Security-Firma soll für nicht komplett entdeckte Malware zahlen

In der nächsten Zeit wird vor einem Gericht wohl geklärt werden, wie weit ein Security-Unternehmen zur Verantwortung gezogen werden kann, wenn es ihm nicht gelingt, einen Malware-Angriff vollständig zu analysieren und aus der Welt zu schaffen. In den USA hat die Casino-Kette Affinity Games in einem solchen Zusammenhang eine Klage gegen die Sicherheitsfirma Trustwave Holdings eingereicht. Für die Folgen eines Vorfalls, der bereits einige Jahre zurückliegt, werden nun 100.000 Dollar Schadensersatz gefordert. Dabei geht es um Zahlungen, die man aufgrund der Nichterfüllung eines Auftrages zurückhaben will, und auch Forderungen für die daraus entstandenen Folgeschäden, berichtete SoftPedia.

Alles begann im Oktober 2013. Damals wurde die Casino-Kette von den Behörden darüber informiert, dass unbefugte Abbuchungen bei einer Reihe von Kreditkarten-Inhabern wohl auf ein Sicherheitsleck in ihren Systemen zurückzuführen sei. Als das eigene Personal nach einer ersten Analyse deutliche Anzeichen für eine Malware-Infektion erkannte, wurde Trustwave mit der Beseitigung des Problems beauftragt. Bei den folgenden Analysen wurde die Malware auch ausfindig gemacht und eine Backdoor in den Systemen der Casino-Kette gefunden.

Malware geht in Tarnmodus

Als die Sicherheitsexperten gegen das Problem vorgingen, bekam der Angreifer mit, dass man ihm wohl auf die Spur gekommen war. Er stellte alle Aktivitäten ein und deaktivierte auch einige Malware-Komponenten, wodurch diese natürlich wesentlich schwerer auffindbar wurden. Im Großen und Ganzen sah man die Sache nun aber als erledigt an.

Dann aber wurden im Frühjahr 2014 aufgrund neuer gesetzlicher Bestimmungen erneute Sicherheits-Tests der Systeme notwendig, auf denen Kreditkarten-Transfers abgewickelt werden. Mit diesen wurden Experten des Beratungshauses Ernst & Young beauftragt. Von diesen kam dann die Rückmeldung, dass auf einem Server verdächtige Aktivitäten registriert wurden. Das System war zuvor schon Gegenstand der Untersuchung durch Trustwave und wurde eigentlich als gesichert gekennzeichnet. Mit weitergehenden Analysen beauftragte man nun die FireEye-Tochter Mandiant.

Bei Affinity sieht man die Arbeiten von Trustwave daher nun schlichtweg als unzureichend an und will einerseits nicht dafür zahlen und auch für die entstandenen Mehrkosten entschädigt werden. Je nachdem, wie das Urteil letztlich aussehen wird, kann das Verfahren in einem enormen unternehmerischen Risiko für Security-Firmen enden. Denn es ist immer möglich, dass ein Angreifer nicht komplett mit all seinen Tools von einem System verbannt werden kann.