*rC3 NOWHERE Vorspannmusik*
Herald: Willkommen zurück in Halle, aus unserem ChaosZone TV-Studio. Der nächste
Vortrag ist von egouvernante und HonkHase, es geht um "Rebuilding Landkreis Anhalt-
Bitterfeld". egouvernante ist eigentlich eine Projektkoordinatorin zur
Digitalisierung im Landkreis, hat sich aber im Juli 2021 als Einsatzleiterin "das
technische Feuer zu bekämpfen" wiedergefunden. HonkHase ist ein Urgestein
im Chaos Computer Club und hat viel Erfahrung mit Cybersicherheit als Berater.
Er ist auch politisch aktiv in der NGO AG Kritis für kritische Infrastruktur. Viel
Spaß!
egouvernante: Ja hi und schönen guten Abend zusammen! Wir freuen uns, dass ihr
hier seid, um euch ein bisschen was aus erster Hand zum Vorfall im Landkreis
Anhalt-Bitterfeld anzuhören. Seit ich meine eigentlichen, also in meine
eigentlichen Aufgaben als CDO zurückgekehrt bin, nehme ich öfter mal an
Webkonferenzen teil und dann höre ich öfter mal so die Argumentation: hört auf
mich, egal was ich erzähle, ne, sonst geht es euch wie denen, nämlich dem Landkreis
Anhalt-Bitterfeld. Und ich denke, das ist einfach ein bisschen zu kurz gesprungen.
Und ich glaube, der Vorfall taugt letztlich zu mehr als nur zum
Verkaufsargument der eigenen Ansichten. Und deswegen der Titel "Rebuilding
Landkreis Anhalt-Bitterfeld". Ich berichte ein bisschen was zum Wiederaufbau.
HonkHase hatte mich heute als konstruktiv angekündigt. Das heißt, ich gebe mir Mühe,
und Zeit also ein paar Erfahrungen zu teilen. Und inzwischen haben wir nämlich
auch die Zeit und die Nerven dafür. "Rebuilding Landkreis Anhalt-Bitterfeld".
Also was war passiert? Am 6.7. hat ein Mitarbeiter im Amt für Brand-,
Katastrophenschutz und Rettungsdienst seinen Arbeitsplatz-PC eingeschaltet und
sah genau das hier, was auf der Folie zu sehen ist. "Landkreis Anhalt-Bitterfeld:
You are fucked do not touch anything". Persönliche Ansprache, ungewöhnlich klares
Statement, das ist man in der Form in der öffentlichen Verwaltung ja erstmal nicht
gewohnt, aber ein schneller Anruf bei der IT sollte eigentlich genügen. So zumindest
die Denkweise der Mitarbeiter, und die würden sich dann schon drum kümmern, und
dann geht es normal weiter. Der Anruf war so gegen 6:45 Uhr und trat etwas los, was
uns jetzt wahrscheinlich noch bis Ende März '22 begleiten wird. Was war konkret
passiert? Also am Morgen des 5.7. gehen wir davon aus, dass auf mehreren Systemen
codierte PowerShell Befehle ausgeführt wurden, um Backdoors zu etablieren. Also
die ersten Verschlüsselungaktivitäten gab es dann am 6.7., Das ist der Tag, an dem
wir dann auch davon mitbekommen haben, davon etwas mitbekommen haben. Das war
schon gegen 4:30 Uhr und auf anderen Systemen begann die Verschlüsselung
hauptsächlich erst gegen 6:30 Uhr und auf jedem System wurden zu verschiedenen
Uhrzeiten die Security Logs und einige andere Ereignisanzeigenlogs geleert und im
Anschluss daran eine Remote-Desktop Sitzung getrennt. Also zusätzlich wurde
das Remote-Desktop Protokoll gelöscht. Das heißt, wir werden im Endeffekt gar nicht
mehr so viel wissen können. Wir werden im Endeffekt keine, keine Informationen,
letztlich also bis zum Schluss haben und es ist lediglich bekannt, wann die Sitzung
hier beendet wurde. Und es ist weiterhin davon auszugehen, dass die Verschlüsselung
von Hand ausgelöst wurde, da bei den Systemen, bei denen eine komplette
Abmeldung durchgeführt wurde, die Systeme aufhörten Daten zu verschlüsseln. Aber da
uns die Logs fehlen, kann kaum nachvollzogen werden, welche Tätigkeiten
auf welchen Systemen denn vom Angreifer durchgeführt wurden. Es ist aber
wahrscheinlich, dass der Angreifer sich bewusst im System bewegt hat und eben auch
entsprechend ausgewählt hat, was er dort tut. Die ersten Erkenntnisse haben dann
auch gezeigt, dass der, dass der Angreifer mit PowerShell Scripts gearbeitet hat und
eben um diese Backdoors zu installieren. Und was auch gesagt werden kann ist, dass
die Verschlüsselung sehr schnell lief und dass eben großer Schaden angerichtet
wurde. Das bedeutet im Endeffekt, dass wir davon ausgehen mussten, dass das komplette
System kompromittiert ist. Und das bedeutet eben auch, dass wir hier die
ganzheitliche Verfahrensweise geplant haben. So, also in der Pressemitteilung
war es dann so formuliert und dann eben auch wurde es dann eben auch so
weitergeführt. Also aus einer ungeklärten Quelle kam es zur Infektion mehrerer
Server des Netz — mehrere Server des Netzwerkes. In dessen Folge kam es zur
Verschlüsselung einer noch nicht näher spezifizierten Anzahl von Dateien und als
Sofortmaßnahme wurden alle kritischen Systeme vom Netz getrennt um einen
eventuellen Datenabfluss zu unterbinden. Und im Katastrophenmodus sind wir seit dem
9. Juli 2021 seit 11 Uhr, da waren 3 Tage vergangen. Also im Vorfeld gab es den
Stab für außergewöhnliche Ereignisse. Was wir in der Zwischenzeit erledigt und
probiert haben, das habe ich schon mal bei der Stiftung Neue Verantwortung berichtet.
