Ein massiver DDoS-Angriff hat seit Montagmorgen die digitale Infrastruktur der norwegischen Regierung beeinträchtigt. Betroffen waren zentrale Anmelde- und Identitätsdienste der Digitalisierungsagentur Digdir – es war bereits die dritte Attacke dieser Art in kurzer Zeit. Eine offizielle Zuordnung gibt es bislang nicht.
Ein großflächiger DDoS-Angriff hat seit Montagmorgen zahlreiche öffentliche digitale Dienstleistungen in Norwegen beeinträchtigt. Der Angriff begann am 24. August um 3:38 Uhr MESZ und richtete sich gegen die Infrastruktur der Digitalisierungsagentur Digitaliseringsdirektoratet (Digdir), die die digitale Infrastruktur der norwegischen Regierung verwaltet [1]. Nach Angaben der Behörde dauerte die Attacke mehr als 30 Stunden an [2].
Betroffen: Anmeldeverfahren, elektronische Ausweise und Behörden-Datenaustausch
Digdir ist eine staatliche Behörde, die die Digitalisierung und das Informationsmanagement in Norwegen vorantreibt und koordiniert. Sie verwaltet unter anderem Anmeldeverfahren für öffentliche Dienste, elektronische Ausweise, den Zugang zu öffentlichen Dokumenten und den Datenaustausch zwischen Behörden [1].
Laut der offiziellen Pressemitteilung von Digdir waren direkt betroffen: ID-porten, das Kontakt- und Reservierungsregister, Maskinporten, MinID, eFormidling, ELMA und eInnsyn sowie Ansattporten und die Selbstbedienungslösung. Auch Altinn, eSignering und die digitale Postkasse wurden in Mitleidenschaft gezogen, da die Anmeldung über ID-porten nicht möglich war [2] [4]. Die betroffenen Dienste waren zeitweise vollständig unerreichbar, überwiegend jedoch nur teilweise verfügbar – mit langen Anmeldezeiten und Verbindungsabbrüchen [2].
Auch Dienste, die auf Digdir angewiesen sind, aber nicht direkt betroffen waren, verzeichneten Störungen. So meldete das norwegische Gesundheitsnetzwerk Probleme bei der Anmeldung mit HelseID über ID-porten sowie beim Zugang zu Online-Apotheken [4].
Dritte Attacke in kurzer Zeit – und die größte bisher
Es war bereits die dritte derartige Attacke in jüngster Zeit: Nach einem Angriff im Juni und einem weiteren am 3. August traf es die Behörde nun erneut [1] [4]. Nach Angaben von Digdir-Pressesprecher Are Kvistad war der aktuelle Angriff deutlich größer als die vorherigen: „Dieser Angriff ist zwei- bis dreimal so groß wie der letzte, den wir hatten, aber es ist uns weitgehend gelungen, die Systeme am Laufen zu halten“, sagte er der norwegischen Nachrichtenagentur NTB [1] [3].
Digdir arbeitete während des gesamten Zeitraums eng mit ihrem Unterauftragnehmer Vivicta zusammen, um die Systeme gegen den Angriff abzuschirmen [2] [4]. Am Dienstagmittag meldete die Behörde, dass die Systeme stabilisiert seien, einzelne Dienste aber weiterhin Störungen aufwiesen [2].
Keine Hinweise auf Datenabfluss – aber Spekulationen über Russland
Nach Angaben von Digdir-Direktor Frode Danielsen gibt es keine Anzeichen dafür, dass der Angriff zu einer Sicherheitsverletzung geführt hat oder personenbezogene Daten in falsche Hände geraten sind [1] [2]. DDoS-Angriffe zielen darauf ab, Dienste durch Überlastung unerreichbar zu machen, nicht auf den Einbruch in Systeme – sie gelten daher als weniger schwerwiegend als Angriffe, bei denen sensible Daten gestohlen werden [1].
Eine offizielle Zuordnung des Angriffs gibt es bislang nicht. Norwegische Medien spekulieren jedoch über eine mögliche russische Urheberschaft. Aristidis Kaloudis, Professor am Institut für Informationssicherheit und Kommunikationstechnologie der NTNU in Gjøvik, hält dies angesichts des Ausmaßes und der erforderlichen Ressourcen für möglich. „Es handelt sich höchstwahrscheinlich um einen Versuch, das Vertrauen zu schwächen, das manche Menschen in öffentliche Dienste haben“, sagte er der Zeitung Verdens Gang [1]. Er verwies zugleich auf ein weiteres häufiges Motiv: eine Lösegeldforderung [1].
Auch Eirik Gulbrandsen, Spezialberater der norwegischen Datenschutzbehörde Datatilsynet, hält eine russische Beteiligung für „ziemlich wahrscheinlich“. „Dies ist nicht wie übliche Streiche. Es hat zu lange gedauert und ist zu intensiv geworden“, sagte er dem Portal kode24. „Es handelt sich wahrscheinlich um sehr bewusste Handlungen eines Akteurs, um Unruhe zu erzeugen“ [5].
Ermittlungen und regulatorische Folgen
Die Ermittlungen zur Identifizierung der Verantwortlichen dürften nach Einschätzung von Kaloudis viel Zeit in Anspruch nehmen [1]. Digdir hat die norwegische Sicherheitsbehörde NSM und die Datenschutzbehörde Datatilsynet über den Vorfall informiert [2]. Die Datenschutzbehörde bestätigte, dass Digdir mehrere Abweichungsmeldungen wegen sogenannter Verfügbarkeitsverletzungen eingereicht hat, die derzeit geprüft werden. Ein Tilsyn (Aufsichtsverfahren) ist noch nicht eingeleitet [5].
Gulbrandsen ordnete die Angriffe als ungewöhnlich für Norwegen ein: „Es war nicht üblich, dass so zentrale Dienste in Norwegen so hart angegriffen werden. Vielleicht ist das eine neue Situation, mit der wir leben lernen müssen“ [5]. Er verwies auf den Fall eines Hacking-Angriffs auf einen Staudamm in Bremanger im April, hinter dem der norwegische Inlandsgeheimdienst PST prorussische Hacker vermutete [5].
Einordnung: Angriff auf das Vertrauen in den Staat
Der Angriff zeigt, wie verwundbar moderne Verwaltungen durch die Konzentration auf wenige zentrale Identitäts- und Anmeldedienste sind. ID-porten ist der zentrale Zugang zu nahezu allen öffentlichen Diensten in Norwegen – fällt er aus, sind weite Teile der digitalen Verwaltung blockiert. Dass es innerhalb weniger Wochen zu drei Angriffen auf dieselbe Infrastruktur kam, deutet nach Einschätzung von Beobachtern auf einen gezielten, gut organisierten Akteur hin, der weniger auf Datenraub als auf die Erschütterung des Vertrauens in staatliche Dienste abzielt [1] [5].
Digdir kündigte an, die Ereignisse nach Abschluss der Lage gründlich auszuwerten und weitere Maßnahmen zu prüfen, um das Risiko künftiger Angriffe zu senken [2]. Ob sich die Spekulationen über eine russische Urheberschaft bestätigen, bleibt abzuwarten – die Ermittlungen stehen erst am Anfang.