Sonntagskrimi diesmal am Freitag – Cybercrime Teil 3

von Regina Störk | 2.Mai.2025 | Berichte, Blaulichtnews

— Kriminalität in Degerschlacht:

Sonntagskrimi diesmal am Freitag – Cybercrime Teil 3

Erst heute war im GEA zu lesen: Die Webseite der Stadt Stuttgart war Opfer eines Cyberangriffs und war für 2 Tage lahmgelegt worden.

Doch wenn eine Webseite gehackt wurde, ist das meist nur der Anfang. Der Hacker hat oft dann auch die Möglichkeit, auch auf das Firmennetzwerk zuzugreifen.

Das Thema Cybercrime ist also nach wie vor aktuell.

Im dritten und letzten Teil unseres Erfahrungsberichts gibts ein Happy-End. Der Erpresser erklärt, wie er in das System dringen konnte und gibt Tipps, wie man weitere Angriffe vermeiden kann.

Ein Sonntagskrimi – 3. Teil

DER SONNTAGSKRIMI

CYBERCRIME – LETZTER TEIL

Der Erpresser kam per Mail

Vor einer Woche hatte ein Hackerteam mit einem Erpressungstrojaner alle Systeme der Machjetztwas GmbH lahmgelegt. Telefon und Internet waren ebenfalls betroffen. Der Betrieb stand weitestgehend still. Inzwischen sind die Daten entschlüsselt und die Systeme wiederhergestellt. Heute kam die Mail mit dem „Report“, auf den wir seit Tagen gewartet haben

ÜBER EINE INFIZIERTE MAIL INS SYSTEM

„Ich hab dir eine Mail weitergeleitet.“ Der Gatte sah mich an und strahlte.
Eigentlich wollte ich grad etwas ganz anderes tun. Da war noch das Zertifikat, das eingebunden werden musste. Herr Kunde brauchte Zugangsdaten, weil er seine Webseite künftig selber pflegen wollte und dann war da noch der Shop, bei dem ich eigentlich noch ein paar Änderungen programmieren sollte.

Eigentlich.

Aber jetzt stand der Mann da neben mir und wartete darauf, dass ich die Mail öffnete, las, was er mir da zugedacht hatte.

DER REPORT DES HACKERS

„Report“ stand im Betreff.

Da war er also, der Report des Hackers, die Infos darüber, wie er in die Systeme der Machjetztwas GmbH kommen konnte.

Eigentlich hatte ich ganz andere Themen für meinen aktuellen Newsletter vorbereitet. Um die Installation von Windows 1 sollte es gehen. Eigentlich hatte der Kollege Windows 11 installieren wollen. Über den Verkehr in unserem Dorf und ob Homeoffice da helfen könnte, wollte ich ebenfalls schreiben.

Aber nun ist da der Bericht. Und ich weiß, dass Euch unser alles rund um unseren Cyberkrimi der vergangenen Woche aktuell viel mehr interessiert, als jedes andere Thema. Sogar Katzenvideos können da vermutlich nicht mithalten.

Diese Themen müssen also warten.

„WIR SIND ÜBER EINE INFIZIERTE E-MAIL IN IHR NETZWERK EINGEDRUNGEN“

Ich öffne nun die Mail.

„Wir sind über eine infizierte E-Mail in Ihr Netzwerk eingedrungen“, steht da.

Der Hacker empfiehlt: „Geben Sie also zunächst allen Ihren Mitarbeitern strenge Anweisungen zu Sicherheitsmaßnahmen.“

Meine Rede seit langem: Die Hacker werden immer geschickter mit Ihren Fake-Emails. Wie schnell klickt man auf eine Rechnung im Anhang, wenn einem der Absender bekannt vorkommt. Oder auf eine Bewerbung, wenn man tatsächlich gerade neue Mitarbeiter sucht. Die Seiten, die Mails, sehen oft täuschend echt aus. Deshalb ist das der wichtigste Punkt, an dem man Ansetzen muss: Mitarbeiter schulen und sensibilisieren. Ihnen Tipps geben, wie sie Fakemails besser erkennen und sich – und damit das Unternehmen – besser vor Schadsoftware schützen können.

ÄHNLICHE TIPPS VON HEISE WIE VON „UNSEREM“ ERPRESSER

Gerade heute hatte ich einen wirklich hilfreichen Link bei Heise online entdeckt:

E-Mail-Konto gehackt: Was Sie jetzt tun muessen

Die Tipps des Heisedienstes sind denen vom Erpresser der Machjetztwas GmbH sehr ähnlich. Vermutlich kennen sie dort „unseren“ Hacker ebenfalls. Schließlich war er schon bei einer Reihe anderer ziemlich großer Unternehmen und Organisationen erfolgreich.

Vor einer Woche hatte ein Hackerteam mit einem Erpressungstrojaner alle Systeme der Machjetztwas GmbH lahmgelegt. Telefon und Internet waren ebenfalls betroffen. Der Betrieb stand weitestgehend still. Inzwischen sind die Daten entschlüsselt und die Systeme wiederhergestellt. Heute kam die Mail mit dem „Report“, auf den wir seit Tagen gewartet haben

ÜBER EINE INFIZIERTE MAIL INS SYSTEM

„Ich hab dir eine Mail weitergeleitet.“ Der Gatte sah mich an und strahlte.
Eigentlich wollte ich grad etwas ganz anderes tun. Da war noch das Zertifikat, das eingebunden werden musste. Herr Kunde brauchte Zugangsdaten, weil er seine Webseite künftig selber pflegen wollte und dann war da noch der Shop, bei dem ich eigentlich noch ein paar Änderungen programmieren sollte.

