Gut drei Wochen nach dem Cyberangriff auf die Stadtwerke Waldbröl steht der Versorger auf der Leak-Seite einer Erpressergruppe. Dass Kundendaten gestohlen wurden, hat das Unternehmen bestätigt. Wie viele Kunden betroffen sind, ist offen.
Die Stadtwerke Waldbröl stehen auf der Leak-Seite der Erpressergruppe Inc Ransom. Der Dienst Ransomware.live, der solche Seiten auswertet, verzeichnet den Eintrag seit Donnerstag, 12. November 3. Erpresser führen dort Unternehmen auf, die sie nach eigener Darstellung angegriffen haben, und drohen damit, gestohlene Daten zu veröffentlichen. Was die Gruppe über ihre Beute angibt, ist nicht unabhängig geprüft. Ob es dieselben Täter sind, die die Stadtwerke nach eigenen Angaben erpresst haben, hat das Unternehmen nicht bestätigt.
Den Angriff selbst hat der Versorger aus dem Oberbergischen Kreis bestätigt. Am 21. Oktober teilte er auf seiner Internetseite mit, Angreifer hätten Teile der IT-Systeme verschlüsselt. Trinkwasser, Abwasser und Straßenbeleuchtung seien nicht beeinträchtigt. Ein Diebstahl von Kundendaten sei nicht auszuschließen; die zuständigen Behörden seien informiert, Strafanzeige sei gestellt 1.
Am 30. Oktober bestätigte Geschäftsführer Mirco Kujbida dem Portal Oberberg-Aktuell, dass Kundendaten gestohlen wurden. Das Unternehmen sei von einer „finanziell motivierten, russischen Hackerbande“ erpresst worden, sagte er. Die Täter hätten gedroht, Kundendaten zu veröffentlichen. „Wir haben daraufhin sofort IT-Forensiker damit beauftragt, zu prüfen, ob wirklich Daten gestohlen wurden“, sagte Kujbida. Die Befürchtung habe sich bestätigt 2.
Nach Angaben des Unternehmens ermittelt das Landeskriminalamt; die Sicherheitslücke sei geschlossen, Versorgung und Erreichbarkeit seien zu keinem Zeitpunkt unterbrochen oder gefährdet gewesen 2.
Umfang des Datendiebstahls offen
Welche Daten die Täter haben, sagen die Stadtwerke nicht. Offen ist auch, wie viele Kunden betroffen sind; das müsse noch ermittelt werden, sagte Kujbida Ende Oktober. Die Betroffenen sollten „in Kürze“ schriftlich informiert werden. Die Höhe der Forderung nannte er nicht 2.
Auf der Hinweisseite des Unternehmens steht am Freitag, 13. November, noch der Text vom 21. Oktober. Dort heißt es weiterhin nur, ein Diebstahl von Kundendaten sei nicht auszuschließen; Hinweise für Kunden fehlen 1.
Als Angriffstag nennt Ransomware.live den 17. Oktober, eine Schätzung 3. Wie die Täter in die Systeme kamen, ist nicht bekannt.
Kujbida warnte, die Daten könnten für Betrugsversuche im Internet genutzt werden 2. Kunden der Stadtwerke sollten Schreiben und E-Mails, die sich auf ihr Kundenkonto beziehen und eine Zahlung oder neue Bankdaten verlangen, beim Versorger nachprüfen, bevor sie reagieren.
Auch die Stadtwerke Achim in Niedersachsen entdeckten am 8. November einen Angriff auf ihre IT; dort sind Kundenportal und E-Mail gestört 4.
