neue energie: Wissen Sie noch, Herr Feldmann, wie der 12. April 2022 für Sie begonnen hat?
Klaas Feldmann: Das ist ein Morgen, der mir in Erinnerung geblieben ist und bleiben wird. Zwischen fünf und sechs Uhr kam der Anruf aufs Handy. Es gibt ein paar, aber auch nicht so viele Kollegen, die mich derart früh anrufen – auch wenn wir natürlich als Unternehmen 24/7 rund um die Welt Leute und Systeme im Einsatz haben. Da war schnell klar: „Das ist ernst!“
ne: Was war die Botschaft, die nicht warten konnte?
Feldmann: Dass mehrere Rechner in unserem Netz offenbar durch Hacker verschlüsselt worden seien. Das heißt konkret: Die Geräte der Mitarbeitenden zeigten nur noch ein Textfenster mit der Anweisung, einen Entschlüsselungscode einzugeben. Ansonsten funktionierte nichts mehr auf den Geräten.
ne: Wussten Sie da schon, was passiert war?
Feldmann: Von einem infiltrierten Laptop müssen Hacker Zugriff auf unser Netzwerk erlangt haben. Das ganze Ausmaß war da aber noch unklar.
ne: Wie haben Sie in den ersten Momenten reagiert?
Feldmann: Die diensthabenden Mitarbeitenden hatten schon die ersten Sofortmaßnahmen veranlasst, indem sie die betroffenen Geräte vom Netz genommen und infizierte Systeme isoliert haben. Da wird dann erst mal eine Standard-Prozedur ausgelöst: Schotten dicht! Schaden eingrenzen, abschalten! Wir haben sofort einen Krisenstab einberufen und dort sehr schnell die Entscheidung getroffen, unsere Server und die betroffene Hardware komplett abzuklemmen.
ne: Was war denn durch den Cyberangriff genau betroffen?
ne: Aber alle Daten und jede Möglichkeit zur Kommunikation sind in so einem Fall erst mal weg …
Feldmann: Ja und nein. Wir waren in der sehr glücklichen Lage, dass wir ein umfassendes Backup unseres Systems hatten und ohnehin in der Vorbereitung waren, eine ganze Reihe von Systemen in die Cloud zu verlegen. Dadurch war schnell klar, dass wir die alten Systeme gar nicht hätten wiederherstellen oder alles von Grund auf neu aufbauen müssen. Stattdessen konnten wir aus den Backup-Daten gleich in der Cloud die IT-Architektur wieder aufbauen.
ne: War das pures Glück oder gute Vorbereitung?
Feldmann: Ich will nicht behaupten, dass wir uns gezielt auf dieses Szenario vorbereitet hätten. Aber diese bestehende Datensicherung und die Tatsache, dass wir uns ohnehin organisatorisch in die Cloud auf den Weg gemacht hatten, haben uns in jedem Fall gerettet.
ne: Sonst hätten Sie vermutlich ein Lösegeld gezahlt …
Feldmann: Das konnten wir sehr früh ausschließen und sind deshalb auch zu keinem Zeitpunkt mit den Hackern in Kontakt getreten.
ne: Wissen Sie heute, welche Täter und welche Motive dahintersteckten?
Feldmann: Die eingesetzte Methode lässt auf das Netzwerk Black Basta schließen. Man geht daher davon aus, dass es zumindest eine Nähe zu Russland gibt. In jedem Fall waren Profis am Werk.
ne: Sie waren damals nicht das einzige Opfer in der Branche. Praktisch zeitgleich mit dem Beginn des Ukrainekriegs wurde von Hackern ein Satellitennetzwerk außer Gefecht gesetzt, mit dem Enercon 5800 Windkraftanlagen überwacht. Kurz nach Ihnen wurde der Windanlagenhersteller Nordex gehackt …
Feldmann: Als Teil der kritischen Infrastruktur sind wir uns dieser Gefahr durch Terroristen und staatliche oder staatsnahe Akteure durchaus bewusst und wir arbeiten entsprechend eng mit den Behörden zusammen. Aber die Motive waren uns ehrlich gesagt egal. Wir haben uns wenig mit der Täterfrage und auch nicht mit der Schuldfrage beschäftigt. Wir kannten unser Blatt: Wir wussten, dass wir auch ohne Entschlüsselung wieder einsatzfähig werden. Uns ging es also darum, möglichst schnell wieder ein sauberes IT-System aufzubauen und für unsere Kunden digital erreichbar zu sein.
ne: Wie lange hat das gedauert?