Eigentlich.

Aber jetzt stand der Mann da neben mir und wartete darauf, dass ich die Mail öffnete, las, was er mir da zugedacht hatte.

DER REPORT DES HACKERS

„Report“ stand im Betreff.

Da war er also, der Report des Hackers, die Infos darüber, wie er in die Systeme der Machjetztwas GmbH kommen konnte.

Eigentlich hatte ich ganz andere Themen für meinen aktuellen Newsletter vorbereitet. Um die Installation von Windows 1 sollte es gehen. Eigentlich hatte der Kollege Windows 11 installieren wollen. Über den Verkehr in unserem Dorf und ob Homeoffice da helfen könnte, wollte ich ebenfalls schreiben.

Aber nun ist da der Bericht. Und ich weiß, dass Euch unser alles rund um unseren Cyberkrimi der vergangenen Woche aktuell viel mehr interessiert, als jedes andere Thema. Sogar Katzenvideos können da vermutlich nicht mithalten.

Diese Themen müssen also warten.

„WIR SIND ÜBER EINE INFIZIERTE E-MAIL IN IHR NETZWERK EINGEDRUNGEN“

Ich öffne nun die Mail.

„Wir sind über eine infizierte E-Mail in Ihr Netzwerk eingedrungen“, steht da.

Der Hacker empfiehlt: „Geben Sie also zunächst allen Ihren Mitarbeitern strenge Anweisungen zu Sicherheitsmaßnahmen.“

Meine Rede seit langem: Die Hacker werden immer geschickter mit Ihren Fake-Emails. Wie schnell klickt man auf eine Rechnung im Anhang, wenn einem der Absender bekannt vorkommt. Oder auf eine Bewerbung, wenn man tatsächlich gerade neue Mitarbeiter sucht. Die Seiten, die Mails, sehen oft täuschend echt aus. Deshalb ist das der wichtigste Punkt, an dem man Ansetzen muss: Mitarbeiter schulen und sensibilisieren. Ihnen Tipps geben, wie sie Fakemails besser erkennen und sich – und damit das Unternehmen – besser vor Schadsoftware schützen können.

ÄHNLICHE TIPPS VON HEISE WIE VON „UNSEREM“ ERPRESSER

Gerade heute hatte ich einen wirklich hilfreichen Link bei Heise online entdeckt:

E-Mail-Konto gehackt: Was Sie jetzt tun muessen

Die Tipps des Heisedienstes sind denen vom Erpresser der Machjetztwas GmbH sehr ähnlich. Vermutlich kennen sie dort „unseren“ Hacker ebenfalls. Schließlich war er schon bei einer Reihe anderer ziemlich großer Unternehmen und Organisationen erfolgreich.

Testen Sie Ihre Sicherheitssysteme gegen Angriffe von außen regelmäßig. Versuchen Sie sowohl von extern als auch von intern unberechtigt auf die Systeme zuzugreifen.
Setzen Sie EDR-Systeme (Endpoint Detection and Response Systeme) ein.

Anm. der Redaktion: EDR-Systeme überprüfen die Systeme in Echtzeit auf böswillige Aktivitäten und melden sie sofort an den Administrator

Überprüfen Sie die Gruppenrichtlinien, schränken Sie Domänen- und lokale Administratorrechte für bestimmte Benutzer ein.
Verbessern Sie Ihr DLP-Softwaresystem.

Anm. der Red.: Ein DLP-Softwaresystem – Data Loss Prevention Software – soll Ihre Daten nachhaltig vor Verlust schützen.

Das wars. Keine Zeile, kein Wort mehr als nötig.

KEIN FREUND GROSSER WORT

Und auch der Polizist, der uns die Zeilen des Erpressers hat zukommen lassen, scheint kein Freund großer Worte zu sein.

„Mit freundlichen Grüßen“ stand da. Mehr nicht.

Das wars.

Die Systeme der Machjetztwas GmbH sind neu aufgebaut, die Daten verfügbar, der Betrieb läuft wieder. Der Erpresser hat erreicht, was er wollte und uns freundlicherweise mitgeteilt, dass er über eine Benutzer-Email die IT der Machjetztwas GmbH geentert hat.

Damit müssen wir uns dann nun wohl zufriedengeben.

DIE GRUNDLEGENDEN EMPFEHLUNGEN DES ERPRESSERS FÜR IHR NETZWERK

Grundlegende Empfehlungen zum Netzwerk gibt der Erpresser uns auch:

Verbessern Sie Ihre E-Mail-Filterrichtlinien
Vergeben Sie bessere Passwortrichtlinien
Richten Sie einen Schutz gegen Angriffe wie „Pass-the-Hash“ und „Pass-the-Ticket“ ein.

