#20 Die Spedition im Visier der Hacker

0:00 Dieser Podcast wurde inhaltlich von Nikolaus Stapels zusammengestellt. In dieser Reihe erzählen wir wahre Geschichten aus der Welt der Cyberkriminalität, der IT-Sicherheit und digitale Risiken. Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können Und wie wichtig es ist Aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

0:19 Um dir kurz Kontext zu geben wer wir eigentlich sind Ich begleite dich hier als Analystin sozusagen Als diejenige die komplexe Zusammenhänge entwirrt und kritisch nachfragt. Genau Und ich schaue als Experte für IT-Sicherheit und forensische Risikoanalyse auf die Vorfälle. Ruhig, sachlich – immer mit der Frage was da technisch eigentlich unter der Haube passiert ist?

0:40 Richtig! Unser heutiger Deep Dive führt uns nach Berlin, genauer gesagt an den Borsichtturmen. Dort sitzt die Niederlassung der Interteamspeditionsgesellschaft Und wir stützen unsere Analyse hier, strikt auf offizielle Berichte, Interviews der Transferstelle Cyber-Sicherheit im Mittelstand und auch Veröffentlichungen der IHK Berlin.

1:00 Ja das ist eine extrem gut dokumentierte Fallstudie? Absolut! Es geht hier um ein typisches mittelständisches Unternehmen mit Wurzeln in Hamburg. In dieser Berliner Niederlassung arbeiten gerade mal zwölf Leute. Nur zwölfe Leute ja... Genau zwölfreute und doch sind sie das perfekte Lehrstück dafür wie ein völlig normaler Montagmorgen zur Existenz bedrohen werden kann.

1:19 Bevor wir da aber reingehen, müssen wir kurz klären was Interteam eigentlich genau macht. Das ist nämlich enorm wichtig für die Fallhöhe. Die haben ein Zertifikat nach den sogenannten GDP-Lightlinien das steht für Good Distribution Practice. Was heißt es technisch für das Netzwerk? Also technisch belegt ist dass die Prozessdichte in diesem Bereich massiv ist.

1:38 Dieses Zertifikat bedeutet dass sie hochsensible Pharma Transporte durchführen. Da geht es um temperatur sensible Medikamente Also Kühlketten die nicht abreißen dürfen. Genau das. Und diese Kühlketten werden in Echtzeit digital überwacht. Wenn die digitale Dokumentation da auch nur für ein paar Stunden ausfällt, kann die gesamte Ladung im Zweifel Medikamente im Wert von Millionen komplett wertlos werden!

2:02 Das Dispositionssystem, das Tracking und die Zollabwicklung – alles hängt an diesen Servern.". Okay, das ist ein Wahnsinnsrisiko…. …und trotzdem dachte man bei Interteam lange Zeit genau das was du dir als Hörer vielleicht auch schon mal gedacht hast. So nach dem Motto «Wir sind doch nur ein kleines Team, zwölf Leute».

2:18 Wer macht sich schon die Mühe, uns anzugreifen? Ein klassischer Irrtum im Mittelstand. Lass uns also mal in diesen besagten Montagmorgen springen! Stell dir vor du betritts das Büro, du fährst den Rechner hoch, holts dir ein Kaffee willst eigentlich nur einen simplen Frachtbrief ausdrucken aber dein Bildschirm lädt einfach unendlich lange.

2:36 Das System friert einem Ja...das ganze interne Netzwerk reagiert kaum noch Und die erste Reaktion vor Ort und das finde ich psychologisch so spannend ist absolute Gelassenheit. Man geht von einem banalen Provider-Problem aus. Ja, das ist der übliche. erst der Reflex Klar! Wenn bei mir im Büro das Internet tagt ruf ich ja auch nicht gleich das LKA an sondern denke naja...der Router spinnt halt.