Feldmann: Das operative Geschäft der Instandhaltung lief für unsere Kunden ab dem 14. April, also zwei Tage nach dem Angriff, mit kleinen Einschränkungen wieder. Die Herstellung der E-Mail-Kommunikation hat länger gedauert – auch wenn wir telefonisch erreichbar waren.
ne: Sie haben eben die Schuldfrage erwähnt. Wissen Sie, wie und durch wen die Hacker letztlich ins System kamen?
ne: Was haben Sie aus dem Vorfall gelernt?
Feldmann: Natürlich, wie essenziell und wertvoll unser Backup in der Situation war. Solche Backup-Lösungen sind wirklich kein Hexenwerk, werden leider trotzdem viel zu oft vernachlässigt. Nach unserer Erfahrung wird uns das nicht mehr passieren. Auch dass wir verhältnismäßig leicht in eine sichere Cloud-Umgebung wechseln konnten, war eine wichtige Erfahrung. Im Normalbetrieb dauert so ein unternehmensweiter Schritt länger; in einem derartigen Ausnahmefall geht das plötzlich sehr viel schneller, weil einem gar nichts anderes übrig bleibt.
ne: Empfehlen Sie den Hackerangriff als Innovationsschub?
Feldmann (lacht): Sicher nicht! Aber ein Weckruf ist er allemal. Wir machen heute zweifellos vieles anders als vorher.
ne: Was hat sich konkret verändert?
ne: Die alte Masche würde heute nicht mehr funktionieren?
Feldmann: Nein. Aber es gibt natürlich reichlich neue. Gerade durch KI werden Methoden wie das Phishing und Spoofing sehr viel ausgefeilter, lässt sich die Schwachstelle Mensch sehr viel effektiver ausnutzen. Statt mit plumpen Phishing-E-Mails hat man es heute mit wirklich täuschend echten Fälschungen, mehrstufigen Betrugsversuchen und Deepfakes in Form von Anrufen und Videos zu tun. Das Entwicklungstempo ist enorm.
ne: Ist das allen in der Branche bewusst?
Feldmann: Ja, aber die Bedrohung bleibt abstrakt – bis es eben doch zum erfolgreichen Angriff kommt. Wir sind damals sehr offen mit dem Thema umgegangen, haben früh und ausführlich kommuniziert und auch in der Folge habe ich öfter in Fachkreisen Auskunft zu dem Vorfall gegeben. Das war uns auch wichtig, um das Vertrauen zu wahren, das unsere Kunden in uns setzen.
ne: Wie haben denn Kunden und auch Wettbewerber darauf reagiert?
Feldmann: Wir haben da wirklich eine große Solidarität und einen Schulterschluss erfahren. Kunden und Partner haben uns schnell Hilfe angeboten. Ich erinnere mich konkret an den CIO eines anderen Unternehmens, der mir sofort seine Unterstützung und Expertise angeboten hat. Auch bei Wettbewerbern hat man gemerkt, dass keiner da die Chance wittert, einen Konkurrenten abzuhängen. Wir wissen, dass wir in der Windbranche alle in einem Boot sitzen, was diese Bedrohung angeht. Jedes Unternehmen ist ein Ziel für Hacker. Die Frage ist nicht, ob man ins Visier gerät, sondern wie angreifbar man ist. Und da hilft es, von anderen zu lernen und im Ernstfall auch zusammenzustehen.
Wie unterscheiden sich Cyberbedrohungen?
Phishing und Spoofing
Cyberkriminelle geben sich als vertrauenswürdige Person oder Organisation (etwa Bank oder Behörde) aus, um Beschäftigte dazu zu bringen, sensible Informationen preiszugeben oder den Zugang zu ihnen zu ermöglichen.
Social Engineering
Nicht die Technik, sondern der Mensch ist oft das schwächste Glied in der Cybersicherheitskette. Cyberkriminelle nutzen gezielt menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität aus.
Malware
Der Begriff umfasst sämtliche Arten von Schadsoftware. Das Ziel von Viren, Würmern oder auch Trojanern besteht darin, digitale Netzwerke unbemerkt zu infiltrieren, anschließend Daten zu stehlen und/oder die IT-Systeme zu beschädigen.
Ransomware
In diesem Fall wird Schadsoftware genutzt, um Daten beim Opfer zu verschlüsseln oder den Zugriff auf IT-Systeme komplett zu verhindern. Die Cyberkriminellen fordern ein Lösegeld („ransom“), um die Systeme wieder freizugeben.
DDoS-Attacke
Beim Distributed Denial of Service wird eine Website oder ein Server gezielt mit einer massiven Flut von Internetanfragen überschwemmt. Dadurch wird das Zielsystem überlastet, sodass es vorübergehend nicht mehr erreichbar ist.