Also kann dann auch nachgehört werden. Aber vielleicht stellt sich aber nun
anhand der vorangegangenen Informationen jetzt eigentlich nicht mehr so sehr die
Frage, warum wir den Katastrophenfall ausgelöst haben. Denn eigentlich war es
relativ schnell klar, dass wir die technische Infrastruktur, also das die
technische Infrastruktur tatsächlich zeitlich länger ausfallen würde und auch,
dass es ganz objektiv über das Eigentliche, also das Ausmaß eines
alltäglichen Schadensereignisses hinausgeht, und dabei eben auch wie man es
so sagt, die erheblichen Sachwerte oder lebensnotwendige Versorgungsmaßnahmen,
wenn man das jetzt mal herunterbricht auf die Aufgaben des Sozialamtes tatsächlich
für die Bevölkerung gefährdet sind oder eben eingeschränkt waren. Und das eben wie
gesagt auf lange Zeit. Oder drücken wir es mal anders aus: also die Dienste für
unsere zahlreichen oder zentralen, eben auch Geschäftsprozesse konnten auf einen
absehbaren Zeitraum nicht mehr erbracht werden, und es stand zu dem Zeitpunkt
weder ein Backup bereits, auf das wir zugreifen konnten, noch wussten wir, ob
diese Backups nicht auch kompromittiert waren. Insofern stand das erstmal auch
nicht zur Debatte. Und dann muss man eben auch im Hinterkopf haben, dass die
Erklärung oder nicht-Erklärung des Katastrophenfall eben auch weitreichende
juristische Konsequenzen für eine Verwaltung haben kann. Und da geht es um
Schadensersatzforderungen, die dann tatsächlich auch im Endeffekt an uns
herangetragen wurden, weil eben Autos nicht zugelassen werden konnten oder
Termine nicht vergeben wurden und so weiter. Und vielleicht ist es ein guter
Zeitpunkt, um mal so in kurzen Auszügen ein bisschen was zu den Aufgaben der
Landkreisverwaltung erzählen, ohne zu, ohne jetzt so wahnsinnig ins Detail zu
gehen. Das Amt 50, also unser Amt für unser Sozialamt, ist zuständig für die
Sozialhilfe. Ich denke, das stand im Vorfeld, das war das Wichtigste, weil das
waren die Leute, die uns direkt angerufen haben. Also deren Aufgabe ist die
Auszahlung der Sozialhilfe oder die Berechnung der Sozialhilfe. Das ist die
Altenhilfe, die Feststellung und Durchsetzung von Unterhaltsansprüchen. Und
da geht es um ganz essentielle Angelegenheiten der Menschen. Und ohne das
Amt 20, also die Kämmerei, passiert da auch nicht viel, denn das wickelt den
kompletten Zahlungsverkehr ab und es reicht nicht, das zu berechnen, sondern es
muss auch tatsächlich ausgezahlt werden können. Mahnverfahren müssen eingeleitet
werden und so weiter. Also mit dem Bereich Soziales, oder in den Bereich Soziales
fallen des Amts für Ausländerangelegenheiten, aber eben auch
das Jugendamt. Letzteres hat, um so die Vehemenz und Dringlichkeit der, der
Aufgaben zu erklären, ein Schutzauftrag zum Beispiel bei Kindeswohlgefährdung. Und
das heißt, ihr obliegt eben auch die die Geltendmachung von Unterhaltsansprüchen,
also Unterhaltsvorschussgesetz und so weiter. Und das sind Vorgänge, die eben
existenziell wichtig sind für die Bürger und auch wirtschaftlich existenziell
bedrohlich sind tatsächlich auch die Leistungen des Ordnungsamtes, weil hier
drin untergliedert sind eben auch die KFZ- Zulassung und die und die
Führerscheinangelegenheiten, also das Fahrerlaubnisrecht. Und das kann eben
alles sein, vom PKW bis zum Mähdrescher. Und Menschen leben vom Handel mit
Fahrzeugen, sie leben aber auch mitunter mit der, also von der Nutzung ihrer
Fahrzeuge, indem sie einfach zur Arbeit fahren. Und dann spielt auch eine ganz
tatsächlich, also sehr wichtige Rolle, wie jeder weiß, das Gesundheitsamt und die
Verhütung und Bekämpfung eben übertragbare Krankheiten steht da im Fokus. Also jetzt
unser Infektionschutzgesetz geradezu zu Covid-19-Zeiten ist so aktuell wie nie.
Und auch nicht ganz unproblematisch ist eben auch die fehlende Überwachung der
Leichenschau und der von Totenscheinen. Und ich will jetzt nicht allzu sehr weiter
ins Detail gehen. Aber die Landkreisverwaltung hat eben auch in dem
Bereich des Inneren Aufgaben, die ganz normal durchgeführt werden müssen. Also
das sind normale Vergaben, das sind Bekanntmachungen. Das ist aber eben auch
die Organisation des Sitzungsdienstes, und weil die politischen Gremien eben auch
nicht, weil wir einen Katastrophenfall haben, die Arbeit einstellen. Und die
erste Frage lautete dann eben auch vom BSI, ob wir noch die Möglichkeit haben bei
der Bundestagswahl — also wir haben natürlich auch den Kreiswahlleiter, also
ob die Bundestagswahl quasi in unserem Kreis gefährdet ist. Ansonsten
Schulverwaltungsamt, klar, uns geht wahnsinnige Summen verloren, wenn wir
jetzt z.B. beim Digitalpakt Schule nicht arbeiten können und auch Veterinär-
und Lebensmittelüberwachung, das mit der Tierseuchenbekämpfung, dem Tierschutz und
dem Schlachttier- und Fleischbeschau befasst, ist natürlich irgendwo auch
kritisch bei der bei der Lebensmittelproduktion so einzuordnen. Und
wenn wir jetzt auch mal den Blick nach Innen richten warum dieser
Katastrophenfall ausgelöst wurde, wussten wir zu dem Zeitpunkt nicht, wann wir
irgendwas wieder hochfahren können und wenn wir es hochfahren, dass
gegebenenfalls die Verschlüsselung weitergeht. Und deswegen musste neue
Technik beschafft werden, insbesondere auch bei der Bereitstellung des Notnetzes.
Und im Normalfall ist man als Verwaltung an Vergaberecht gebunden. Also diejenigen
von euch, die mit Verwaltungen arbeiten, kennen das, wie lange sich das hinziehen
kann. Und auch wenn aktuell über die Vereinfachung verstärkt diskutiert wird —
was absolut notwendig ist! — in unserem Fall hat das Feststellen des
Katastrophenfalls dafür gesorgt, dass Technik erst mal ohne Vergabeverfahren
beschafft werden konnte. Also es musste nicht das komplette Vergabeprozedere hier
durchexerziert werden. Es musste nicht geprüft werden, ob die Gelder im Haushalt
zur Verfügung stehen. Es musste nicht das Rechnungsprüfungsamt bestätigen, dass die
Gelder zur Verfügung stehen, der Vergabeausschuss musste nicht einberufen
werden und zusammenkommen und ähm, ohne Zugriff auf die Daten wäre auch
tatsächlich nichts von all dem möglich gewesen. Und die Technik für das Notnetz,
das innerhalb einer Woche an 3 Standorten aufgebaut wurde, Lieferfristen
dann eben auch eingerechnet, konnte nach einer ad-hoc Vorstellung so einfach, also
nach einer ad-hoc Vorstellung von 3 Systemhäusern dann eben einfach beauftragt
werden, was wahnsinnig geholfen hat und was eben auch der Schnelligkeit, die
eigentlich in den ersten Phasen sein muss, entspricht. Und weiter geht's mit dem
Ressourceneinsatz. Also alles, was im Haus "IT" buchstabieren konnte, wurde
zusammengezogen. Das heißt, das Sachgebiet EDV war zu diesem Zeitpunkt noch im Amt
für Organisation, Personal und EDV zugeordnet. Andere IT-Kollegen waren dem
Schulverwaltungamt zugeordnet und ich, weil ich eher in den Themen Verwaltungs-,
Prozesse OZG und Digitalisierung und Digitalstrategie tätig bin, war dem Amt
für zentrale Steuerung und Recht zugeordnet. Und mit der Benennung als
technische Einsatzleitung oder technische Einsatzleiterin war ich dann tatsächlich
mit einem Mal nicht mehr Einzelkämpferin, sondern hatte eine ganze Traube Menschen
bei mir, also die ITler, die Fachexperten und eben auch die Assistenten. Und ich
muss an der Stelle auch sagen, dass ich mich von Tag eins an geweigert habe, das
Sachgebiet EDV als solches zu benennen, sondern hatte die tatsächlich immer gleich
IT benannt, was dann irgendwann mal dazu führte, dass im Kat-Stab abgefragt wurde.
