Eine Gruppe, die sich Barracuda nennt, behauptet, 2,44 TB Daten vom Hauptauftragnehmer des Fehmarnbelt-Projekts, Femern Link Contractors (FLC), gestohlen zu haben und seit dem 17. September Zugang zu vertraulichen Dateien gehabt zu haben.
Die Gruppe behauptet, mehr als 1,57 Millionen Dateien aus den Systemen kopiert zu haben. Dies schreibt sie in einem Beitrag über FLC auf ihrer Website, auf der sie einen Käufer für das Material sucht und einen Preis von 500.000 Dollar angibt.
Femern A/S teilte am 27. Oktober mit, dass FLC dem Unternehmen gemeldet habe, dass im Zusammenhang mit dem Cyberangriff am 11. Oktober Daten, einschließlich personenbezogener Daten, gestohlen worden seien. Die Mitteilung nennt weder den Umfang noch genau, welche Informationen entwendet wurden.
Das Sicherheitsunternehmen Brandefense registrierte am 28. Oktober den Beitrag über FLC auf Barracudas Leak-Seite und gibt ebenfalls die Behauptung wieder, seit September Zugang gehabt zu haben.
Weder die Verantwortung der Gruppe, die Datenmenge noch die Dauer des Zugangs wurden jedoch in den öffentlichen Stellungnahmen von FLC und Femern A/S bestätigt.
Digitale Spuren sollen Antworten liefern
FLC schreibt in seiner eigenen öffentlichen Mitteilung, dass Systeme mit personenbezogenen Daten »betroffen« seien.
Dies könne verschiedene Sachverhalte abdecken, erklärt Sofie Freja Christensen, Consulting Manager, Cyber Risk & Offensive Security bei Conscia.
– »Betroffen« kann alles bedeuten, von gesperrten Systemen bis hin zu kopierten und zum Verkauf angebotenen Daten. Das lässt sich nur durch eine forensische Analyse von Protokollen und Netzwerkverkehr herausfinden, und das dauert in der Regel Wochen. Hier hat Femern A/S jedoch bereits bestätigt, dass Daten gestohlen wurden. Die Frage ist also nicht mehr, ob, sondern welche Daten und von wem, sagt sie.
Sie erläutert weiter, dass eine solche Analyse die digitalen Spuren nach dem Angriff untersucht. Die Experten können unter anderem prüfen, welche Konten bestimmte Ordner geöffnet haben und ob große Datenmengen aus dem Unternehmensnetzwerk übertragen wurden. Die Spuren können somit dabei helfen, aufzuklären, welche Informationen tatsächlich kopiert wurden.
Mitarbeiterdaten könnten betroffen sein
Laut Folketidende geht aus einer internen Mitarbeiterinformation hervor, dass unter anderem Lohn- und Steuerdaten, Bankdaten, Ausweisdokumente und Gesundheitsdaten potenziell betroffen sein könnten.
FLC teilt in seiner öffentlichen Mitteilung vom 27. Oktober mit, dass potenziell betroffene Mitarbeitende informiert wurden und Zugang zu einer rechtlichen Hotline erhalten haben. Der Auftragnehmer schreibt außerdem, dass das Unternehmen nach Entdeckung des Vorfalls am 11. Oktober seine Notfallmaßnahmen aktiviert, betroffene Server isoliert und externe Cybersicherheitsexperten hinzugezogen hat. Die Untersuchung dauert laut der Mitteilung weiterhin an.
Sofie Freja Christensen betont generell die Notwendigkeit, das Ausmaß zu klären und den Betroffenen konkrete Informationen zu geben.
– Jetzt geht es darum, schnell zu klären, ob Daten gestohlen wurden, und dies den Betroffenen konkret mitzuteilen. Mitarbeitende, deren Reisepässe und Kontonummern möglicherweise zum Verkauf angeboten werden, brauchen mehr als »Systeme sind betroffen«, sagt sie und fährt fort.
– Die wichtigste Lehre für die Zukunft ist, dass die Angreifer nach eigenen Angaben fast einen Monat lang im System waren, ohne entdeckt zu werden. Es geht nicht nur darum, sie draußen zu halten, sondern sie rechtzeitig zu erkennen.
FemernBusiness hat FLC mit den Informationen konfrontiert, das Unternehmen wollte sich dazu nicht äußern.
