Fast zwei Monate nach dem Cyberangriff auf die Gemeinschaftsstadtwerke (GSW) Kamen, Bönen, Bergkamen müssen die Ermittler ihre Einschätzung korrigieren: Nach neuen Erkenntnissen könnten doch Kundendaten betroffen sein – aus älteren Datensicherungen der Jahre 2019 und 2017. Die Daten wurden für kurze Zeit im Darknet bereitgestellt. Die GSW raten Kunden zu erhöhter Wachsamkeit.
Die Gemeinschaftsstadtwerke (GSW) Kamen, Bönen, Bergkamen haben neue Erkenntnisse zum Cyberangriff vom 28. Juni veröffentlicht. Demnach könnten bei dem Angriff auf die IT-Systeme des Energieversorgers doch personenbezogene Kundendaten abgeflossen sein – entgegen der bisherigen Einschätzung der forensischen Untersuchungen. Betroffen seien demnach ältere Datensicherungen aus dem Jahr 2019 und teilweise aus dem Jahr 2017, die für einen kurzen Zeitraum im Darknet zur Verfügung gestellt worden seien [1] [2].
Was die neuen Erkenntnisse bedeuten
Die bisherigen forensischen Untersuchungen hatten ergeben, dass keine Kundendaten betroffen sind. Neueste Erkenntnisse der ermittelnden Behörden zeigen nun jedoch, dass ältere Datensicherungen mit Kundenbezug betroffen sein könnten [1] [2]. Die GSW betonen, dass es nach aktuellem Kenntnisstand keine Hinweise darauf gebe, dass die betroffenen Daten veröffentlicht, weitergegeben oder missbräuchlich verwendet wurden [1] [2].
„Die Aufklärung des Vorfalls und unsere Verantwortung nehmen wir sehr ernst. Wir arbeiten dafür weiter intensiv und in enger Abstimmung mit den Ermittlungsbehörden und externen IT-Sicherheitsexperten zusammen. Die Aufarbeitung des Vorfalls und der Schutz der Daten unserer Kunden haben höchste Priorität“, erklärt GSW-Geschäftsführer Alexander Loipfinger [1] [2].
Nach aktuellem Kenntnisstand könnten vor allem drei Datenkategorien betroffen sein: Personen- und Kontaktdaten wie Name und Vorname, Anschrift, E-Mail-Adresse und Telefonnummer, Kunden- und Vertragsdaten wie Tarif und Kundennummer sowie Bankverbindungsdaten wie IBAN und Kontoinhaber [1] [2].
Der Verlauf des Angriffs
Der Cyberangriff war am Abend des 28. Juni bekannt geworden. Die GSW trennten daraufhin vorsorglich sämtliche Systeme und Applikationen vom Netz – mit spürbaren Folgen für die Verwaltung: PCs funktionierten nicht, Überweisungen waren nicht möglich, das Online-Kundencenter und die App „Meine GSW“ waren nicht erreichbar [2] [3]. Die Versorgungssicherheit mit Strom, Gas, Wasser und Wärme war nach Angaben des Unternehmens zu keinem Zeitpunkt betroffen [3].
Das Landeskriminalamt und die zuständigen Behörden wurden unmittelbar eingeschaltet und sind in die Aufklärung eingebunden [3]. Die Systeme wurden in den Wochen nach dem Angriff schrittweise wiederhergestellt; das Online-Kundencenter und das Netzportal sind seit Mitte Juli wieder erreichbar [3]. Nach Angaben des Hellweger Anzeigers könnte der Vorfall rund 80.000 Kundendatensätze betreffen [4].
Handlungsempfehlungen für Kunden
Die GSW empfehlen betroffenen und potenziell betroffenen Kunden eine erhöhte Wachsamkeit und die regelmäßige Überprüfung der Kontobewegungen. Bei Auffälligkeiten sollten Kunden direkt mit ihrer Bank Kontakt aufnehmen [1] [2]. Darüber hinaus nennt das Unternehmen konkrete Schutzmaßnahmen:
-
Keine sensiblen Informationen aufgrund von E-Mails, SMS oder Telefonanrufen preisgeben.
-
Niemals dieselben oder gleichlautende Passwörter für verschiedene Anwendungen oder E-Mail-Dienste nutzen. Gegebenenfalls Passwörter ändern – vor allem dann, wenn sie im Zusammenhang mit dem Zugang zum Online-Kundencenter der GSW stehen.
-
Wachsam sein beim Öffnen von E-Mails: Links oder Anhänge sollten nicht geöffnet werden, wenn man den Empfänger nicht kennt oder nicht überprüfen kann [1] [2].
Die GSW kündigten an, ihre Kundinnen und Kunden in den nächsten Tagen mit einem persönlichen Schreiben über die Risiken und Handlungsempfehlungen zu informieren [1] [2]. Bei Fragen sollen sich Kunden per E-Mail an das Unternehmen wenden. Von telefonischen Anfragen zu personenbezogenen Daten bitten die GSW abzusehen, da die Kundenbetreuer am Telefon keine weiteren Auskünfte geben können [1].
Einordnung: Angriffe auf kritische Infrastruktur
Der Fall der GSW reiht sich in eine wachsende Zahl von Cyberangriffen auf kommunale Versorger und kritische Infrastruktur ein. Stadtwerke, Kommunen und deren Dienstleister geraten zunehmend ins Visier von Angreifern, wie der Hellweger Anzeiger in einer Einordnung zu ähnlichen Fällen berichtet [5]. Die Aufklärung solcher Vorfälle dauert häufig Monate – das Landeskriminalamt NRW ermittelt im Fall der GSW über Ländergrenzen hinweg [6].
Für die betroffenen Kunden bleibt die Lage zunächst unübersichtlich: Ob und in welchem Umfang die älteren Datensätze tatsächlich abgeflossen sind, können die Ermittler derzeit noch nicht abschließend beantworten. Die GSW selbst hatten bereits Mitte Juli erklärt, dass aktuelle Kundendaten nach dem Stand der Ermittlungen nicht abgeflossen seien, ältere Daten mit Kundenbezug aber weder bestätigt noch gänzlich ausgeschlossen werden könnten [3]. Die nun veröffentlichten Erkenntnisse bestätigen diese Vorsicht. Bis zur vollständigen Aufklärung bleibt Kunden vor allem eines geraten: die eigenen Kontobewegungen im Blick zu behalten und bei ungewöhnlichen Vorgängen frühzeitig zu handeln.