Heißen die jetzt IT? Und wir dann diese Verwaltungsmodernisierung wenigstens in
diesem Punkt sofort umgesetzt haben. Also jedenfalls, das war noch mal wichtig zum
Thema Ressourceneinsatz. Der war jetzt händelbar, denn tatsächlich ging es in den
ersten Stunden oder in den ersten Tagen und Wochen auch um den Zugriff auf
Besprechungsräume, die Kommunikation mit Externen, die Beschaffung von Technik, den
Personaleinsatz am Wochenende und in der Nacht, die Anpassung der
Bereitschaftsdienste, des Wachschutzes und auch um die – ganz profanen, die
Verpflegung der Mitarbeiter. Und das wäre tatsächlich auch ohne Katastrophenfall in
der Form nicht möglich gewesen und auch nicht in der Schnelligkeit. Also wie
kommts zum Katastrophen Stab und Incident Response? Weil da ist es schon so ein
bisschen kollidiert und ich hatte eben kurz an die Externen und die Gremien
angesprochen und es war in erster Linie natürlich der Katastrophenstab als
wichtigstes Entscheidungsgremium, das war die technische Einsatzleitung 1 und die
technische Einsatzleitung 2, komme ich gleich noch mal darauf zu. Und auch die
Arbeitsgruppe Wiederaufbau, deren Entscheidungen mittel- bis langfristig
wirken. Und damit waren eben tatsächlich die Kollision vorprogrammiert. Die einen,
die da zum einen länger an der Behörde bleiben und die anderen, die relativ
schnell auf klare Entscheidungen drängen müssen. Ähm … und das trifft mitunter da
drauf, dass so ein Verhalten an den Tag gelegt wird und dann auch zusätzlich eine
neue Hausspitze etabliert wird oder gewählt wurde und dann eben sein Amt
antritt. Das war 3 Tage nach dem Katastrophenfall, dass dann eben auch so
die eine oder andere Diskussion entstand, die tatsächlich nicht hätte sein müssen,
die man durchaus sehr, sehr abkürzen konnte. Also, als Externe waren dabei das
Finanzministerium, es war das Bundesamt für Sicherheit in der Informationstechnik
dabei, es war tatsächlich auch die Bundeswehr dabei, es war das CERT Nord
dabei, das Landeskriminalamt, einen Kollegen, ein Professor von der Hochschule
Harz, und tatsächlich waren alle in ihrem Bereich für uns sehr hilfreich. Und noch
mal im Detail zu den Rollen Technische Einsatzleitung I und II, also die während
technische Einsatzleitung I mit der IT Infrastruktur mit dem Wiederaufbau
beschäftigt war, war es bei der II die Wiederinbetriebnahme der Fachverfahren und
eben auch die Priorisierung der Wiederinbetriebnahme der Fachverfahren.
Und auch wenn man meinen müsste, man baut zunächst die Infrastruktur auf, das wäre
das einfachste und danach nimmt man die Fachverfahren wieder in Betrieb. Das
funktioniert tatsächlich nicht, weil die Verwaltung im laufenden Betrieb
weitergearbeitet hat, weil es funktionierte das Telefon, es
funktionierte, das Fax und die Türen waren auch offen. Und das bedeutet, dass
eigentlich die die Ansprüche an die Verwaltung und eben auch die, die Anfragen
und Anträge an die Verwaltung tatsächlich nahtlos weitergingen. Und ich hatte schon
vorhin gesagt, dass für viele Bürgerinnen und Bürger und Unternehmen ist die
Leistungserbringung durch die Kommune existenziell, und wenn wir uns noch mal
das Beispiel KFZ Zulassung so vornehmen, dann haben Leute vielleicht ein Auto
gekauft oder sie haben es kaputt gefahren, oder keine Ahnung, auf jeden Fall, während
eine Abmeldung möglich ist, ist eine Anmeldung tatsächlich nur am Wohnort
möglich. Also das heißt, dieses Wohnortprinzip gilt hier tatsächlich ganz,
also ganz vornehmlich sozusagen. Und das heißt dieses, dass die Fachverfahren in
den anderen Kommunen, also es hätte keine Amtshilfe stattfinden können, weil einfach
die ganz profanen, die Gemeindeschlüssel auch nicht hinterlegt sind oder hinterlegt
werden können und — oder anderes Beispiel Genehmigungfiktion: das bedeutet,
entscheidet eine Behörde, eine zuständige Behörde nicht innerhalb einer bestimmten
Frist über eine beantragte Genehmigung, so geht die Genehmigung als erteilt. Und das
hat Potenzial für durchaus ausufernde Streitigkeiten und richtig große Schäden,
die im Nachgang entstehen. Und das Ganze musste auch immer mal wieder abgewogen
werden. Das heißt, diese Listen waren erstmal flexibel und die Diskussion war
eine permanente Diskussion zwischen der technischen Einsatzleitung I und der
technischen Einsatzleitung II. Und dann gab es eben auch noch ganz andere
Abwägungen und Entscheidungen. Also das war … ähm … es war eine Entscheidung, die
Frage, ob die Verwaltung in die Cloud geht, wo dann eben auch der Personalrat
beteiligt werden muss. Es waren Fragen, ob man mit dem Forensikteam weiterarbeiten
kann und möchte, es waren Fragen, ob man Aufgaben und Leistungen in Rechenzentren
auslagert. Und es war natürlich auch die Entscheidung: es stand eine Erpressung im
Raum, ob man beispielsweise dieser Lösegeldforderung nachgeht, was aber sehr
schnell klar war, dass dem nicht so sein wird. Und unter den besten
Herausforderungen, da gibt es gleich noch ein paar Anekdoten am Ende, so, aber wir
kommen zu der Organisation. Nur ganz kurz Also was hatte sich sofort verändert, im,
direkt im Anschluss an diesen Katastrophenfall? Also ich habe es gerade
noch auf der letzten Folie. Die IT stand im Fokus. Also das Zusammenziehen der IT
Mitarbeiter*innen wurde beibehalten inzwischen, das Sachgebiet wird jetzt in
ein eigenes Amt überführt und nimmt eben auch die Mitarbeiter des
Schulverwaltungsamtes auf, also die IT- Mitarbeiter des Schulverwaltungsamtes und
eine Amtsleiterstelle wurde ausgeschrieben. Und auch der IT
Sicherheitsbeauftragte wird neu benannt, und dadurch, dass da auch dafür keine neue
Stelle geschaffen wird und niemand aus dem operativen Bereich IT-
Sicherheitsbeauftragter werden kann, also aus dem operativen Bereich der IT-
Abteilung, muss jemand gefunden werden, tatsächlich gibt es auch Interessenten,
aber das Land unterstützt auch hier diese Interessenten dann eben auch zu schulen,
damit die wissen, was sie da tun. Und die erste Aufgabe wird es eben sein IT-
Sicherheitskonzept zu schreiben und das Ganze muss dann die Dienstvereinbarung
ergänzen. Und organisatorisch wurde all das bestimmt, was jetzt sozusagen nahezu
mit Bordmitteln möglich war und wofür nicht extra irgendwelche Finanzmittel
bereitgestellt werden müssen. Also was den Wiederaufbau betrifft, sind wir hier
weiterhin dabei Entscheidungen für die Zukunft zu treffen. Also das passiert in
der Arbeitsgruppe Wiederaufbau und auch die wird noch weit nach dem
Katastrophenfall bestehen müssen. Ansonsten ist geplant oder ist es nicht
nur geplant, sondern eben auch soll der IT-Grundschutz so umgesetzt werden, wie
wir das uns finanziell leisten können und wie es notwendig ist und wie es
tatsächlich auch wichtig ist, um wieder sozusagen arbeiten zu können. Und nicht
bewilligt wurden erst mal Mitarbeiter*innen und auch hier wieder die
Grundlage der Politik, also sozusagen im Kreis- und Finanzausschuss wurden erst mal
keine neuen Stellen bewilligt und auch hier war die Diskussion erst mal wieder
groß, ähm, die Leute, die gebraucht werden, dann auch für diese Positionen zu
argumentieren. So, noch kurz zur Wiederherstellung und zur Komplexität der
Fachverfahren. Zunächst mal ist das Landratsamt nicht abgebrannt. Also das ist
das, was wir am Anfang immer wieder sagen mussten: das große Geschäft mit dem
Landkreis war also nicht zu machen, und überhaupt lautete der Auftrag, den
Landkreis wieder aufzubauen, und nur diesmal in sicher. Und daher auch der
Titel den "Rebuilding Landkreis Anhalt- Bitterfeld". Es sollte kein neuer
entstehen. So, der Wiederaufbau des Active Directory ist inzwischen abgeschlossen.
