Wenn Hacker die Krisenkommunikation kapern und die Kunden per Push-Nachricht selbst informieren

Michael: Herzlich willkommen zu einer neuen Ausgabe von Cybersecurity Basement, dem Podcast für echten Security-Content. Wir schreiben den Oktober 2026, und die Presse berichtet vermehrt über den ASOS-Hack. Das ist wohl eine der heißesten Schlagzeilen dieses Monats. Dabei geht es gar nicht nur um ASOS, sondern um eine neue Gruppierung, die neben ASOS auch noch weitere Unternehmen ins Visier genommen hat. Und es sind wahrscheinlich auch nicht die letzten. Darüber wollen wir heute sprechen: Was steckt dahinter? Wie hat dieser Angriff eigentlich stattgefunden? Wie hat sich ASOS gerade bei der Krisenkommunikation geschlagen? Und warum war dieser Hack so besonders? Darüber möchte ich mit Andreas Papadaniil sprechen. Andreas, herzlich willkommen und einen wunderschönen guten Morgen. Andreas: Ja, moin, grüß dich. Schön, dass ich mal hier sein darf. Michael: Mal wieder. Mittlerweile bist du ja faktisch Stammgast, das freut mich extrem. Andreas, wie hast du den ASOS-Hack wahrgenommen? Wann hast du ihn bemerkt? Ich glaube, viele von uns haben vor allem Bilder dieser Push-Notification gesehen, denn so wurde eine Cyberattacke vorher noch nie verkündet. Was war dein erster Gedanke, als du das gesehen hast? Andreas: „Heftig“, habe ich mir gedacht. Ich bin ja schon viele Sicherheitsvorfälle gewohnt, habe selbst viel aus erster Hand erlebt und kenne viele Geschichten. Aber als ich meinen Laptop aufgeklappt und gesehen habe, was da passiert ist, dachte ich: Was geht hier ab? Die Informationen über die Push-Notification der App zu verteilen – dieser Move hat eine andere Dimension. Das habe ich so noch nicht gesehen. Ich glaube, dahinter stehen 16, 17 Millionen User, die diese App oder Plattform nutzen und im Endeffekt benachrichtigt worden sind. Und ich dachte mir: Okay, das ist mal wieder etwas Neues. Das hat ein Ausmaß, das auch für Awareness sorgen wird, denn wir werden ja nicht müde, darüber aufzuklären, was alles durch Cyberangriffe passieren kann. Natürlich gibt es Leute, die etwas resistent sind und vielleicht denken: Mich betrifft das nicht, halb so wild, wir sind gut aufgestellt usw. Das zeigt mal wieder, welche Konsequenzen das haben kann – Konsequenzen, die wir bisher vielleicht noch nicht als Standard betrachtet haben, die aber für diese Gruppe vielleicht zum Standard werden. Michael: Im Prinzip ist der Mechanismus ja gar nicht so neu. Dass ein Cyberangriff über E-Mails kommuniziert wird, die vorher ergaunert wurden, hat man in der Vergangenheit schon häufiger gesehen. Aber über die App, über Push-Nachrichten, über die du normalerweise eher ein Update zu deiner Bestellung bekommst oder die als reines Marketinginstrument genutzt werden – das ist schon clever gemacht. Andreas: Erzeugt auch Aufmerksamkeit. Michael: Erzeugt definitiv Aufmerksamkeit, das stimmt. Was glaubst du, hat der Geschäftsführer gedacht, als er über diese Nachricht gestolpert ist? Andreas: Will ich nicht sagen, müsste zensiert werden. So etwas wie „WTF“. Er hat sich das sicher nicht so vorgestellt, das ist ja klar. Informiert war er vorher ja – das ist auch eine Form von Erpressung, weil die Angreifergruppe natürlich an ASOS herangetreten ist bzw. über ihre Kanäle kommuniziert hat: Hey, wir haben eure Daten, und wenn ihr uns nicht innerhalb von zwei Wochen Bitcoins rüberschiebt, veröffentlichen wir diese Daten. Ich glaube, es war von zwei Wochen die Rede, die halten den Zeitraum relativ kurz. Da ist halt nicht viel passiert. Um den Druck zu erhöhen, kam dann diese Nachricht an die Endbenutzer, und ASOS war gezwungen, Stellung zu nehmen. Michael: Der Vorfall war ihnen also schon bekannt, und von dieser Nachricht wurden sie überrascht. Bis dahin hatte ASOS selbst aber noch gar nicht kommuniziert. Mit