Anm. der Red.: Bei einer „Pass-the-Hash“-Attacke erfasst der Angreifer Anmeldeinformationen von einem Konto und authentifiziert sich damit an einem anderen Computer im Netzwerk.
Mit „Pass-the-Ticket“-Attacken werden die Passwörter im System angemeldeter Benutzer ausgespäht. Das funktioniert am besten, wenn sich der User nicht sauber aus dem System ausgeloggt hat.

Aktualisieren Sie alle Ihre internen Systeme auf die neuesten Versionen
Überprüfen Sie Ihre Netzwerkstruktur und setzen Sie Firewalls ein, mit denen Sie Filterrichtlinien vergeben können.
Blockieren Sie Kerberoasting-Angriffe

Anm. der Redaktion: „Kerberoasting“-Angriffe haben zu tun mit Passwörtern für Service-Konten. Die werden oft zentral gespeichert und machen die Systeme damit angreifbar.

Testen Sie Ihre Sicherheitssysteme gegen Angriffe von außen regelmäßig. Versuchen Sie sowohl von extern als auch von intern unberechtigt auf die Systeme zuzugreifen.
Setzen Sie EDR-Systeme (Endpoint Detection and Response Systeme) ein.

Anm. der Redaktion: EDR-Systeme überprüfen die Systeme in Echtzeit auf böswillige Aktivitäten und melden sie sofort an den Administrator

Überprüfen Sie die Gruppenrichtlinien, schränken Sie Domänen- und lokale Administratorrechte für bestimmte Benutzer ein.
Verbessern Sie Ihr DLP-Softwaresystem.

Anm. der Red.: Ein DLP-Softwaresystem – Data Loss Prevention Software – soll Ihre Daten nachhaltig vor Verlust schützen.

Das wars. Keine Zeile, kein Wort mehr als nötig.

KEIN FREUND GROSSER WORT

Und auch der Polizist, der uns die Zeilen des Erpressers hat zukommen lassen, scheint kein Freund großer Worte zu sein.

„Mit freundlichen Grüßen“ stand da. Mehr nicht.

Das wars.

Die Systeme der Machjetztwas GmbH sind neu aufgebaut, die Daten verfügbar, der Betrieb läuft wieder. Der Erpresser hat erreicht, was er wollte und uns freundlicherweise mitgeteilt, dass er über eine Benutzer-Email die IT der Machjetztwas GmbH geentert hat.

Damit müssen wir uns dann nun wohl zufriedengeben.

Der Sonntagskrimi am Mittwoch – 2. Teil …

von Regina Störk | 23.Apr..2025 | Berichte, Blaulichtnews

— Kriminalität in Degerschlacht:

Der Sonntagskrimi am Mittwoch – 2. Teil …

Wie es mit bösen Buben (oder Mädels, aber daraus lässt sich leider keine Alliteration machen) also wie es mit bösen Menschen in Degerschlacht aussieht, könnt ihr in der Kriminalstatistik und meinem Bericht von vergangener Woche nachlesen.

Aber wie gesagt – Cybercrime bleibt ein Thema. Auch bei uns.

Deshalb gibt es jetzt hier den 2. Teil unseres Sonntagskrimis:

„Ende gut – alles gut. Alles gut?
Wettlauf mit der Zeit“

Ein Sonntagskrimi – 2. Teil

ENDE GUT – ALLES GUT. ALLES GUT?

VOR EINER WOCHE HATTE EIN HACKERTEAM MIT EINEM ERPRESSUNGSTROJANER ALLE SYSTEME DER MACHJETZTWAS GMBH LAHMGELEGT. TELEFON UND INTERNET WAREN EBENFALLS BETROFFEN. DER BETRIEB STAND WEITESTGEHEND STILL.

EIN WETTLAUF MIT DER ZEIT

Donnerstagabend, 19.50 Uhr. Die Frist, die der Erpresser uns gegeben hatte, würde in den nächsten Stunden ablaufen. Ein Wettlauf mit der Zeit.
„Ich bleib erstmal hier“, kam die Nachricht des Lieblingsehemanns, „wir installieren die ERP-Programme auf den neuen Systemen.“ Die wichtigsten Anwendungen, über die Geschäfts- und Betriebsdaten zentral in einer Datenbank gespeichert werden, sind in diesem System integriert. Das ERP-System ist das Herzstück des Unternehmens.
Das Geschäftsleiterteam der Machjetztwas GmbH saß im Konferenzraum und beobachtete die Monitore. Angespannt warteten alle darauf, dass irgendetwas passierte. Auf die Nachricht, dass die Bitcoin-Überweisung erfolgreich sein würde, dass der Erpresser sich meldete.
Für das Team in den Büros der Machjetztwas GmbH würde es ein langer Arbeitstag werden.
Ich briet mir ein paar Maultaschen mit Zwiebeln, Pilzen und Paprika und stellte mich darauf ein, den Abend allein zu verbringen.
Gegen 23 Uhr ging ich ins Bett. Der Platz neben mir war leer.