Aktuell erfolgt jetzt so schrittweise die Neuinstallation der Fachverfahren und eben
auch sind wir hier gebunden an die Kapazitäten der Fachverfahrenshersteller.
Und was jetzt noch passiert ist die Absicherung der Verfahrensserver. So, und
ansonsten funktioniert auch das wieder nach der Priorisierung und — ich kürze das
Ganze mal ein bisschen ab, wir kommen zur Schadensbilanz: die sieht wie folgt aus,
also die Kosten belaufen sich aktuell auf 2 Millionen. Weitaus mehr als die Lösegeld
Summe war, Mittel, die auch nicht unbedingt zusätzlich jetzt im Haushalt
ausgegeben werden, aber mit dem geplanten ? Budget im nächsten für oder für das
nächste Jahr verrechnet wurden und quasi jegliche Planung erst mal zunichte gemacht
haben, es sind neue Konflikte entstanden. Konflikte zwischen Infrastruktur und
Anwendungsbetreuern, im Zusammenspiel der Kollegen untereinander. Auch das Vertrauen
in die Digitalisierung ist nachhaltig zerstört. Also die ersten Antworten dazu
waren: ach hätten wir mal noch die Papierakte behalten, und dann haben wir
ein Datenverlust im Umweltamt. Wir haben vollends verschlüsselte Mailserver und wir
haben ein verlorenes Intranet. Und tatsächlich waren einige Mitarbeiter ins
Homeoffice gewechselt, um dort Internet und überhaupt Technik zu haben, um
überhaupt weiterarbeiten zu können. Denen jetzt zu sagen, ihr dürft eure private
Technik nicht mehr benutzen und auch vor dem Hintergrund, dass sie jetzt ein
anderes Arbeiten eben auch gelernt haben oder sich angelernt haben, ist es
natürlich schwierig, dort einfach zurückzukehren. Wir hatten extrem viel
Hilfe durch andere Landkreise. Wir hatten super viel Hilfe durch kreisangehörige
Städte und Gemeinden explizit. Auch durch das Land und den IT-
Sicherheitsbeauftragten, der uns über Monate eigentlich in Amtshilfe, also nach
dem Amtshilfeersuchen, sozusagen zur Verfügung gestellt wurde und durch das BSI
und eben auch durch die Bundeswehr, die explizit technisch unterstützt hat. Aber
das heißt eben auch, dass wir in der Verantwortung sind und sein möchten, den
Wissenstransfer jetzt zu initiieren, und wir gehen davon aus, uns hat es in dem
Moment richtig erwischt. Wir sind allerdings die ersten, und werden nicht
die einzigen bleiben. Und insofern ist es wichtig, dass hier der Wissenstransfer
stattfindet. Und tatsächlich denke ich auch, dass der Steuerzahler das erwarten
kann. Und zudem haben wir nebenbei auch schon so viele Fragen beantwortet, und so
vielen Konferenzen teilgenommen, bei Frag den Staat geantwortet, in Ausschüssen Rede
und Antwort gestanden und, also das ziemlich deutlich wurde, dass das
Interesse da ist. Und damit übergebe ich ein HonkHase, der mich auf Twitter so
professionell angepisst hat, dass ich ihn direkt ins Expertengremium berufen habe!
HonkHase: *lacht* Ja okay, meine Steuern würde ich da auch ganz gerne in
vertrauensvolle Hände legen, allerdings muss man ja sagen, wenn man sich das so
anguckt: Wie digital handlungsfähig ist eigentlich der Kritis-Sektor, Staat und
Verwaltung? Sieht man ja nicht nur an euch, an eurem Beispiel, sondern man hat
ja dieses Jahr schon allein über 100 Behörden und Verwaltungen kompromittiert
gehabt, und das ist ja nicht das Ende der Fahnenstange. Also insofern habe ich mir
gedacht so ja, die brennende Mülltonne passt eigentlich, möchte alles anzünden,
aber wait a sec, digital handlungsfähig ist der Staat gar nicht, der brennt ja
schon von selbst. Da kannst du eigentlich nur noch Brandroden und neu machen.