dieser Nachricht wurde es zu einem Cyberangriff, den man nicht mehr verheimlichen kann, weil alle Bescheid wussten. Alle 17 Millionen Kunden, die du angesprochen hast – und natürlich nicht nur die, es wurde ja auch direkt in die Presse gespült. Dann hast du die Kommunikation auf gar keinen Fall mehr im Griff. Es gab dazu eine spannende Aussage bei Cybernews: Da wurde diese öffentliche Push-Erpressung ein zweischneidiges Schwert genannt, ein „double-edged sword“. Sie erhöht natürlich maximal den Druck. Aber dadurch, dass jetzt alle Bescheid wissen, sinkt eigentlich die Chance auf eine Zahlung. Die Täter haben sich hier also gegebenenfalls ein kleines Eigentor geschossen. Andreas: Ja, das mag sein. Aber man muss auch bedenken: Die Aktion an sich ist schon eine Marketingkampagne für diese Gruppe. Dazu kommen wir vielleicht gleich noch. Wie wir sehen, war das kein Einzelfall, sondern die haben sich auf dieses Vorgehen spezialisiert. Wenn du jetzt den Namen der Gruppe siehst – ich weiß nicht, wie man das ausspricht –, bringst du ihn damit in Verbindung: Oh mein Gott, die Typen sind zu allem bereit. Das haben sie dadurch geschafft. Bei den weiteren Angriffen, die sie gerade durchführen – und da sind auch schon welche in der Presse –, wissen die Betroffenen auf jeden Fall, dass mit denen nicht zu spaßen ist, weil sie in der Lage sind, so einen Move zu ziehen. Das muss dann vielleicht gar nicht noch mal gemacht werden. Oder vielleicht schaffen sie es auch gar nicht noch mal. So wie ich es verstanden habe, hatten sie über den Angriffsvektor Phishing Zugriff auf bestimmte Systeme. Sie haben also jemanden per Social Engineering davon überzeugt, ihnen die Zugangsdaten zu gewissen Systemen zu geben. Die haben sie auch bekommen und dadurch Zugriff beispielsweise auf diese Marketingdaten erhalten: E-Mail-Adressen, Telefonnummern, Vor- und Nachnamen, aber nicht auf das gesamte Unternehmensnetzwerk. Das war ihre Vorgehensweise. Nach diesem Move weiß man aber auf jeden Fall, dass mit denen nicht zu spaßen ist. Michael: Du hast es gerade schon gesagt: Eigentlich ist das ein neuer Name. Du weißt zwar nie, wer dahintersteckt, ob das nicht doch ein Ableger von Gruppe XYZ ist, keine Ahnung. Aber die etablierten Gruppen arbeiten in der Regel mit Leak-Seiten und verhandeln dann über private Chats. Glaubst du, mit dieser Massennachricht war es gar nicht das Ziel, Geld zu erpressen? Oder haben sie gemerkt, dass hier wahrscheinlich nicht so schnell gezahlt wird, und die Strategie geändert: Wir gehen jetzt auf Reichweite und Reputation? Das birgt natürlich auch die Gefahr, dass Ermittler sofort auf diese Gruppierung aufmerksam werden. Andreas: Ja, schon. Ich habe mir im Vorfeld auch angeguckt, was Threat-Intelligence-Quellen sagen. Eine der Quellen, Group-IB, hat zum Beispiel gesagt: Den Kanal, über den dort kommuniziert wird, gibt es unter diesem Namen noch nicht so lange. Vorher war er auch schon aktiv, aber da wurden zum Beispiel Gaming-Items getradet, also Counter-Strike-Skins oder sonst was. Von außen erweckt das den Eindruck: Das sind ein paar Jungs, die überlegt haben, wie man im Internet Geld machen kann, haben angefangen, Skins zu verkaufen, und sind dann irgendwie auf den Trichter gekommen, Social Engineering zu betreiben und über Bitcoins zu monetarisieren. Man könnte vermuten, dass das auch ein bisschen Trial and Error ist: Wir experimentieren mal, gucken und entwickeln uns weiter. Was in so einem Mindset vorgeht, kannst du eigentlich nie wissen. Aber gerade bei jungen Kriminellen – oder Kriminellen am Anfang, whatever – hast du ja oft dieses „Ich werde nicht geschnappt, es gibt keine Konsequenzen, wir sind besser als die anderen“, so einen Höhenflug. Deswegen glaube ich, dass Sorgen da gar keine so große Rolle spielen. Du rennst einfach los, hast die Opportunity, so etwas zu