REvil-Ransomware: Verantwortliche bei Kaseya wohl vorher informiert

Auch der letzte große Ransomware-Vorfall, von dem weltweit um die 1500 Unternehmen betroffen waren, wäre wohl vermeidbar gewesen. Verantwortliche beim Software-Hersteller Kaseya waren bereits vorher über die Existenz eines kritischen Bugs informiert. Nach Informationen, die der Nachrichtenagentur Bloomberg vorliegen, wäre auch die jüngste Erpressungs-Tour, bei der die Täter ein Lösegeld von insgesamt rund 70 Millionen Dollar forderten, vermeidbar gewesen. Dafür wäre es aber eben notwendig gewesen, dass die zuständigen Stellen das Thema IT-Sicherheit ernst nehmen. Mehrfach sollen Mitarbeiter Kaseyas seit 2017 das Führungspersonal darauf hingewiesen haben, dass die Produkte der Firma weitreichende Sicherheitsprobleme mitbringen.

Dies haben laut Bloomberg fünf ehemalige Mitarbeiter der Firma übereinstimmend berichtet. Die drängendsten Schwierigkeiten sah man in der Nutzung veralteter Codes, der Nutzung einer vergleichsweise schwachen Verschlüsselung und der Akzeptanz ebenfalls schwacher Passwörter. Wirkliche Aufmerksamkeit wurde dem seitens des Managements aber nicht gegeben.

Altes Muster

Auch bei grundlegenden Methoden, mit denen die Sicherheit der Produkte verbessert werden kann, habe Kaseya letztlich versagt. Das betrifft beispielsweise die regelmäßige Bereitstellung von Patches. Stattdessen lag der Fokus des gesamten Geschäfts auf dem Vertrieb der Software - notfalls auch auf Kosten anderer Bereiche. Ein Mitarbeiter soll sich sogar die Mühe gemacht haben, einen 40-seitigen Bericht über Schwachstellen zu verfassen. Zwei Wochen später hatte er die Kündigung auf dem Tisch, hieß es.

Die Schwachstellen in der Kaseya-Software für die Verwaltung von IT-Infrastrukturen wurde schließlich von der Ransomware-Gruppe REvil ausgenutzt, um eine große Zahl von Kunden des Anbieters zu kompromittieren und ein enormes Lösegeld zu erpressen. Die zugrundeliegenden Probleme tauchen immer wieder auf. Denn die Umsetzung verschiedener Maßnahmen zur Verbesserung der IT-Sicherheit kosten aus geschäftlicher Sicht erst einmal nur Geld und andere Ressourcen, ohne direkt etwas einzubringen. Dass man damit aber solch gewaltigen Problemen Tür und Tor öffnet, wie im vorliegenden Fall, wird gern verdrängt.

Siehe auch: