Cyberangriffe: Sassnitz (Rügen) und das Christliche Jugenddorfwerk Deutschlands (CJD)

Neben dem Cyberangriff auf den dänischen Windkraftanlagenbauer Vestas (siehe Cyber-Angriff auf dänischen Windkraftanlagenbauer Vestas (Nov. 2021)) hat es vorige Woche auch die Gemeinde Sassnitz auf Rügen sowie das Christliche Jugenddorfwerk Deutschlands (CJD) getroffen. Hier noch ein kurzer Nachtrag zu den beiden Fällen.

Angriff auf den CJD

Das Christliche Jugenddorfwerk Deutschlands (CJD) ist ein gemeinnütziges Jugend-, Bildungs- und Sozialwerk, das jungen und erwachsenen Menschen Ausbildung, Förderung und Unterstützung in ihrer aktuellen Lebenssituation anbietet. Bundesweit betreibt das CJD mehr als 150 Einrichtungen, in denen unter anderem benachteiligte Menschen leben, lernen und arbeiten. Der Sitz ist in Ebersbach, das Werk hat mehr als 10500 Mitarbeiter.

In diesem Kommentar hat ein Blogleser auf einen Cyberangriff auf diese Einrichtung hingewiesen. Die Zeitungsartikel befinden sich hinter einer Paywall – auf der Webseite der Organisation heißt es:

Das CJD ist Opfer eines Hackerangriffs geworden. Unsere IT hat schnell reagiert und alle Systeme abgeschaltet. Wir arbeiten zusammen mit externen IT-Sicherheitsberatern und Behörden daran, die Systeme schnellstmöglich wieder zum Laufen zu bringen. Bisher gibt es noch keine gesicherten Erkenntnisse zu Umfang und Tiefe des Angriffs. Auch wenn davon ausgegangen werden kann, dass vermutlich keine Daten abgeflossen sind, ruft das CJD alle Betroffenen zur Wachsamkeit auf.

Der externe E-Mail-Verkehr funktioniert inzwischen in Teilen schon wieder. Bis dieser wieder völlig hergestellt ist, kontaktieren Sie bitte Ihre Ansprechpartner weiterhin telefonisch. Unsere Angebote laufen wie gewohnt weiter. Über weitere Entwicklungen informieren wir an dieser Stelle.

Bewerbungen können weiterhin völlig sicher an uns übermittelt werden. Unser Bewerbermanagement-System ist ein unabhängiges System und somit nicht von dem Hackerangriff betroffen.

Weitere Details sind bisher aber nicht bekannt. Es gibt aktuell nur den Hinweis, dass das CJD-Zentrum in Elze betroffen war und dass das LKA-Berlin die Ermittlungen aufgenommen habe.

Stadtverwaltung Sassnitz/Rügen

Die Stadtverwaltung Sassnitz auf der Insel Rügen ist wohl ebenfalls das Opfer eines Cyberangriffs geworden. Am 16. November 2021 teilte die Stadt die Information über den Cyberangriff:

Was ist geschehen?

Am Mittwoch, den 10.11.2021, erhielten einzelne Bürger der Stadt Sassnitz Emails, die Mitarbeiter der Stadtverwaltung als (vermeintliche) Absender auswiesen. In diesen E-Mails fanden sich zum Teil Inhalte aus der früheren Korrespondenz zwischen Ihnen und unserer Behörde einschließlich Namen, Funktion und Email-Adressen der an der Kommunikation beteiligten Personen sowie Links, die auf Webseiten mit vermeintlich schadhaften Inhalten führten.

Nach bisherigen Erkenntnissen wurden diese Emails unberechtigt über unsere Server – vermeintlich durch Schadsoftware – versendet.

Auf dem betroffenen Exchange-Server befand sich E-Mail-Kommunikation, die im Zuge der Tätigkeit der Stadtverwaltung mit Bürgern, Behörden und anderen Personen – dort überwiegend Namen sowie Kontaktdaten wie E-Mail-Adressen geführt wird, sowie Email-Kommunikation der Behördenmitarbeiter.