machen, und dann passiert es. Damit hast du jetzt einen Markteintritt: Wir reden hier darüber, das ganze Internet redet gerade darüber, und jeder sagt: Wow, was ist da passiert? Besser kannst du dein Branding gar nicht aufziehen, oder? Michael: Das stimmt. Dabei war es mal wieder keine Raketenwissenschaft, wie sie diesen Hack durchgeführt haben, sondern klassisches Social Engineering, gegen das wahrscheinlich auch MFA nicht geholfen hätte. Wenn ich jemanden dazu bringe, mir das Passwort vorzulesen, dann würde er mir wahrscheinlich im nächsten Schritt auch den Code verraten. Security-Awareness-Trainings gibt es ja schon seit Jahrzehnten. Aber es gibt immer noch Personen, die darauf hereinfallen. Oder sind diese Social Engineers mittlerweile so gut, dass da einfach keine Schulung hilft, je nachdem, wie sie aufgesetzt ist? Andreas: Ich glaube, wir müssen verstehen, dass Awareness-Schulungen nicht dafür sorgen, dass so etwas überhaupt nicht passieren kann, sondern dass die Wahrscheinlichkeit sinkt. Nur weil man eine Schulung macht, ist man nicht immun dagegen. Ganz wichtig in so einem Social-Engineering-Case sind die Vorbereitung und natürlich die Überzeugungskraft, die du hast, wenn du mit dieser Person sprichst. Das kann auf die andere Person einschüchternd wirken – das ist einfach ein psychologischer Faktor. Und wenn du das gut machst, kriegst du am Ende jemanden. In den Medien stand auch, dass es ein Junior war, ein Berufsanfänger, der so etwas noch nicht oft erlebt hat. Das eine ist die Vorbereitung auf den Ernstfall: Du bekommst eine Awareness-Schulung, in der dir gesagt wird: Wenn einer anruft und das und das macht, bloß nicht die Daten verraten. Klar. Aber dann steckst du in der Situation. Du rufst ja nicht einfach random an und sagst: Nenn mir dein Passwort. Sondern du schaust vorher vielleicht schon: Welche Software wird eingesetzt, wer ist der Vorgesetzte, wie sind die Strukturen? Du sammelst deine Informationen – Information Gathering –, und wenn du die Infos hast, rufst du sehr zielgerichtet an. Vielleicht wurde diese Junior-Person sogar speziell ausgesucht. Wir sind heute ja alle irgendwo auf LinkedIn oder sonst wo unterwegs, wo du sehen kannst, wer wo in welcher Position arbeitet. Vielleicht gab es auch schon Informationen über die Person. Je besser das durchgeführt wird, desto höher ist die Wahrscheinlichkeit. Awareness ist nicht nutzlos, aber auch kein hundertprozentiger Schutz. Das muss man halt auch sagen. Michael: In dieser Push-Nachricht wurde ja auch explizit Snowflake erwähnt, also dass die Snowflake-Plattform kompromittiert worden sei. Snowflake selbst hat geäußert, ihre Plattform sei überhaupt nicht betroffen gewesen. Auch ASOS hat diesen Zugriff nicht bestätigt. Was glaubst du, warum nennen die Angreifer dann ausgerechnet Snowflake? Ist das auch Kalkül oder …? Andreas: Das ist eine gute Frage, die ich mir tatsächlich auch gestellt habe. Ehrlich gesagt kann ich dazu nichts sagen. Ich habe nur eine Theorie, warum ich so etwas hätte machen wollen. Snowflake ist relativ bekannt in seinem Bereich: Inventarisierung von Assets, also auch von Geräten, Benutzern etc. Das eine ist natürlich: Mit so einem Hashtag „Snowflake“ hast du noch mal einen Multiplikator, weil du Snowflake als relevante Firma im IT-Markt und die User von Snowflake mit dazubekommst. Das andere könnte sein: Weil das eben so eine Asset-Inventory-Plattform ist, signalisierst du damit auch: Wir haben Zugriff darauf und sehr viele Informationen über dein Netzwerk. ASOS sollte jetzt also erst mal in Bereitschaft sein, sowohl selbst als auch die Benutzer der Plattform. Diese Angreifer haben ja bewiesen, dass sie Social Engineering beherrschen und dass das eine Art ist, wie sie angreifen. Sie werden diese Informationen in Zukunft auch für weitere Angriffe verwenden. Abseits von