Ende März wurde die Advanced Computer Software Group von der britischen Datenschutzbehörde mit einer Geldstrafe von etwas über 3 Millionen Pfund belegt . Mehrere Sicherheitslücken bei dem IT-Dienstleister führten zur Gefährdung der persönlichen Daten von fast 80,000 Menschen und gefährdeten die körperliche Unversehrtheit schutzbedürftiger Personen.

Die betroffene Tochtergesellschaft, Advanced Health and Care (AHC), hätte es besser wissen müssen. Doch ihre Versäumnisse sind keine Seltenheit. Sie hatte schlicht das Pech, entdeckt zu werden, nachdem Ransomware-Akteure den NHS-Lieferanten ins Visier genommen hatten. Die Frage ist, wie andere Organisationen das gleiche Schicksal vermeiden können. Glücklicherweise finden sich viele Antworten in der detaillierten Strafanzeige, die kürzlich vom Information Commissioner's Office (ICO) veröffentlicht wurde.

Was schief gelaufen ist?

AHC bietet verschiedene wichtige Dienstleistungen für Kunden im Gesundheitswesen, darunter auch den Nationalen Gesundheitsdienst (NHS), an. Dazu gehören Software für Patientenmanagement, elektronische Patientenakten, klinische Entscheidungsunterstützung, Pflegeplanung und Personalmanagement. Darüber hinaus unterstützt das Unternehmen den NHS-Notruf 111 für dringende medizinische Beratung.

Obwohl einige Informationen im Strafbescheid des ICO geschwärzt wurden, können wir einen groben Zeitplan für den Ransomware-Angriff erstellen.

  1. Am 2. August 2022 loggte sich ein Angreifer über ein Citrix-Konto mit einer kompromittierten Passwort-/Benutzernamen-Kombination in das Staffplan-System von AHC ein. Es ist unklar, wie diese Zugangsdaten erlangt wurden.
  2. Sobald sie sich im System befanden, führten sie eine Datei aus, um den zwei Jahre alten „ZeroLogon“ auszunutzen. Verwundbarkeit die nicht gepatcht worden waren. Dadurch konnten sie ihre Berechtigungen auf ein Domänenadministratorkonto erhöhen.
  3. Der Angreifer nutzte diese Berechtigungen anschließend, um sich lateral durch Domänen zu bewegen, den Virenschutz zu deaktivieren und weitere Aufklärungsaktivitäten durchzuführen. Außerdem nutzte er die Cloud-Speicher- und Dateihosting-Dienste von AHC und lud „Infrastrukturverwaltungsprogramme“ herunter, um Datenexfiltration zu ermöglichen.
  4. Die Angreifer setzten Ransomware auf 395 Endpunkten ein und exfiltrierten 19 GB an Daten, wodurch Advanced gezwungen war, neun wichtige Softwareangebote offline zu nehmen – drei davon vorsorglich.

Die wichtigsten Sicherheitslücken

Die drei wichtigsten Sicherheitsmängel, die die Untersuchung des ICO aufdeckte, waren die folgenden:

Schwachstellenscans: Das ICO fand keine Hinweise darauf, dass AHC regelmäßig Schwachstellenscans durchführte – was angesichts der Sensibilität der verwalteten Dienste und Daten sowie der Tatsache, dass der Gesundheitssektor von der Regierung als kritische Infrastruktur (CNI) eingestuft wird, geboten gewesen wäre. Das Unternehmen hatte zuvor Tools für Schwachstellenscans, Web-App-Scans und die Einhaltung von Richtlinien erworben, zum Zeitpunkt des Datenlecks jedoch nur zwei Scans durchgeführt.

AHC führte zwar Penetrationstests durch, verfolgte die Ergebnisse jedoch nicht weiter, da die Angreifer die durch die Tests aufgedeckten Schwachstellen später ausnutzten, so das ICO. Gemäß der DSGVO wertete das ICO diese Beweise als Beleg dafür, dass AHC es versäumt habe, „angemessene technische und organisatorische Maßnahmen zu ergreifen, um die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste zu gewährleisten“.

Patch-Management: AHC hat ZeroLogon zwar gepatcht, jedoch nicht systemweit, da kein ausgereifter Patch-Validierungsprozess vorhanden war. Tatsächlich konnte das Unternehmen nicht einmal überprüfen, ob der Fehler auf dem betroffenen Server behoben wurde, da keine genauen Aufzeichnungen vorlagen.

