Der Schweizer Zughersteller Stadler Rail hat bestätigt, dass er die Zahlung eines Lösegelds in Höhe von 12,3 Millionen Dollar (₣10.000.000) verweigert hat, das die Erpresserbande Everest forderte, nachdem Angreifer technische Daten über die Filesharing-Plattform eines Lieferanten gestohlen hatten. Die Offenlegung wurde im selben Nachrichtenzyklus bekannt wie eine separate, aber damit verbundene Entwicklung: Die mit dem russischen Staat in Verbindung stehende Gruppe Laundry Bear hat es auf ungepatchte Zimbra-E-Mail-Server abgesehen. Zusammen zeigen die beiden Geschichten, wie russlandnahe Bedrohungsakteure parallele Operationen durchführen – eine gegen industrielle Lieferketten, eine andere gegen Unternehmens-E-Mail-Infrastruktur – und warum Organisationen jeder Größe beide ernst nehmen müssen.

Der Ransomware-Angriff hinter der Ablehnung von Stadler Rail

Laut einem Bericht des Record übernahm die Everest-Ransomware-Bande die Verantwortung für den Diebstahl technischer Daten von Stadler Rail, und zwar nicht durch einen direkten Einbruch in das Netzwerk des Zugherstellers, sondern durch die Kompromittierung einer von einem Lieferanten betriebenen Filesharing-Plattform. Everest forderte daraufhin rund 12,3 Millionen Dollar im Austausch dafür, die gestohlenen Dateien weder zu veröffentlichen noch zu verkaufen. Stadler Rail lehnte die Zahlung ab.

Dies ist eine bedeutsame Entscheidung. Die Weigerung, Lösegeld zu zahlen, wird oft nur als Akt des Widerstands dargestellt, birgt aber ein echtes operationelles Risiko: Wenn eine Bande ihre Drohung wahrmacht, können gestohlene technische Daten (Konstruktionspläne, Lieferantendetails, interne Dokumentation) veröffentlicht oder an Wettbewerber und andere kriminelle Gruppen verkauft werden. Die Entscheidung von Stadler Rail, nicht zu zahlen, spiegelt einen breiteren Wandel bei großen Industrieunternehmen wider, von denen viele Lösegeldzahlungen inzwischen eher als Belohnung krimineller Geschäftsmodelle betrachten, statt die zugrunde liegende Gefährdung zu beseitigen.

Warum ein Lieferantenverstoß genauso schwer wiegt wie ein direkter Hack

Was diesen Fall besonders lehrreich macht, ist, dass der ursprüngliche Kompromittierungspunkt nicht die eigene Infrastruktur von Stadler Rail war, sondern das Filesharing-System eines Lieferanten. Dies ist ein häufiges Muster bei modernen Ransomware-Angriffen: Kriminelle Gruppen suchen zunehmend nach dem schwächsten Glied in einer Lieferkette, anstatt ein gut verteidigtes Hauptziel direkt anzugreifen. Ein einziger Lieferant mit laschen Zugriffskontrollen oder ungepatchter Software kann zum Einstiegspunkt für eine viel größere Datendiebstahloperation werden.

Diese Dynamik ist nicht nur in der Bahnindustrie zu beobachten. Kompromittierungen von Lieferketten haben bereits zuvor sensible Regierungs- und Unternehmensdaten über vertrauenswürdige Drittanbieter-Software offengelegt, wie die Folgen des SolarWinds-Hacks zeigten, bei dem alle E-Mails von Treasury.gov offengelegt wurden. Die Lehre ist beständig: Die Sicherheitslage einer Organisation ist nur so stark wie die Anbieter und Partner, mit denen sie Daten teilt.

Russlandnahe Laundry Bear erhöht Druck auf Zimbra-Server

Parallel zur Stadler-Rail-Geschichte wurde berichtet, dass Laundry Bear, eine mit Russland in Verbindung stehende Bedrohungsgruppe, ungepatchte Zimbra-E-Mail-Server ins Visier genommen hat. Ungepatchte Kollaborations- und Webmail-Software ist seit langem ein beliebter Einstiegspunkt für staatsnahe Akteure, die Anmeldedaten sammeln oder sich dauerhaften Zugang zur Kommunikation einer Organisation verschaffen wollen.

Diese Kampagne passt zu einem Muster, auf das Sicherheitsbehörden wiederholt hingewiesen haben. Der Direktor des GCHQ gab kürzlich eine der deutlichsten Warnungen der jüngeren Vergangenheit vor unerbittlichen russischen Cyberoperationen gegen kritische Infrastrukturen und demokratische Institutionen ab. Unabhängig davon haben US-Behörden ein Netzwerk kompromittierter Router gestört, das mit Russlands militärischem Geheimdienst GRU in Verbindung stand. Ob das Ziel nun der Lieferant eines Zugherstellers oder ein ungepatchter E-Mail-Server ist – der rote Faden ist derselbe: Russlandnahe Gruppen sondieren weit verbreitete, oft übersehene Infrastrukturen nach Zugängen, nicht nur schlagzeilenträchtige Regierungsnetzwerke.

Was das für Sie bedeutet

Die meisten Leser betreiben weder Zimbra-Server noch stellen sie Züge her, aber die zugrunde liegenden Risiken dieser Geschichte gelten weitgehend. Wenn Sie einen Dienst nutzen – von einer Reisebuchungsplattform bis zu einem Treueprogramm –, der Ihre Daten mit Drittanbietern teilt, sind diese Daten nur so sicher wie die Abwehrmaßnahmen des Anbieters selbst. Ein Verstoß bei einem Lieferanten, von dem Sie noch nie gehört haben, kann dennoch mit Ihnen verbundene Informationen offenlegen, sei es ein Firmenkonto, eine gemeinsam genutzte Datei oder persönliche Daten, die in Ihrem Auftrag verarbeitet werden.

Für Unternehmen ist die Schlussfolgerung ebenso direkt: Patch-Management und Lieferantenaufsicht sind keine optionalen Posten. Ungepatchte Software – ob ein E-Mail-Server oder ein Filesharing-Tool – bleibt einer der häufigsten Wege, auf denen Angreifer Fuß fassen, und die Weigerung, Lösegeld zu zahlen, wirkt nur dann als langfristige Abschreckung, wenn die zugrunde liegenden Schwachstellen, die den Angreifern das Eindringen ermöglichten, tatsächlich behoben werden.

Umsetzbare Erkenntnisse

  • Wenn Sie mit Lieferanten oder Zulieferern zusammenarbeiten, fragen Sie, wie diese das Patchen und die Zugriffskontrollen für gemeinsam genutzte Dateisysteme handhaben – nicht nur für Ihr eigenes Netzwerk.
  • Nehmen Sie jede Meldung über einen Lieferantenverstoß ernst, auch wenn Ihre Organisation nicht direkt gehackt wurde; Daten können dennoch über Dritte offengelegt werden.
  • Halten Sie Kollaborations- und E-Mail-Server-Software zeitnah auf dem neuesten Stand; ungepatchte Systeme bleiben ein Haupteinfallstor für Ransomware-Angriffe ebenso wie für staatlich gelenkte Eindringlinge.
  • Unterstützen Sie, wo möglich, eine Politik der Nichtzahlung von Lösegeld, da Zahlungen weitere Angriffe finanzieren können, ohne zu garantieren, dass Daten nicht dennoch geleakt werden.
  • Bleiben Sie über russlandnahe Cyberaktivitäten informiert, die kritische Infrastrukturen und Unternehmenssoftware betreffen, da diese Kampagnen häufig weit verbreitete Tools und nicht isolierte Opfer zum Ziel haben.