Snowflake ist auch das ein Thema: Für mich kam das so rüber, als wollte man diesen Leak ein bisschen herunterspielen, nach dem Motto: Oh, da sind ja keine kritischen Daten dabei, keine Kreditkartendaten, das wäre ja ganz schlimm. Dann würde zum Beispiel nach PCI DSS eine Strafe mit weiteren Problemen folgen. Aber wenn wir uns angucken, was das für Daten sind – Telefonnummern, E-Mail-Adressen, also personenbezogene Daten mit Vor- und Nachnamen –, dann kann ich im Nachgang sehr gezielt Social-Engineering-Angriffe auf diese Personen durchführen, die dann eben mehr Erfolg haben als ohne Informationen. Michael: Das kann natürlich auch ein Trigger sein, dass sich die Leute, die das im Einsatz haben, überlegen: Brauche ich jetzt zusätzliche Sicherheitsmechanismen oder Ähnliches? Vielleicht wird so auch ein bisschen Panik im Markt geschürt. Auf jeden Fall sind sie auch heute noch überall im Gespräch, obwohl der Angriff schon ein paar Tage her ist. Dann lass uns noch mal über die Push-Nachricht als solche sprechen. Wie schon im Intro erwähnt: Das ist eigentlich ein neuer Mechanismus, den man so noch nicht gesehen hat. Dabei können ja viele Firmen Push-Nachrichten versenden. Viele Firmen, die schon angegriffen wurden, hatten grundsätzlich eine App, über die man das vielleicht hätte tun können. Was glaubst du, warum ist das so noch nie passiert? Ist es einfach ein kreativer neuer Ansatz, den Marketing-Stack eines Unternehmens zu nutzen, um die Botschaft zu versenden: Leute, ihr habt es hier mit einem Unternehmen zu tun, das gerade einen Cyberangriff erlebt? Andreas: Ja, das erzeugt natürlich immensen Druck. Du musst aber auch genau wissen, wo diese Systeme stehen, damit du das machen kannst, und du musst Zugriff auf sie bekommen. Die meisten Angreifergruppen sind eigentlich vollautomatisiert unterwegs. Am bekanntesten in allen Medien ist zum Beispiel Ransomware. Da sind die Abläufe immer identisch, durchautomatisiert, gescriptet, teilweise auch durch Agents automatisiert. Und da passieren ziemlich ähnliche Dinge. Hier ist es meiner Meinung nach so: Die hatten Zugriff auf eine SaaS-Plattform, vielleicht noch nicht mal auf das interne Netzwerk an sich, und haben dort festgestellt: Oh, hier wird vielleicht die App verwaltet, hier kann ich das machen. Und dann haben sie wahrscheinlich gesagt: Okay, dann lass uns das mal tun. Das ist ein sehr spezieller Case, bei dem ich schon denke, dass sie situativ entschieden haben und das vielleicht gar nicht das Ziel war. Michael: Wenn wir über Cyberangriffe sprechen, müssen wir uns ja auch anschauen, wie man so etwas in der Regel hätte verhindern können. Wenn meine Mitarbeiterinnen und Mitarbeiter geschult sind, ist das schon mal wichtig. Dann hätte man das eventuell im Gespräch erkennen können. Aber hätte es danach nicht auch noch Dinge gegeben, bei denen man sagt: Ein System hätte erkennen müssen, dass hier ein unberechtigter Login erfolgt ist? Es gibt ja noch keinen offiziellen Forensikbericht. Aber was vermutest du, was hätte gegebenenfalls noch helfen können? Andreas: Auf jeden Fall, wenn wir beim Thema Prozesse bleiben, die Meldung. Denn selbst wenn du in dem Moment Credentials am Telefon weitergegeben hast, wäre vielleicht ein paar Stunden später die Awareness oder Reflexion da: Moment mal, was habe ich da gemacht? Ich melde das lieber. Dafür musst du dir aber erst mal bewusst sein, dass das ein Sicherheitsverstoß ist. Und dann natürlich technologisch: Multifaktorauthentifizierung ist definitiv ein Thema. Es kann, wie du gesagt hast, sein, dass es gar keine Multifaktorauthentifizierung gab. Vielleicht gab es eine, aber dann mit „Save me“, also: Speichere meine Instanz und frag nicht noch mal nach. Denn die werden sich wahrscheinlich mehrfach eingeloggt haben. Da gibt es natürlich auch das Thema Auto-Logout: Wenn du eine Stunde