Die Webseite des Cloud-Spezialisten Nextcloud war am vergangenen Sonntag vorübergehend nicht erreichbar. Während das Unternehmen den Vorfall zunächst als einfache technische Störung deklarierte, räumte es später einen gezielten Cyberangriff als Ursache ein.
Intransparente Kommunikation sorgt für Verunsicherung
Am vergangenen Sonntag kam es zu einem unerwarteten Ausfall der Webseite von Nextcloud. Was als technischer Defekt begann, entwickelte sich zu einer kommunikativen Herausforderung für das Unternehmen. Erste Anfragen von Nutzern im offiziellen Hilfeforum wurden von den Developer Relations des Unternehmens zunächst mit dem Hinweis auf einfache Infrastrukturprobleme beantwortet. Es wurde betont, dass die Webseite lediglich aus einem Backup wiederhergestellt werde und keine Auswirkungen auf Nutzerdaten oder die Sicherheit der Kundeninfrastruktur zu befürchten seien [1].
Diese Art der Kommunikation, die den Vorfall zunächst verharmloste, führte zu Kritik innerhalb der Community. Erst auf gezielte Nachfrage durch IT-Sicherheitsredaktionen korrigierte Nextcloud seine Darstellung und räumte ein, dass ein gezielter Cyberangriff die Ursache für die Abschaltung war [1]. Für Nextcloud ist es bereits der zweite sicherheitsrelevante Vorfall in diesem Jahr, der öffentliche Kritik auslöst. Erst im Mai hatte das Unternehmen eine ungeschützte Elasticsearch-Datenbank mit rund 367.000 Datensätzen offen im Netz stehen lassen, darunter Kundenverträge sowie Skripte mit hartcodierten Zugangsdaten für Kundeninstallationen [2].
Aufarbeitung des Vorfalls
Nachdem das Unternehmen den Vorfall offiziell als Cyberangriff eingestuft hatte, leitete es technische Gegenmaßnahmen ein. Laut Angaben eines Sprechers wurde der betroffene Server umgehend isoliert, um weitere Schäden zu verhindern. Die Webseite wurde in der Folge von einer sauberen Sicherungskopie auf einer neuen Infrastruktur wiederhergestellt [1].
Nextcloud versicherte gegenüber den Medien, dass die Kern-Dienste – darunter das Angebot für Downloads und der App Store – auf physisch getrennten Systemen laufen und von dem Vorfall unberührt blieben. Damit sollten Befürchtungen entkräftet werden, dass Kunden ihre eigenen Instanzen oder die Integrität der herunterladbaren Software gefährdet sehen könnten [1].
Möglicher Zusammenhang mit WP2Shell
Die technische Analyse des Vorfalls durch Nextcloud dauert derzeit an. Dabei prüfen die IT-Sicherheitsexperten des Unternehmens auch einen möglichen Zusammenhang mit der aktuell grassierenden Sicherheitslücke „WP2Shell“, die im Core des Content-Management-Systems WordPress entdeckt wurde [1]. Da die Webseite von Nextcloud auf WordPress basiert, erscheint ein solcher Angriffsvektor plausibel, da die Lücke es Angreifern erlaubt, Schadcode einzuschleusen.
Obwohl das Unternehmen derzeit noch keine explizite Bestätigung für diese Ursache geben kann, verdeutlicht der Vorfall die ständige Bedrohungslage für webbasierte Infrastrukturen. Die Untersuchung soll weitere Details liefern, sobald diese vorliegen. Für Anwender bleibt die Erkenntnis, dass selbst bei der Website eines auf Sicherheit spezialisierten Anbieters Schwachstellen im Unterbau – in diesem Fall einem weit verbreiteten CMS – zu realen Betriebsausfällen führen können [1].