26.10.2023 Wiederanlauf der IT nach Ransomware-Attacke

Incident Response bei Westfalen

Von: Berthold Wesseler

Nach einer Ransomware-Attacke war die Münsteraner Westfalen-Gruppe gezwungen, Teile ihrer IT-Infrastruktur neu aufzubauen. Den IT-Notfall nutzte das Unternehmen als Chance zum Neuanfang und baute die IT-Landschaft noch sicherer wieder auf.

Andreas Eckey, Information Security Officer bei der Westfalen AG
Die Westfalen-Gruppe verfügt mit rund 260 Stationen über das größte Netz konzernunabhängiger Markentankstellen in Deutschland – mit dem Schwerpunkt in NRW und Niedersachsen.

Der 21. Januar 2021 nimmt in der hundertjährigen Geschichte der Westfalen AG einen im negativen Sinne besonderen Platz ein. Denn an diesem Tag offenbarte sich den Verantwortlichen, dass sie Opfer einer Cyberattacke waren. Schnell zeigte sich, dass das Rechenzentrum inklusive der Backup-Landschaft ausgefallen war. Nicht betroffen waren die SAP-Systeme mit wichtigen Geschäftsdaten, die bei einem externen Partner gehostet werden, sowie weitere Cloud-Anwendungen wie beispielsweise Microsoft-Office-Dienste. Glücklicherweise blieb auch das Kritis-relevante Tankstellen-Netz ebenfalls unberührt.

Nicht verhandeln, sondern neu aufbauen!

Um die Lage wieder unter Kontrolle zu bekommen, entschieden die Beteiligten, externe Fachleute hinzuzuziehen. Bei der Wahl eines geeigneten Partners folgte die Westfalen-Gruppe dem Rat der Ermittlungsbehörden, ein Unternehmen zu beauftragen, das vom BSI als APT-Response-Dienstleister zertifiziert ist. Andreas Eckey, Information Security Officer bei der Westfalen AG, hat sich dann für die Zusammenarbeit mit der Bochumer G Data Advanced Analytics GmbH entschieden. „Die Zusammenarbeit war hervorragend“, sagt Eckey. „Gerade die klare Kommunikation und das schlüssige Maßnahmen-Konzept haben für eine Grundstruktur in der stressigen Situation gesorgt.“

Bei der Rückkehr zur Normalität setzte die Westfalen AG auf die fachliche Expertise von G Data und im SAP-Bereich auf Werth IT. Der Auftrag an G Data war klar: eine forensische Analyse des Angreifervorgehens, Maßnahmen für einen sicheren Notbetrieb der IT-Landschaft und ein Konzept für einen gefahrlosen Wechsel vom Notbetrieb zum Normalbetrieb.

Zurück zum Normalbetrieb

Da verschlüsselte Systeme ohne den passenden digitalen Schlüssel nicht entschlüsselt werden können, fokussierten sich die Fachleute auf den Wiederaufbau der Infrastruktur. Die verlorenen Daten konnte das Unternehmen dabei größtenteils aus alten Offline-Backups wiederherstellen, denn die aktuellen Backups waren ebenfalls verschlüsselt.

Rund acht Wochen dauerte der Ausnahmezustand bei der Westfalen AG. In dieser Zeit hatte das IT-Team die Prozesse etabliert und Systeme stabilisiert, sodass die Kundenversorgung sichergestellt war. Ein wesentlicher Erfolgsfaktor dabei war die Umsetzung eines Zwei-Phasen-Konzeptes mit einem sogenannten „gelben“ und „grünen“ Netz. Das „gelbe“ Netz ermöglichte rudimentäre Arbeiten am Rechner ohne Zugriffsmöglichkeiten auf die Server-Infrastruktur. Ins „grüne“ Netz durften nur Systeme integriert werden, die neu aufgesetzt worden waren und bei denen eine Kompromittierung ausgeschlossen wurde, um eine Re-Infektion zu verhindern.

IT-Sicherheit auf dem Prüfstand

Mit der Rückkehr zur Normalität und dem Ausrollen neuer zukunftsfähiger IT-Lösungen rückten die IT-Verantwortlichen eine Frage in den Mittelpunkt: „Ist unsere IT wirklich sicher?“. Daher entschied sich die Westfalen-Gruppe, ihre Infrastruktur nun regelmäßig auf Schwachstellen zu überprüfen.

Dafür setzten sie auf die Durchführung von Penetration-Tests und weiterhin auf die Expertise von G Data. So offenbaren die Tests immer wieder Stellen, an denen die IT-Verantwortlichen nachschärfen können – etwa bei der stetigen Absicherung der Passwörter in allen Bereichen oder bei der schnellen Bereitstellung von neuen Software-Updates.

Bildquelle: Westfalen AG