nichts gemacht hast, fliegst du raus, und bei jeder Anmeldung wird Multifaktor erzwungen, statt die Anmeldung zu speichern. Das sind so Security-Features. Und dann natürlich das Monitoring der Instanz: Du schaust dir zum Beispiel die Authentifizierungslogs an – wer hat sich von wo angemeldet? Das kannst du sicherlich irgendwo eingrenzen. Ich habe noch keine Infos dazu gelesen, woher diese Gruppe kam. Aber vielleicht kamen die Zugriffe auf die Plattform aus Ländern oder Netzen, aus denen man das eigentlich nicht erwartet. Das kann man in den Logs dieser SaaS-Plattform monitoren und sich alarmieren lassen. Da gibt es eine Menge Möglichkeiten, damit etwas erst mal auffällt, bevor so eine Push-Nachricht rausgeht. Michael: Für das Versenden einer Push-Nachricht an, wie du schon sagst, 17 Millionen Kunden scheint es dann auch keine doppelte Absicherung zu geben. Von Überweisungen kennt man zum Beispiel das Vier-Augen-Prinzip: Ab einer bestimmten Höhe sollen zwei Leute drüberschauen. Beim Versand von Nachrichten an 17 Millionen Kunden scheint es das nicht zu geben. Wir schützen also Geld besser als Reputation. Wenn man hier etwas mitnehmen will, sollte man sich darüber Gedanken machen: Wie läuft das eigentlich bei mir? Wäre es in meiner Firma auch denkbar, dass man so einfach eine Nachricht rausschicken kann, die nie hätte versendet werden dürfen, ohne dass es jemand merkt? Klar, die war dann sofort spürbar, weil sie überall erschienen ist. Aber eigentlich ist es doch seltsam, dass das so easy durchlaufen kann. Andreas: Da sagst du was. Jetzt, wo du es sagst: Ich habe den Case hier bei uns nicht. Aber wenn wir irgendwann mal an 17 Millionen unserer Kunden eine Push-Nachricht schicken müssen, würde ich auf jeden Fall sagen: Einer stellt ein, und einer muss freigeben – irgendwie so etwas, damit man da noch dazwischenkommt. Aber du weißt auch nicht: Wenn du beispielsweise einmal als Admin Zugriff auf die Plattform hast, kannst du natürlich auch diese Funktion rausnehmen, E-Mail-Adressen von Benutzern ändern oder den Genehmigungs-Workflow anpassen. Wenn du einmal Zugriff hast, kannst du eigentlich relativ viel manipulieren. Aber auch das ist eine Sache fürs Monitoring, bei der du dich benachrichtigen lassen kannst. So compliance-mäßig: Wenn größere Dinge umgestellt werden, zum Beispiel so etwas, bekommst du eine Nachricht: Achtung, hier hat jemand etwas an deinem System verändert, das nicht hätte verändert werden dürfen. Michael: „Hier liegt eine Nachricht, die an 17 Millionen Leute gehen soll. Bitte Freigabe durch den CMO“ oder so etwas. Es ist ja auch eine Berechtigungsfrage. Nicht jeder, der in ein CRM oder auf eine Plattform kommt, ist ja dazu berechtigt, diese Aktion auszuführen. Hoffentlich nicht. Da muss ja irgendeine Art von Rolle dahinterstehen. Entweder hat sich der Angreifer – das ist ja noch unklar – exakt die Rolle rausgepickt, bei der er weiß: Wenn ich die bekomme, ist die Wahrscheinlichkeit relativ hoch, dass ich mich hier im Marketing-Kosmos austoben kann. Oder er hat sich über den initialen Login weitere Rechte ergaunert. Ich bin sehr gespannt, wie das noch aufgedröselt wird. Wir wollten noch über Krisenkommunikation sprechen. Wie hat sich ASOS da geschlagen? Bei vielen Vorfällen erleben wir, dass Unternehmen sehr zurückhaltend kommunizieren. Manchmal denkt man auch: Kommt das überhaupt raus? Können wir das nicht einfach unter den Tisch fallen lassen? Wir raten ja immer dazu, proaktiv zu sein und die Geschichte zu erzählen, bevor der Angreifer sie erzählt. Hier hat das nicht so gut funktioniert. Was glaubst du, was hätte man besser machen können? Andreas: Das müsstest du mir eigentlich sagen, weil du der Experte dafür bist. Aber wenn du mich nach meiner Meinung fragst – ich habe das ja auch mitbekommen: Wenn jemand Daten von dir exfiltriert und droht, sie