Millionenbetrag gefordert Pfälzischer Versorger wird von Hackern erpresst
Ein Hacker, wie man sich ihn in Filmen vorstellt: Die Realität ist anders - doch die Gefahr, dass Kriminelle Unternehmen erpressen, ist echt
Foto: Paul Zinken / DPANach einem Hackerangriff haben Unbekannte den Technischen Werken Ludwigshafen (TWL) eine Lösegeldforderung im zweistelligen Millionenbereich zukommen lassen. Das teilte der kommunale Versorger, der rund 100.000 Haushalte mit Energie und Trinkwasser versorgt, am Mittwoch mit .
Nachdem TWL die Forderung abgelehnt habe, hätten die Täter wie angedroht begonnen, die erbeuteten Daten öffentlich zu machen, berichtet das Unternehmen. Die Rede ist dabei ohne weitere Konkretisierung von einer Veröffentlichung "im Darknet".
Seit Montag sollen die Erpresser TWL-Kunden zudem per E-Mail angeschrieben haben, um weiteren Druck auszuüben. In den Mails warfen die Hacker TWL demnach "mangelnde Kooperation und Fehlverhalten" vor, um den Druck auf das Unternehmen zu erhöhen. TWL gibt an, man habe im Zuge des Vorfalls das Dezernat Cybercrime des Landeskriminalamtes Rheinland-Pfalz und das Bundesamt für Sicherheit in der Informationstechnik (BSI) eingeschaltet.
500 Gigabyte an Daten erbeutet
TWL hatte den Hackerangriff, der den Angaben zufolge bereits Mitte Februar mit einem infizierten E-Mail-Anhang begann, Anfang Mai öffentlich gemacht - zunächst ohne Details . "Aufgrund der forensischen Untersuchungen, der Arbeiten an der Gefahrenabwehr und der Ermittlungen der Strafverfolgungsbehörden war das Unternehmen bis zum 11. Mai 2020 angehalten, keine Details zum Sicherheitsvorfall zu veröffentlichen", heißt es auf der Unternehmenswebsite. Mittlerweile scheint klar, dass es sich bei der Erpressersoftware (Ransomware) um "Clop" handelt. "Eine Verschlüsselung der Systeme sowie ein Zugriff auf die Prozessleittechnik konnten erfolgreich verhindert werden", teilte TWL aber mit. Die Versorgung der Stadt sei "deshalb nicht gefährdet".
Allerdings legte das Unternehmen jetzt offen, dass bei der am 20. April entdeckten Attacke einer "unbekannten, aber offenbar hochprofessionellen" Gruppe mehr als 500 Gigabyte an Kunden-, aber offenbar auch an Mitarbeiter- und Geschäftsdaten abgeflossen seien.
"Das Unternehmen geht derzeit davon aus, dass alle seine Kunden und Geschäftspartner betroffen sind", teilt TWL mit. Es bestehe die Gefahr, dass die erbeuteten Daten für weitere Straftaten genutzt werden könnten - etwa für Identitätsdiebstahl und Phishing-Attacken.
Adressen, Telefonnummern und Bankdaten
Zu den im Darknet veröffentlichten Daten zählen nach TWL-Angaben Informationen wie Namen und Anschriften, E-Mail-Adressen und Telefonnummern, Angaben zum gewählten Tarif, sowie, im Fall von Kunden, die dem Unternehmen eine Einzugsermächtigung erteilt haben, Bankverbindungen.
"Wir bedauern zutiefst, dass unsere Kunden, Mitarbeiter und Geschäftspartner von diesem Vorfall betroffen sind", teilen die TWL-Vorstände Dieter Feid und Thomas Mösl mit. Man entschuldige sich "in aller Form für die Unannehmlichkeiten, die ihnen entstanden sind beziehungsweise noch entstehen könnten."
Seinen Kunden rät TWL, ihre Konten hinsichtlich verdächtiger Vorgänge im Blick zu behalten, verdächtige E-Mails von unbekannten Absendern sofort zu löschen sowie Passwörter, die etwa beim TWL-Kundenportal genutzt wurden, zu ändern. Wer Rückfragen zum Thema habe, könne das Unternehmen via kundenservice@twl.de oder telefonisch unter 0800-1122700 erreichen.
So groß der Imageschaden für das Unternehmen sein dürfte: TWL betonte in seiner Stellungnahme auch noch einmal, dass es für das Unternehmen "selbstverständlich" sei, "keine Geschäfte mit Kriminellen zu machen". Man gehe nicht auf Lösegeldforderungen ein, um weitere kriminelle Machenschaften nicht noch zu fördern. Dazu komme, schreibt das Unternehmen, "dass selbst die Zahlung eines Lösegelds erfahrungsgemäß nicht zu einem Stopp der Datenverbreitung im Internet geführt hätte".
