News Nach Sicherheitsvorfall: Unfallkasse Thüringen setzt IT-Systeme wiederholt neu auf

[Crizzo]

Kann ich bestätigen im ÖD wird keine sau für IT-Sicherheit oder Administration gesucht

Und wenn doch, wirst du dann nach deinem höchsten Abschluss eingruppiert, was bei einer 3 jährigen Ausbildung keine Reichtümer sind, dafür musst du erstmal jemanden finden.

 

[mangel76]

Ich seh schon, lauter IT und Security-Experten im Unternehmensmaßstab hier vertreten. Und die bei den UK sind alle Amateure. Die UK wäre für eure Hinweise und Lösungsvorschläge sicher sehr dankbar, ruft bitte unbedingt die Telefonnummer an! Ich bin sicher, die haben nichtmal nen Virenscanner im Einsatz.

 

[FreddyMercury]

Bestimmt erneut mit Windows, ActiveDirectory und Exchange. Warten bis auf den naechsten "Unfall". Und Schlangenoel wird den Rest verhindern.

 

[Vitali.Metzger]

Bin ich froh das wir den ESET haben und nächstes Jahr wird dieser mit einem XDR System erweitert.
https://www.eset.com/int/business/solutions/xdr-extended-detection-and-response/
+
Dazu noch das hier, um mal die ganzen Kopfkranken bei uns zu sensibilisieren.
https://www.knowbe4.de/

 

[andy_m4]

Wieder mal kompletter Quark der Linux Fraktion.
Wenn du die gleichen Rechte unter Linux hast, ist es nicht besser.

Mag ja sogar so sein. Aber im Augenblick läuft Linux noch ziemlich unter dem Radar, was Ransomware-Angriffe angeht. Und das kann man sich durchaus zunutze machen.

Aber ja. Viel hängt auch an der konkreten Konfiguration. Das irgendwie ne EXE-Datei aus einer Mail ausgeführt wird lässt sich selbst unter Windows wirksam verhindern.
Hier wurden offenbar einfachste Sicherheitsmaßnahmen nicht implementiert. Trotzdem dürfen die einfach weiter machen.

Leider ist das der Standard, da die Entscheider davon oft einfach keine Ahnung haben. Sie müssten sich hier eigentlich auf die Empfehlung ihrer (hoffentlich) fachkundigen Mitarbeiter stützen, das passiert für gewöhnlich nicht.

Ja. Ich verstehe das Problem gut. Genau deswegen braucht es ja vielleicht auch Regularien.
Wie gesagt. In anderen Bereichen hat man das ja auch. Ein selbstgebasteltes Auto ohne Zulassung darf auch nicht am Straßenverkehr teilnehmen. Aber ne hingegurkte IT darf einfach betrieben werden.

Die UK wäre für eure Hinweise und Lösungsvorschläge sicher sehr dankbar

Wenn die Sicherheit wollten, dann hätten sie sich schon drum gekümmert. Spätestens nach dem Vorfall 2022. Ich glaube nicht, das es ein Know-How-Mangel ist. Also ja. Vielleicht auch. Aber nützt ja alles nix, wenn kein ernsthaftes Interesse daran besteht den Sicherheitszustand der IT signifikant zu verbessern.

Ergänzung (20. Dezember 2023)

Bin ich froh das wir den ESET haben und nächstes Jahr wird dieser mit einen XDR System erweitert.

Ja. Die Geschichte der Antivirenprogramme ist eine Geschichte stetigen Erfolges im Kampf gegen Malware. :-)
Ist es nicht ein bisschen billig solche News zu nutzen, um Werbung zu droppen?

 

[cubisticanus]

Ich seh schon, lauter IT und Security-Experten im Unternehmensmaßstab hier vertreten. Und die bei den UK sind alle Amateure. Die UK wäre für eure Hinweise und Lösungsvorschläge sicher sehr dankbar, ruft bitte unbedingt die Telefonnummer an! Ich bin sicher, die haben nichtmal nen Virenscanner im Einsatz.

Hast dich für diesen Kommentar extra aus Gotha, Humboldtstraße 111, angemeldet? Und selbst wenn wir hier nur labern, was wir sicher zum Teil tun, das ist ein Forum, genau dafür ist es da ...

 

[mangel76]

Wenn die Sicherheit wollten, dann hätten sie sich schon drum gekümmert. Spätestens nach dem Vorfall 2022. Ich glaube nicht, das es ein Know-How-Mangel ist. Also ja. Vielleicht auch. Aber nützt ja alles nix, wenn kein ernsthaftes Interesse daran besteht den Sicherheitszustand der IT signifikant zu verbessern.

