern ist weltweit an 310 Standorten aktiv. Waren sie alle von Betriebsstörungen betroffen?
Die Medienstelle will auf Anfrage nicht ins Detail gehen und versichert, der Schaden habe sich in Grenzen gehalten.
Der Angriff traf unter anderem auch das Pharmazentrum des Unternehmens in Machelen in der Nähe des Brüsseler Flughafens. Das «Swissport Pharma Center» dient der Lagerung und dem Transport von Medikamenten und medizinischen Geräten, darunter Covid-Impfstoffe und Schutzmasken.
Der Swissport-Sprecher relativiert:
Wie wurde der Angriff gestoppt?
Aufgrund der (spärlichen) öffentlichen Informationen zur Ransomware-Attacke äusserten unabhängige Beobachter die Einschätzung, dass die von Swissports IT-Fachleuten getroffenen «vorbeugenden Massnahmen» wie etwa eine «Netzwerk-Segmentierung» Schlimmeres verhindert haben.
Dazu muss man wissen, dass die Architektur eines Computer-Netzwerks eine Schlüsselrolle dabei spielt, wie effektiv eine Organisation sich gegen Sicherheitsvorfälle verteidigen, diese identifizieren und sich von ihnen erholen kann.
Ein sinnvoll unterteiltes Netzwerk mit abgeschotteten, bzw. einzeln abgesicherten Netzwerksegmenten kann die Möglichkeiten eines Angreifers entscheidend einschränken. So wird verhindert, dass jemand von System zu System wechselt und immer neue Bereiche unter Kontrolle bringen kann.
So weit die Theorie.
Die Swissport-Medienstelle geht aus nachvollziehbaren Gründen nicht auf technische Details ein, bestätigt aber:
Welche Kommunikations-Strategie verfolgt das Unternehmen?
Schon in einer Stellungnahme in den Tagen nach der Attacke hiess es, Swissport nenne «keine Details zur verwendeten Ransomware, den Angreifern, den verschlüsselten Daten, dem geforderten Lösegeld oder den betroffenen Kunden und Betrieben». An dieser Haltung hat sich nichts geändert, wie Swissport-Sprecher gegenüber watson erklärt.
Laut Empfehlung des Nationalen Zentrums für Cybersicherheit (NCSC) ist es jeweils dem betroffenen Unternehmen überlassen, eine passende Kommunikationsstrategie zu wählen. Das bedeutet im konkreten Fall, dass die Swissport-Führung selbst entschieden hat, keine weiteren Details zu kommunizieren. Wie begründet man den Entscheid?
Dazu der Sprecher:
Darüber hinaus verrät Swissport, dass potenziell betroffene Partner-Unternehmen direkt informiert worden seien.
Wer steckt hinter dem Angriff?
Das ist nicht öffentlich bekannt.
Auf den einschlägigen Leak-Sites im Darknet sind keine «Bekennerschreiben» zu einem Hackerangriff auf Swissport zu finden. Und in bekannten Hacker-Foren scheint es keine Hinweise auf die mögliche Täterschaft zu geben.
Dies untermauert die Darstellung des Unternehmens, wonach der Angriff in einem frühen Stadium vereitelt wurde.
Quellen
- it-markt.ch: So funktioniert Netzwerksegmentierung
Der Bereich Bodenverkehrsdienste wickelte indes nur knapp über zwei Millionen Flüge ab. Im Vor-Corona-Jahr 2019 waren es 4,1 Millionen. Immerhin: Gegenüber 2020 bedeute das eine Zunahme von gut 20 Prozent.
Mit der erwarteten Lockerung der Pandemie-Beschränkungen in vielen Ländern rechnet der Luftfrachtlogistiker und Bodenverkehrsdienstleister in den kommenden Monaten auch in diesem Bereich mit einer Belebung des Geschäfts. Dazu habe man eine Personalrekrutierungsinitiative gestartet, um weltweit rund 17'000 neue Stellen zu schaffen.
Im Zuge der Corona-Krise sind bei Swissport fast ebenso viele Stellen weggefallen. Gemäss einem Unternehmensbericht von 2019 wies das Unternehmen für 2019 einen Personalbestand von rund 64'000 Mitarbeitenden aus. Aktuell beschäftigt das Unternehmen den Angaben nach rund 45'000 Mitarbeitende an 285 Flughäfen in 45 Ländern.
Der Flughafendienstleister wurde im August 2020 an ein Konsortium von sieben Geldgebern verkauft, bestehend aus sechs Private Equity-Gesellschaften sowie der Bank Barclays. Bis dahin war Swissport in den Händen des zu dieser Zeit ebenfalls stark finanziell angeschlagenen HNA-Konzern aus China.
(awp/sda)