zu veröffentlichen, wenn du nicht zahlst, dann musst du das schon ernst nehmen. Vielleicht hatten sie keine Möglichkeit, das nachzuweisen, und haben es deshalb nicht ernst genommen. Gerade bei einer neuen Gruppe ohne Historie sagt man vielleicht: Das kann ja jeder behaupten. Aber du musst dann schon die technischen Möglichkeiten haben, in deinen Systemen nachzusehen: War da jemand, ist da etwas passiert? Dann kannst du es ausschließen. Wenn du das nicht kannst und so eine Drohung kommt, musst du sie eigentlich ernst nehmen. Du kannst den Angreifern auch ein bisschen den Wind aus den Segeln nehmen, indem du es selbst kommunizierst und sagst: Hey, es ist passiert. Es würde ja eh veröffentlicht werden, also kannst du es auch einfach selbst tun. So hältst du die Kommunikation selbst in der Hand. Mich würde mal interessieren, was du dazu sagst. Michael: Ich glaube, das ist ein klassisches Beispiel dafür, was passieren kann, wenn man einfach zu lange wartet und gegebenenfalls gar nicht darauf vorbereitet ist. Wir sagen ja auch immer: So etwas kann heutzutage jederzeit passieren, und es ist besser, wenn du Playbooks in der Tasche hast und weißt, wie du in so einer Unternehmenskrise reagieren möchtest. Wenn die Strategie klar ist, stellt sich die Frage gar nicht erst, ob wir ein Statement abgeben oder nicht. Dann ist vorher schon entschieden, dass du eins abgibst und proaktiv kommunizierst. Und die Push-Nachricht hätte es wahrscheinlich nie gegeben. Wer weiß, ob der mediale Aufschrei dann so groß gewesen wäre. Ich tippe: nein. Deshalb ist das einfach ungünstig. Zumal es auch Berichte gab, dass die BBC schon live über den Vorfall berichtet hat, als es noch gar kein Statement von ASOS gab. Die Fakten lagen auf dem Tisch, aber ASOS hat sich nicht geäußert. Ich möchte gar nicht wissen, was in der Kommunikationsabteilung oder im Krisenstab los war, wie da hin und her diskutiert wurde: Was sagen wir dazu, wie schreiben wir es, wie formulieren wir es? Es hat dann noch ein paar Stunden gedauert, bis überhaupt die erste Meldung kam. Und im ersten Statement war noch gar nicht von einem Cyberangriff die Rede, sondern es hieß erst mal nur, eine unautorisierte Notification sei versendet worden. Dass es einen Angriff gab, stand aber ja schon in dieser Nachricht. Wir sprechen ja immer über Reputation, die du in solchen Momenten verteidigst oder eben verlierst. Und hier haben wir, glaube ich, ein ganz gutes Beispiel dafür, wie man es nicht machen sollte. Vor allem, weil – das hast du ja auch schon gesagt – relativ klar war, dass auch personenbezogene Daten abhandengekommen, abgeflossen sind. Auch das hätte man direkt kommunizieren können. Witzig finde ich auch: Auf der Website gibt es eine Seite zum Thema Cybersecurity. Dort wird ausführlich beschrieben, wie man sich als Kunde verhalten sollte. Dass man selbst das dann alles nicht so ernst nimmt, ist irgendwie blöd. Da hätte ich mir eine andere Vorgehensweise gewünscht, und wir hätten sicherlich auch anders beraten. Andreas: Hast du schön zusammengefasst. Es wirkt irgendwie so, als wäre man komplett unvorbereitet gewesen und sich nicht ganz klar darüber, wie man reagieren soll. Ich war vorher kein ASOS-User – vielleicht bin ich auch nicht die Zielgruppe, keine Ahnung. Aber gerade weil ich solche Cases immer sehe, bin ich natürlich sehr vorsichtig, wem ich meine Daten im Internet gebe. Vor allem Payment-Daten, auch wenn die hier nicht betroffen waren, aber generell auch meine E-Mail-Adresse. Denn wenn die einmal zugespamt wird, kann ich sie wegwerfen, brauche eine neue und muss in allen meinen Systemen die E-Mail-Adresse ändern usw. Und wenn ich so einen Case sehe, bei dem ich merke: Hey, die gehen nicht gut mit Daten um, sind nicht vorbereitet und haben ihre Security-Hausaufgaben nicht gemacht – dann würde ich eher woanders kaufen. Michael: Ja, das stimmt. Es gab auch ein ganz gutes Zitat von einem bekannten britischen Security-Researcher: „If you deal with advanced persistent teenagers, you need much better crisis plans.