Die Geschichte um das Lösegeld beim GMO Internet Cloud-Breach hat eine Schlagzeile: 50 Millionen Dollar. Laut einem Bericht von TokenPost hat der CEO des Unternehmens offengelegt, dass Angreifer diese Summe nach einem Breach seiner Cloud-Infrastruktur gefordert haben, und das Unternehmen erklärt, nichts gezahlt zu haben. Bis zu 26.739 Server könnten betroffen sein.
Die öffentlichen Details sind bislang dünn. Dennoch ist der Fall eine nützliche Erinnerung daran, wie sehr sich Kunden von Hosting- und Cloud-Anbietern auf Sicherheit verlassen, die sie nicht sehen können, und was sie trotzdem tun können, um sich selbst zu schützen.
Was GMO Internet nach eigenen Angaben erklärt
Die Kernaussagen aus dem Bericht sind kurz. Der CEO von GMO Internet hat erklärt, dass das Unternehmen nach einem Breach seiner Cloud-Umgebung eine Lösegeld-Forderung von 50 Millionen Dollar erhalten habe. Das Unternehmen erklärt, nicht gezahlt zu haben. Der mögliche Umfang der Betroffenheit liegt bei bis zu 26.739 Servern.
Die Formulierung ist wichtig. „Bis zu“ und „könnten“ sind vorsichtige Formulierungen. Sie deuten darauf hin, dass das Unternehmen den maximal möglichen Umfang beschreibt und nicht bestätigt, dass auf jeden dieser Server zugegriffen wurde oder dass von jedem Daten entwendet wurden. Das uns vorliegende Quellmaterial sagt nicht, wie die Angreifer eindrangen, welche Art von Daten betroffen war oder ob Informationen veröffentlicht oder verkauft wurden.
Bis GMO Internet oder unabhängige Ermittler mehr veröffentlichen, bleiben diese Fragen offen. Wir werden hier keine Vermutungen dazu anstellen.
Wer von der Server-Exposition betroffen sein könnte
Die Zahl von 26.739 Servern ist eine Zählung von Maschinen, nicht von Personen. Ein einzelner Server bei einem Hosting-Anbieter kann Daten für einen Kunden oder für viele enthalten, je nachdem, wie der Dienst eingerichtet ist. Das bedeutet, dass die Zahl der betroffenen Personen oder Unternehmen kleiner oder größer sein kann, als die Serverzahl vermuten lässt.
Praktisch betrachtet sind die Personen, die am meisten Grund haben, aufmerksam zu sein:
- Kunden, die Websites, Anwendungen oder Datenbanken auf den Cloud-Diensten von GMO Internet betreiben
- Unternehmen, deren Dienstleister Daten bei dem Unternehmen hosten
- Endnutzer von Websites und Diensten, die auf Infrastruktur laufen, die betroffen sein könnte
Die letzte Gruppe ist am schwersten zu identifizieren. Viele Menschen nutzen Dienste, die bei einem Anbieter gehostet werden, ohne zu wissen, wer der Anbieter ist. Wenn ein Unternehmen, mit dem Sie zu tun haben, betroffen ist, kommt die Benachrichtigung möglicherweise von diesem Unternehmen und nicht vom Hoster.
Was ein Breach bei einem Hosting-Anbieter für Kundendaten bedeutet
Wenn Sie Daten bei einem Cloud- oder Hosting-Anbieter speichern, vertrauen Sie auf mehrere Sicherheitsschichten, die Sie nicht kontrollieren: das Netzwerk des Anbieters, seinen administrativen Zugriff, die Praktiken seiner Mitarbeiter und seine Patch-Verwaltung. Eine Schwachstelle in einem dieser Bereiche kann viele Kunden gleichzeitig exponieren, weshalb Angreifer Anbieter statt einzelner Websites ins Visier nehmen.
Eine Lösegeld-Forderung fügt eine weitere Dimension hinzu. Erpressung dieser Art hängt typischerweise von einer Drohung ab, etwa der Sperrung von Systemen oder der Veröffentlichung gestohlener Daten. Der Bericht gibt nicht an, was hier angedroht wurde, daher ist unklar, ob Kundendaten Gefahr laufen, veröffentlicht zu werden, oder ob der Druck auf den Betrieb abzielte.
Die erklärte Weigerung des Unternehmens zu zahlen, ist bemerkenswert. Sicherheitsexperten raten oft davon ab zu zahlen, da eine Zahlung nicht garantiert, dass Daten gelöscht oder Zugriff wiederhergestellt wird, und weitere Angriffe ermutigen kann. Doch die Weigerung beseitigt nicht das Risiko für Kunden. Wenn Daten kopiert wurden, könnten sie sich unabhängig von der Entscheidung des Unternehmens weiterhin in den Händen der Angreifer befinden.
