Energieversorger Technische Werke Ludwigshafen waren am 20. April Opfer eines Hackerangriffs.
Wie das Unternehmen mitteilt, hat eine noch unbekannte Hackergruppe im Kontakt mit TWL aufgenommen und erpresst. Das Unternehmen lehnte Lösegeldzahlungen an Kriminelle ab.
Lösegeldforderung im zweistelligen Millionenbereich
Der Gruppe ist es gelungen, in die IT-Systeme des Energieversorgers Technische Werke Ludwigshafen AG, TWL einzudringen und Kundendaten sowie Mitarbeiter- und Geschäftsdaten abzugreifen. Aufgrund der forensischen Untersuchungen, der Arbeiten an der Gefahrenabwehr und der Ermittlungen der Strafverfolgungsbehörden war das Unternehmen bis zum 11. Mai 2020 angehalten, keine Details zum Sicherheitsvorfall zu veröffentlichen.
Was war passiert:
Am 20. April hat TWL entdeckt, dass Kriminelle Daten von seinen Systemen stehlen, und umgehend Maßnahmen eingeleitet, um den weiteren Daten-diebstahl zu stoppen. Leider konnten trotzdem über 500 GB an Daten erfolgreich gestohlen werden. Inzwischen ist dem Unternehmen bekannt, dass der Erstzugriff der Kriminellen Mitte Februar über eine infizierte E-Mail-Anlage erfolgte, die von den technischen Abwehrsystemen nicht erkannt wurde.
In den darauffolgenden Wochen schafften es die Kriminellen trotz zahlreicher Sicherheitsvorkehrungen, sich unerkannt im Netzwerk von TWL auszubreiten.
Nach der Entdeckung des Angriffs hat TWL sofort das zuständige Dezernat der Kriminalpolizei, das Dezernat Cybercrime des Landeskriminalamtes (LKA) Rheinland-Pfalz und das Bundesamt für Sicherheit in der Infor-mationstechnik (BSI), eingeschaltet. Ermittlungen wurden aufgenommen und dauern noch an. Die zuständige Landesdaten- schutzbehörde wurde von dem Vorfall in Kenntnis gesetzt. Ein externes Unternehmen für IT-Sicher-heit wurde mit der forensischen Untersuchung und Abwehr des Vorfalls beauftragt. Eine Verschlüsselung der Systeme sowie ein Zugriff auf die Prozessleittechnik konnten erfolgreich verhindert werden. Die Versorgung der Stadt Ludwigshafen war und ist deshalb nicht gefährdet.
Lösegeldforderung im zweistelligen Millionenbereich
Am 30. April 2020 hat die Hackergruppe Kontakt zu TWL aufgenommen und versucht, Lösegeld im zweistelligen Millionenbereich zu erpressen. Gedroht wurde mit der Veröffentlichung der gestohlenen Daten. Aufgrund der Ablehnung der Forderungen seitens TWL haben die Täter die erbeuteten Daten im „Darknet“ veröffentlicht.
Für TWL ist es selbstverständlich, keine Geschäfte mit Kriminellen zu machen und nicht auf Lösegeldforderungen einzugehen, um weitere kriminelle Machenschaften nicht noch zu fördern. Dazu kommt, dass selbst die Zahlung eines Lösegelds erfahrungsgemäß nicht zu einem Stopp der Datenverbreitung im Internet geführt hätte.
Seit dem 11. Mai 2020 werden die Kunden des Unternehmens von den Kriminellen per E-Mail angeschrieben, in denen diese TWL mangelnde Kooperation und Fehlverhalten vorwerfen, um weiteren Druck auf das Unternehmen auszuüben. Parallel haben die Täter angefangen, die gestohlenen Daten im Darknet zu veröffentlichen.
„Wir bedauern zutiefst, dass unsere Kunden, Mitarbeiter und Geschäftspartner von diesem Vorfall betroffen sind, und entschuldigen uns in aller Form für die Unannehmlichkeiten, die ihnen entstanden sind bzw. noch entstehen könnten. Uns ist der Ernst der Lage bewusst ist. Wir arbeiten deshalb mit Hochdruck an der Aufbereitung des Sicherheits-vorfalls“, so die TWL-Vorstände Dieter Feid und Thomas Mösl.