Risikomanagement (MFA): Für die Citrix-Umgebung von Staffplan war keine Multifaktor-Authentifizierung (MFA) implementiert. Im gesamten AHC-Netzwerk stand Nutzern MFA lediglich als Anmeldeoption für zwei Anwendungen (Adastra und Carenotes) zur Verfügung. Das Unternehmen verfügte zwar über eine 2021 getestete MFA-Lösung, hatte diese jedoch aufgrund geplanter Ablösung bestimmter älterer Produkte, für die Citrix den Zugriff ermöglichte, nicht eingeführt. Laut ICO nannte AHC die mangelnde Bereitschaft der Kunden zur Einführung der Lösung als weiteres Hindernis.

Was waren die Auswirkungen?

Es gibt einen Grund für die hohe Geldstrafe, die das ICO verhängte. Diese wurde von den noch höheren 6.1 Millionen Pfund reduziert, nachdem Advanced sich proaktiv mit den Behörden auseinandergesetzt und einem freiwilligen Vergleich zugestimmt hatte. Kurz gesagt: Der Verstoß gefährdete die digitale und physische Sicherheit vieler unbescholtener Datensubjekte und legte wichtige Dienste wochenlang lahm. Im Einzelnen:

  • Die Angreifer erbeuteten Daten von 79,404 Personen, von denen fast die Hälfte besondere Kategorien von Daten enthielt. Dazu gehörten Krankenakten, Sozialversicherungsnummern, Informationen zu religiösen Überzeugungen, Beschäftigung und demografische Daten.
  • Diese Daten einer besonderen Kategorie enthielten Einzelheiten darüber, wie man in die Wohnungen von 890 betroffenen Personen gelangte, die häusliche Pflege erhielten.
  • Ein anschließender Dienstausfall betraf 658 Kunden, darunter auch den NHS. Einige Dienste waren bis zu 284 Tage lang nicht verfügbar. Laut weit verbreiteten Berichte damalskam es zu erheblichen Störungen des wichtigen NHS-111-Dienstes und die Arztpraxen waren gezwungen, auf Stift und Papier zurückzugreifen.

Das gleiche Schicksal vermeiden

„Die heutige Entscheidung ist eine deutliche Erinnerung daran, dass Organisationen ohne robuste Sicherheitsmaßnahmen Gefahr laufen, das nächste Ziel zu werden“, sagte Datenschutzbeauftragter John Edwards bei der Bekanntgabe des Bußgeldes. Was gilt also nach Ansicht des ICO als „robust“? Der Bußgeldbescheid verweist auf die Empfehlungen des NCSC, Cyber ​​Essentials und ISO 27002 – letztere bietet wichtige Hinweise zur Umsetzung der nach ISO 27001 geforderten Kontrollen.

Konkret wird die Norm ISO 27002:2017 mit der Aussage zitiert: „Informationen über technische Schwachstellen der verwendeten Informationssysteme sollten zeitnah eingeholt, die Anfälligkeit der Organisation für derartige Schwachstellen bewertet und geeignete Maßnahmen ergriffen werden, um das damit verbundene Risiko zu adressieren.“

Das NCSC empfiehlt mindestens einmal im Monat Schwachstellen-Scans, was Advanced in seinem Unternehmensumfeld offenbar auch tat. Das ICO betonte zudem, dass Penetrationstests allein nicht ausreichen, insbesondere wenn sie wie AHC ad hoc durchgeführt werden.

Darüber hinaus empfiehlt ISO 27001:2022 in Anhang A ausdrücklich die Multi-Faktor-Authentifizierung (MFA) zur Erreichung einer sicheren Authentifizierung, abhängig von „Art und Sensibilität der Daten und des Netzwerks“.

All dies deutet darauf hin, dass ISO 27001 ein guter Ausgangspunkt für Unternehmen ist, die den Aufsichtsbehörden versichern möchten, dass ihnen das Wohl ihrer Kunden am Herzen liegt und Security by Design als Leitprinzip gilt. Tatsächlich geht es weit über die drei oben genannten Bereiche hinaus, die zum AHC-Verstoß geführt haben.

Entscheidend ist, dass Unternehmen dadurch auf Ad-hoc-Maßnahmen verzichten und einen systematischen Ansatz für das Management von Informationssicherheitsrisiken auf allen Organisationsebenen verfolgen können. Das ist eine gute Nachricht für jedes Unternehmen, das vermeiden möchte, selbst zum nächsten Advanced zu werden oder einen Lieferanten wie AHC mit unzureichender Sicherheitslage zu beauftragen. Der Standard trägt dazu bei, klare Informationssicherheitsverpflichtungen festzulegen, um Lieferkettenrisiken zu minimieren.

In einer Welt zunehmender Risiken und Komplexität der Lieferketten könnte dies von unschätzbarem Wert sein.