„DIE SYSTEME SIND ENTSCHLÜSSELT“

Um 3:09 Uhr piepte mein Handy: „Systeme entschlüsselt“, stand da in einer Textnachricht.
Geschafft!
Gegen 4 Uhr hörte ich den Gatten die Treppe zum Schlafzimmer heraufkommen. Um 6 Uhr war er wieder weg.
Als ich um 8 Uhr ins Büro kam, war die Atmosphäre anders als sonst, doch von Entspannung war noch nichts zu spüren. Alle sahen müde aus.
„Die Systeme sind entschlüsselt“, erklärte Martin, als wir uns um 9 Uhr zur Besprechung trafen. Er gab einen kurzen Abriss darüber, was in der vergangenen Nacht geschehen war. Es war still im Raum. Das Team hörte aufmerksam zu. Man hätte eine Stecknadel fallen hören können.
„Die Machjetztwas GmbH kann wieder auf ihre Daten zugreifen. Der Vormittag wird das Arbeiten dort sicherlich noch etwas holprig sein. In den nächsten Stunden werden wir zunächst jeden einzelnen Arbeitsplatz überprüfen, einrichten und mit dem neuen System verbinden. Achtet darauf: Jede IP-Adresse ist zu ändern. Keine Mitarbeiter dort darf auf das alte System zugreifen können.“
Ab Mittag sollten schließlich die Kabel neu verlegt und die Peripherie-Geräte wie Drucker und Co angeschlossen werden.
Das Team war bereit. Jeder wusste, was er zu tun hatte und tat, was nötig war. Die Arbeit lief Hand in Hand. Ruhig.

EINE WOCHE IM AUSNAHMEZUSTAND

Die ganze Woche schon hatte sich das Team der ms computer GmbH im Ausnahmezustand befunden. Alltag war anders. Nichts lief wie gewohnt. Wenn ich morgens zur Arbeit kam, war in allen Büros gähnende Leere. Außer im Verwaltungsbüro. Meine Kollegin war da.
Die täglichen Besprechungen um 9 Uhr fanden nicht statt. Es war niemand da, mit dem man sich hätte besprechen können.
Täglich wurde ein Team zusammengestellt, das sich ausschließlich mit den IT-Systeme der Machjetztwas GmbH beschäftigte. Dieser Teil des Teams hatte auch über die regelmäßige Arbeitszeit hinaus Bereitschaft. Die übrigen Mitarbeiter kümmerten sich um das Tagesgeschäft. Schließlich konnte es ja nicht sein, dass der Erpresser außer der Machjetztwas GmbH auch unseren Betrieb lahmlegte und wir unsere Kunden, die ebenfalls unsere Unterstützung brauchten, im Regen stehen ließen.
Alle Versuche, die Daten zu entschlüsseln, machten von Anfang an Probleme. Die Übertragung auf eine externe Platte für unseren Datenwiederherstellungspartner in Leipzig sollte drei Stunden dauern. Wir bestellten den Kurier, der sie dorthin bringen wollte, entsprechend. Der war pünktlich. Die Daten nicht. Nach drei Stunden zählte das System lediglich die voraussichtliche Übertragungsdauer weiter hoch. Sie lag bei 14 Stunden, als der Kurier eintraf. Er musste später wiederkommen.

DATENRETTUNG ZU 99 % MÖGLICH – BENÖTIGTE ZEIT: 2 MONATE – NOCH 4 TAGE BIS ZUM ABLAUF DES ERPRESSERULTIMATUMS

Die Diagnose dauerte zwei Tage. Montag kam schließlich die Nachricht aus Leipzig: Die Server konnten bis auf die Metadaten zu 99% wiederhergestellt werden. Das würde zehn Tage dauern. Die Datensicherungen waren mehrfach überschrieben und dadurch unbrauchbar gemacht worden. Aber auch hier sah das Leipziger Datenrettungsteam eine Chance. Allerdings würde das etwa 2 Monate in Anspruch nehmen.
Eine Möglichkeit von 99 % für die Wiederherstellung der Serverdaten klang vielversprechend. Doch was, wenn nicht jedes Bit einwandfrei funktionierte? Würden die virtuellen Maschinen mit 99% der Daten und ohne Metadaten tatsächlich wieder laufen?
Zehn Tage zu Wiederherstellung der Backups. Der Erpresser hatte uns eine Siebentagefrist gesetzt. Danach wollte er alle Daten der Machjetztwas GmbH veröffentlichen.
Täglich, wenn wir die Service-Seite des Erpesserportals öffneten, poppte als erstes der Hinweis auf „Noch 6 Tage…“, „noch 5 Tage …“ Am Montag waren es noch 4 Tage bis zum Ablauf der Frist.

WOZU IST EIN ERPRESSER FÄHIG, DESSEN FORDERUNG NICHT ERFÜLLT WIRD? – WIR ZAHLEN!

Die Frage, die uns außerdem umtrieb: Wozu ist jemand fähig, der eine derartige kriminelle Energie besitzt, um diese Art groß angelegter Erpressungen zu betreiben? Was würde so jemand tun, wenn wir weiterarbeiten konnten, ohne seine Forderung erfüllt zu haben? Hatte er sich für diesen Fall Hintertüren geschaffen, über die er dann später nochmal zuschlagen konnte, dann aber ohne eine Möglichkeit je wieder irgendetwas in Ordnung zu bringen?
„Wir zahlen“, entschied die Geschäftsleitung als am Dienstagmorgen im Erpresserportal der Hinweis erschien: „Nur noch 3 Tage…“
Donnerstagabend um 24 Uhr würde die Frist ablaufen.
Die nächste Hürde: Wie kam man an Bitcoins über einen sechsstelligen Betrag in der geforderten Höhe?