Ergänzung (20. Dezember 2023)

Du weißt weder, ob es das gleiche Problem noch der gleiche Angriffsvektor war. Aber du meinst schließen zu können, dass nichts aus dem Vorfall gelernt wurde? Und ja, gerade für den öffentlichen Dienst ist IT immer ein Problem, denn man bekommt nicht unbedingt immer die besten Köpfe zum Tarifgehalt, vorausgesetzt es stehen genug Tarifstellen überhaupt zur Verfügung. Womit ich in keinster Weise andeuten will, dass da nur Idioten arbeiten. Aber mangelndes Sicherheitsbewusstsein kann man kaum vorwerfen, die Unfallversicherungen sind da durchaus sehr engagiert.

Ergänzung (20. Dezember 2023)

Hast dich für diesen Kommentar extra aus Gotha, Humboldtstraße 111, angemeldet? Und selbst wenn wir hier nur labern, was wir sicher zum Teil tun, das ist ein Forum, genau dafür ist es da ...

Ich bin weder von der UKT noch wohne ich in Gotha, stehe jedoch beruflich tatsächlich mit ihr in Kontakt. Und neu bin ich hier auch nicht, poste nur nicht Blödsinn aus Langeweile.

 

[cubisticanus]

Ich bin weder von der UKT noch wohne ich in Gotha, stehe jedoch beruflich tatsächlich mit ihr in Kontakt. Und neu bin ich hier auch nicht, poste nur nicht Blödsinn aus Langeweile.

Na, aber warum schreibst du das nicht gleich so sachlich wie jetzt gerade ... Dein Posting oben war auch nur sarkastische Polemik. Spuren davon sind leider auch jetzt noch zu erkennen. Schade.

 

[Flutz]

Erinnert mich wieder an die HKA (Hochschule Karlsruhe, ca. 8000 Studierende). Die hatten am 01. Oktober nen Cyberangriff, wo wohl so einiges flöten gegangen ist, zumindest meine Vermutung. Da hat es über 6 Wochen gedauert bis wenigstens wieder ein ILIAS zur Verfügung stand. Ansonsten gabs nix.
Kein Webmail, kein WLAN, keine Prüfungsanmeldung --> Die funktioniert jetzt wieder: Anmeldung zwischen 12-18. Dezember möglich, Abmeldung zu Prüfungen, sowie Anmeldung im Sekretariat technisch nicht möglich.
Ich hab erfahren, dass die IT sogar dem Angriff einfach zugesehen hat

 

[IV52]

dann sollte man vielleicht mal von lokalen anwendungen weg auf browser-basierte anwendungen umschwenken. dann ist man schon mal die betriebssystemproblematik los. das, was der typische sachbearbeiter macht, kann man auch web-basiert umsetzen.


wenn ich unter linux irgendeinen link oder anhang anklicke, dann ist da erstmal nichts ausführbar. unter windows geht es mit *.pdf.exe" und per default ausgeblendeten erweiterungen sofort los.

Also bei unkonfigurierten Windows sollte mindestens der Defender davor warnen, vermutlich die .exe auch einfach kommentarlos vernichten.

Hier reden wir aber hoffentlich nicht von einem konfigurierten Windows. Da ist es nichts mit unbekannte .exe so einfach ausführen.
Selbst wenn gibt es Zugriffsbeschränkungen und (hoffentlich) Frühwarnsysteme, die den Client sofort isolieren.

Ich kann mir daher kaum vorstellen, dass es einfach nur ransomeware.exe war.

 

[Lynchtactical]

"Softwareproblem. Ja also da kann man nix machen..."


Am Können scheitert es nicht. Aber in deutschen Behörden und Firmen wird die IT oft nur als notwendiges Übel gesehen. Entsprechend klein sind die Budgets für Personal und Projekte, weil "kostet ja nur Geld" und dann kommt sowas hier dabei rum. Ich glaube nicht, das die Admins dort per se dämlich oder unfähig sind. Aber Admins muss man halt auch ihren Job ordentlich machen lassen.

Einfach ja!
Hab schon in Firmen gearbeitet, in denen so oft Projekte zusammen reduziert wurden, das mit einmal nur noch 50% des Budgets zur Verfügung standen, aber die selben Ergebnisse gefordert wurden. Oder statt Software für 5K über 3 Jahre zu holen die der ganzen Firma was gebracht hätten, lieber für 5K in einem Jahr in den Einkauf gegossen.
Also denke iwas schiefgegangen ist bei denen, aber würde das Problem auch nicht unbedingt bei den Admins aelber sehen aus meinen Erfahrungen heraus ^^

 

[andy_m4]

Du weißt weder, ob es das gleiche Problem noch der gleiche Angriffsvektor war. Aber du meinst schließen zu können, dass nichts aus dem Vorfall gelernt wurde?