Unauffälliger Hinweis für den Folienwechsel. Die Frage ist ja was
brauchen wir? Die echte, das was wir wirklich brauchen ist doch eine Cyber-
Resilienz. Ja, cyber bla. Lassen wir's einfach. Ich bin Urgestein, Cyber-Grandpa,
ich darf das, ja? Wir brauchen eine Resilienz für den Cyberraum von kritischen
Infrastrukturen, und dazu gehört eben auch der Sektor Staat und Verwaltung. Und da
gehört er ganz besonders zu egouvernante hat ja vorhin schon gesagt, das sind auch
durchaus bedrohliche Fachverfahren dabei gewesen, die eben gar nicht resilient
waren, weil sie einfach auseinander gefallen sind, nachdem die hochkriminellen
Tätergruppen aktiv geworden sind. Wir reden ja hier nicht von Bespaßung,
bisschen fun, bisschen rumhacken oder kaputt spielen. Wir reden hier von
kriminellen Banden organisierter Kriminalität, die irgendwie Millionen
versuchen abzugreifen, ja. Und was wir auch brauchen, um dem gegenzusteuern: wie
schaffen wir diese Resilienz? Durch Krisenerfahrung und Übung bei den
Verantwortlichen. Ja, dazu zähle ich explizit Bürgermeister*innen, Landräte,
you name it, egal. Wer keine Krisenerfahrung hat, wer keine Übungen
regelmäßig macht, steht dann genauso da wie auch beispielsweise bei euch, aber
eben auch beim Ahrtal, ja, Klimakatastrophe ist ja dasselbe Phänomen, dasselbe
Problem. Die waren alle nicht geübt, die haben nicht regelmäßig die Einsätze
trainiert. Und dann steht man da vor dem Trümmerhaufen und sagt: Oh, alles kaputt,
kostet teilweise sogar Menschenleben. Und nein, was wir nicht brauchen ist – ne,
Rebuilding Anhalt-Bitterfeld ja, aber ey, echt keine Fachverfahren auf Windows 98 in
2021, so. Das haben wir beispielsweise hier im Gericht in Berlin erlebt. Vorher
war es Windows 98 Fachverfahren, nachher ist es immer noch eins. Ja, nee, fail, so
das will echt keiner haben. Baut diese Fachverfahren neu, baut sie sinnvoll,
digitalisiert Ende zu Ende für die Bürger*innen und das muss die Erwartungen
an den Sektor Staat und Verwaltung sein, ja. Was wir auch brauchen und was einfach
mal fehlt sind Sicherheitsanforderungen und Vorgaben, so dieser — es gibt den
Kritis-Sektor Staat und Verwaltung. Und welche Vorgaben hat er? Ja, machste
dicke Backen. Also paar Öhrchen drauf, kannste nichts mehr zu sagen. Es gibt für
8 der 10 Kritis-Sektoren im BSI Gesetz § 8a, und der anhängigen Kritis-
Verordnung genaue Vorgaben, was für Sicherheitsanforderungen die zu erfüllen
haben. Bei Medien und Kultur ist es landesweit nicht geregelt, aber eben bei
Staat und Verwaltung ist es ja, öh, gar nicht geregelt. So ja, da kann ich, ja,
bin ich auch schon wieder kurz vorm — vorm anzünden hier *lacht* Das muss dringend
weg. Da muss wirklich die die Koalition, die Ampel mal das BMI wachrütteln und
vielleicht wirklich mal Sicherheitsanforderungen an Tag legen und
sagen: so, das ist jetzt der Maßstab, nachdem dieser Sektor betrieben wird. Was
wir brauchen sind kommunale CERTs mit Hilfe für alle kleinen Kommunen, weil wie
soll denn — also ihr als Landkreis wart ja schon sozusagen überrannt worden von
diesem koordinierten Angriff. Ja, was macht denn da eine kleine Kommune, die hat
ja vielleicht eine halbe IT-Stelle, eine IT Stelle keine Ahnung, das ist sehr
überschaubar, die haben doch noch nie Incidence Response gemacht, die haben noch
nie irgendwelche Fachverfahren gesichert, die haben noch nie mit 15 verschiedenen
Behörden und Verantwortlichen und Sicherheitseinrichtungen irgendwie
kommuniziert um abzustimmen: wer kommt jetzt eigentlich und hilft? Die machen ja
auch, die – die gucken wie Rebhühner einmal groß in die Unterlagen und sagen:
ja es gibt dieses Cyber-Wimmelbild der Verantwortungsdiffusion, da sind ganz
viele drauf. Wen frag ich denn jetzt? Ja, das kann es ja irgendwie auch nicht sein.
Kleiner Hinweis für die Folien. Was wir auch bräuchten, und da stehe ich natürlich
mit Herz und Seele dahinter, weil es meine Passion ist, als als Mitgründer der
unabhängigen Arbeitsgemeinschaft AG Kritis, wir bräuchten ein Cyber-Hilfswerk,
das ist der Arbeitstitel, den wir dem Ganzen verpasst haben. Soll die
existierenden Bewältigungskapazitäten für Großschadenslagen durch Cybervorfälle bei
kritischen Infrastrukturen kooperativ ergänzen. Dazu haben wir ein Konzept
entwickelt, hat knapp 40 Seiten, da haben wir teilweise in Workshops
zusammengesessen mit dem BSI, mit dem BBK, also Bundesamt für Bevölkerungsschutz und
Katastrophenhilfe, BSI, Bundesamt für Sicherheit in der Informationstechnik und
mit dem CCC, also im Chaos Computer Club und haben einfach mal Gebrainstormed: wie
würde man eigentlich Ehrenamtler, Ehrenamtlerinnen dazu bewegen, irgendwie
bei echt Großschadenslagen – nicht bei, wenn wir ein paar Bitwerte umkippen und
aus Einsen Nullen werden, sondern wirklich in so einer Lage hier, wo es wirklich auch
um Existenzbedrohung geht und ein ganzer Landkreis auch einfach mal viele Monate
kaputt optimiert wurde und lahmgelegt ist und noch viele Monate bleiben wird. Das
wir da irgendwie in der Lage sind irgendwie auch zu agieren. Noch mal
letzter Hinweis *lacht*. Ja, das Cyber- Hilfswerk. Was? Was ist eigentlich der
Plan? Der Plan ist, man soll eine, wirklich das Primärziel ist nicht dieser,
diesem Betreiber*innen von kritischen Infrastrukturen zu helfen und Primärziel
ist auch nicht deren Ergebnis und Erlöse sichern, oder diesen deren — weiß der
Kuckuck — Produktionsanlagen schick und stylisch zu halten oder die
Eingangspforten. Nee, es geht einzig und allein um die Wiederherstellung der
Versorgung der Bevölkerung mit den kritischen Dienstleistungen, was eben beim
Sektor Staat und Verwaltung wäre, dass die Fachverfahren funktionieren, dass die
Bürgerinnen mit ihren Bedürfnissen und mit der Not sozusagen dann auch sich an die
Bürgerämter wenden können und wo auch geholfen wird und gekümmert wird, ja dass
auch Sozialabgaben monatlich auf dem Konto landen und nicht gesagt wird: Ja, ist
gerade 'ne Ransomware, wir können keine Überweisungen mehr tun. Pech gehabt, gehst
du leer aus. So funktioniert das nicht bei Leuten, die in Not sind und diese Not dann
auch brauchen, ja als Hilfe. Also IT- Sicherheit verbessern reicht nicht aus.
Müssen wir natürlich sowieso tun. Absolut. Dürfen wir nicht vernachlässigen. Aber wir
brauchen eben Incident Response und Krisenbewältigungskapazitäten auf einer
Basis von ehrenamtlichen digitalen Katastrophenschutzhelferinnen. Ja, wir
haben genug Know how in unserer Community. Wenn das on our terms, also nach unseren
Spielregeln funktioniert, dass wir sagen: Ey, wir wollen da helfen, da kommen keine
komischen Sicherheitsbehörden, machen komischen foo, da rückt das BSI Mobile
Incident Resonse Team aus, wir kommen da bei, und dann muss man vielleicht sogar
auch nicht eine Bundeswehr rufen, weil wird schon alles gekümmert. Die Bundeswehr
sollte der letzte Notnagel am Ende der Kette sein. Wirklich der letzte Notnagel.
Und nicht: ey, wir rufen mal kurz die Bundeswehr. Die können wir mit einplanen
und dann ist es kein Notnagel mehr, sondern einkalkuliert. Die sollten niemals
einkalkuliert sein, am besten nie genutzt werden, weil wenn dann sozusagen The shit
hits the fan, dann dann brauchen wir die Bundeswehr wirklich, aber nicht in solchen
Lagen, denn dafür ist das Cyber-Hilfswerk gedacht. Ja und dafür werde ich jetzt in —
du hast mich ja in diese in dieser Runde rein genötigt — Expertenkreisen werde ich
das jetzt für die AG Kritis dann auch entsprechend vertreten und versuchen zu
fördern, das wir das, ja ins Leben rufen. Und dann wird vielleicht aus dem aus dem
Anzünden und Brandroden vielleicht nur ein professionell angepisst und dann ist die
Welt wieder schön. egouvernante: *lacht*
HonkHase: Und damit übergebe ich wieder zurück an dich. Bitte schön.
egouvernante: Sehr gut. Und damit kommen wir zu der ganzen Kategorie "Behind the
Scenes" Best of Dienstleister. Nee, Quatsch, Best of Kunden Beschimpfung. Ich
glaube, dazu können wir da noch alle, falls irgendeiner beim Lightning Talk
abgesprungen ist, da kann ich E-Mails vorlesen, die mich wunderbarerweise
erreicht haben, nein kleiner Spaß. Also ähm, es gab auch Situationen, die einfach
in ihrer Art, in ihrer — alleine, in dem Moment, in dem sie einen erreichen,
unfassbar unglaubwürdig klingen. Also auf der einen Seite klar, wenn, wenn es gut
gemeint ist, ja. Also man sagt ja immer: das Gegenteil von gut ist gut gemeint.