“ Andreas: Das trifft es, glaube ich, ganz gut. Michael: Man hätte den gleichen Kanal auch nutzen können, um direkt wieder Vertrauen aufzubauen. Ich weiß nicht, ob das technisch dann möglich war. Auf jeden Fall hat die Aktion Folgen, und zwar nicht nur für die Reputation, denn auch die Börse hat reagiert: Die Aktie hat direkt rund 10 % eingebüßt. Und welche Implikationen das hat, ist ja bekannt. Der Wert des ganzen Unternehmens ist dadurch ein bisschen zusammengeschmolzen, und 10 % sind keine kleine Zahl. Wir haben aber auch schon das Gegenteil erlebt, also Vorfälle, bei denen wir dachten, sie würden sich auf die Aktie auswirken, aber die hat gar nicht reagiert. Was glaubst du, womit hängt das zusammen? Warum ist das manchmal unterschiedlich? Andreas: Ich glaube, solche Reputationsschäden sind im ersten Moment sehr stark, flachen aber schnell ab, weil Menschen einfach vergessen. Ich schwör's dir, in drei Monaten wird da wahrscheinlich keiner mehr drüber reden. Vielleicht heißt es dann: Kannst du dich an den Hack erinnern, bei dem sie über die App gepusht haben? Ja, ja – aber man bringt es vielleicht nicht mehr mit dem Unternehmen in Verbindung. Wenn man sich das mal überlegt: Ich kann mich noch sehr genau an CrowdStrike erinnern, als dieses Update rauskam und die ganzen Flughäfen in Amerika lahmgelegt hat. Da ist die Aktie erst mal zusammengesackt, und ich dachte: Oh mein Gott, mal gucken, was da passiert. Die ist richtig kollabiert. Mittlerweile steht sie noch höher als vorher, und das interessiert keinen mehr. Da wurde ja auch die Frage gestellt: Kann man überhaupt noch mit CrowdStrike arbeiten? Oh mein Gott! Und heute interessiert das keinen mehr, die stehen besser da als je zuvor, muss man sagen. Auch hier sehen wir diese 10 %. Ich habe heute Morgen noch mal reingeguckt, die Aktie ist tatsächlich wieder ein bisschen gestiegen. Der direkte Impact war erst mal: Okay, verkaufen. Sie ist noch nicht wieder auf dem vorherigen Niveau, aber ich glaube, wenn man longterm guckt, einen Monat später, wird man merken, dass sich der Aktienkurs wieder erholt hat. In dem Moment ist das erst mal eine heftige Nummer. Aber für den Aktienkurs sind noch ein paar andere Dinge relevant, etwa Rendite und Umsatzwachstum. Und der Kurs wird sich so entwickeln, wie sich das Business entwickelt. Klar, es wird auch Kunden geben, die jetzt abspringen und sagen, da will ich nicht mehr kaufen. Ob das in diesem Case viele sind, kann ich dir nicht sagen. Vermutlich nicht. Michael: Ich glaube, es hängt auch ein bisschen von der Branche ab, in der die Firma unterwegs ist, wie stark diese Implikationen eingeschätzt werden. Beim Maschinenbauer kann der Impact – je nachdem, was wegkommt – wahrscheinlich auch groß sein, aber da hast du nicht diese Volatilität. Da sind die Auftragsbücher in der Regel gefühlt schon auf lange Sicht gefüllt. Bei Mode ist alles sehr kurzfristig. Wenn du da einen Reputationsschaden erleidest, gehen erst mal die Umsatzzahlen runter, weil die Leute nicht mehr einkaufen, wie du eben schon gesagt hast. Das hat natürlich kurzfristige Auswirkungen aufs eigentliche Business. Beim Maschinenbauer ist das wahrscheinlich anders gelagert. Andreas: Das ist halt immer speziell. Deswegen musst du auch immer eine Business-Impact-Analyse für deinen eigenen Business Case machen. Aber wenn ich mal ein bisschen rauszoome: Du bist produzierendes Gewerbe, nehmen wir mal eine Ransomware-Attacke. Es gibt mehrere Anbieter, die dieses Gut produzieren, und du bist gerade nicht lieferfähig, weil deine Produktion zwei Wochen steht. Dann hat das konkreten Impact auf deinen Umsatz und deinen Profit, weil