Dies ist der entscheidende Punkt für Nutzer: Die Entscheidung eines Anbieters über ein Lösegeld ist getrennt von der Frage, ob Ihre Daten sicher sind. Die zweite Frage können Sie nur kontrollieren, indem Sie von vornherein begrenzen, was ein Breach preisgeben könnte.
Schritte, die Nutzer jetzt unternehmen können, um die Exposition zu begrenzen
Sie müssen nicht auf einen vollständigen Incident-Report warten, um Ihre eigene Sicherheit zu verbessern. Sinnvolle Schritte sind:
- Passwörter ändern. Wenn Sie einen Dienst nutzen, der möglicherweise auf der Infrastruktur von GMO Internet läuft, ändern Sie dort Ihr Passwort und überall, wo Sie es wiederverwendet haben. Verwenden Sie für jedes Konto ein eindeutiges Passwort, idealerweise aus einem Passwort-Manager.
- Zwei-Faktor-Authentifizierung aktivieren. Selbst wenn ein Passwort durchsickert, macht ein zweiter Faktor es jemandem deutlich schwerer, sich anzumelden. Authenticator-Apps oder Hardware-Schlüssel sind in der Regel stärker als Textnachrichten.
- Auf Breach-Benachrichtigungen achten. Prüfen Sie E-Mails von Ihren Anbietern und allen Diensten, die Sie nutzen, und lesen Sie sie sorgfältig. Gehen Sie direkt auf die offizielle Website des Unternehmens, statt auf Links in unerwarteten Nachrichten zu klicken, da Breach-Nachrichten oft Phishing auslösen.
- Sensible Daten vor dem Hochladen verschlüsseln. Wenn Dateien auf Ihrem Gerät mit Schlüsseln verschlüsselt sind, die nur Sie besitzen, legt ein Breach auf Anbieterseite verschlüsselte Daten offen statt lesbare Dokumente. Dies ist der dauerhafteste Schutz gegen einen Hoster, den Sie nicht überprüfen können.
- Überprüfen, was Sie speichern. Löschen Sie Daten, die Sie nicht mehr benötigen, von Servern Dritter. Informationen, die nicht dort sind, können nicht gestohlen werden.
- Ihre Konten überwachen. Behalten Sie in den kommenden Wochen Finanzauszüge und Login-Warnungen im Blick, um ungewöhnliche Aktivitäten zu erkennen.
Was das für Sie bedeutet
Wenn Sie direkter Kunde von GMO Internet sind, achten Sie auf offizielle Kommunikation des Unternehmens und folgen Sie dessen Anweisungen. Wenn Sie Unternehmer sind, prüfen Sie, welche Ihrer Systeme und Dienstleister auf der betroffenen Infrastruktur basieren, und fragen Sie direkt nach, ob sie betroffen sind.
Wenn Sie ein gewöhnlicher Nutzer sind, der keine Ahnung hat, ob er betroffen ist, besteht die sicherste Annahme einfach darin, dies als Anlass zu nehmen, Ihre Gewohnheiten zu verbessern. Ein VPN löst keinen Breach auf Anbieterseite, weil die Daten auf dem Server exponiert wurden, nicht bei der Übertragung. Starke, eindeutige Passwörter, Zwei-Faktor-Authentifizierung und die Verschlüsselung dessen, was Sie speichern, helfen hier.
Wichtige Erkenntnisse
Die Offenlegung der Lösegeld-Forderung beim GMO Internet Cloud-Breach lässt viele Fragen unbeantwortet: wie die Angreifer eindrangen, was entwendet wurde und wie viele Kunden tatsächlich betroffen sind. Was aktenkundig ist, sind eine Forderung von 50 Millionen Dollar, eine erklärte Weigerung zu zahlen und ein potenzieller Umfang von bis zu 26.739 Servern.
Während die Fakten ans Licht kommen, handeln Sie nach dem, was Sie kontrollieren können. Ändern Sie Ihre Passwörter, aktivieren Sie Zwei-Faktor-Authentifizierung, lesen Sie Breach-Benachrichtigungen Ihrer Anbieter, wenn sie eintreffen, und verschlüsseln Sie sensible Dateien, bevor sie auf die Server anderer gelangen. Diese Schritte begrenzen den Schaden durch diesen Vorfall und durch den nächsten.
