Drei Wochen nach dem Cyberangriff auf das Hochschulservicezentrum Baden-Württemberg (HSZ-BW) in Reutlingen haben Kriminalpolizei, Cybersicherheitsagentur und ein forensischer Dienstleister ihre Untersuchungen abgeschlossen. Nach Angaben des Zentrums sind rund ein Gigabyte Daten abgeflossen, personenbezogene Daten wahrscheinlich nicht. Die ausgenutzte Sicherheitslücke ist geschlossen – doch die zentralen Verwaltungssysteme von 38 Hochschulen laufen weiterhin nicht oder nur eingeschränkt.
Ein Gigabyte, weitgehend intakte Daten
Am 26. Oktober hat das HSZ-BW den Stand der Aufarbeitung veröffentlicht. Die forensische Analyse von Kriminalpolizei, Cybersicherheitsagentur Baden-Württemberg (CSBW) und einem spezialisierten Dienstleister ist abgeschlossen. Das Ergebnis: Die Daten der Hochschulen seien beim HSZ-BW „weitgehend intakt“, und es habe „nur ein relativ geringer Abfluss von Daten im Umfang von ca. 1 GB stattgefunden“ 2. Die Wahrscheinlichkeit, dass personenbezogene Daten aus den Netzen des Zentrums abgeflossen sind, sei den Ermittlungsergebnissen zufolge „sehr klein“ – „völlig ausgeschlossen werden kann ein solcher Abfluss allerdings nicht“ 2 3.
Zentrumssprecher Veit Mathauer hatte bereits zuvor gesagt, es sei eher unwahrscheinlich, dass die Angreifer auf personenbezogene Daten zugreifen konnten; ausschließen lasse sich das aber nicht 1. Nach den Feststellungen der Ermittler drangen die Angreifer nur in einen kleinen Teil des Netzes ein, verschlüsselten dort Dateien und griffen Daten ab 2.
Lesen Sie auchCyberangriff auf Hochschulservicezentrum BW: Berater für IT-Sicherheit offline→
Die Ermittlungen führt das Polizeipräsidium Reutlingen (Kriminalinspektion 5) zusammen mit der Abteilung Cybercrime der Generalstaatsanwaltschaft Karlsruhe; die CSBW unterstützt, forensisch tätig ist die cirosec GmbH, für den Wiederanlauf ist Bechtle beauftragt 3. Das HSZ-BW beobachtet nach eigenen Angaben, ob gestohlene Daten veröffentlicht oder zum Vertrieb angeboten werden, um dann kurzfristig reagieren zu können 3.
Das Zentrum datiert die Entdeckung des Angriffs auf den Abend des 7. Oktober 2. Die dpa-Berichterstattung nennt abweichend die Nacht auf den 6. Oktober 7.
Die Lücke ist geschlossen – nur welche, sagt niemand
Der SWR berichtet, die ausgenutzte Sicherheitslücke sei identifiziert und geschlossen worden 1. Welche Schwachstelle genau betroffen war, teilt das HSZ-BW jedoch nicht mit: Weder die Notfallseite noch der FAQ-Katalog nennen ein Produkt, eine Version oder eine Schwachstellenklasse 2 3. Auch die Generalstaatsanwaltschaft machte dazu keine Angaben 5. Von außen lässt sich damit nicht prüfen, ob andere Einrichtungen, die dieselbe Software einsetzen, demselben Angriffsweg ausgesetzt waren.
Wichtig ist die Abgrenzung zu einem zweiten Vorfall: Am 21. Oktober nahmen die Landesregierung, mehrere Universitäten, das Karlsruher Institut für Technologie sowie die Unikliniken Mannheim, Heidelberg und Freiburg ihre Webseiten vorsorglich offline, weil eine kritische Lücke in der Programmiersprache PHP bekannt geworden war. Das Bundesamt für Sicherheit in der Informationstechnik hatte gewarnt, am Nachmittag wurde das Leck per Update geschlossen 9. Mit dem Angriff auf das HSZ-BW hat das nach derzeitigem Stand nichts zu tun – dieser lag zwei Wochen früher und traf keine Webseiten, sondern die Verwaltungssysteme 1 9. In der Berichterstattung werden beide Vorgänge teils vermischt.
Ebenso wenig gehört eine dritte Baustelle dazu: Die aktuellen Einschränkungen im SAP-System der Hochschulen stehen laut HSZ-BW in erster Linie mit der Umstellung auf S/4HANA zusammen. Das System ist extern gehostet, Hinweise auf einen Einfluss des Angriffs gibt es bislang nicht 2.
38 Hochschulen, 18 Kultureinrichtungen – und keine Zahl für die Studierenden
Das HSZ-BW ist eine gemeinsame Einrichtung der Hochschule Reutlingen und der Pädagogischen Hochschule Ludwigsburg mit rund 70 Mitarbeitenden 3 6. Nach eigenen Angaben beziehen 38 nichtuniversitäre Hochschulen und 18 Kunst- und Kultureinrichtungen Leistungen des Zentrums – Hochschulen für angewandte Wissenschaften, Pädagogische Hochschulen, Kunst- und Musikhochschulen sowie die Duale Hochschule Baden-Württemberg. Die neun Universitäten des Landes nutzen lediglich Beratungsleistungen und sind technisch nicht angebunden 3.
Ausgefallen sind die Campus-Management-Systeme HISinOne und GX-Campus – zuständig für Vorlesungspläne, Immatrikulations-, Studien- und BAföG-Bescheinigungen sowie Notenspiegel – und das ERP-System HIS-ERP für Finanz- und Personalleistungen 3.