BITCOINS IN DER GEFORDERTEN HÖHE UND DAS BAFIN

Beim ersten Versuch, Bitcoins zu kaufen, wurden sämtliche Konten umgehend vom BaFin – der Bundesaufsicht für Finanzdienstleistungen – gesperrt. Wegen Geldwäscheverdacht, hieß es. Doch man konnte mit der Behörde reden. Nach Vorlegen des Aktenzeichens beim Landeskriminalamt wurden die Konten zunächst wieder freigegeben.
Die Nachfrage bei der Kripo, was man denn nun tun könne, um die Forderungen des Erpressers zu erfüllen, brachte keine Lösung. „Sagen Sie Ihrem Bankberater doch, dass Sie erpresst werden“, riet der Polizeibeamte.
Die Geschäftsleitung der Machjetztwas GmbH befolgte den Rat. Doch bei dem Begriff „Erpressung“ hatten bei der Bank sofort alle Alarmglocken geklingelt. Alle Konten wurden umgehend wieder gesperrt. Bitcoins gab es nicht. Diesmal waren es dann nicht nur die Geschäftskonten, sondern auch die privaten Konten der Geschäftsführer.

KONTEN GESPERRT

Um die Konten wieder frei zu bekommen, mussten die Angehörigen der Geschäftsleitung schließlich ihre kompletten finanziellen Verhältnisse mit den entsprechenden Unterlagen offenlegen und Punkt für Punkt dokumentieren, wo das Geld herkam, wie es dort hingekommen war und was wofür es verwendet werden sollte.
Inzwischen wissen wir: Nach einer Verordnung der BaFin sind virtuelle Währungen nur in begrenzter Höhe erlaubt. Aktuell liegt die Grenze bei maximal 50.000 $ pro Wallet.
Die Machjetztwas GmbH eröffnete entsprechend viele Konten zu je 50.000 €, mit denen Sie die geforderte Summe schließlich in Bitcoins zur Verfügung hatte.

„DAS GELD IST ÜBERWIESEN“

„Das Geld ist überwiesen.“ Der Einkaufsleiter, der die kaufmännischen Verhandlungen mit dem Erpresserteam geführt hatte, atmete auf.
Inzwischen war es Donnerstag, 21 Uhr. Drei Stunden vor Ablauf der Frist des Erpressers.
Um 3 Uhr endlich dann die Nachricht auf dessen Portal: „Hier sind die Dekrypt-Dateien für Windows und Linux.“ In der Anlage befanden sich zwei Dateien – mit Berechtigungsfehlern.
Nachdem die Berechtigungen angepasst worden waren, dauerte es ganze 5 Minuten. Dann waren alle Server sowie alle Backupdateien entschlüsselt.

Ende gut – alles gut?
Vielleicht.

„WENN WIR ANGST HABEN, RASCHELT ES ÜBERALL“ (SOPHOKLES)

Immer wieder hört man, dass Menschen, in deren Wohnungen eingebrochen wurde, sich zu Hause nicht mehr sicher fühlten. Der Gedanke daran, wer es einmal geschafft hatte, sich Zutritt in die Wohnung zu verschaffen, schafft es vielleicht auch ein zweites Mal, lässt sie nicht mehr los.
Nach einem überstandenen Einbruch in die Serversysteme scheint es nicht anders zu sein.

WIR HÖREN ES ÜBERALL „RASCHELN“.

Bei jeder Meldung „Zugriff verweigert“ oder „Passwort falsch“ aufgrund eines Tippfehlers denken wir an Schadsoftware. Und es fallen uns tonnenweise Steine vom Herzen, wenn der zweite Versuch mit Eingabe des richtigen Passworts dann wieder funktioniert.
Wer sagt denn, dass tatsächlich alle Schadcodes entfernt wurden? Hat der Erpresser vielleicht doch noch irgendwo Spuren hinterlassen? Einen Code, der irgendwann, zu einer Zeit, wenn niemand mehr damit rechnet, zuschlägt? Hat er sich eine Hintertür offengehalten? Wenn es doch einmal geklappt hat, er doch einmal sein Ziel erreicht, Geld bekommen hat, könnte es nicht auch ein zweites Mal gelingen?

DAS NEUE SYSTEM: EIN HOCHSICHERHEITSTRAKT

Die Systeme der Machjetztwas GmbH gleichen inzwischen einem Hochsicherheitstrakt. Neue Systeme sind aufgebaut, Programme neu installiert worden. Vollständig getrennt vom alten nun wieder entschlüsselten System, geschützt von einem Firewallsystem, das höchstmögliche Sicherheit bietet. Daten werden extrahiert und in ein Format gebracht, mit dem keine Schadcodes übertragen werden können. Ein sogenannter Honey-Pot ist eingerichtet worden, der potenzielle Hacker auf eine falsche Fährte locken soll.
Mit der Zahlung des Lösegelds sollte ein Sicherheitsprotokoll mit Eingriffsvektoren ebenfalls übertragen werden, mit dem wir nachvollziehen können sollten, über welchen Weg der Erpresser sich Zugang zu den Systemen verschafft hat und wie es ihm gelungen ist, den ganzen Betrieb komplett lahmzulegen.
Bisher haben wir nichts erhalten.