Natürlich weiß ich das nicht. Ich hab auch nirgends behauptet, das nichts gelernt wurde oder der aktuelle Angriff quasi fast der gleiche war, wie vor 2 Jahren.
Es ging mir um eine grundsätzliche Einstellung zum Thema Sicherheit. Und ich sag mal so: Wenn ne Ransomware durch kommt, dann kanns damit nicht weit her sein. Wir reden ja hier nicht über ein völlig neues Bedrohungsszenario von dem man nichts wissen konnte oder so. Das ist eher was, was gängig ist und von dem selbst Laien zumindest schon mal gehört haben.

Und ja, gerade für den öffentlichen Dienst ist IT immer ein Problem, denn man bekommt nicht unbedingt immer die besten Köpfe zum Tarifgehalt, vorausgesetzt es stehen genug Tarifstellen überhaupt zur Verfügung.

Mag ja alles sein. Nur dann kann man (wie bereits gesagt!) keine Digitalisierung machen.
Wenn Du irgendwie ein Produkt auf den Markt bringen willst, dann geht das ja auch nicht ohne das es ne ganze Reihe an Anforderungen erfüllen muss. Sonst wird das nämlich aus dem Verkehr gezogen. Wenn ich also kein sicheres Produkt bauen kann, hab ich Pech gehabt und kann das nicht machen.
Bei IT akzeptieren wir aber selbst schlechteste Zustände. Und dementsprechend sieht dann auch die Sicherheitskultur aus. Und das ist es, worum es mir geht. Und nicht darum, auf "die Doofen bei der Unfallkasse" zu zeigen.

Aber mangelndes Sicherheitsbewusstsein kann man kaum vorwerfen, die Unfallversicherungen sind da durchaus sehr engagiert.

Was nützt das alles, wenn das Ergebnis nicht dementsprechend ausfällt.
Das Problem ist, das es zwar Leute innerhalb einer Firma/Institution gibt, die ein Sicherheitsbewusstsein haben und auch nach allen Kräften sich für Verbesserungen einbringen, aber häufig vor die Wand laufen weil es von der Chefetage oder anderen Abteilungen ausgebremst wird.

 

[canada]

Wenn Kriminelle mit höchskrimineller Energie ständig Emails mit Links zu Katzenbildern versenden, muss es ja immer wieder auf das gleiche hinaus laufen...

Ein Trauerspiel!

Bei uns in der Firma wurde dies die Tage getestet mit einer süßen Weihnachtskatze und einem Gewinnspiel wenn man draufklickt und es haben eine Menge Mitarbeiter drauf geklickt. Die Belohnung bzw. der Gewinn war eine Schulung zum erkennen von Phishing und trotzdem werden nächste Jahr wieder haufen MA darauf reinfallen.

 

[Cool Master]

@Cool Master Pentests kann man in Auftrag geben und erhält ein Zertifikat. Das kann man, wem auch immer, vorzeigen.

Ja aber das ist nur ein Bruchteil. Du kannst auch ein ISO 27001 Zertifikat oder andere haben aber das ist am Ende halt ein Papier und das wars. IT-Sicherheit muss gelebt werden und zwar von allen - vom Azubi bis zum CEO.

Das BSI ist im Vergleich zu den Institutionen der anderen Länder nicht wirklich ein Highlight.

Sehe ich nicht so. Klar, die halten dich nicht an der Hand wie z. B. das NIST aber es ist durchaus gut insbesondere für KMU gibt sich das BSI extrem Mühe was auch wichtig ist da 99,6 % aller Unternehmen in Deutschland genau das sind - KMU. Wichtig ist nicht unbedingt, dass man bis ins letze Detail alles gemacht hat sondern dass man überhaupt man anfängt und das ist das Problem an KMU die haben Teilweise 0.

Wieder mal kompletter Quark der Linux Fraktion.

Ich bin OS-Agnsotik. Ich nutze Linux, Windows und macOS und nein es ist kein quark wenn durch den Link ein Exploit ausgeführt wird der nun mal nur unter Windows ist.

Wenn du die gleichen Rechte unter Linux hast, ist es nicht besser.

Genau das ist aber die Sache, die hat man nicht, weil das System völlig anders aufgebaut ist.

Es liegt nicht an Windows, sondern an der Konfiguration.

