Der Angriff auf NZZ und CH Media
Um den 24. März 2023 drang die Ransomware-Gruppe Play in die IT-Systeme der Neuen Zürcher Zeitung ein und legte innerhalb weniger Stunden weite Teile der Infrastruktur lahm. Die NZZ konnte ihre Printausgabe tagelang nicht vollständig produzieren, Redaktionssysteme waren gestört, und digitale Workflows fielen aus. Dass es sich um dieselbe Gruppe handelt die zuvor die Stadt Oakland und den Cloud-Anbieter Rackspace angegriffen hatte, ordnet den Vorfall in einen grösseren Kontext ein.
Was diesen Fall für die Schweizer Unternehmenslandschaft besonders relevant macht: Die NZZ und CH Media (Watson, diverse Regionalzeitungen, AZ Medien) betrieben zum Zeitpunkt des Angriffs ein gemeinsames IT-Joint-Venture mit geteilter Infrastruktur. Die Angreifer mussten also nicht zwei Unternehmen separat kompromittieren, sondern konnten sich nach dem initialen Zugang ungehindert durch die Systeme beider Organisationen bewegen.
Geteilte Infrastruktur als Risikofaktor
Die gemeinsame IT-Infrastruktur von NZZ und CH Media umfasste gemeinsame Server, gemeinsame Netzwerke und vermutlich auch gemeinsame Admin-Accounts. Was betriebswirtschaftlich durchaus nachvollziehbar ist (Kostenreduktion, Skaleneffekte, zentralisiertes Management), erwies sich aus sicherheitstechnischer Sicht als gravierendes Problem, weil es den Angreifern ermöglichte sich ohne Segmentierung oder zusätzliche Authentifizierung lateral zwischen den Organisationen zu bewegen.
Nach dem Vorfall haben NZZ und CH Media ihre IT-Infrastruktur getrennt, was zeigt dass das Management das Risiko erkannt hat. Eine vorgängige Segmentierung der Netze und die Trennung der Admin-Accounts hätten den Schaden mit hoher Wahrscheinlichkeit auf eine der beiden Organisationen begrenzt.
Datenexfiltration und Erpressung
Play verfolgt eine Double-Extortion-Strategie bei der zuerst Daten exfiltriert und anschliessend die Systeme verschlüsselt werden. Wenn das Opfer nicht zahlt, werden die gestohlenen Daten auf der Leak-Seite der Gruppe im Darknet veröffentlicht.
NZZ und CH Media haben sich entschieden kein Lösegeld zu zahlen, was den Empfehlungen der meisten Sicherheitsbehörden einschliesslich des BACS entspricht. Die Konsequenz war allerdings, dass rund 5 GB Daten auf der Leak-Seite von Play veröffentlicht wurden, darunter Mitarbeiterdaten, Finanzdokumente und interne Kommunikation. Obwohl 5 GB nach vergleichsweise wenig Datenvolumen klingt, können bereits einzelne Dokumente wie Gehaltslisten oder vertrauliche Korrespondenz erheblichen Schaden anrichten.
Das BACS (damals noch NCSC) wurde in die Aufarbeitung einbezogen. Die Wiederherstellung der Systeme dauerte teilweise Wochen bis Monate.
Angriffsweg und Sicherheitskontrollen
Die Play-Gruppe arbeitet nach einem dokumentierten Muster das aus mehreren Phasen besteht. Bei jeder einzelnen Phase hätten etablierte Sicherheitskontrollen den Angriff stoppen oder zumindest den Schaden begrenzen können.
Schritt 1: Initialer Zugang über Phishing
Play nutzt typischerweise Phishing-Mails als Einstiegsvektor, bei dem ein Mitarbeiter auf einen präparierten Link klickt und dadurch seinen Account kompromittiert. E-Mail-Security-Gateways mit Sandbox-Analyse, korrekt konfiguriertes SPF/DKIM/DMARC und regelmässiges Awareness Training (nicht einmal jährlich sondern als laufender Prozess) reduzieren dieses Risiko erheblich.
Schritt 2: Kompromittierung von Zugangsdaten
Nach dem initialen Zugang werden Credentials aus dem Speicher, Kerberos-Tickets und gespeicherte Browser-Passwörter abgegriffen. Multifaktor-Authentifizierung auf sämtlichen Systemen und Accounts ohne Ausnahme, kombiniert mit Privileged Access Management, hätte die Verwertbarkeit der gestohlenen Daten stark eingeschränkt.
Schritt 3: Laterale Bewegung
Die Angreifer bewegten sich von System zu System und von CH Media zu NZZ, ohne dass es Segmentierungsgrenzen oder Alarme bei der lateralen Bewegung gab. Netzwerksegmentierung nach Zero-Trust-Prinzipien mit getrennten Admin-Accounts pro Organisationsbereich hätte diese unkontrollierte Ausbreitung verhindert.
Schritt 4: Rechteausweitung
Der Weg vom normalen Benutzeraccount zum Domain Admin ist für Angreifer der entscheidende Schritt, weil Domain-Admin-Rechte praktisch uneingeschränkten Zugriff auf die gesamte Infrastruktur ermöglichen. PAM-Lösungen mit Just-in-Time-Zugriff (Adminrechte werden nur bei Bedarf und zeitlich begrenzt vergeben) sowie aktives Monitoring von Privilegieneskalationen wirken hier als Gegenmassnahme.