– Fortsetzung folgt —

Kriminalstatistik und Erinnerungen an einen Cyber-Sonntags-Krimi

von Regina Störk | 15.Apr..2025 | Berichte, Blaulichtnews

— Kriminalität in Degerschlacht:

Kriminalstatistik und Erinnerungen an einen Cyber-Sonntags-Krimi

Degerschlacht ist eigentlich ein ziemlich ruhiger Flecken. Die Kriminalitätsstatistik besteht hier hauptsächlich aus Verkehrsunfällen. Meist in der Leopoldstraße. Doch genau wie nicht nur auf Bundesebene, im Ländle und in Reutlingen ist auch in Degerschlacht die Cyberkriminalität immer wieder ein Thema, das sowohl Privatpersonen aus unserem Freundeskreis als auch Unternehmen betrifft. Ein Blick in die Kriminalstatistik und persönliche Erfahrungen zeigen, wie sich die Herausforderungen des digitalen Zeitalters bemerkbar machen.

Wenig Blaulichtnews über Degerschlacht

Degerschlacht ist im Vergleich zu anderen Teilen Reutlingens ein recht friedlicher Flecken. Der Blaulichtreport im Presseportal des Polizeipräsidiums hat hier nur wenig zu berichten – was uns natürlich freut.

Im Januar dieses Jahres gab es denUnfall einer Radfahrerin, im vorigen Mai fuhr ein Linienbusfahrer mit seinem Bus gegen eine Wand. Mal wurde ein Zigarettenautomat gesprengt, und im letzten Oktober waren Einbrecher unterwegs. Das war dann auch fast schon die ganze Kriminalitätsstatistik. Fast. Ein paar Verkehrsunfälle auf der Leopoldstraße wurden ebenfalls gemeldet.

Zahl der Straftaten in Reutlingen unter dem Landesdurchschnitt

Anfang des Monats hat das Polizeipräsidium Reutlingen nun seine Kriminalstatistik veröffentlicht. Die Kriminalitätsbelastung im Bereich des Polizeipräsidiums lag im vergangenen Jahr mit 4.132 Straftaten pro 100.000 Einwohner (2023: 4.260) um drei Prozent unter dem Vorjahreswert. Sie befindet sich weiterhin deutlich unter dem landesweiten Durchschnitt von 5.180 Straftaten. So ist es im Kriminalitätsbericht des Polizeipräsidiums Reutlingen zu lesen.
Was jedoch auch in Reutlingen – wie andernorts – eine immer größere Rolle spielt und auch die Polizeibehörden vor Herausforderungen stellt, ist die Cyberkriminalität. 2024 verzeichnete die Behörde in diesem Bereich 1.116 Straftaten. Damit sank die Zahl der Delikte zwar leicht um 58 Fälle im Vergleich zum Vorjahr (1.174), bleibt jedoch weiterhin auf einem hohen Niveau.

Cyberkriminalität bleibt ein Thema

Cyberkriminalität war – oder ist vielleicht immer noch – auch in Degerschlacht ein Thema. Bis vor ein paar Jahren hatten wir unsere IT-Firma in Degerschlacht. Zum Jahreswechsel 2021/2022 haben wir das Unternehmen verkauft, sodass ich nicht mehr genau weiß, wie die Situation in unserem Ort aussieht. Das Risiko dürfte aber kaum geringer geworden sein. Hacker werden immer geschickter, und inzwischen fallen selbst Profis auf gut gemachte Fake-Mails herein.
Damals, als wir unsere Firma noch in der Leopoldstraße betrieben, kamen häufig Kunden aus Degerschlacht und Umgebung in unser Ladengeschäft – meist mit Notebook oder Rechner unterm Arm. Oft hatten sie sich Viren eingefangen oder waren Opfer von Erpressungstrojanern geworden.

Erinnerungen an dreisten Angriff gegen einen Degerschlachter Unternehmer

Der dreisteste Cyberangriff, mit dem wir es zu tun bekamen, richtete sich jedoch ausgerechnet an einen Degerschlachter Unternehmer. Als ich heute Morgen einen Bericht im NDR las, in dem ein Lübecker IT-Unternehmer unserer damaligen Firmengröße von einem ähnlichen Hackerangriff berichtete und erklärte, wie er damit umging, erinnerte ich mich an unsere eigene Degerschlachter Hacker-Geschichte.

Mit diesen persönlichen Einblicken startet mein dreiteiliger „Sonntagskrimi“ – spannende Geschichten aus der digitalen Welt.

Ein Sonntagskrimi – 1. Teil

FIRMA KOMPLETT LAHMGELEGT – 8 SERVER OHNE FUNKTION – UNTERNEHMEN WEDER PER TELEFON NOCH EMAIL ODER INTERNET ERREICHBAR

DER SONNTAGSKRIMI

„Diese verdammten …. %§%“%@!!!!“

Donnerstagabend gegen 23 Uhr.