Wenn Mitarbeiter auf die Idee kommen, tatsächlich Dateien auf Memory Sticks zu
sichern und die nach Hause zu schleppen, um sie dann wieder ins Landratsamt zu
bringen, dann könnt ihr das auch später noch mal zu einem Problem werden. Was uns
immer wieder getroffen hat, war, wenn IT- Mitarbeiter direkt angesprochen wurden,
weil irgendein Rechner auch ohne Netzwerk auch und nur mit Drucker oder Scanner oder
whatever sozusagen wieder wieder an den Start gebracht werden mussten, dann ist es
blöd, wenn es an der technischen Einsatzleitung vorbeiläuft. Und es ist
super blöd, wenn ich diese Ressourcen dann irgendwo gebunden habe oder letztlich
keine Rechner mehr hatte, ich platt machen kann, weil alle irgendwie jetzt doch
wieder in Benutzung sind. Spannend war auch in den Runden die technische
Einsatzleitung, welche das jetzt auch immer war, zu erschlagen, wie es richtig
ginge. Das führt dann tatsächlich zu Situationen, dass man sein Mikrofon
einschaltet und nach einem 10 minütigen Vortrag, wie es richtig ginge, sagt so:
Nein. Unverständige Gesichter, Mikrofon noch mal an: Das ist technisch nicht
möglich. Das auch, wenn wir uns sehr wünschen, dass das Landratsamt wieder an
den Start geht, sind verschiedene Reihenfolgen einfach zu beachten.
Highlight waren aber tatsächlich Vertriebler, die direkt das Fachverfahrens
Verzeichnis verlangt haben, OZG direkt gleich mitmachen wollten und irgendwie mit
einem leeren Kfz-Kennzeichen Datenbank vielleicht am besten Morgen schon loslegen
wollten. Aber sorry, Aubergine Aubergine Zwinker-Smiley funktioniert nicht auf
einem Kennzeichen und wir können nicht mit doppelten Kennzeichen die Leute rumfahren
lassen, das hat einfach versicherungstechnischen Gründe. Auch
waren Situationen, wo man einfach mit den Geschäftsführern in einem Gespräch sitzt
mit den Technikern und dann auf der anderen Seite die Geschäftsführer und die
dann permanent genervt die Augen verdrehen, wenn man konkrete Details
erfragt. Und einer war dann sehr arg enttäuscht und kündigte an, dass er uns
jetzt überall ausschmieren wird, wie furchtbar wir sind und dass wir sozusagen
nicht, dass diese Firma gewählt werden und ich sei ne Landesverräterin, der Kollege,
sei nen IT-Söldner. Und dabei war die Entscheidung definitiv sehr objektiv und
von Erfahrungswerten von allen am Tisch getragen. So, also Ansagen wie: wir machen
mal einen Termin und erklären, wie sie zu uns in der Cloud kommen, und eigentlich
interessiert uns ihre technische Ansicht überhaupt nicht, sondern wir erklärens
noch mal dem Hauptverwaltungsbeamten, bringt Unruhe ins Haus und ist irgendwie
auch nicht förderlich, weil wir letztlich es doch umsetzen werden und müssen und
sozusagen hier der Vertrauensverlust tatsächlich schon vorprogrammiert ist. Und
apropos nicht dabei sein: Wenn der Auftraggeber oder wenn man 2
Auftragnehmer hat, kam auch ganz gern mal die Situation, wenn über Übergaben
gesprochen werden soll, das wir am besten gar nicht am Tisch sitzen, sondern dass
die Dienstleister sich zusammensetzen, was auch schwierig ist. Insofern versteh mich
bitte auch einer, dass es immer wichtig ist, ein IT-Projekt-Steuerer im Haus zu
haben und das eine Landkreisverwaltung überhaupt jegliche Behörde weiterhin in
der Lage ist auch die Externen zu steuern, und das ist essenziell notwendig. Wenn wir
uns hier nicht die Butter vom Brot nehmen lassen wollen. So, und Daten wollte auch
kein Rechenzentrum von uns haben. Also das hieß immer nur so: ja wir machen alles,
aber waa, schickt uns bloß nichts, wir wollen eure Daten definitiv nicht
haben. Unser Leben als Aussätzige! Und schön ist natürlich auch, wenn der
Dienstleister einen dann gleich noch mal erpresst. Also so was wie Budgetabsprachen
hin oder her, mit einem Mal kostet es das Dreifache. Besprechen wir aber auch nicht
mit der Technik, sondern tatsächlich doch mit dem Landrat wieder. Und ähm, dann
immer natürlich auch mit dem Nebensatz, bei den männlichen Kollegen: da draußen
warten die Sniper, die warten nur, bis er wieder am Netz seid. Bei mir waren es dann
immer die Stalker, also zielgruppengerechte Ansprache ist auch
toll, aber irgendwie dann auch durchschaubar und nervt. Und ja, und das
waren tatsächlich dann auch die gleichen Jungs, die meinten, wir haben ein paar
Fortinets von einem Partner geordert, das ist auch einer meiner Lieblinge und wir
arbeiten damit; wenn wir hier euch wieder beim Aufbau helfen. Von Open Source raten
wir ab, das nehmen nämlich die Hacker, das sind die, die euch angegriffen haben, das
sind die, die euer System kaputt gemacht haben. Äh … schwierig also. Man kann aber
auch Glück im Unglück haben und das ist auch eine schöne Situation, also wenn man
zum Beispiel ein günstiges Angebot schießt, dass wenn man 7 Managed
Services für nur 10% des Preises im ersten Jahr angeboten bekommt. Beim Kick off
sollte dann aber tatsächlich ein Fernsehteam dabei sein. Wir haben uns
nicht für das Angebot entschieden. Und jetzt noch ein ganz schöner Lichtblick:
die Dienstleister, mit denen man tatsächlich seit Jahren wirklich
vertrauensvoll zusammenarbeitet und von denen man natürlich auch ein Angebot
anfordert, dann ist es natürlich schön, wenn die einem das nötige Lizenzgeraffel
direkt auf das Angebot schreiben und dann auch wirklich dieses Wort benutzen. Und
damit eigentlich so als kleines Fazit: der Landkreis ist nicht das Opfer dieser
Attacke. Mit den Expertenkreisen glaube ich, dass wir jetzt das wirklich Gute
schaffen können. Und wir sind im Rahmen eines Forschungsprojektes eben auch daran,
nachdem wir jetzt diese Awareness haben, ein Forschungsprojekt aufzubauen, in dem
wir für verschiedene Verwaltungsprozesse digitale Zwillinge aufbauen, und
tatsächlich gibt es eben auch das nächste Projekt, und zwar das Open Data Ecosystem,
und das ist Open Source, also Spielwiese für die IoT-Hacker. Und das sozusagen als
das Gute in der Katastrophe, die hier passiert ist. Und ich glaube eben auch die
wichtige Message, dass die Landkreisverwaltung, dass die Behörden
tatsächlich hier wirklich nacharbeiten müssen. Wir kommen zu den Fragen. Jetzt
kann es losgehen! HonkHase: Genau, fragt uns Dinge. Es
drohen Antworten!