weniger verkauft wird. Die Kunden gehen zum Wettbewerb und kommen vielleicht nicht mehr zurück, weil sie gemerkt haben: Woanders ist es auch ganz okay, vielleicht sogar günstiger, vielleicht sind die Produkte sogar besser. Wenn du nichts anderes kennst, bist du halt happy mit deinem Zulieferer – lange Historie, man versteht sich gut, Partnerschaft usw. –, bist aber gezwungen zu wechseln. Dann hast du einen direkten Impact auf Umsatz und Profit. Und wenn du an der Börse gelistet bist, wirkt sich das natürlich auf deinen Aktienkurs und deine Bewertung aus. Man muss also aus Business-Sicht immer genau bewerten, welche Angriffsszenarien es gibt. Hier kann man sagen: Okay, personenbezogene Daten sind entwendet worden. Das ist ein Reputationsrisiko. Es gibt aber auch Fälle, in denen zum Beispiel Forschungsdaten entwendet werden, also Daten zu dem Produkt, das du als Nächstes entwickelst. Der Wettbewerber sieht es dann schon vorzeitig und kann es kopieren. Das ist noch mal schmerzhafter und geht wieder in Richtung Umsatzausfall. Überleg mal: Dein Wettbewerber hat das Produkt, das du gebaut hast, kopiert, bietet es günstiger an, bevor du auf den Markt gehst, und nimmt damit den Markt ein. Deine Hoffnung, damit dein Unternehmen zu stützen und viel Geld zu verdienen, ist dahin. Das sind alles verschiedene Cases, die du für dein Unternehmen mal durchspielen solltest. Michael: Die Gruppe ist zwar neu – darüber haben wir schon gesprochen – und tauchte bisher nicht auf, hat aber jetzt im Oktober noch weitere Schlagzeilen gemacht. Du hast die Informationen dabei: Betroffen ist unter anderem die KLM-Gruppe, und auch H&M hat am 13. Oktober gemeldet, einen Cybersecurity-Incident zu untersuchen, bei dem man davon ausgeht, dass gegebenenfalls dieselbe Gruppierung aktiv war. Was bedeutet das für die nächsten Wochen und Monate? Bahnt sich hier ein neuer, größerer Player seinen Weg, oder ist das ein kleines Leuchtfeuer? Andreas: Das kann man erst hinterher bewerten. Man kann aber sagen: definitiv keine Einzeltäter. Auch relevant: Es sind High-Profile-Targets. Und KLM ist kein kleines KMU oder Kleinstunternehmen, sondern ein großer Konzern. Es werden große Konzerne adressiert – vielleicht auch, weil sie sich denken, dass da mehr zu holen ist. Im Endeffekt ist relevanter, dass sie auf sich aufmerksam machen. Daher muss man beobachten, was daraus wird und ob die Taktiken vielleicht noch angepasst werden. „Advanced persistent teenagers“ fand ich ganz treffend. Es kann sein, dass sie es jetzt erst mal hiermit versuchen und sich dann anpassen. Vielleicht steigen sie auch auf Ransomware um oder auf CEO-Frauds, bei denen es dann heißt: Hier Geld überweisen. Denn das liegt beim Social Engineering nah beieinander. Wir werden sehen, wohin sich diese Gruppe entwickelt. Klar ist auf jeden Fall: Die fangen gerade erst an und scheuen sich nicht, auf sich aufmerksam zu machen. Das Risiko, geschnappt zu werden, scheinen sie als sehr gering einzuschätzen. Sie sind zu vielem bereit. Mal gucken, was in den nächsten Monaten noch passiert. Es war auf jeden Fall direkt ein Einstieg auf der großen Bühne. Michael: Ja, definitiv. Wenn eine Gruppe in der Presse direkt mit drei sehr renommierten großen Unternehmen in Verbindung gebracht wird, ist das definitiv schon mal ein dickes Ausrufezeichen. Wir wollen nicht hoffen, dass es so weitergeht, beobachten das natürlich und können allen nur raten: Bereitet euch auf Angriffe vor, insbesondere im Bereich Detection and Response, aber natürlich auch bei Awareness. Schaut, dass ihr Cyberresilienz aufbaut und nicht abbaut. Andreas: So sieht's aus. Michael: Das ist ein richtiger Profitipp von mir. In diesem Sinne: Bleibt sicher und gesund. Andreas, danke, dass du hier warst und mit mir über diesen Vorfall gesprochen hast. Andreas: Gerne. Und bis zur nächsten Folge.