BAE Systems: Cyberangriff legt US-Insolvenzmitteilungen lahm
Ein Cyberangriff auf den Rüstungskonzern BAE Systems hat das System lahmgelegt, über das sämtliche Insolvenzgerichte des Bundes in den USA ihre Verfahrensmitteilungen verschicken.
Das Administrative Office of the U.S. Courts, die Behörde, die die Bundesjustiz in Verwaltungsfragen unterstützt, bestätigte die Störung in einer Erklärung am Donnerstagnachmittag. Betroffen ist das Bankruptcy Noticing Center (BNC), das BAE Systems im Auftrag der Justiz betreibt. Es erstellt und versendet die Insolvenzmitteilungen für alle Insolvenzgerichte des Bundes.
Websites und Mitteilungserstellung offline
Nach Angaben der Gerichte ist derzeit kein Zugriff auf die BNC-Systeme und auf die Websites möglich, die BAE für die Justiz betreibt. Auch der Versand von Insolvenzmitteilungen steht still. Der Ausfall betrifft mehrere Domains und Dienste:
- bnc.uscourts.gov
- bankruptcynotices.uscourts.gov
- notices.uscourts.gov
- den National Creditor Registration Service
Damit werden im Moment keine Insolvenzmitteilungen erstellt.
"Das Administrative Office of the U.S. Courts steht mit den betroffenen Gerichten in Kontakt und stimmt sich zudem mit BAE Systems ab. BAE untersucht den Vorfall aktiv und arbeitet daran, den Betrieb wiederherzustellen", hieß es von offizieller Seite.
Fragen dazu, welche Art von Angriff das System getroffen hat und ob Daten gestohlen wurden, beantwortete die Behörde nicht.
BAE: Vorfall auf das BNC beschränkt
BAE Systems ist ein britischer Konzern mit weltweiter Präsenz und einer der größten Rüstungshersteller der Welt. Das Unternehmen ist eng mit der US-Regierung verflochten und liefert Luft- und Raumfahrttechnik, Waffen und IT-Sicherheitsdienstleistungen an mehrere Bundesministerien.
Ein Unternehmenssprecher erklärte, BAE habe "Kenntnis von einem Sicherheitsvorfall, der auf das BNC-System begrenzt ist, und sofort Maßnahmen ergriffen, um ihn zu beheben". Man stimme sich bei der Reaktion "eng" mit dem Administrative Office of the U.S. Courts ab, so der Sprecher weiter.
Die Cybersecurity and Infrastructure Security Agency (CISA), die normalerweise für Cyberangriffe auf Bundesbehörden zuständig ist, verwies bei Fragen an die U.S. Courts. Das FBI reagierte nicht auf Anfragen nach einer Stellungnahme.
Nicht der erste Treffer bei der Justiz
Die Justiz ist immer wieder ins Visier geraten. Anfang 2020 griffen Hacker das Aktenführungssystem der Bundesgerichte an. Im vergangenen Jahr kündigten Vertreter der Bundesgerichte an, die Online-Sicherheit für sensible Dokumente und Verfahrensakten zu verbessern. Vorausgegangen war ein schwerer Hack des Systems für die elektronische Einreichung von Schriftsätzen, bei dem nach Befürchtungen der Behörden die Identitäten vertraulicher Informanten in Strafverfahren offengelegt worden sein könnten.
Auch Gerichte der Bundesstaaten wurden getroffen. Nur wenige Wochen vor dem BNC-Ausfall wurde in das Gerichtssystem des Bundesstaats Arizona eingebrochen, Daten von mehr als 1,3 Millionen Menschen gelangten an die Öffentlichkeit.
Der Vorfall fällt zudem in eine insgesamt schwierige Phase für die US-Regierung. In den vergangenen Wochen gab es Cyberangriffe, die das Verteidigungsministerium und das FBI betrafen. Am Mittwoch bestätigte das Verkehrsministerium, dass ein Kontaktcenter einer seiner Sicherheitsbehörden vorübergehend vom Netz genommen wurde, nachdem ein Dienstleister Opfer eines Cyberangriffs geworden war.
Unsere Einschätzung
Der BNC-Ausfall zeigt einmal mehr, wie ein einzelner Dienstleister zum Single Point of Failure für einen ganzen Zweig des Staates werden kann. Ein einziges, von einem externen Anbieter betriebenes System wickelt die Mitteilungen für alle Insolvenzgerichte des Bundes ab, also legt ein einziger Vorfall bei diesem Anbieter den Ablauf landesweit lahm. Der Fall beim Verkehrsministerium aus derselben Woche folgt einem ähnlichen Muster. Das deutet darauf hin, dass Angreifer, oder zumindest die Folgen ihrer Angriffe, staatliche Dienste zunehmend über Dritte erreichen statt direkt über die Behörden.
Für Leser aus Rechtswesen, Finanzbranche und öffentlichem Dienst sind vor allem die Daten das größere Problem. Insolvenzmitteilungen gehen an Schuldner, Gläubiger und deren Anwälte und enthalten persönliche und finanzielle Angaben. Weder die Gerichte noch BAE haben gesagt, ob etwas abgeflossen ist. Angesichts des jüngsten Datenlecks bei den Gerichten in Arizona und Vorfällen wie dem Einbruch bei der Legal Aid Agency in Großbritannien wäre es ratsam, dass alle, die an aktuellen Insolvenzverfahren beteiligt sind, auf gezieltes Phishing rund um juristische Arbeitsabläufe achten, darunter gefälschte Mitteilungen, die die durch den Ausfall entstandene Lücke ausnutzen wollen.
Es lohnt sich zu beobachten, ob BAE die Art des Angriffs offenlegt, ob sich eine Ransomware- oder Erpressergruppe dazu bekennt und wie lange die Gerichte brauchen, um den Mitteilungsversand wiederherzustellen. Auch Abgeordnete dürften fragen, wie ein Dienstleister mit derart weitreichendem Zugriff auf Regierungssysteme kompromittiert werden konnte und ob die Sicherheitsverbesserungen der Justiz auch die Anbieter erfassen, auf die sie angewiesen ist.