Herald: Ja, sehr sehr schön, vielen Dank! Es gibt viele Fragen, und viele Fragen von
den Hackern natürlich ist über die Deeds, über die Details, über den Hack, wenn das
Verschlusssache ist, gerne abwinken. egouvernante: Wir wissen noch gar nicht so
viel, das ist das Problem. Wir ist – tatsächlich ist dadurch dass die Logfiles
ja eben auch gelöscht wurden können wir tatsächlich jetzt auch gar nicht so sehr
viel sagen. HonkHase: Also vielleicht mal
grundsätzlich: Bei der Incident Response ist es ja so, wenn man versucht, nach
einem Ransomware Angriff den Betroffenen zu helfen: es ist meist so, dass ja die
die Angreifer, also das — noch mal, das sind organisierte Bandenkriminelle, das
ist ja nicht irgendwie Feld Wald Wiesen, ja die gehen in die Systeme rein,
kundschaften das alles aus, taxieren, welche Höhe man sozusagen an
Lösegeldforderung setzen kann im Preis- Leistungsverhältnis, gerade hier im
Landkreis Anhalt-Bitterfeld wurde ja dann auch nach dem gesagt wurde: pff, ihr
kriegt gar nichts, 200 Megabyte ungefähr an Daten geleakt, um anzuteasern und zu
sagen: Naja komm, vielleicht wollt ihr doch? Haben aber dann gesehen dass sie
damit auch nicht vorwärts kommen. Aber die gehen natürlich so vor, dass die Backups,
die online sind, entweder vorher aktiv zerstört werden oder eben mit
verschlüsselt werden. Ist auch so, das schon seit langem Zugangsdaten wie ssh,
Passwörter etc. mit abgegriffen werden, so dass man auf die Linux Büchsen mit drauf
geht und und sagt na dann plätten wir mal kurz das Syslog und dann sind eben keine
Logdaten mehr da, und wenn halt nichts mehr da ist, und das meiste verschlüsselt
ist, dann kannst du nur die Reste rauskratzen. Das heißt, es gibt fast
immer, muss man auch fairerweise so sagen, sehr viele Angriffsvektoren, die zum
Ziel hätten führen können, welcher es am Ende genau war, das ist eigentlich sogar
fast schon unerheblich, denn in erster Linie will man ja den Wiederaufbau
hinbekommen und die kritischen Dienstleistungen wieder ans Laufen
bekommen. Also insofern ist es sehr oft der Fall, dass man das gar nicht so
detailliert ermitteln kann. egouvernante: Genau, und wir gehen davon
aus, dass der Angreifer seit Beginn des Jahres im System war. Und ja, tatsächlich
wissen wir von einem sehr viel größeren Datenabzug.
HonkHase: Das macht es nicht besser, aber es ist halt so.
Herald: Datenabzug: ist bekannt, ob tatsächlich Daten abgeflossen sind? Also
ob die nicht nur verschlüsselt, sondern auch geleakt wurden?
egouvernante: Es sind Daten abgeflossen, ja, geleakt, die 200 MB, aber es sind sehr
viel mehr. HonkHase: Es wurde doch — warte mal. Es
gab eine öffentliche Stellungnahme dazu. Ich glaube, es waren 60 …
e: 62 Gigabyte, ja. Ho: 62 Gigabyte an Daten wurden
abgezogen und keiner weiß was genau abgezogen wurde.
e: Genau das. Ho: Die 200 Megabyte sind geleakt
worden. Da weiß man natürlich sehr genau, was es war, ne …
e: Das sind Protokolle aus Landkreis–, genau.
Ho: Genau. Aber es sind insgesamt 62 Gigabyte verschütt gegangen und da muss
man auch sagen, dass ja sogar noch wenig. Es gibt auch Vorfälle, da werden Terabytes
vorher abgegriffen, ja. Herald: Nach dem Wiederauf – achso, ihr
seid dabei bei dem Wiederaufbau. Eine Frage ist: gibt es Material, was
unwiderruflich, unwiederbringlich zerstört wurde?
e: Der komplette Mailserver, Daten des Umweltamtes, also alle von einem
Standort, sozusagen die Server, die an einem bestimmten Standort in Bitterfeld
waren, und das Intranet ist weg. Und alles andere müssen wir schauen. Also wir sind
immer noch dabei, die Daten zu sichten und eben zu überführen. Aber wir wissen
definitiv, dass Daten des Umweltamtes weg sind, dass eben der komplette Mailserver
verschlüsselt wurde, das ja … und eben auch das Intranet nicht mehr vorhanden
ist. Herald: Okay, eine andere Frage, mehr oder
weniger seriös: Wie hoch war die Lösegeldforderung, wenn das nicht
Verschlusssache ist? e: Nee, ich glaube, das war
sogar mal veröffentlicht. Also das war eine halbe Million.
Ho: Genau Herald: Ok
e: in Monero. Ho: eigentlich noch ein Schnäppchen,
ne, eine halbe Million Mal, also, da gibt es auch durchaus Angreifer, die deutlich
mehr verlangen, aber, naja, sind ja nicht zum Zuge gekommen.
Herald: Okay, HonkHase, du hattest Empfehlungen ausgesprochen. Ähm. Wo
Freiwillige Amtshilfe leisten können, sodass die Bundeswehr nicht angerufen
werden muss. Rückblickend betrachtet war es Amtshilfeersuchen an die Bundeswehr
angemessen und wurde von offizieller Seite her was getan, damit künftig nicht gleich
die Bundeswehr wieder angerufen werden muss?
Ho: Also ob das angemessen ist, kann egouvernante glaube ich besser darlegen
als ich, denn sie war ja in den Details drin. Ich kenne den Vorfall ja nicht von
Innen her. Sie mag es sicherlich sinnvoll vertreten, dass das das angemessen war.
Meine Position ist, damit das nicht noch mal passieren muss oder die Runde macht,
sozusagen, ah, wenn was passiert, rufen wir die Bundeswehr und dann schön, dann
legen wir uns wieder schlafen oder sowas! Kann man ja hier nicht behaupten. Hast ja
jede Menge erzählt, was ihr da tut und macht, aber dafür will ja die AG Kritis
dieses Cyber-Hilfswerk ins Leben rufen, um zu sagen: Dann haben wir auch genug
Kapazitäten. Und wenn dann eben eine eine kritische Infrastruktur betroffen ist,
dann helfen wir aus der Community heraus ehrenamtlich und kommen eben als
Amtshilfeersuchen dahin, reparieren eben diese Versorgung der Dienstleistung mit
den Berufswiederherstellen sozusagen. Und dann geht man gemeinsam verrichteter Dinge
halt wieder da weg. Und das ist ja genau das Ziel, dass dann so was wie wir rufen
die Bundeswehr quasi überflüssig wird, im Idealfall. Wie gesagt, die soll nur als
Notnagel im extremsten Fall abgerufen werden können. So.
e: und das war der Fall und das war der erste Fall. Und sozusagen das soll
definitiv nicht Standard werden. In dem Moment war es nur, dass wir technisch
nicht in der Lage waren, uns selbst zu helfen. Und insofern war es diese
technische, also diese rein technische ausführende Tätigkeit, die hier
abgewickelt wurde. Ho: Naja, Stand heute sind fast alle
Kommunen ungefähr auf demselben Niveau. e: Ja ich hoffe, dass es jetzt
anders wird. Ho: Okay, die Hoffnung stirbt
zuletzt *lacht* e: ja , AG Hoffnungsvoll, ne?
