Berliner Ransomware-Leak zeigt: Meldepflichten bieten keinen Schutz

Google schloss diese Woche zwölf Chrome-Schwachstellen, darunter eine bereits aktiv ausgenutzte V8-Lücke, sechs Tage bevor das Cyberresilienz-Gesetz der EU Hersteller dazu verpflichtet, ausgenutzte Schwachstellen innerhalb von 24 Stunden zu melden. Man mag es Zufall nennen oder einen Hersteller, der die Frist richtig interpretiert: In jedem Fall erschien der Patch mit der Dringlichkeit, welche die neue Regelung durchsetzen soll. In derselben Woche stieß die öffentliche Verwaltung Berlins auf die Grenzen dessen, was eine Meldepflicht bewirken kann. Die Stadt lehnte eine Lösegeldforderung über zwei Millionen Euro ab, woraufhin Hacker dennoch sechs Terabyte ihrer Daten veröffentlichten, darunter Infrastrukturkarten sowie persönliche Daten von Bürgern und Mitarbeitern.

Hierbei handelt es sich nicht um dieselbe Art von Versagen. Das Cyberresilienz-Gesetz regelt, was passiert, nachdem eine Schwachstelle gefunden wurde: schnell melden, schnell beheben, die Aufsichtsbehörde informieren. Im Fall von Berlin geht es darum, was passiert, wenn ein Angreifer bereits im System ist und die Daten schon entwendet hat. Keine Meldefrist holt sechs Terabyte aus dem Darknet zurück, und kein noch so hoher regulatorischer Reifegrad ersetzt die härtere, langsamere Arbeit, Angreifer fernzuhalten und nutzbare Backups vorzuhalten, falls sie dennoch eindringen. Wie Pplware berichtet, hat sich Berlin entschieden, die Personen, die seine Daten entwendet haben, nicht finanziell zu unterstützen. Das ist die richtige Entscheidung, stellt aber für sich genommen noch keine Cybersicherheitsstrategie dar.

Eine Meldefrist holt keine sechs Terabyte aus dem Darknet zurück.

Eine zweite Geschichte dieser Woche handelt eher von Kontrolle als von Kriminalität. CISPE, der Verband der europäischen Cloud-Industrie, teilte der Kommission mit, dass Broadcoms Strategie für Enterprise-KI darauf ausgelegt sei, Kunden an den eigenen Stack zu binden, wie Heise berichtet. Dies ist nicht die erste Beschwerde von CISPE über das Unternehmen: Im März bezeichnete der Verband den Kahlschlag unter den unabhängigen Partnern von VMware durch Broadcom als "Todesurteil" für europäische Cloud-Anbieter. Sechs Monate später hat sich der Konflikt von der Frage, wer Virtualisierungssoftware weiterverkaufen darf, auf die Frage verlagert, wer die darauf aufbauende Enterprise-KI-Schicht entwickeln darf, und es handelt sich um dieselbe Frage der europäischen digitalen Souveränität, auf die diese Kolumne immer wieder zurückkommt, nun allerdings eine Ebene höher im Stack.

Verbraucher…

Falls Ihre persönlichen Daten von der öffentlichen Verwaltung Berlins verarbeitet wurden, sei es in den geleakten Infrastrukturkarten oder den nun im Darknet veröffentlichten Mitarbeiter- und Bürgerdaten, sollten Sie unerwarteten Anrufen oder E-Mails, die sich auf Ihre Daten beziehen, in den kommenden Monaten mit noch mehr Misstrauen begegnen als ohnehin schon. Dies ist das einzige direkte Risiko für Verbraucher aus den beiden Geschichten dieser Woche. Der Konflikt um Broadcom spielt sich eine Ebene höher ab: in den Enterprise-Cloud-Verträgen, welche die von Ihnen genutzten Verbraucherdienste am Laufen halten, und nicht bei Dingen, die Sie direkt kaufen oder anklicken.

Unternehmen…

Sechs Tage sind nicht viel Vorlaufzeit, falls die Meldepflicht des Cyberresilienz-Gesetzes, welche die Meldung ausgenutzter Schwachstellen innerhalb von 24 Stunden vorschreibt, noch nicht in Ihren Incident-Response-Prozess integriert ist, und Googles Patch, der kurz vor diesem Datum veröffentlicht wurde, ist ein deutliches Signal dafür, dass Hersteller die Frist bereits als echte Vorgabe und nicht nur als Formalität behandeln. Unabhängig davon sollte jedes Unternehmen, das Enterprise-Workloads auf dem VMware-Stack von Broadcom betreibt, die Beschwerde von CISPE als Warnung lesen, wohin sich diese Abhängigkeit als Nächstes entwickelt: von Lizenzbedingungen hin zur Kontrolle über die KI-Infrastruktur. OVHcloud und andere europäische Cloud-Anbieter sind zwar kein nahtloser Eins-zu-eins-Ersatz für eine bestehende VMware-Umgebung, aber sie sind die konkrete Alternative, auf die Sie einen Migrationsplan ausrichten können, bevor die Entscheidung für Sie getroffen wird.

Behörden…

Berlins Weigerung zu zahlen steht im Einklang mit der härteren Linie, die europäische Verwaltungen bei Lösegeldforderungen zunehmend verfolgen. Für sich genommen ist es die richtige Strategie: Zahlen finanziert den nächsten Angriff. Doch das darauf folgende Datenleck ist eine Erinnerung daran, dass diese Strategie nur funktioniert, wenn sie mit Präventions- und Wiederherstellungskapazitäten einhergeht, über die die meisten Behörden, Berlin eingeschlossen, offensichtlich noch immer nicht verfügen. Das Cyberresilienz-Gesetz verleiht nationalen Behörden wie dem deutschen BSI neue Durchsetzungsbefugnisse gegenüber Herstellern. Speziell im Rahmen dieses Gesetzes erhalten sie jedoch keine Kontrolle über die eigene Sicherheitslage einer Verwaltung, was eine separate und unvollendete Aufgabe bleibt.

Quellen

• Google schloss eine aktiv ausgenutzte Chrome-V8-Zero-Day-Lücke, wenige Tage bevor die 24-Stunden-Meldepflicht für ausgenutzte Schwachstellen durch das Cyberresilienz-Gesetz der EU in Kraft tritt · The Next Web
• CISPE warnte davor, dass Broadcoms Strategie für Enterprise-KI darauf ausgelegt ist, die Wahlfreiheit der Kunden zu kontrollieren, was zu formellen EU-Beschwerden führte · Heise Online
• Die öffentliche Verwaltung Berlins lehnte eine Lösegeldforderung in Höhe von zwei Millionen Euro ab, woraufhin dennoch sechs Terabyte an Daten im Darknet veröffentlicht wurden · Pplware