Schritt 5: Datenexfiltration
Die Exfiltration von 5 GB Daten erfolgte vermutlich über mehrere Tage oder Wochen in kleinen, unauffälligen Tranchen. Data Loss Prevention, Egress-Monitoring und Anomalie-Erkennung hätten diesen Datenabfluss sichtbar gemacht; 5 GB die das Netzwerk in Richtung unbekannter Endpunkte verlassen, sollten in einem gut konfigurierten Monitoring-System Alarme auslösen.
Schritt 6: Ransomware-Deployment
Erst nachdem alles vorbereitet war, wurde die eigentliche Verschlüsselung ausgerollt, die Redaktionssysteme, Drucksysteme und Server betraf. EDR auf allen Endpoints, unveränderliche Backups (die also nicht mitverschlüsselt werden können) und Application Whitelisting hätten den Schaden entweder verhindert oder auf ein Minimum reduziert.
Schritt 7: Doppelte Erpressung
Die Forderung lautete wie üblich: Lösegeld zahlen oder die exfiltrierten Daten werden veröffentlicht. Ein vorbereiteter Incident-Response-Plan mit klaren Zuständigkeiten, ein Kommunikationsplan für interne und externe Stakeholder sowie Rechtsberatung mit Erfahrung in Cybervorfällen sind hier die relevanten Massnahmen. Die Reaktion von NZZ und CH Media, nicht zu zahlen, das BACS einzubeziehen und transparent zu kommunizieren, kann als Referenz für andere betroffene Organisationen dienen.
Kontext: Angriffswelle auf Schweizer IT-Dienstleister 2023
Der NZZ-Fall war kein isoliertes Ereignis sondern Teil einer breiteren Angriffswelle die 2023 mehrere Schweizer IT-Dienstleister traf und ein systemisches Risiko in der Schweizer IT-Landschaft offenlegte.
Im Juni 2023 wurde Xplain kompromittiert, ein IT-Dienstleister der Schweizer Bundesverwaltung. 900 GB Daten wurden gestohlen und veröffentlicht, darunter Polizeidaten des fedpol, Informationen über laufende Verfahren und heikle Verwaltungsdaten. Die politischen Konsequenzen waren erheblich und die Aufarbeitung dauert bis heute an. Im November 2023 traf es Concevis, einen weiteren IT-Provider der Bundesverwaltung, wobei Steuerdaten und sensible Verwaltungsinformationen betroffen waren.
Das gemeinsame Muster dieser Angriffe: statt die eigentlichen Zielorganisationen direkt anzugreifen, kompromittierten die Angreifer deren IT-Dienstleister und erhielten dadurch Zugang zu den Daten dutzender Kunden gleichzeitig. Dieser Supply-Chain-Ansatz ist besonders effizient, weil ein einziger kompromittierter Provider den Zugang zu einer Vielzahl von Organisationen ermöglicht.
Das BACS berichtet von stetig steigenden Angriffszahlen auf Schweizer Organisationen. Die Kombination aus hoher Kaufkraft, vielen KMU mit begrenzten Security-Budgets und stark vernetzten IT-Lieferketten macht die Schweiz zu einem attraktiven Ziel für Ransomware-Gruppen.
Empfehlungen
Geteilte Infrastruktur segmentieren: Organisationen die IT-Infrastruktur mit Partnern oder Tochtergesellschaften teilen, sollten diese logisch und wo mögich physisch segmentieren, mit getrennten Admin-Accounts und getrennten Authentifizierungsdomänen pro Organisationseinheit.
IT-Dienstleister als Angriffsfläche behandeln: Die Sicherheitskonzepte und Zugriffsrechte externer IT-Dienstleister müssen regelmässig überprüft werden, einschliesslich der Frage mit welchen Rechten diese auf welche Systeme zugreifen und wie sie ihre eigene Infrastruktur absichern.
MFA flächendeckend aktivieren: Multifaktor-Authentifizierung sollte auf sämtlichen Systemen, Accounts und Remote-Zugängen ohne Ausnahme aktiviert sein, einschliesslich der Accounts von IT-Dienstleistern und Contractors.
Backup-Strategie validieren: Backups müssen unveränderlich (immutable) sein, offline-Kopien umfassen und regelmässig durch tatsächliche Restore-Tests überprüft werden; ein Backup das nie getestet wurde, ist kein verlässliches Backup.
Monitoring implementieren: Ein Datenabfluss von 5 GB über mehrere Tage muss in einem professionellen Monitoring-Setup erkannt werden. EDR, SIEM und Anomalie-Erkennung sind die technischen Grundlagen dafür, aber es braucht auch Personal das die Alarme auswertet und darauf reagiert.
Incident Response vorbereiten: Zuständigkeiten, Kommunikationswege und die Entscheidung zur Lösegeldfrage sollten vor einem Vorfall geklärt sein, nicht während des Angriffs um drei Uhr morgens..
Sie teilen IT-Infrastruktur mit Partnern oder haben kritische IT-Dienstleister? Kontaktieren Sie uns für ein Assessment Ihrer Sicherheitslage.
Quellen:
– NZZ: Was Sie über den Cyberangriff auf die NZZ wissen müssen
– SRF: NZZ und CH Media von Ransomware-Attacke betroffen
– BACS (ehemals NCSC): Bundesamt für Cybersicherheit
– Watson: Hackerangriff auf NZZ und CH Media