Reliance Group bestätigt teilweises Datenleck mit Verbindung zum Kernkraftwerk Kudankulam

Anil Ambanis Reliance Group hat ein teilweises Datenleck bestätigt, nachdem Dateien mit Bezug zum indischen Kernkraftwerk Kudankulam, einem der größten des Landes, online im Umlauf entdeckt wurden. Laut einem im ursprünglichen Bericht zitierten Forscher sind derzeit fast 19.000 Dateien, die mit dem Kraftwerk in Verbindung stehen, im Internet zugänglich. Reliance Infrastructure, ein mit der Anlage verbundener Auftragnehmer, räumte ein, dass ein Server, auf dem einige seiner Daten gehostet wurden, kompromittiert worden sei, und bezeichnete den Vorfall als „teilweises Datenleck“.

Die Dateien enthalten Berichten zufolge mutmaßliche Baupläne von Teilen der Anlageneinrichtungen sowie Lieferantendetails – Informationen, die angesichts der Sensibilität nuklearer Infrastruktur normalerweise streng vertraulich behandelt würden. In der Berichterstattung wurde angemerkt, dass die 19.000 mit Kudankulam verbundenen Dateien Teil eines wesentlich größeren Datensatzes sind – angeblich rund 858.000 Dateien –, den eine Erpressergruppe namens World Leaks gestohlen zu haben behauptet. Die fraglichen Dokumente sollen einen Zeitraum von 2016 bis Mitte 2025 abdecken, was darauf hindeutet, dass die Offenlegung fast ein Jahrzehnt an Aufzeichnungen umfassen könnte und nicht nur eine einmalige aktuelle Momentaufnahme ist.

Warum ein Datenleck bei einem Auftragnehmer für kritische Infrastrukturen von Bedeutung ist

Dieser Vorfall erinnert daran, dass Sicherheitsverletzungen, die sensible Standorte wie Kernkraftwerke betreffen, oft nicht vom Betreiber selbst ausgehen, sondern vom Netz der damit verbundenen Auftragnehmer, Zulieferer und Dienstleister. Die Rolle von Reliance Infrastructure als Auftragnehmer bedeutet, dass die offengelegten Daten wahrscheinlich technische, logistische oder Lieferketteninformationen widerspiegeln und keine als Verschlusssache eingestuften betrieblichen Steuerungssysteme des Kraftwerks. Dennoch können Baupläne von Anlagenkomponenten und Lieferanteninformationen für böswillige Akteure wertvoll sein, sei es für weiteres Social Engineering, die Erkundung der physischen Sicherheit oder einfach als Druckmittel in Erpressungsfällen.

Das Muster ähnelt dem, was Sicherheitsforscher bei anderen prominenten Vorfällen mit Regierungsbezug oder kritischer Infrastruktur festgestellt haben, bei denen Drittanbieter zum schwachen Glied werden. Eine ähnliche Dynamik zeigte sich, als das französische ANTS-Passportal gehackt wurde – hier wurde eine einzelne Behörde, die sensible nationale Dokumente verarbeitet, zum Ausfallpunkt für eine viel breitere Vertrauenskette. In beiden Fällen lautet die Lehre: Die Sicherheit kritischer Systeme hängt stark von den Praktiken jeder Organisation ab, die mit diesen Daten in Berührung kommt, und nicht nur von der prominenten Institution.

Was wir bisher wissen (und was nicht)

Derzeit hat die Reliance Group lediglich ein „teilweises Datenleck“ bestätigt, bei dem auf einem Server gespeicherte Daten betroffen sind, ohne zu erläutern, in welchem vollen Umfang auf Daten zugegriffen wurde oder wie der Einbruch stattfand. Die Behauptung, dass eine Gruppe namens World Leaks hinter dem Diebstahl steckt und über einen wesentlich größeren Datensatz von 858.000 Dateien verfügt, die über die mit Kudankulam verbundenen Dokumente hinausgehen, verleiht dem Ganzen eine Erpressungsdimension, die typisch für Ransomware-artige Operationen ist, bei denen Daten gestohlen und deren Veröffentlichung angedroht wird, anstatt Systeme direkt zu verschlüsseln.