2:58 Warum verharren Unternehmen so oft in dieser Fegdiagnose? Das liegt an einer massiven strukturellen Lücke. In so nem kleinen Unternehmen gibt es in der Regel kein sogenanntes SOC also ein Security Operations Center Ein SOC. okay Stellt ihr das vor wie nen digitalen Tower am Flughafen. Da sitzen Analysten, die den Netzverkehr rund um die Uhr auf Anomalien überwachen.

3:18 Bei Großkonzernen würde in so einem Moment sofort eine rote Warnlampe aufleuchten. Die Systeme würden melden – moment mal! Dieses Zugriffsmuster passt überhaupt nicht zu unserem normalen Betrieb Und das fehlt bei so ner zwölf Mann Niederlassung natürlich völlig? Absolut Im Mittelstand fehlt diese Echtzeitkochrelation.

3:35 Du spürst nur das Symptom Das Netz ist langsam Aber du siehst nicht die Ursache. Verstehe. Also ruft das Team ganz pragmatisch den Internet-Provider an, nach dem Motto Prüf mal die Leitung. Und hier kommt der absolute Wendepunkt dieser Analyse. Technisch belegt es nämlich, dass der Provider zurückmeldet – die physische Leitung ist völlig intakt!

3:55 Kein Kabelbruch. Aber die Netzstatistiken zeigen ein alarmierendes Bild. Ein massiver, völlig ungewöhnlicher Datenverkehr prasselt von außen auf die Anschlüsse ein. Exakt in dieser Sekunde verlagert sich das Problem. Wir sind nicht mehr in der Telekommunikation, wir sind mitten im Cyber-Sicherheitsvorfall.

4:19 Und als diese künstliche Datenflut sichtbar wurde, hat der Geschäftsführer sofort den externen IT-Dienstleister alarmiert. Ab da haben die IT Forensiker übernommen – die schauen sich dann die Protokolle der Firewalls an. Da muss ich kurz einhaken. wenn sie sich diese Protokrolle anschauen was genau sehen die da wäre oder was erzeugt diesen Stau?

4:54 Technisch belegt ist dass die Forensika einen hochfrequenten automatisierten sogenannten Password Spraying Angriff festgestellt haben. Password-Spraying, okay? Ja. Die Angreifer haben die Firewall mit arbertausenden Loginversuchen bombardiert und gleichzeitig liefen das Kripte, die das System nach bekannten Software Schwachstellen abklopfen.

5:16 Lass uns dieses Password Spray mal kurz aufdröseln! Viele haben ja schon von Brute Force Angriffen gehört, wurden Hacker Millionenfachpasswörter bei einem einzigen Benutzer ausprobiert? Das hier ist aber anders oder? Richtig. Brute force is laut Das fällt auf. Die meisten modernen Systeme sperren den Benutzer nach drei bis fünf Fehlversuchen.

5:35 Beim Passwort Spraying drehen die Kriminellen diese Logik einfach um! Wie genau? Sie nehmen ein einziges, sehr gängiges Passwort, sagen wir mal Sommer-Sommer-Zweißen-Zwanzig mit Ausrufezeichen und dieses eine Passwort probieren sie völlig automatisiert über tausende verschiedene Username hinweg aus. Das heißt, anstatt vor einer Tür zu stehen und Tausende Schlüssel zu probieren was sofort den Alarm auslöst nehmen die einen einzigen häufigen Schlüssel.

6:03 Und rennen damit durch die ganze Stadt Ganz genau Bei jedem Haus. stecken sie den Schlüssel einmal rein. Passt er nicht? Gehen Sie sofort zum nächsten Haus. Pro Haus gibt es also nur einen einzigem Fehlversuch Da greift keine automatische Sperre Wahnsinn! Und weil sie das mit automatisierten Skripten Mit enormer Geschwindigkeit weltweit gleichzeitig machen Erzeugt das massiven Datenverkehr.