Wie unterschiedlich das ankommt, zeigen Rückmeldungen aus den Hochschulen. An der HTWG Konstanz sind nach Angaben des SÜDKURIER rund 4.500 Studierende betroffen 8. An der Hochschule für Gestaltung Schwäbisch Gmünd läuft das Bewerbungsverfahren nur noch per E-Mail; Studierende kommen nicht an Notenspiegel, BAföG-Unterlagen, Studienbescheinigungen oder Krankenkassendokumente 4. „Im Prinzip sind alle Hochschulen betroffen, aber jede ein bisschen anders“, sagte Kanzler Norbert Käthler 4.
An der Hochschule für Musik Karlsruhe erhielten Lehrbeauftragte die Mitteilung, dass sie in diesem Jahr keine Abschlagshonorare bekommen 4. An der Hochschule für Wirtschaft und Umwelt Nürtingen-Geislingen konnten zeitweise keine Gehälter für studentische Hilfskräfte und keine Mittel aus dem Baden-Württemberg-Stipendium ausgezahlt werden, weil die Verbindung zum Landesamt für Besoldung und Versorgung gekappt war 4. Betroffen waren nach HSZ-Angaben außerdem unter anderem die Hochschule Aalen, die Pädagogische Hochschule Schwäbisch Gmünd und die Technische Hochschule Ulm; die Duale Hochschule in Heidenheim war es nicht 4.
Eine Gesamtzahl der betroffenen Studierenden nennt das HSZ-BW nicht 3. Die Zahl der Betroffenen dürfte deutlich über den 4.500 Studierenden der HTWG liegen, belastbare Angaben dazu gibt es aber bislang nicht.
Erpressung: Kontaktversuch, keine Verhandlungen
Nach Einschätzung der Generalstaatsanwaltschaft Karlsruhe handelte es sich um einen Ransomware-Angriff 5. „Es kommt oft zur Aufforderung, sich im Darknet zu treffen und über Lösegeld zu sprechen“, sagte ein Sprecher der Behörde dem SWR 5. Im konkreten Fall habe es die Aufforderung gegeben, mit der Gruppe Kontakt aufzunehmen; dahinter könne die Absicht stehen, Lösegeld zu erpressen 5. Die Angreifer hatten das Zentrum nach dem Angriff kontaktiert, vermutlich um Geld zu erpressen 1. Verhandelt wurde nicht: Das HSZ-BW habe auf Anraten der Polizei nicht mit den Angreifern gesprochen, sagte Leiter Peter Väterlein 1.
Wer hinter dem Angriff steckt, ist öffentlich nicht bekannt. Das HSZ-BW nennt keine Gruppierung; es arbeite mit den Behörden zusammen, um die Identifizierung der Täter zu unterstützen 3. Zur Höhe einer möglichen Forderung machte niemand Angaben 5. Nach Angaben der Generalstaatsanwaltschaft, die sich auf Zahlen des Bundeskriminalamts beruft, flossen bei vergleichbaren Angriffen im vergangenen Jahr 15,5 Millionen US-Dollar Lösegeld 5.
Alles neu
Das Zentrum repariert nicht, es baut neu. Netzwerkumgebung und Server werden „auf dem aktuellen Stand der Sicherheitstechnik komplett neu aufgebaut“, die Daten der Hochschulen sollen auf dem Stand von kurz vor dem Angriff eingespielt werden 2 3. Hardware wird ausgetauscht, alle Daten werden nach Angaben Mathauers „gewaschen“, also auf Schadsoftware geprüft – weil nicht ausgeschlossen ist, dass die Angreifer in anderen Teilen des Netzes Spuren hinterlassen haben 1.
Bis dahin tragen provisorische Prozesse den Betrieb: Wissenschaftsministerium, Finanzministerium, Landesoberkasse, Landesamt für Besoldung und Versorgung, die Hochschulen und das HSZ-BW haben gemeinsam Verfahren entwickelt, die Arbeits- und Zahlungsfähigkeit der Verwaltungen sichern sollen 2 3. Die Dienste im Campus-Management sowie in der Haushalts- und Personalverwaltung sollen schrittweise zurückkehren, in Abstimmung mit beiden Ministerien. Einen Termin nennt das Zentrum nicht 2. An der HTWG Konstanz wird damit gerechnet, dass die Einschränkungen nicht mehr lange andauern 8.
Offen ist auch, ob das HSZ-BW die Schwachstelle nach Abschluss der Ermittlungen benennt. Für die betroffenen Einrichtungen ist das keine akademische Frage: Solange Produkt und Angriffsweg unbekannt sind, können sie nicht prüfen, ob ihre eigenen Systeme vergleichbar exponiert sind. Und die Konzentration von 38 Hochschulen auf einen Dienstleister hat den Ausfall an einer Stelle zu einem Problem für weite Teile der nichtuniversitären Hochschullandschaft des Landes gemacht.
Studierende, die auf Bescheinigungen oder Notenspiegel warten, sollten sich an den Studierendenservice ihrer Hochschule wenden – dort laufen die Übergangsverfahren. Das HSZ-BW bittet außerdem darum, ungewöhnliche Nachrichten, die mit dem Vorfall zusammenhängen könnten, nicht zu beantworten, sondern zu melden; Passwörter, PINs und Zahlungsdaten sollten auf diesem Weg grundsätzlich nicht weitergegeben werden 3.
Ähnliche Artikel