Unklar bleibt, ob irgendwelche als Verschlusssache eingestuften Betriebs- oder sicherheitskritischen Informationen über das Kernkraftwerk selbst offengelegt wurden oder ob sich das geleakte Material auf administrative, lieferantenbezogene und technische Unterlagen beschränkt, die mit der Auftragsarbeit von Reliance zusammenhängen. Angesichts der Sensibilität von Nuklearanlagen werden indische Behörden und die Betreiber des Kraftwerks vermutlich genau beobachten, ob offengelegte Baupläne oder Lieferantendaten ein echtes Sicherheitsrisiko darstellen könnten, und nicht nur eines für den Ruf oder das Geschäft.

Was das für Sie bedeutet

Wenn Sie nicht direkt mit der Reliance Group, deren Zulieferern oder mit am Kraftwerk Kudankulam tätigen Auftragnehmern verbunden sind, betrifft dieses Datenleck Ihre persönlichen Daten nicht. Der Vorfall ist dennoch beachtenswert, wenn Sie in Sektoren arbeiten, die an kritische Infrastrukturen, Energie, Ingenieurwesen oder öffentliche Auftragsvergabe angrenzen, denn er zeigt, wie sich die Offenlegung bei einem einzelnen Anbieter durch die gesamte Lieferkette auswirken kann. Wenn Ihre Organisation im Rahmen sensibler Projekte Daten mit Auftragnehmern oder Unterauftragnehmern teilt, ist dies ein guter Zeitpunkt, um zu überprüfen, wer auf welche Daten Zugriff hat, wie lange diese aufbewahrt werden und ob ältere Unterlagen (in diesem Fall Dateien, die Berichten zufolge bis ins Jahr 2016 zurückreichen) noch auf Servern liegen, lange nachdem sie betrieblich nicht mehr benötigt werden.

Für die allgemeine Leserschaft ist die übergeordnete Erkenntnis, dass erpressungsgetriebene Datenlecks zunehmend nicht nur auf personenbezogene Daten abzielen, sondern auch auf Unternehmens- und infrastrukturnahe Dateien, die strategisches oder rufschädigendes Gewicht haben. Diese Vorfälle unterstreichen die Bedeutung grundlegender Datenhygiene: möglichst wenig speichern, sensible Dateien verschlüsseln und den Zugriff Dritter regelmäßig überprüfen.

Konkrete Handlungsempfehlungen

  • Wenn Sie bei sensiblen Infrastrukturprojekten mit Auftragnehmern zusammenarbeiten, überprüfen Sie die Richtlinien zur Datenaufbewahrung und stellen Sie sicher, dass alte Dateien sicher archiviert oder gelöscht werden, anstatt sie auf aktiven Servern offen liegen zu lassen.
  • Unternehmen, die Lieferanten- oder Bauplandaten verarbeiten, sollten strenge Zugriffskontrollen anwenden und auf nicht autorisierte Datenübertragungen achten.
  • Bleiben Sie wachsam gegenüber nachfolgenden Berichten, da der Umfang des größeren Datensatzes von 858.000 Dateien, der im Zusammenhang mit diesem Leck erwähnt wird, noch nicht vollständig beschrieben ist.
  • Wenn Ihre Organisation eine ähnliche Rolle als Auftragnehmer spielt, ziehen Sie Risikobewertungen für Drittanbieter als Standardverfahren in Betracht und nicht nur als einmalige Prüfung.

Da weitere Details zu dem mit Kudankulam verbundenen Datenleck und der Reaktion der Reliance Group ans Licht kommen, wird sich diese Geschichte voraussichtlich weiterentwickeln. Fürs Erste dient sie als ein weiteres Beispiel dafür, dass die Sicherheit kritischer Infrastrukturen ebenso sehr von den Datenpraktiken der Auftragnehmer abhängt wie von den Schutzmaßnahmen des Hauptbetreibers.