Hackerangriff legt Online-Termine der Kreisverwaltung Cochem-Zell lahm

WochenSpiegel-Recherche deckt auf: Cyberangriff steckt hinter Termin-Problemen. Kreisverwaltung sprach zunächst nur von „technischen Problemen“. Tatsächlich wurde der Betreiber des Online-Terminportals angegriffen
Von Mario Zender
Cochem. Zunächst klang alles nach einer gewöhnlichen technischen Panne. Die Kreisverwaltung Cochem-Zell informierte am Dienstag über ihre sozialen Netzwerke darüber, dass die Online-Terminvergabe der Kfz-Zulassungsstelle wegen „technischer Probleme“ nicht zur Verfügung stehe. Die Störung könne bis zu 36 Stunden dauern. Wer einen Termin benötigt, solle sich über die Behördennummer 115 melden.
Doch Recherchen des Cochemer WochenSpiegel zeigen: Hinter dem Ausfall steckt mehr als eine einfache technische Störung. Ursache ist ein Cyberangriff auf die IT-Infrastruktur des Unternehmens, das das Terminvergabesystem TEVIS-Online betreibt.
Dem WochenSpiegel lagen entsprechende Hinweise auf einen Hackerangriff vor. Deshalb hakte unsere Redaktion bei der Kreisverwaltung nach und wollte unter anderem wissen, ob es tatsächlich einen Cyberangriff gegeben hat und ob möglicherweise auch personenbezogene Daten betroffen sind.
Daraufhin bestätigte die Kreisverwaltung den Hintergrund des Ausfalls. Wichtig dabei: Angegriffen wurde nach Angaben des Kreises nicht die IT-Infrastruktur der Kreisverwaltung Cochem-Zell selbst. Der Angriff richtete sich vielmehr gegen die IT-Infrastruktur der Kommunix GmbH, die TEVIS-Online betreibt.
Damit steckt hinter den zunächst öffentlich kommunizierten „technischen Problemen“ ein Informationssicherheitsvorfall bei einem externen Dienstleister.
Hacker war mehrere Tage unentdeckt im System
Und der Vorfall hat offenbar eine längere Vorgeschichte. Wie Kommunix nach der Anfrage des WochenSpiegel in einer Pressemitteilung mitteilt, reichen die ersten inzwischen identifizierten Aktivitäten des Angreifers bis zum 26. Augustzurück. Bemerkt wurde der Angriff jedoch erst am 31. August.
Das bedeutet: Der Angreifer konnte sich mehrere Tage sporadisch auf dem System bewegen, ohne entdeckt zu werden. Das Unternehmen räumt selbst ein, dass diese Erkennungszeit „nicht zufriedenstellend“ sei und bei der technischen Aufarbeitung des Vorfalls eine Rolle spielen werde.
Als der Angriff schließlich auffiel, wurde konsequent reagiert. Der komplette betroffene Server wurde abgeschaltet. Kommunix behandelt das System auf Betriebssystemebene als kompromittiert. Statt es lediglich zu bereinigen, werden die benötigten Dienste auf einer neu aufgesetzten Infrastruktur wiederhergestellt.
Was ist mit den persönlichen Daten?
Eine besonders wichtige Frage ist bislang noch nicht abschließend geklärt: Konnte der Angreifer auf persönliche Daten zugreifen?
Kommunix erklärt, dass bislang kein Abfluss personenbezogener Daten nachgewiesen worden sei. Nach aktuellem Stand gehe man davon aus, dass es dem Angreifer wahrscheinlich nicht gelungen sei, relevante Mengen personenbezogener Daten zu erlangen.
Vollständige Entwarnung kann das Unternehmen allerdings noch nicht geben. Einen Zugriff auf personenbezogene Daten könne man derzeit nicht vollständig ausschließen.
Besonders brisant: Die forensischen Untersuchungen haben nach Angaben von Kommunix bei zwei Kundeninstanzen konkrete relevante Aktivitäten des Angreifers ergeben. Mit diesen beiden Kunden stehe das Unternehmen in direktem Kontakt. Sollte es tatsächlich einen Zugriff auf persönliche Daten gegeben haben, könnte sich die Betroffenheit nach derzeitigem Erkenntnisstand auf diese beiden Instanzen konzentrieren.
Auf Anfrage betont die Kreisverwaltung Cochem-Zell  das sie nicht zu diesen beiden besonders betroffenen Kunden gehöre.
Angriffsweg offenbar bereits bekannt
Wie die Hacker in das System eindringen konnten, will Kommunix derzeit noch nicht öffentlich machen. Nach Angaben des Unternehmens gibt es inzwischen allerdings „sehr konkrete Hinweise“ auf den wahrscheinlichen Angriffsweg. Man wisse auch, wie dieser technisch abgesichert werden könne.
Details hält das Unternehmen zunächst zurück, um zu verhindern, dass entsprechende Informationen für weitere Angriffe genutzt werden könnten. Zunächst sollen die eigene Infrastruktur sowie von Kunden selbst betriebene TEVIS-Systeme abgesichert werden.
Für die Bürger im Kreis Cochem-Zell bleibt der Angriff unterdessen ganz praktisch spürbar: Die Online-Terminvergabe funktioniert derzeit nicht wie gewohnt. Kommunix arbeitet nach eigenen Angaben an der Wiederherstellung und will die einzelnen Kundeninstanzen schrittweise wieder zur Verfügung stellen.