Der Hack von Hof van Twente (2020): 5 Lektionen für Gemeinden

Was geschah

Die Angreifer drangen über ein schwaches Passwort bei einem Administratorkonto ein, für das zudem die Zwei-Faktor-Authentifizierung ausgeschaltet war. Außerdem stand schon längere Zeit ein Zugangstor (RDP) eines Servers offen zum Internet. So konnten die Kriminellen die Systeme verschlüsseln und, entscheidend, auch die Back-ups unbrauchbar machen.

Eine Wiederherstellung von einem sauberen Back-up war dadurch keine Option. Die Gemeinde musste vieles neu aufbauen; die Dienstleistung für die Bürger war wochenlang gestört. Der Gesamtschaden wurde auf rund vier Millionen Euro geschätzt, während die Angreifer ein weitaus niedrigeres Lösegeld forderten. Die Gemeinde zahlte nicht.

Lektion 1: Back-ups sind erst dann Back-ups, wenn sie offline sind

Die schmerzhafteste Lektion: Wenn Ihre Back-ups am selben Netzwerk hängen, verschlüsselt Ransomware sie mit. Sorgen Sie für Back-ups, die offline oder unveränderbar (immutable) sind und die vom gewöhnlichen Netzwerk aus nicht erreichbar sind.

Testen Sie außerdem regelmäßig, ob Sie von einem Back-up wirklich wiederherstellen können. Ein Back-up, das Sie nie zurückgespielt haben, ist eine Annahme, keine Gewissheit.

Lektion 2: Eine solide Basis verhindert das meiste Unheil

Der Angriff war keine Meisterleistung. Es scheiterte an der Basis. Diese Basis ist für jede Gemeinde erreichbar.

• Starke, einzigartige Passwörter und verpflichtende Zwei-Faktor-Authentifizierung, besonders bei Administratorkonten.
• Kein Administratorzugang (wie RDP) direkt offen zum Internet.
• Rechtzeitig patchen und unnötige Dienste abschalten.
• Netzwerksegmentierung, damit sich eine Infektion nicht überall ausbreiten kann.

Lektion 3: Kommunizieren Sie mit den Bürgern über ausgefallene Dienste

Für die Bürger zählt nicht die Technik, sondern die Frage: Kann ich meinen Reisepass beantragen, meine Sozialleistung, meine Genehmigung? Seien Sie dabei schnell und ehrlich: welche Dienste ausgefallen sind, welche Alternativen es gibt und wann es weitere Neuigkeiten gibt.

Bieten Sie, wo möglich, einen Notschalter oder einen telefonischen Weg an. Und wiederholen Sie die Botschaft konsequent auf allen Kanälen. Unklarheit vergrößert die Unzufriedenheit mehr als die Störung selbst.

Lektion 4: Beziehen Sie Recht und Datenschutz ab der ersten Minute ein

Bei einem Hack werden häufig personenbezogene Daten entwendet. Das macht es nicht nur zu einer IT-Krise, sondern auch zu einer Datenschutzangelegenheit. Beziehen Sie daher die/den Datenschutzbeauftragte(n) und juristische Expertise sofort ein und beurteilen Sie, ob eine Datenschutzverletzung vorliegt.

Eine Datenschutzverletzung melden Sie innerhalb von 72 Stunden bei der Autoriteit Persoonsgegevens, und bei hohem Risiko informieren Sie die betroffenen Bürger. Externe forensische Experten helfen bei der Untersuchung; halten Sie fest, wer was wann tut.

Lektion 5: Governance und Meldepflichten (NIS2, BIO2, DSGVO)

Eine wichtige Schlussfolgerung in Hof van Twente war, dass Signale zur Informationssicherheit unzureichend beim Vorstand ankamen. Verankern Sie die Informationssicherheit daher auf Vorstandsebene, mit einem CISO und einem eigenen Budget, und sorgen Sie dafür, dass Risiken sichtbar sind.

Gemeinden arbeiten nach der BIO2 und der DSGVO und fallen unter das Cybersicherheitsgesetz (NIS2). Einen Cybervorfall melden Sie beim NCSC und beim sektoralen CSIRT; eine Datenschutzverletzung innerhalb von 72 Stunden bei der Autoriteit Persoonsgegevens. Ziehen Sie die Informatiebeveiligingsdienst (IBD) für Gemeinden hinzu und halten Sie alle Meldungen fest.

Wie CrisisRadar dabei hilft

CrisisRadar bringt Direktion, CISO, Datenschutzbeauftragte, Pressesprecher und externe Experten in einem gemeinsamen Lagebild zusammen. Sie halten Fakten mit Quelle fest, verfassen in Minuten eine Botschaft an die Bürger und eine Meldung für die Aufsichtsbehörde und überwachen mit Meldepflicht-Timern die DSGVO- und NIS2-Fristen. Externe forensische Parteien arbeiten über einen sicheren, temporären Gastzugang mit.

Möchten Sie sehen, wie ein Cyberangriff mit Datenschutzverletzung Schritt für Schritt in der Plattform aussieht? Dann werfen Sie einen Blick auf die zugehörige Praxissituation.

Stappenplan

Veelgestelde vragen

Wie konnte die Gemeinde Hof van Twente gehackt werden?

Die Angreifer drangen über ein schwaches Passwort bei einem Administratorkonto ohne Zwei-Faktor-Authentifizierung ein, während zudem ein Administrationsport (RDP) offen zum Internet stand. So konnten sie die Systeme und sogar die Back-ups verschlüsseln.

Warum konnte die Gemeinde nicht einfach von einem Back-up wiederherstellen?

Weil die Back-ups am selben Netzwerk hingen und somit mitverschlüsselt wurden. Das zeigt, warum Back-ups offline oder unveränderbar sein müssen und warum Sie die Wiederherstellung regelmäßig testen sollten.

Welche Meldepflicht gilt bei einem Cyberangriff auf eine Gemeinde?

Eine Datenschutzverletzung melden Sie innerhalb von 72 Stunden bei der Autoriteit Persoonsgegevens; bei hohem Risiko informieren Sie die Bürger. Einen Cybervorfall melden Sie nach dem Cybersicherheitsgesetz (NIS2) beim NCSC und beim CSIRT. Gemeinden ziehen auch die Informatiebeveiligingsdienst (IBD) hinzu.