Gleichzeitig ist das Unternehmen entsetzt von der kriminellen Energie, die hinter diesem Angriff steckt. Die Gewährleistung der Datensicherheit hat oberste Priorität. TWL lässt sich aber nicht auf Geschäfte mit Kriminellen ein. Erfolgreiche Erpressungen können Hacker zudem dazu anspornen, weitere Unternehmen anzugreifen. „Wir stehen in engem Kontakt mit den Ermittlungsbehörden und haben sämtliche Schritte mit ihnen abgestimmt.“ Gemeinsames Ziel ist es, dass die Täter ermittelt werden können.
Kontobewegungen regelmäßig prüfen
Zu den im Darknet veröffentlichten Daten zählen nach aktuellem Stand personenbezogene Daten wie Name, Vorname und Anschrift, die E-Mail-Adresse oder Telefonnummer, sofern sie bei TWL hinterlegt ist, Angaben zum gewählten Tarif und, sollte TWL eine Einzugsermächtigung erteilt worden sein, die Bankverbindung. Das Unternehmen geht derzeit davon aus, dass alle seine Kunden und Geschäftspartner betroffen sind.
Auch wenn es hierfür bisher keine konkreten Anhaltspunkte gibt, weist das Unternehmen seine Kunden darauf hin, dass durch den Hackerangriff leider die Gefahr besteht, dass Kriminelle die erbeuteten Daten für weitere Straftaten missbrauchen können.
Dazu zählen zum Beispiel:
- Identitätsdiebstahl
- Phishing
- Versand von Viren und Trojanern per E-Mail.
Aus diesem Grund bittet TWL seine Kunden, ihre Konten regelmäßig zu prüfen und bei ungewöhnlichen Kontobewegungen unverzüglich Kontakt mit Ihrer Bank aufzunehmen.
- Passwörter, die in der Kommunikation mit TWL bspw. beim Zugang zum Kundenportal verwendet werden, zu ändern,
- verdächtige E-Mails von unbekannten Absendern sofort zu löschen
- Keinesfalls sollten Links oder Dateianhänge in solchen Mails geöffnet werden
TWL versorgt rund 100.000 Haushalte in Ludwigshafen und dem gesamten Bundesgebiet mit Energie und Trinkwasser. Alle Betroffenen würden derzeit vom Unternehmen per Brief oder E-Mail persönlich und individuell informiert.
IT-Sicherheit des Unternehmens wird weiter erhöht Bereits im vergangenen Jahr hatten die neuen Vorstände die IT unmittelbar dem Vorstand zugeordnet und zum 1. Juli 2019 einen neuen IT-Leiter eingestellt. Im Dezember 2019 wurden tiefgehende Sicherheitsanalysen durchgeführt, um Maßnahmen zur Steigerung der IT-Sicherheit des Unternehmens zu identifizieren. Leider ist es den Cyberkriminellen gelungen, vor der vollständigen Umsetzung der erarbeiteten Maßnahmen in die IT-Systeme von TWL einzudringen. Das Unternehmen arbeitet zusammen mit dem eingeschalteten externen Unternehmen für IT Sicherheit mit Hochdruck daran, zu verhindern, dass ein solcher Vorfall nochmals passieren kann.
Für Rückfragen seiner Kunden steht TWL ihnen unter folgenden Kontaktdaten gerne zur Verfügung: kundenservice@twl.de oder telefonisch unter 0800 1122700. Auf diesem Wege können Kunden auch den Datenschutzbeauftragten von TWL erreichen. Das Unternehmen bittet jeodch um Verständnis, dass es aufgrund der erwarteten Vielzahl an Anfragen zu Verzögerungen in der Bearbeitung kommen kann. Zusätzlich werden auf der Website des Unternehmens ab dem 14. Mai 2020 weitere konkrete Informationen zu möglichen Risiken und zum Umgang damit für Kunden zur Verfügung gestellt und fortlaufend aktualisiert.
Mehr über Sicherheitsmaßnahmen sind auf der Interseite des BSI zu finden. https://www.bsi.bund.de