Ob und in welchem Umfang im Rahmen des Vorfalls Daten aus unseren Systemen abgeflossen sein könnten, kann nicht abschließend beurteilt werden. Bei dem Hackangriff handelt es sich aber vermutlich „nur" um einen automatisierten Angriff, ohne dass natürliche Personen tatsächlich personenbezogene Daten auf den Systemen eingesehen haben bzw. einsehen konnten. Konkrete Anhaltspunkte für den Abfluss von (personenbezogenen) Daten liegen nicht vor. Dass andere als die in den unberechtigt versendeten Emails enthaltenen Angaben von dem Vorfall betroffen sind, halten wir für unwahrscheinlich.

Welche Maßnahmen haben wir bereits ergriffen?

Wir haben unmittelbar nach Kenntniserlangung den betroffenen Server vom Netz genommen und eine virenfreie Rücksicherung aufgesetzt. Passwörter wurden geändert. Unsere Mitarbeiter wurden erneut für die Gefahren von Cyber-Angriffen sensibilisiert.

Wir haben zudem unmittelbar ein IT-Forensik-Unternehmen mit der Untersuchung des Vorfalls beauftragt. Gemeinsam wird der Vorfall aufgearbeitet, engmaschig beobachtet und weitere erforderliche Maßnahmen ergriffen.

Parallel haben wir die zuständige Datenschutzaufsichtsbehörde in Mecklenburg-Vorpommern über den Vorgang unterrichtet.

Was können wir tun?

Wir können und wollen Sie proaktiv über die Ereignisse informieren.

Wir bitten Sie um erhöhte Aufmerksamkeit bei verdächtigen E-Mails, insbesondere solchen, die uns als (vermeintlichen) Absender ausweisen und/oder in denen Sie zu ungewöhnlichen Handlungen aufgefordert werden. Antworten Sie bitte nicht auf verdächtige E-Mails. Öffnen Sie bitte keine Anlagen und klicken in entsprechenden E-Mails nicht auf Links, die Ihnen verdächtig vorkommen. Kontaktieren Sie im Zweifelsfall den Absender auf anderem Wege, um die Kommunikation zu verifizieren. Wenden Sie sich ebenso gerne direkt an uns, sollten Sie verdächtige Vorkommnisse mitbekommen.

Wir bedauern, wenn der Vorgang für Sie zu Unannehmlichkeiten geführt hat. Bitte lassen Sie uns wissen, wenn Sie Fragen haben oder wir Sie in irgendeiner Form unterstützen können.

Am 17.11.2021 gab es dann die Information, dass das Rathaus wieder per E-Mail erreichbar sei. Die Probleme des E-Mail-Servers seien behoben. Der E-Mail-Zugang zu den Außenstellen sei noch nicht gewährleistet. Es werde zurzeit daran gearbeitet. Der NDR hat diesen Beitrag zum Angriff veröffentlicht. Mich erinnert der Vorfall an das Thema aus diesem Blog-Beitrag BSI/CERT-Warnung: Kompromittierte Exchange-Server werden für E-Mail-Angriffe missbraucht (Nov. 2021).

Ähnliche Artikel:
Ransomware bei Münchner Modehaus Hirmer (9.11.2021)
Ransomware-Angriff auf Media Markt/Saturn
Media Markt/Saturn: Ransomware-Angriff durch Hive-Gang, 240 Mio. US $ Lösegeldforderung
Ransomware-Angriff auf Arztdienstleister medatixx
Fünf Mitglieder der Sodinokibi/REvil Ransomware-Gruppe verhaftet
Kisters AG Opfer eines Ransomware-Angriffs (10./11. Nov. 2021)
Cyber-Angriff auf dänischen Windkraftanlagenbauer Vestas (Nov. 2021)
Basler AG Ziel von Cyberangriff (Nov. 2021)
BSI/CERT-Warnung: Kompromittierte Exchange-Server werden für E-Mail-Angriffe missbraucht (Nov. 2021)
Warnung (CERT-Bund, USA, GB) vor Angriffen auf Exchange und Fortinet
ProxyNoShell: Mandiant warnt vor neuen Angriffsmethoden auf Exchange-Server (Nov. 2021)