Da ich gerade erst meine Masterarbeit darüber geschrieben habe kann ich dir sagen, dass das nicht stimmt. Konfiguration ist nur ein Teil der Sicherheitskette. Viel wichtiger sind richtige Berechtigungen (vor allem nur so viele wie nötig) und passende Systeme die nicht angreifbar sind und da ist Linux einfach (noch) besser. Einer meiner Experten (GF eines Softwareentwicklers) sagte sie hatte unterschiedliche Kunden mit Win und Linux die von Ransomware betroffen waren. Bei Windows war alles verschlüsselt bei Linux war nichts verschlüsselt. Du siehst also aus der Praxis kommt es auch auf das OS an, sonst würde ich es nicht schreiben.

 

[kicos018]

Mag ja alles sein. Nur dann kann man (wie bereits gesagt!) keine Digitalisierung machen.
Wenn Du irgendwie ein Produkt auf den Markt bringen willst, dann geht das ja auch nicht ohne das es ne ganze Reihe an Anforderungen erfüllen muss. Sonst wird das nämlich aus dem Verkehr gezogen. Wenn ich also kein sicheres Produkt bauen kann, hab ich Pech gehabt und kann das nicht machen.

Verstehe worauf du hinaus willst, das ist aber irgendwie ein wenig naiv.

Um mal dein Beispiel im anderen Post mit der (versimpelten) Hundehütte aufzugreifen:
Selbst wenn nun die Hundehütte auf sicherem Fundament steht und alle Regulierungen erfüllt, schützt sie den Nutzer nicht vor einem Giftköder, der in den Garten geschmissen wurde.
Du kannst Gefahren minimieren, aber niemals komplett vermeiden.

 

[andy_m4]

Du kannst Gefahren minimieren, aber niemals komplett vermeiden.

Ja. Sicher kann man Gefahren nicht komplett vermeiden. Aber ist doch was anderes (um jetzt mal bei Bauvorschriften zu bleiben), wenn Du Dich durch ein Haus bewegst was schräge Böden hat, keine Geländer, zu niedrige Fenster usw. oder es ordentlich gebaut ist. Du kannst dir auch im ordentlich gebauten Haus was tun aber die Gefahr ist doch im genannten Schrottbau viel höher.

 

[ThomasK_7]

106 Mitarbeiter heißt für mich rd. 100 PC neu aufsetzen inkl. Einspielung aller persönlichen Daten/Einstellungen und zuvor noch die Server wiederherstellen inkl. Datenrekonstruktion. Wie groß wird die IT-Abteilung sein? 2 Leute? Das dauert natürlich.
Zuvor noch Schwachstellenanalyse und ggf. Neuerstellung eines Sicherheitskonzeptes inkl. neuer Hardware, welche auch noch geliefert werden muss.
Vielleicht ist der Angriff über eine noch nicht offiziell bekannte Sicherheitslücke erfolgt. Man liest darüber ja im Moment fast jeden Monat - im nachhinein!

Es kann einfach jeden treffen.

 

[Piktogramm]

[...]
Da ich gerade erst meine Masterarbeit darüber geschrieben habe kann ich dir sagen, dass das nicht stimmt. Konfiguration ist nur ein Teil der Sicherheitskette. Viel wichtiger sind richtige Berechtigungen (vor allem nur so viele wie nötig) und passende Systeme die nicht angreifbar sind und da ist Linux einfach (noch) besser. Einer meiner Experten (GF eines Softwareentwicklers) sagte sie hatte unterschiedliche Kunden mit Win und Linux die von Ransomware betroffen waren. Bei Windows war alles verschlüsselt bei Linux war nichts verschlüsselt. Du siehst also aus der Praxis kommt es auch auf das OS an, sonst würde ich es nicht schreiben.

Wobei im Feld der ranzigen Software für Behörden, KMUs und insbesondere im Medizinwesen Rollen- bzw Berechtigungskonszepte unterentwickelt sind bis nicht unterstützt werden. Es wäre ja mal schön, wenn überhaupt die bestehenden Möglichkeiten genutzt werden würden. Was in dem Bereich dann an Dienstleistern in Form von Systemhäusern unterwegs ist, geht auch auf keine Kuhhaut.

Pfuscherei ist derzeit schlich die wirtschaftlichste Gangart.

 

[andy_m4]

Pfuscherei ist derzeit schlich die wirtschaftlichste Gangart.

Genau deswegen wäre es ja vielleicht gar nicht schlecht, verbindliche rechtliche Regelungen zu haben.
Weil die IT-Branche leidet ja so ein bisschen darunter, das wenn Du es ordentlich machst es auch teurer wird und damit handelst Du Dir (wirtschaftliche) Nachteile gegenüber dem ein, der herum schlampt.
Wenn es gesetzliche Regelungen gibt, müssen sich alle dran halten und der Frickel-Bonus fällt weg.

 

[Informant777]

Danke für die News, sehr amüsant. Hab vor lauter lachen jetzt meine Kids geweckt.