6:25 Bei Interteam war die Masse an Anfragen so immens, dass die Firewall schlichtweg kollabierte. Sie hat komplett blockiert um sich zu schützen.". Mit der Folge das gesamte Speditionsgeschäft für einen Tag stillstand – keine Disposition, kein Tracking der GDP-Farmartransporte, nichts ging mehr! Aber hier drängt sich mir und wahrscheinlich auch dir als Hörer eine Frage auf….

6:47 Warum richtet eine Heckergruppe diese enorme technische Energie auf eine kleine Speditionsniederlassung in Berlin? Ist das nicht völlig verschwendet, würden die nicht eher eine Bank angreifen? Das ist ein gefährlicher Irrtum den wir oft sehen. Hacker operieren heute nicht mehr wie Bankräuber, die tagelang ein bestimmtes Ziel auskundschaften!

7:05 Das ist voll automatisiert – ein reines Zahlenspiel. Also ein digitales Schleppnetz. Exakt. Die scannen das gesamte Internet. Die suchen einfach nur nach verwundbaren IP-Adressen. Es geht nicht um die Prominenz des Unternehmens sondern nur um offene Türen. Sobald ein Skript ne Lücke meldet, greift der Mechanismus.

7:22 Den ist also völlig egal, wer da am anderen Ende sitzt. Völlig egal! Für die sind das nur Nullen und Einsen, die sich monetarisieren lassen. Deshalb ist die Cybergefahr auch Branchen übergreifend das Toprisiko schlechthin. Okay aber wer wirft denn dieses Netz aus? Medienberichten zufolge gibt es doch da riesige Kartelle.

7:40 Weiß man wer hinter diesem speziellen Angriff steckte? Hier stoßen wie an den typischen Grenzen der Forensik. Nicht abschließend geklärt ist Wer die Täter in diesem Fall waren. Es gibt hier keine offizielle Attribution, also keine gesicherte Zuschreibung von Seiten des FBI oder der amerikanischen CISA.

7:58 Aber warum ist das so schwer? Es muss doch digitale Spuren geben! Gibt es auch – aber diese Banden leiten ihren Datenverkehr über verschachtelte anonymisierte Netzwerke. Oft nutzen sie gekaperte Server von ahnungslosen Dritten und die Hintermänner sitzen in Ländern, die nicht mit uns kooperieren. Ohne ein Bekennerschreiben ist eine verlässliche Zuordnung fast unmöglich….

8:19 Okay, wir haben es also mit einem gesichtslosen voll automatisierten Feind zu tun. Aber und das ist ja das Spannendste an dieser Geschichte! Die Systeme standen zwar vierundzwanzig Stunden still aber die Hacker sind nicht in das innere Netz weg eingedrungen. Richtig Warum blieb es nur bei der Blockade?

8:35 Warum hat die Tür gehalten? Das verdankt das Unternehmen einem oft als sehr lästig empfundenem Prozess. Der IT-Dienstleister hat nämlich einmal im Monat ein mehrständiges Wartungsfenster durchgeführt. Ah okay Und in dieser Zeit wurden alle Software-Patches und Updates konsequent eingespielt. Die konkrete Lücke in der Firewall, die die Hacker aufhebeln wollten war deshalb bereits geschlossen!

8:56 Ein regelmäßiges Update Ganz ehrlich das klingt nach absoluten IT Basics. Wir alle klicken das am privaten Laptop ständig weg. Warum wird es in den Berichten als so lebensrettend hervorgehoben? Weil es in der Realität des Mittelstands eben oft vernachlässigt wird. Patchmanagement ist ein rotes Tuch Wegen der Ausfallzeiten.

9:15 Genau Ein Update auf einem Server bedeutet downtime. Bei Interteam dauerte das jeden Monat zwei bis drei Stunden und viele Firmen fürchten auch Kompatibilitätsprobleme, so nach dem Motto Wenn ich heute das Update mache läuft morgen meine Speziasverfähre nicht mehr Und dann steht der Betrieb. Aus Bequemlichkeit oder Angst wird es dann monatelang aufgeschoben.

