Tabletop Tuesday

Access Broker

Bedrohung durch verkaufte Zugangsdaten

Herzlich willkommen zu unserer neuen Serie "Tabletop Tuesday"!

Jede Woche stellen wir Ihnen ein realitätsnahes Szenario für eine Tabletop-Übung (TTX) vor. Ziel ist es, Ihnen einen Rahmen zu geben, um die Reaktionsfähigkeit Ihres Unternehmens auf verschiedene Sicherheitsvorfälle zu testen und zu verbessern. Diese Übungen sind so gestaltet, dass Sie sie unabhängig von Ihrer Unternehmensgröße oder Branche anpassen können.

Was ist eine Tabletop-Übung?

Eine Tabletop-Übung ist ein diskussionsbasiertes Training, bei der Teammitglieder die Rollen und Verantwortlichkeiten durchgehen, die sie während eines bestimmten Notfallszenarios hätten. Es geht nicht darum, Systeme live zu testen, sondern darum, Prozesse, Pläne und Kommunikationswege auf den Prüfstand zu stellen.

Heutiges Szenario: Verkauf von Unternehmenszugangsdaten im Darknet

Phase 1: Die Erstmeldung

Szenariobeschreibung (Teil 1):

Ihr Unternehmen wird von einem externen Sicherheitsdienstleister (oder durch Ihre eigenen Darknet-Monitoring-Tools) darüber informiert, dass ein bekannter Threat Actor im Darknet eine Liste mit Zugangsdaten zum Verkauf anbietet, die angeblich von Ihrem Unternehmen stammen. Das Angebot umfasst laut Beschreibung E-Mail-Adressen, Benutzernamen und gehashte Passwörter von Mitarbeitern. Der Verkäufer bietet "Samples" (eine Handvoll Datensätze) kostenlos an, um die Echtheit der Daten zu belegen.

Diskussionspunkte und Kernfragen für Ihr Team:

Erste Reaktion & Informationsfluss:

Wer im Unternehmen muss sofort über diesen Verdacht informiert werden? (z.B. IT-Leitung, Informationssicherheitsbeauftragter (ISB), Geschäftsführung, Datenschutzbeauftragter (DSB))
Existiert ein definierter Prozess für solche Meldungen?
Wer hat die Leitung im Krisenfall (Incident Response Team)?
Wie wird die Meldung intern initial bewertet und klassifiziert (z.B. Kritikalität, Glaubwürdigkeit)?

Verifizierung der Bedrohung:

Wie beschaffen wir den angebotenen "Proof" sicher, ohne uns selbst zu gefährden oder den Verkäufer zu alarmieren?
Welche internen Ressourcen (Personal, Tools) werden benötigt, um den Proof zu analysieren?
Welche externen Partner (Forensiker, Sicherheitsdienstleister) könnten oder müssten hinzugezogen werden?

Kommunikation (Intern & Extern):

Welche Informationen dürfen zu diesem Zeitpunkt intern kommuniziert werden und an wen?
Gibt es bereits Überlegungen zu einer externen Kommunikation, falls sich der Verdacht erhärtet (Kunden, Partner, Behörden)?
Rechtliche und regulatorische Aspekte:
- Welche potenziellen rechtlichen Verpflichtungen (z.B. DSGVO-Meldepflichten) könnten auf uns zukommen, wenn sich der Vorfall bestätigt?
- Sollte die Rechtsabteilung oder der externe Rechtsbeistand bereits informiert werden?

Maßnahme: Einberufung des Incident Response Teams:

Definieren Sie, wer Teil dieses Teams ist und welche Rollen die Mitglieder übernehmen.

Informationsbeschaffung: Planen Sie die sichere Beschaffung der "Samples". Diskutieren Sie die Risiken dabei.
Interne Vorwarnung: Entscheiden Sie, wer auf welcher Ebene mit welchem Detailgrad vorinformiert wird.
Vorbereitung der Analyse: Stellen Sie sicher, dass die notwendigen Tools und das Know-how zur Analyse des Proofs bereitstehen.
Protokollierung: Beginnen Sie mit einer lückenlosen Dokumentation aller Schritte, Entscheidungen und Kommunikationen.

Phase 2: Die Bedrohung wird konkreter

Szenariobeschreibung (Teil 2):

Das Incident Response Team hat die Samples (z.B. 5 Datensätze bestehend aus Benutzernamen) sicher erhalten. Eine erste Überprüfung ergibt: Die in den Samples genannten Benutzernamen existieren tatsächlich in Ihrem Active Directory oder Ihren Unternehmenssystemen. Es handelt sich um aktive Mitarbeiterkonten und einen Service Account. Ob die zugehörigen (gehashten) Passwörter ebenfalls korrekt sind, ist zu diesem Zeitpunkt noch unklar, aber die Existenz der Benutzernamen ist bestätigt.

Diskussionspunkte und Kernfragen für Ihr Team:

Bewertung der neuen Lage:

Wie verändert diese Bestätigung die Kritikalität des Vorfalls?
Welche Systeme und Daten sind potenziell durch die im Proof genannten Benutzerkonten gefährdet? (Denken Sie an deren Berechtigungen).
Ist die Wahrscheinlichkeit nun höher, dass der Angreifer tatsächlich über valide (gehashte) Passwörter verfügt?

