Gehackt – Lektion gelernt!

Wie ein großer IT-Dienstleister aus einem Cyberangriff eine Stärke gemacht hat.

Der Blick auf das stumm gestellte Smartphone am Morgen offenbart diverse Anrufe in Abwesenheit und das ungute Gefühl des Group Executives eines großen IT-Dienstleisters bestätigt sich: Ein Hackerangriff hat erfolgreich das Managementsystem infiziert, es muss heruntergefahren werden und über 600 Kundenkanzleien können nicht mehr arbeiten. Der CONVOTIS GmbH gelang es, ein solches Worst-Case-Szenario nicht nur intelligent zu managen, sondern sich daraus sogar einen Wettbewerbsvorteil zu erarbeiten.

Leicht durchschaubare E-Mails von exotischen Prinzen, die nach Geld fragen? Kein ernst zu nehmender Hackerangriff findet heute noch so statt. Cyberkriminalität ist eine hochprofessionelle Unternehmung mit Gewinnerzielungsabsicht geworden. Alle vorhandenen Sicherheitslücken werden ausgenutzt – entsprechend sollte die Frage nicht mehr lauten, ob ein Unternehmen gehackt wird, sondern wann.

Die CONVOTIS GmbH ist mit fast 1.000 Mitarbeitern an 26 Standorten in acht Ländern ein führender Partner für Geschäftsanwendungen, digitale Plattformlösungen und den Betrieb kompletter IT-Infrastrukturen. CONVOTIS bietet als zertifizierter DATEV Solution Partner mit über 40 Jahren Fachkompetenz auch IT-Services für Steuerberater und Wirtschaftsprüfer auf dem Weg zur digitalen Kanzlei: Die GmbH betreut rund 650 Steuerkanzleien, aber auch Wirtschaftsprüfer, Anwaltskanzleien und KMU als Application Service Provider (ASP). 

Ende 2023 war CONVOTIS von einem Hackerangriff betroffen – trotz hoher Schutzstandards und Sicherheitssoftware. Group Executive Henri Schmidt, stellte beim morgendlichen Blick auf das Smartphone zahlreiche Anrufe in Abwesenheit fest. Er erfuhr, dass um 3.55 Uhr die Monitoring-Software angeschlagen und ein Kunde bereits frühmorgens bei der 24/7-Hotline angerufen hatte, weil ihm der Systemzugriff verweigert wurde. Eine halbe Stunde danach hatte die IT alle Systeme heruntergefahren – Hunderte Kanzleien konnten nicht mehr ihrem Tagesgeschäft nachgehen – ein Horror-Szenario aus dem Bilderbuch.

IT-Spezialisten werden eingeflogen

Um 10 Uhr am Vormittag war immer noch nicht eindeutig geklärt, ob es sich um einen Cybervorfall handelte: Da die Systeme heruntergefahren und nicht mehr zugänglich waren, musste zunächst eine sichere Brücke zurück in das System gebaut werden, um in Erfahrung zu bringen, was vorgefallen war. Und in der Tat fanden die IT-Spezialisten ein Erpresserschreiben in einer Textdatei mit dem „Angebot“. gegen Bezahlung das Problem zu lösen. „Spätestens da war uns klar, dass wir ein ernsthaftes Problem haben“, berichtet Henri Schmidt. Dem ersten Impuls, den Forderungen nachzukommen und das Geld zu überweisen, wurde zum Glück nicht nachgegeben – das Unternehmen hätte sich damit zudem strafbar gemacht.

In der Zwischenzeit waren das Landeskriminalamt und IT-Forensiker der Versicherung vor Ort, um zu ermitteln, was genau vorgefallen war, um den Schaden zu minimieren und auch um zu eruieren, wer dafür aufkommen muss. „Die Versicherung veranschlagte sechs Wochen, bis wir das System wieder zum Laufen bekommen würden“, erinnert sich CONVOTIS Account Manager Philipp Hüne. Eine Schätzung, die auf Erfahrungen basierte und nicht abwegig ist: Ein Angriff auf das Straßenverkehrsamt in Bergisch Gladbach behinderte dessen Arbeit sogar sechs Monate lang. CONVOTIS gelang es dagegen, das System innerhalb von vier Tagen neu aufzubauen – Techniker waren dafür teilweise 20 Stunden am Stück im Einsatz. Durch die geballte Kompetenz in der Gruppe mussten keine externen Experten hinzugezogen werden. CONVOTIS stellte eine Taskforce auf, IT-Spezialisten wurden unter anderem aus Bratislava und Hamburg nach Bergisch-Gladbach eingeflogen.

System in wenigen Tagen neu aufgebaut

Es zeigte sich, dass das eigene Managementsystem infiziert war. Es war über Jahre gewachsen und musste nun in kürzester Zeit wiederaufgebaut werden. Parallel musste überprüft werden, ob Kundensysteme betroffen und Kundendaten abgeflossen waren. Dafür wurden die Systeme einzeln in sicherer Umgebung hochgefahren und untersucht – unter anderem mit Forensik und Deep Scans.

CONVOTIS kam die Entscheidung zugute, ein Jahr zuvor Microsoft 365 integriert zu haben: Da nur das eigene System vom Angriff betroffen war, konnten die Kunden die Microsoft-Oberfläche mit Zugriff auf die Cloud und Emails weiternutzen, ihre Mandanteninformieren und handlungsfähig bleiben. Da der Angriff kurz vor der Lohnabrechnung am 20. des Monats erfolgte, wurden als Übergangslösung lokale Programme für die Lohnbearbeitung aufgesetzt – zu späte Abrechnungen wurden mit den zuständigen Finanzämtern geklärt.

Trotz des guten Managements war der Hackerangriff kein Zuckerschlecken. Henri Schmidt: „Es war die Hölle. Steuerberater riefen mich an, weil sie keinen Zugriff auf die Daten ihrer Mandanten hatten und auch die Telefonie nicht nutzen konnten.“