9:35 Aber in diesem Fall hat genau dieses unscheinbare Update das Unternehmen vor dem Ruin gerettet. Lass uns mal schauen, was passiert wäre wenn sie das Update nicht gemacht hätten. Was sagen die Behörden dazu? Nach offizieller behördlicher Einschätzung, insbesondere der zentralen Ansprechstelle Cybercrime des LKA Berlin – kurz ZAK – wäre es unweigerlich zur Double X-Torschen gekommen.

9:57 Zur doppelten Erpressung! Lasst uns das mal kurz durchspielen…. wie läuft das ab?! Sie verschlüsseln die Daten nicht nur sondern... …sie exfiltrieren sie vorher. Genau Das ist Phase eins. Die Hacker suchen nach den sensibelsten Datenströben, im Fall von Interteam werden das die Pharma-Routen, Kundendaten, GDP-Zertifizierungsprotokolle.

10:17 Die kopieren sie unbemerkt. und dann kommt Phase zwei Sie verteilen Ransomware im Netz, verschlüsseln alles – das System ist tot! Und dann fordern sie Lösegeld für den Schlüssel. Um den Druck zu erhöhen drohen sie. wenn ihr nicht zahlt liegen wir die geklauten Pharmadaten ins Darknet. Wahnsinn Für einen Logistiker mit Pharma-Kunden ist das das absolute Ende.

10:40 Vertrauensverlust, Vertragsstrafen – kein Kunde bucht dich je wieder! Exakt. Das wäre das Ende der geschäftlichen Existenz gewesen.". Und genau das hat Geschäftsführer Ingo Bernsee verstanden. Dieser überstandene Angriff war ein brutaler Weckruf. Das Überleben war ja fast schon Glück im Unglück und die Konsequenzen, die das Unternehmen daraus gezogen hat sind massiv...

11:01 Die Transformation danach war enorm…ja Medienberichten der IHK und der Transferstelle zufolge wurde das Unternehmen komplett auf links gedreht. Lass uns das mal durchgehen, fangen wir beim Geld an! Finanziell gab es eine drastische Änderung. Interteam investiert jetzt zwanzig Prozent der gesamten EDV-Kosten rein in die Cyber-Sicherheit.

11:18 Das ist extrem viel Absolut Und der Geschäftsführer räumt dem Thema jeden Monat fünf bis sechs Stunden seiner eigenen Arbeitszeit ein. Aber Geld allein reicht natürlich nicht Richtig? Wie haben sie das technisch umgesetzt? Gesamt der Netz wurde gehärtet. VPN-Tunnel sind jetzt absoluter Standard, also Virtual Private Networks?

11:38 Der Datenverkehr fließt nicht mehr offen sondern durch eine Art gesicherten Tunnel. Egal ob ins Hamburger Headquarter oder ins Homeoffice. und noch wichtiger! Mehr Faktor-Authentifizierung. kurz MFA ist jetzt für alle Pflicht überall gepaart mit Passwortmanagern. MFA ist ein super wichtiges Stichwort.

11:57 Warum reicht ein komplexes, zwanzigstelliges Passwort heute nicht mehr? Was macht dieser zweite Faktor so unüberwindbar für die Angreifer? Der Schlüssel liegt in der Trennung der Kanäle. Das Script der Hacker kann dein Passwort vielleicht durch einen League erbeuten aber bei MFA verlangt das System einen zusätzlichen Beweis zum Beispiel eine Zahl auf einer App auf deinem Firmenhandel.

12:19 Selbst wenn das Script also dein Password hat Ohne dein physisches Handy in der Hand kommt es nicht rein. Der automatisierte Angriff scheitert. Clever! Und was ich organisatorisch fast noch krasser fand, das absolute BYOD-Verbot – also bring your own device ist dort Geschichte. Private Smartphones dürfen nicht mehr ins Firmen wählen.