Nächste Schritte zur Verifizierung:

Wie können wir herausfinden, ob die zugehörigen Passwörter (oder deren Hashes) ebenfalls kompromittiert sind?
Vergleich mit bekannten Passwort-Leaks (Have I Been Pwned)?
Versuch, weitere Samples vom Verkäufer zu erhalten (riskant)?
Interne Log-Analyse auf verdächtige Anmeldeversuche mit den betroffenen Konten?
Sollten die Passwörter der bekannten Benutzer sofort zurückgesetzt werden? Was sind die Vor- und Nachteile?

Kommunikation und Eskalation:

Wer muss über diese neue Entwicklung informiert werden? (Aktualisierung an Geschäftsführung, DSB, etc.)
Wie kommunizieren wir mit den (potenziell) betroffenen Mitarbeitern aus dem Proof? Sollen sie informiert werden? Wenn ja, wie und mit welchen Anweisungen?
Müssen wir bereits jetzt externe Stellen informieren (z.B. Aufsichtsbehörden wie die Landesdatenschutzbehörde, falls ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht)?

Schadensbegrenzung und Prävention:

Welche proaktiven Maßnahmen können wir jetzt ergreifen, um einen möglichen Missbrauch der Konten zu verhindern oder zu erkennen? (z.B. verstärktes Monitoring dieser Konten, Überprüfung der Notwendigkeit von deren Berechtigungen).
Sollte Multi-Faktor-Authentifizierung (MFA) für diese Konten (oder unternehmensweit, falls noch nicht geschehen) dringend forciert werden?

Ursachenforschung:

Auch wenn der Fokus auf der Bewältigung liegt: Gibt es erste Hypothesen, wie diese Benutzernamen (und potenziell Passwörter) abgeflossen sein könnten? (z.B. Phishing, Malware auf Endgeräten, Kompromittierung eines externen Dienstleisters, Leck in einer eigenen Anwendung). Mithilfe welcher Tools wäre eine Überprüfung möglich? Dies kann helfen, weitere Untersuchungen zu lenken.

1. Maßnahme: Passwort Reset:

Entscheidung: Sofortiger Passwort-Reset für die im Darknet-Markplatz benannten Benutzer.
Entscheidung: Überprüfung und ggf. Aktivierung/Erzwingung von MFA für diese Benutzer.
Diskussion: Vorbereitung eines unternehmensweiten Passwort-Resets und MFA-Rollouts.

2. Maßnahme: Monitoring & Analyse:

Intensivierung des Monitorings der betroffenen Konten und der Systeme, auf die sie Zugriff haben. Analyse von Zugriffslogs auf verdächtige Aktivitäten in der jüngeren Vergangenheit. Interne Kommunikation: Entwicklung einer klaren Kommunikationsstrategie für die betroffenen Mitarbeiter und ggf. alle Mitarbeiter. Sensibilisierung für verdächtige E-Mails oder Anmeldeaufforderungen.

Externe Kommunikation vorbereiten/einleiten: Prüfung der Meldepflichten (z.B. innerhalb von 72 Stunden nach Bekanntwerden eines Datenschutzvorfalls an die Aufsichtsbehörde). Vorbereitung von Sprachregelungen. Forensische Untersuchung (falls noch nicht geschehen): Beauftragung interner/externer Spezialisten zur tiefergehenden Analyse und Ursachenforschung. Wie sind die Daten abgeflossen? Sind weitere Daten betroffen?

Phase 3: Die Bestätigung

Weitere Analysen konnten bestätigen, dass der Angreifer nicht nur über Benutzernamen, sondern für ein signifikanten Teil der im Darknet angebotenen Konten auch gültige Passwörter verfügt. Unteranderem konnte auch bestätigt werden das es erste Anzeichen für unautorisierte Zugriffe auf einige Systeme gibt.

Schadensausmaß und unmittelbare Reaktion:

Welche Konten sind nun definitiv als kompromittiert anzusehen? Wie viele sind das?
Welche Systeme und Daten wurden bereits nachweislich oder mutmaßlich unautorisiert zugegriffen?
Gibt es Hinweise auf Datenexfiltration?
Wie können wir die Angreifer sofort aussperren und weiteren Schaden verhindern? (Netzwerksegmentierung, Abschaltung betroffener Systeme, etc.)
Sind Backups verfügbar und nicht kompromittiert?

Containment, Eradication, Recovery:

Welche Schritte sind notwendig, um die Kompromittierung einzudämmen (Containment)?
Wie stellen wir sicher, dass der Angreifer vollständig aus unseren Systemen entfernt wird (Eradication)?
Wie sieht der Plan zur Wiederherstellung der betroffenen Systeme und Daten aus (Recovery)?
Welche Prioritäten setzen wir?
Kommunikation (Intern & Extern – jetzt dringend!):
- Wie und was kommunizieren wir an alle Mitarbeiter? (Anweisungen, Verhaltensregeln).
- Welche Informationen müssen an Kunden, Partner und die Öffentlichkeit gegeben werden? Wer gibt diese frei?
- Ist die Meldung an Aufsichtsbehörden und ggf. Strafverfolgungsbehörden jetzt unausweichlich? Wer übernimmt das?