*lacht auch* Ho: Genau.
Herald: Schön. Äh. Eine andere Frage ist: wie weit ist die Erneuerung der
Infrastruktur und werden Möglichkeiten genutzt, um die Sicherheit zu verbessern?
e: Es wird jede Möglichkeit genutzt, die Sicherheit zu verbessern.
Also das fängt bei der Dienstvereinbarung an. Das fängt bei Awarenessschulungen an.
Das … ich hatte es vorhin gesagt mit dem IT-Sicherheitsbeauftragten. Das fängt mit
der komplett neuen Aufstellung des IT- Amtes an, und das geht natürlich auch da
weiter, dass wir jetzt mehrstufige Sicherheitskonzepte haben, die
Arbeitsplatz-PCs nicht mehr mit allen möglichen Rechten ausgestattet sind und,
ja Passwort ist natürlich jetzt unerheblich, aber die einfach das auch
Passwörter auch mal ablaufen wieder. Und das sind einfach Sachen die jetzt
durchgeführt werden. Und was den Stand des Wiederaufbaus betrifft: das Active
Directory steht insoweit und die Fachverfahren werden jetzt nach und nach
wieder an den Start gehen. Und jetzt eben auch die einzelnen Ämter werden jetzt nach
und nach wieder ihre Arbeitsplatz-PCs in Betrieb nehmen und die Clients sind
gehärtet und so weiter und das bedeutet, dass Ämter jetzt — Ich glaube, wir haben
jetzt 4 oder 6 Ämter, die jetzt tatsächlich wieder, wo jeder Mitarbeiter
einen eigenen PC hat und nicht mehr einen PC, der aus dem Notnetz bei der Sekretärin
beim Amtsleiter steht und dort jeder seinen E-Mail-Verkehr darüber abwickelt.
Ho: Benutzt ihr dabei auch so krasse Hacker Software wie Open Source?
e: Wir arbeiten daran. Ho: *lacht, Mikro übersteuert kurz*
sehr schön! Herald: Ja, schön. Zum Active Directory im
Speziellen gab es die spezielle Frage: Konnte man bei der forensischen
Untersuchung einen Golden-Ticket Angriff auf das Active Directory feststellen?
e: Das kann ich nicht sagen. Ich kann was anderes sagen zum Thema
Active Directory. Und zwar, wir haben tatsächlich auch erst mal nachgucken
müssen, ob alle Mitarbeiter tatsächlich auch bei uns arbeiten, also ob alle
Einträge im Active Directory tatsächlich noch hier Mitarbeiter bei uns sind oder ob
das jetzt nicht irgendwie durch Zauberhand mehr geworden sind. Und das war glaube ich
die erste Tätigkeit, also die erste Aktion, die wir hier durchgeführt haben.
Und die auch wirklich lange dauerte, tatsächlich erst mal zu schauen Sind die
Azubis noch da? Das war im Endeffekt auch eine Bestandsaufnahme aller Kollegen, die
wir im Haus haben, was auch durchaus sehr nützlich war.
Ho: Historisch gereift sozusagen, diese Benutzerliste.
e: Absolut, ja. Ho: Wie so oft und überall.
e: Ja. Ho: Genau.
Herald: Sonst: gab es Backups? Zum Beispiel in einem externen Rechenzentrum?
e: Nein. Also ja, doch, bei machen Fachverfahren und bei manchen
Fachverfahren auch tatsächlich überraschend. Da wussten wir gar nicht,
dass die Backups von uns haben. Das war auch neu und irritierend für den
Datenschutzbeauftragten. Aber das … zumindest hatten wir, hatten wir
verschiedene Backups, aber eben auch welche, die nicht in externen
Rechenzentren sind und dann tatsächlich auch jetzt händisch überprüft werden
müssen, ob diese nicht vielleicht kompromittiert sind. Also wir gehen davon
aus, dass wir 80% bis 90% unserer Daten zurückerhalten und dass die eben nicht
beschädigt sind. Ho: Aber nach viel Handarbeit beim
wieder einspielen. e: Ja, definitiv.
Ho: Also vielleicht als Ergänzung auch da. Backup ist halt schön, ne?
Wiederherstellung ist noch viel cooler. Alle, alle rufen nach Backup, aber
eigentlich will keine Sau Backup. Alles was man wirklich will ist die
Wiederherstellung. Und die kriegt man eben nur, wenn man ein sehr strukturiertes
Backup Konzept hat mit mit Grandfathering Modellen, mit rollierenden Backups, mit
offline Backups wenn man… ihr habt 160 Fachverfahren glaube ich ungefähr?
e: Ja. Ho: Wenn man 160 verschiedene alte,
historisch gewachsene Fachverfahren hat, dann ist es nicht ein Backup auf ein Tape
und dann ist gut und da legt man in den Bankschließfach und wenn dann die Bösen
kommen, dann packt man halt wieder aus und sagt: Golden Ticket! Ich hab ein Golden …
Golden Medium. So funktioniert das halt nicht und insofern ist ein Backup Konzept,
was auch die Wiederherstellung in einer angemessenen Zeit sozusagen darstellt, für
sich eine sehr sehr komplexe Prozessaufgabe.
Herald: Okay, ich kann mir vorstellen, dass ist jetzt in den Wiederaufbau mit in
den Plänen reingeschrieben. e: absolut ja, klar.
Herald: ok. Ho: jetzt schon, ne?
e: Ja, genau. Ja, ach das fängt schon an, alleine wenn wir jetzt in diesem
Zwischenbetrieb sozusagen schon Fachverfahren am Start haben, die gar
nicht im Zielsystem sind und im Ziel-IT- System sind und wir dann beginnen, jetzt
erst mal schon so Daten zu erheben, die wir dann später wieder überführen müssen.
Das wird dann auch noch mal sehr viel Spaß machen.
Herald: Ok, ja vielen Dank! Achso äh, möchtest du noch was?
Ho: Ne, alles gut, ich meinte nur Spaß am Gerät! Das gehört ja zum Chaos
dazu, das passt. *lacht* Herald: Schön! Vielen Dank für die
Einblicke in die Welt des Amtes und der Digitalisierung. Vielen Dank HonkHase und
egouvernante. HonkHase: Ja, vielen Dank, bis zum
nächsten Mal! egouvernante: Vielen lieben Dank, Ciao!
Herald: Tschüss! Sehr schön. Als nächstes um 21:30 Uhr: "Local Emission Framework:
Klimaschutz vor deiner Haustür". Hier aus dem ChaosZone Studio aus Halle. Bis dahin!
*Abspannmusik*
Untertitel erstellt von c3subtitles.de im Jahr 2022. Mach mit und hilf uns!