Berlins Ransomware-Leak zeigt: Meldepflichten bieten keinen Schutz

Google hat diese Woche zwölf Chrome-Schwachstellen gepatcht, darunter ein V8-Fehler, der bereits aktiv angegriffen wurde. Dies geschah sechs Tage, bevor der Cyber Resilience Act der EU Hersteller dazu zwingt, ausgenutzte Schwachstellen innerhalb von 24 Stunden zu melden. Man mag es Zufall nennen oder einen Vendor, der die Frist richtig interpretiert: So oder so kam der Patch mit der Dringlichkeit, die die neue Regelung durchsetzen soll. In derselben Woche stieß die öffentliche Verwaltung Berlins an die Grenzen dessen, was eine Offenlegungspflicht leisten kann. Die Stadt verweigerte ein Lösegeld von zwei Millionen Euro, woraufhin Hacker dennoch sechs Terabyte ihrer Daten im Dark Web veröffentlichten, darunter Infrastrukturkarten sowie persönliche Daten von Bürgern und Mitarbeitern.

Hierbei handelt es sich nicht um ein und dasselbe Versagen. Der Cyber Resilience Act regelt, was passiert, nachdem eine Schwachstelle gefunden wurde: schnell melden, schnell patchen, die Aufsichtsbehörde informieren. Im Fall von Berlin geht es darum, was passiert, wenn ein Angreifer bereits im System ist und die Daten schon erbeutet hat. Keine Meldefrist holt sechs Terabyte aus dem Dark Web zurück, und kein noch so hohes Maß an regulatorischer Reife ersetzt die härtere, langsamere Arbeit, Angreifer fernzuhalten und nutzbare Backups vorzuhalten, falls sie dennoch eindringen. Wie Pplware berichtet, hat sich Berlin entschieden, den Personen, die ihre Daten gestohlen haben, keine finanziellen Mittel zukommen zu lassen. Das ist die richtige Entscheidung, stellt für sich allein genommen jedoch keine Cybersicherheitsstrategie dar.

Eine Meldefrist holt keine sechs Terabyte aus dem Dark Web zurück.

Eine zweite Geschichte dieser Woche dreht sich eher um Kontrolle als um Kriminalität. CISPE, der europäische Cloud-Branchenverband, teilte der EU-Kommission mit, dass Broadcoms Strategie für Enterprise AI darauf ausgelegt sei, Kunden in den eigenen Stack einzusperren, wie Heise berichtet. Dies ist nicht die erste Beschwerde von CISPE über das Unternehmen: Im März bezeichnete der Verband Broadcoms Ausschluss der unabhängigen Partner von VMware als Todesurteil für europäische Cloud-Anbieter. Sechs Monate später hat sich der Konflikt von der Frage, wer Virtualisierungssoftware weiterverkaufen darf, auf die Frage verlagert, wer den Enterprise-AI-Layer darauf aufbauen darf. Es ist dieselbe Frage der europäischen digitalen Souveränität, auf die diese Kolumne immer wieder zurückkommt, nur eben eine Ebene höher im Stack.

Verbraucher…

Falls Ihre persönlichen Daten mit der öffentlichen Verwaltung Berlins in Berührung gekommen sind, sei es in den offengelegten Infrastrukturkarten oder den Mitarbeiter- und Bürgerakten, die sich nun im Dark Web befinden, sollten Sie in den kommenden Monaten unerwartete Anrufe oder E-Mails, die sich auf Ihre Daten beziehen, mit größerer Vorsicht als üblich behandeln. Das ist die einzige direkte Auswirkung auf Verbraucher in den beiden Fällen dieser Woche. Der Broadcom-Streit spielt sich eine Ebene höher ab: Er findet in den Enterprise-Cloud-Verträgen statt, die die von Ihnen genutzten verbraucherorientierten Dienste am Laufen halten, und nicht in Produkten, die Sie direkt kaufen oder anklicken.

Unternehmen…

Sechs Tage bieten keinen großen Vorlauf, wenn die 24-Stunden-Meldepflicht für ausgenutzte Schwachstellen aus dem Cyber Resilience Act nicht bereits in Ihren Incident-Response-Prozess integriert ist. Der Patch von Google, der kurz vor diesem Stichtag eintraf, ist ein deutliches Signal dafür, dass Vendoren die Frist bereits als echte Einschränkung und nicht als bloße Formalität betrachten. Unabhängig davon sollte jedes Unternehmen, das Enterprise-Workloads auf dem VMware-Stack von Broadcom ausführt, die Beschwerde von CISPE als Warnung verstehen, wohin sich diese Abhängigkeit als Nächstes entwickelt: von Lizenzbedingungen hin zur Kontrolle der AI-Infrastruktur. OVHcloud und andere europäische Cloud-Anbieter sind zwar kein Drop-in-Replacement für eine bestehende VMware-Umgebung, sie sind jedoch die konkrete Alternative, auf die man einen Migrationsplan ausrichten sollte, bevor einem die Entscheidung abgenommen wird.

Behörden…

Die Weigerung Berlins zu zahlen, steht im Einklang mit der härteren Linie, die europäische öffentliche Verwaltungen zunehmend bei Lösegeldforderungen verfolgen, und es ist für sich genommen auch die richtige Politik, da das Bezahlen den nächsten Angriff finanziert. Der darauf folgende Leak ist jedoch eine Erinnerung daran, dass diese Politik nur dann Bestand hat, wenn sie mit Präventions- und Wiederherstellungskapazitäten einhergeht, über die die meisten öffentlichen Verwaltungen, Berlin eingeschlossen, noch immer nicht sichtbar verfügen. Der Cyber Resilience Act verleiht nationalen Behörden wie dem deutschen BSI neue Durchsetzungsbefugnisse gegenüber Vendoren. Speziell unter diesem Gesetz erhalten sie jedoch keine Befugnisse in Bezug auf die eigene Sicherheitslage einer Verwaltung, welche eine separate und unvollendete Aufgabe bleibt.

Quellen

• Google hat einen in freier Wildbahn ausgenutzten Chrome V8 Zero-Day gepatcht, wenige Tage bevor die 24-Stunden-Meldepflicht für ausgenutzte Schwachstellen des EU Cyber Resilience Act in Kraft tritt · The Next Web
• CISPE warnte davor, dass Broadcoms Enterprise-AI-Strategie darauf ausgelegt ist, die Wahlmöglichkeiten der Kunden zu kontrollieren, was zu formellen EU-Beschwerden führte · Heise Online
• Berlins öffentliche Verwaltung weigerte sich, einer Lösegeldforderung in Höhe von zwei Millionen Euro nachzukommen, und erlebte dennoch, wie sechs Terabyte an Daten im Dark Web geleakt wurden · Pplware