Business Continuity:

Welche Auswirkungen hat der Vorfall auf den Geschäftsbetrieb?
Müssen Notfallpläne (Business Continuity Pläne) aktiviert werden? Welche Kernprozesse sind betroffen?
Beweissicherung: Wie stellen wir sicher, dass alle relevanten digitalen Spuren für eine spätere forensische Untersuchung und mögliche rechtliche Schritte gesichert werden?

Globale Sicherheitsmaßnahmen:

Entscheidung: Sofortiger unternehmensweiter Passwort-Reset für alle Benutzerkonten.
Entscheidung: Sofortige unternehmensweite Durchsetzung von Multi-Faktor-Authentifizierung (MFA). Überprüfung und ggf. Deaktivierung aller nicht zwingend benötigten Konten und Dienste.
Systemisolation und -bereinigung: Identifizierung und Isolation kompromittierter Systeme vom restlichen Netzwerk. Forensische Untersuchung der betroffenen Systeme zur Identifizierung des Eindringungswegs und des Umfangs der Kompromittierung.
Bereinigung und Wiederherstellung der Systeme aus sauberen Backups (nachdem die Schwachstelle geschlossen wurde).
Formelle Kommunikation: Erstellung und Freigabe offizieller Mitteilungen für Mitarbeiter, Kunden, Partner und Medien.
Formelle Meldung an Datenschutzaufsichtsbehörden und ggf. andere relevante Stellen (z.B. BSI, Polizei).
Aktivierung von Notfallplänen: Falls kritische Systeme betroffen sind, Aktivierung der entsprechenden Business Continuity / Disaster Recovery Pläne.

Phase 4: Lessons Learned

Szenariobeschreibung (Teil 4):

Die unmittelbare Bedrohung ist eingedämmt, die Systeme sind weitgehend bereinigt und wieder online. Der Geschäftsbetrieb normalisiert sich langsam. Jetzt beginnt die wichtige Phase der Aufarbeitung. Diskussionspunkte und Kernfragen für Ihr Team:

Post-Incident Analyse:

Was war die genaue Ursache des Vorfalls? Welche Schwachstellen wurden ausgenutzt?
Welche Sicherheitsmaßnahmen haben versagt? Welche haben gut funktioniert?
Wie effektiv war unser Incident Response Plan? Wo gab es Lücken oder Verzögerungen?
Wie gut hat die interne und externe Kommunikation funktioniert?
Was sind die konkreten finanziellen, Reputations- und operativen Schäden?

Verbesserungsmaßnahmen:

Welche technischen Änderungen müssen vorgenommen werden, um eine Wiederholung zu verhindern? (z.B. neue Sicherheitstools, Härtung von Systemen, Netzwerksegmentierung).
Welche prozessualen Änderungen sind notwendig? (z.B. Anpassung des Incident Response Plans, verbesserte Passwortrichtlinien, Schulungen).
Wie können wir die Security Awareness unserer Mitarbeiter nachhaltig verbessern?

Langfristige Strategie:

Müssen Investitionen in Sicherheitstechnologien oder -personal neu bewertet werden?
Wie stellen wir sicher, dass die "Lessons Learned" auch wirklich umgesetzt und regelmäßig überprüft werden?
Planung regelmäßiger Audits, Penetration Tests und weiterer Tabletop-Übungen.

Mögliche Maßnahmen:

Erstellung eines detaillierten Post-Incident Reports.
Überarbeitung und Anpassung des Incident Response Plans basierend auf den Erfahrungen.
Implementierung der identifizierten technischen und organisatorischen Verbesserungsmaßnahmen.
Planung und Durchführung von zusätzlichen Schulungsmaßnahmen für Mitarbeiter.
Festlegung eines Zeitplans zur Überprüfung der umgesetzten Maßnahmen.

‍

Fazit

Diese Tabletop-Übung zeigt, wie schnell sich eine scheinbar kleine Meldung zu einem kritischen Unternehmensvorfall entwickeln kann. Der Schlüssel liegt in der Vorbereitung: Ein gut durchdachter Incident Response Plan, klare Verantwortlichkeiten und regelmäßige Übungen helfen Ihnen, im Ernstfall einen kühlen Kopf zu bewahren und den Schaden zu minimieren. Nutzen Sie dieses Szenario als Grundlage und passen Sie es an die spezifischen Gegebenheiten Ihres Unternehmens an. Gibt es eine Überwachung von Darknet Marktplätzen? Welche Systeme sind bei Ihnen besonders kritisch? Welche Arten von Daten wären bei einem Abfluss besonders schützenswert?

Wir unterstützen Sie gerne dabei. Ob Awareness-Schulungen, Incident-Response-Pläne oder technische Schutzmaßnahmen – mit unseren Services helfen wir Ihnen, Sicherheitsvorfälle nicht nur besser zu bewältigen, sondern im besten Fall ganz zu vermeiden.