12:38 Punkt Das ist ein harter aber notwendiger Schnitt. Medienberichten zufolge gelten besonders private Android Geräte als hochriskant Weil die Updates da so unregelmäßig kommen. Exakt Die Architektur des Betriebssystems ist so fragmentiert, das hängt von zig verschiedenen Herstellern ab. Ich stelle mir das so vor... Ein privates Handy im Firmenwählern ist wie ein Mitarbeiter der unwissentlich einen Nachschlüssel in der Hosentasche hat!

13:03 Wenn das Handy sich abends im privaten Heimnetzwerk mit Malware infiziert? Richtig und am nächsten Morgen gehst du damit arg los ins Bürowählern. Genau dann umgeht der Feind die komplette äußere Firewall. Er reitet quasi Huckepack durch die Vordertür und sitzt direkt im inneren Kreis. Ein sehr treffendes Bild.

13:20 Durch dieses Verbot zieht Interteam eine harte logische und physische Grenze, und sie haben auch Notfallpläne erstellt. Listen mit Forensekontakten liegen ausgedruckt bereit – und ganz wichtig! Sie testen jetzt regelmäßig ihre Backups. Ob man die Daten wirklich wiederherstellen kann? Genau ein Backup ist nutzlos wenn du den Ernstfall nie geprobt hast.

13:42 Wenn ich mir das alles anhöre erinnert mich total an die Logistikbranche selbst. Es ist, als hätten die verstanden nicht nur unsere physischen Lkw brauchen regelmäßigen TÜV und eine sichere Garage. Die digitalen Datenströme, die diese LkW überhaupt erst ins Rollen bringen, müssen genauso rigoros geschützt werden.

13:59 Absolut! Und das ist echte digitale Resilienz – es reicht nicht, eine Software zu kaufen. Es braucht das Budget, technische Hürden wie MFA und eben auch unpopuläre Regeln wie das Handyverbot. Und? Das dürfen wir nicht vergessen…. Eine kulturelle Veränderung Bernsee ist ja nicht abgetaucht, er ist den Schritt an die Öffentlichkeit gegangen.

14:19 Das ist extrem bemerkenswert! Er hat Anzeige beim LKA und der ZAK erstattet, IG zu IHK warnt andere... ...und intern hatte eine offene Fehlerkultur etabliert. Das heißt wenn heute jemand auf einen Fishing-Link klickt muss er keine Abmahnung fürchten, wenn er es sofort meldet? Richtig Und nur durch diese Transparenz gewinnst du im Ernstfall die entscheidenden Minuten um Schlimmeres zu verhindern.

14:43 Wenn man Vorfälle aus Scham verschweigt, spielt das nur den Kriminellen in die Hände. Das ist eine so wichtige Erkenntnis! Um unseren Dieb-Dive heute abzurunden fass uns das doch nochmal aus der Einer Sicht zusammen. Sehr gerne. Wir sehen hier klar – konsequentes Patchmanagement ist kein Luxus. es rettet buchstäblich Existenzen.

15:02 Die Bedrohung ist vollautomatisiert d. h., dass digitale Schleppnetz der Hacker trifft jedes Unternehmen völlig unabhängig von Größe oder Branche. Und ganz entscheidend, wahre Cyber-Sicherheit ist kein fertiges Produkt das man kauft. Es ist ein dauerhafter Prozess! Er erfordert ein festes Budget, technische Disziplin wie die Mehrfaktorauthentifizierung und vor allem eine offene proaktive Fehlerkultur im gesamten Team.

15:26 Vielen Dank dass du bei dieser Folge dabei warst. Denkt daran, Cyber Sicherheit beginnt nicht erst beim großen Angriff sondern bei den kleinen Entscheidungen im Alltag. Wenn dir die Folge gefallen hat, abonniere den Podcast und teile ihn gerne mit Freunden, Kolleginnen und Kollegen. Schreib uns auch gerne deine Gedanken zur Folge oder deine Ideen für eine der nächsten Episoden!

15:45 Bis zum nächsten Folge – bleib aufmerksam und digital sicher.