Eigentlich wollten wir ins Bett. Morgen war Freitag. Und danach freuten wir uns aufs Wochenende. Die Wetterfrösche hatten Sonne vorausgesagt. Man könnte über den Wochenmarkt bummeln, Wandern, Fahrradfahren, irgendwohin wo es schön war.

Doch jetzt saß der Mann da unten im Büro am Rechner und fluchte.

„Da hat doch schon wieder jemand die Passwörter geändert und keine Dokumentation geschrieben“, schimpfte er.

FEHLERMELDUNG VOM BACKUPSYSTEM

„Was machst du?“, wollte ich wissen.

„Das Backupsystem von der Machjetztwas GmbH hat mir gerade eine Nachricht geschickt. Irgendwas scheint da nicht zu funktionieren…“, sprach mein mich liebender Ehegatte und wandte sich wieder seinem Bildschirm zu.

Er wollte noch „gschwind“ danach schauen.

„Gschwind“ das kannte ich. Das konnte dauern. Ich ging ins Bett.

Gegen 2 Uhr wurde ich geweckt.

„Wo hast du die Firmenschlüssel?“, fragte mein Gatte. „Ich muss die Systeme vor Ort zurücksetzen“, erklärte er.

„Rucksack“, murmelte ich verschlafen. „vorderes Fach“, drehte mich um und schlief weiter.

Am Morgen fand ich den Mann unten am Frühstückstisch. Telefonierend.

Ich hörte Wortfetzen wie „Kripo“, „Anzeige erstatten“, „Cybercrime“, „alle Systeme verschüsselt“, “ja wirklich alle!“

BETRIEB STEHT STILL – MITARBEITER MÜSSEN  NACH HAUSE GESCHICKT WERDEN

Martin telefonierte mit dem Inhaber der Machjetztwas GmbH und musste ihn darüber informieren, dass er seine 80 Mitarbeiter nun gleich wieder nach Hause schicken konnte, sobald sie zur Arbeit kamen.

ALLE 8 SERVER WAREN AUSSER BETRIEB. INTERNET UND TELEFONANLAGE TOT

Die Ursache waren keine geänderten und nicht dokumentierten Passwörter.

Hier waren Profis am Werk, Erpresser, eine kriminelle Vereinigung mit durchweg fähigen und geschulten Fachleuten in allen Bereichen.

„Was der Typ da geleistet hat, ist unvorstellbar“, sagte mein Göttergatte anerkennend. „Den würde ich sofort einstellen.“

Ich nicht. Fachlich mochte er hervorragend sein, doch menschlich hatte er gewisse Schwächen.

Martin hatte die Telefonanlage der Machjetztwas GmbH am Donnerstag upgedated. So etwas machte er meist spätabends, weil dann im betroffenen Unternehmen niemand gestört wurde.

ANMELDUNG NICHT MÖGLICH

Während er da saß und den Fortschrittsbalken des Updates beobachtete, kam die Meldung „Datensicherung gestört“.

Er wollte danach sehen, konnte sich aber mit seinen Zugangsdaten nicht anmelden. Über das Wartungsportal war es zunächst trotzdem möglich, sich auf das System aufschalten.

Doch dann meldete sich eine Maschine nach der anderen einfach ab.

Beim Neustart über die Konsole war dann sofort wieder alles aus: das Passwort passte nicht.

Ob da Wartungsarbeiten am Internet stattfanden?, überlegte Martin. Da hatte es doch vor kurzem eine Meldung vom Provider gegeben…

Aber Firewall, Telefon und Drucker waren noch erreichbar. Das konnte es also nicht sein.

Dann waren auch diese Geräte weg.

Damit die Mitarbeiter der Machjetztwas GmbH am nächsten Tag arbeiten konnten, sah Martin nur noch eine Möglichkeit: sich ins Auto setzen, sich vor Ort in die Systeme einwählen und richten, was zu richten war.

ERPRESSERBRIEF PER README.TXT-DATEI

Doch kaum hatte er im Serverraum den Monitor eingeschaltet, erschien im Display: „No Hypervisor found. Press any key to continue“.

Die Hardware war in Ordnung. Alle Lichter blinkten grün.

Nach einer Stunde lief die virtuelle Maschine wieder. Doch alle Systeme waren verschüsselt.

Der Erpresser meldete sich in einer readme.txt-Datei zu Wort, die inmitten des Datenchaos auf dem Monitor angezeigt wurde zu Wort.

„Guten Tag“, stand da. Und

„Wir haben 50 GB Ihrer sensiblen Daten zu uns übertragen und alle Systeme verschlüsselt. Sie können Sich über eine gesicherte Leitung in unser System einloggen, um weitere Anweisungen zu erhalten.“, lautete der Text.

DATENSICHERUNGSSYSTEME AUF WERKSEINSTELLUNG –NEUES PASSWORT ALLE 10 SEKUNDEN ÜBERSCHRIEBEN

Martin versuchte zunächst, ein System nach dem anderen über die Datensicherungen wiederherzustellen. Doch alle waren auf die Werkseinstellung zurückgesetzt worden. Die Festplatten waren mit einem unbekannten Passwort gesichert.

Jedes Passwort, das Martin versuchte, neu zu vergeben wurde, war nach 10 Sekunden wieder überschrieben worden.

