Emotet: Angreifer wollten Bundeswehr-Fuhrparkservice erpressen

Kürzlich wurde bekannt, dass Unbekannte das IT-Netz des Bundeswehr-Fuhrparkdienstleisters angegriffen haben. Das Unternehmen bietet Fahrdienste nicht nur für die Bundeswehr, sondern auch für das Verteidigungsministerium und die Abgeordneten des Bundestages an. Wie nun aus einem Untersuchungsbericht hervorgeht, hatten es die Angreifer auf eine Erpressung abgesehen.

Infektionskette beginnt mit Emotet

Dem Redaktionsnetzwerk Deutschland (RND) liegt nach eigenen Angaben ein "Bericht zum aktuellen Sachstand" vor, den die Geschäftsführung des Bundeswehr-Tochterunternehmens BwFuhrparkService GmbH erstellen ließ. Darin heißt es laut RND, dass zunächst der Erpressungstrojaner "Emotet" das IT-Netz des Unternehmens infiziert habe. Ins Haus sei die Ransomware per E-Mail gelangt. Anschließend seien ein weiterer Erpressungstrojaner ("QakBot") und daraufhin die Schadsoftware "Cobalt Strike" nachgeladen worden, die der Bericht als "Werkzeugkasten für manuelle Angriffe" bezeichne.

Mögliche Täter nennt der Bericht demnach nicht. Tätig sei die Schadsoftware ausschließlich am 12. August gewesen, bereits am nächsten Tag wurden die Netzwerk-Verbindungen – auch zu den Kunden des Unternehmens – gekappt und der Vorfall wurde dem Verteidigungsministerium mitgeteilt.

Zugriff auf personenbezogene Daten möglich

Betroffen waren Windows-Systeme, darunter auch diejenigen, auf denen personenbezogene Daten für den Fahrdienst des Deutschen Bundestages gespeichert sind. Derzeit habe man noch keinen Abfluss von Daten festgestellt, allerdings wäre das den Angreifern bis zur Trennung der Netzverbindungen möglich gewesen. Der Umfang und das Muster des Angriffs legten aber die Vermutung nahe, dass es den Angreifern nicht um die Daten der Bundestagsabgeordneten gegangen sei. Vielmehr hätten sie Vorbereitungen getroffen, um den Bundeswehr-Fuhrparkservice zu erpressen. Offenbar sollte zuerst das IT-Netz lahmgelegt werden, anschließend wäre Lösegeld für eine Reaktivierung verlangt worden.

Lesen Sie auch

Emotet: Erste Angriffswelle nach fünfmonatiger Pause

Die Bundestagsvizepräsidentin Petra Pau (Die Linke) sagte gegenüber dem RND, der Bundestag sei insofern von dem Vorfall betroffen, als die Angeordneten-Daten möglicherweise im Zugriff der Angreifer gewesen waren. Dies sei jedoch nicht das Ziel der Aktion gewesen, sondern die Erpressung der Bundeswehr. Laut Frau Pau, die auch der Bundestags-Kommission für Informations- und Kommunikationstechnik (IuK) vorsitzt, sei die Untersuchung noch im Gang. Der Fahrdienst sei gewährleistet, es gehe jetzt darum, Wiederholungen zu vermeiden.

(tiw)