Inzwischen hatte Martin die Datensicherungslaufwerke ausgebaut und mit neuen Betriebssystemen versehen – kein Zugriff möglich.

Der Logbucheintrag meldete: „die Festplatte wurde formatiert.“

Inzwischen war das komplette ms-computer-Team informiert und ebenfalls zur Stelle. Die Informatiker setzen ein Hilfssystem auf, mit dem zumindest Telefonieren und der Zugang ins Internet wieder möglich waren.

HILFSSYSTEM AUFGESETZT

Ein Mitarbeiter der Machjetztwas GmbH versuchte, sich unterstützt von Martin mit dem Hacker in Verbindung zu setzen. Geschlagene drei Stunden hatte es gedauert, bis der schließlich tatsächlich zur Kommunikation bereit war. Die Kosten, die er aufrief, waren in einer Höhe, die nicht ohne weiteres zu beschaffen war. Jeden Gegenvorschlag tat er mit der Drohung, er würde alle aus der Machjetztwas GmbH abgezogenen sensiblen Daten weitergeben, als „lächerlich“ ab.

Gab es andere Möglichkeiten?

War vielleicht noch eine externe Datensicherung bei einem Partnerunternehmen der Machjetztwas GmbH vorhanden, die man verwenden konnte?

Konnten die Daten von einem seriösen Unternehmen entschlüsselt werden?

„WIR SIND KEINE TERRORISTEN“

Eine Hamburger Firma bot an, zu versuchen, die Daten für 150.000 bis 200.000 € wiederherzustellen.

Eine stolze Summe. „Aber wir sind wenigstens keine Terroristen“, erklärte der Mitarbeiter dort lächelnd.

Inzwischen hatten wir die von unserem Datenwiederherstellungspartner DataRecovery aus Leipzig die Information erhalten, dass sie die Daten möglicherweise wiederherstellen könnten und haben die Festplatten mit den Datensicherungen per Kurierdienst nach Leipzig geschickt.

„Wenn Sie nicht auf unsere Bedingungen eingehen, geben wir die sensiblen Daten Ihrer Firma weiter“, hatte der Erpresser noch während der Preisverhandlungen erklärt.

DATENSCHUTZVORFALL GEMELDET – FÜR EINE WEITERGABE VON SENSIBLEN DATEN MÜSSEN SICH DIE HACKER NUN SELBST VERANTWORTEN

Damit konnte er uns allerdings nicht wirklich drohen. Die Machjetztwas GmbH hatte den Datenschutzvorfall längst bei der Landesaufsichtsbehörde gemeldet. Sollte der Erpresser die Daten nun weitergeben, würde er selbst dafür geradestehen müssen, da bei den Landesbehörden bekannt war, dass er sich die Daten auf unrechtmäßige Weise angeeignet hatte.

Das LKA Stuttgart bearbeitet den Fall inzwischen ebenfalls. Das Kripo-Team stand uns während der ganzen Zeit zur Seite standen und hat uns darüber beraten, was man tun kann und wie es weitergeht.

LKA UNTERSTÜTZT UND BERÄT

Normalerweise sei die Wahrscheinlichkeit, die Daten zu entschlüsseln, eher gering, hatte der Kripobeamte uns zunächst wenig Mut gemacht, noch irgendetwas richten zu können. Conti strain, so der Name des „Hackingunternehmens“, sei allerdings ein echtes Geschäftsmodell. Hier gebe es meist auch tatsächlich Ware für Bezahlung, hatte er erklärt.

An diesem Wochenende haben wir begonnen, die Systeme neu aufzusetzen.  Auch die Betreuerfirma der Auftragsbearbeitung steht am Samstag und Sonntag bereit, um der Machjetztwas GmbH am Montag wieder eine Plattform bereitstellen zu können, mit der der Betrieb erstmal weitergehen kann.

In den letzten zwei Wochen habe es bei dem ERP-Systemhersteller 15 solcher Fälle gegeben, bei denen Systeme ihrer Kunden lahmgelegt wurden.

SYSTEME ÜBERPRÜFEN, ZUGÄNGE NEU VERSCHLÜSSELN UND PASSWÖRTER ÄNDERN!

Der ERP-Systembetreuer hat das jetzt zum Anlass genommen, seine eigenen Systeme komplett zu überprüfen, Zugänge neu zu verschlüsseln und alle Passwörter zu ändern.

Wir auch.

—- Fortsetzung folgt —

Unfall mit verletzter Radfahrerin

von Regina Störk | 6.Feb..2025 | Blaulichtnews

Unfall mit verletzter Radfahrerin

aus dem Polizeibericht:

Mit einem Rettungswagen musste eine verletzte Radfahrerin am Donnerstagmorgen in eine Klinik gebracht werden. Die 28-Jährige war kurz vor acht Uhr mit ihrem Pedelec in der Leopoldstraße im Stadtteil Degerschlacht unterwegs. Hierbei fuhr sie an einem am Straßenrand abgestellten Lkw vorbei. Aufgrund von Gegenverkehr wollte die Frau möglichst weit rechts fahren und blieb mit ihrem Fahrrad an dem Lastwagen hängen. Im Anschluss stürzte sie zu Boden und zog sich mehrere Verletzungen zu. (ms)