Ein Cybersecurity-Vorfall, der die Systeme des Bankruptcy Noticing Center von BAE Systems betrifft, hat einen Dienst zum Versand von Hinweisen für US-Bundesinsolvenzgerichte außer Betrieb gesetzt.
Der Vorfall hat das Bankruptcy Noticing Center (BNC) gestört, das BAE Systems im Auftrag der US-Bundesjustiz betreibt, um Insolvenzbekanntmachungen landesweit zu erstellen und zu versenden.
Laut Reuters, sind auch verbundene Websites offline gegangen. Dadurch wurde ein Dienst unterbrochen, auf den sich die Gerichte verlassen, um Beteiligte über Entwicklungen in Insolvenzverfahren zu informieren.
Die Folgen gehen über nicht erreichbare Websites hinaus. Verzögerte Hinweise und Anordnungen könnten es Gläubigern, Schuldnern und Anwälten erschweren, Gerichtsverfahren zu verfolgen. Außerdem hat der Ausfall die Möglichkeit der Nutzer beeinträchtigt, über das elektronische Einreichungssystem der Gerichte Gläubigerlisten zu erstellen und auszudrucken.
Was wir bisher über den Vorfall wissen
Laut SecurityWeek, wurde die Störung am 9. Oktober bekannt, als BAE Systems das Administrative Office of the US Courts über eine Dienstunterbrechung informierte, die Systeme zur Verarbeitung von Insolvenzbekanntmachungen betraf.
Die US-Bundesjustiz gab den Cybersecurity-Vorfall am 15. Oktober öffentlich bekannt, und bestätigte, dass er das Bankruptcy Noticing Center (BNC) gestört hatte.
In ihrer Mitteilung vom 15. Oktober erklärte die Justiz, dass die BNC-Systeme und die zugehörigen Websites nicht verfügbar seien und die Erstellung und Verteilung von Insolvenzbekanntmachungen durch das Zentrum eingestellt worden sei.
Zu den betroffenen Diensten gehören bnc.uscourts.gov, bankruptcynotices.uscourts.gov, notices.uscourts.gov sowie der National Creditor Registration Service, der den Zugriff auf Versandlisten von Gläubigern ermöglicht. Der Eastern District of Texas erklärte jedoch, die Störung habe die Abstimmungs- und Zertifizierungsprozesse des Gerichts unterbrochen, die den elektronischen und postalischen Versand von Hinweisen unterstützen.
Aus den geprüften öffentlichen Stellungnahmen gehen weder die Ursache des Vorfalls noch Hinweise darauf hervor, ob Daten abgerufen oder gestohlen wurden.
BAE Systems teilte BleepingComputer mit, dass sich der Sicherheitsvorfall auf das BNC-System beschränkt habe und das Unternehmen umgehend Maßnahmen zu seiner Behebung eingeleitet habe. Das Unternehmen untersucht den Vorfall und stimmt sich mit der Justiz ab. Die zitierten Berichte nennen jedoch noch keinen bestätigten Zeitplan für die Wiederherstellung.
Der Ausfall betrifft nicht alle Kanäle für gerichtliche Benachrichtigungen. Das US-Insolvenzgericht für den Middle District of Alabama erklärte, dass Notices of Electronic Filing über CM/ECF weiterhin normal versendet würden, während das Gericht alternative Wege für die Zustellung gerichtlicher Dokumente prüfe.
Wenn Abhängigkeiten von Drittanbietern zu kritischen Ausfallpunkten werden
Unternehmen können nicht immer jedes System, von dem sie abhängig sind, intern aufbauen und verwalten.
Die Auslagerung von Diensten kann helfen, Kosten und administrativen Aufwand zu senken. Der Nachteil ist jedoch, dass nun Teile ihrer Abläufe von Lieferkettenrisiken abhängen, die sie weder vollständig kennen noch kontrollieren.
Wie John Strand, Inhaber von Black Hills Information Security, gegenüber eSecurityPlanet erklärt, denken „viele Menschen noch immer bei Computersicherheit im Sinne einer DMZ. Es gibt ein internes Netzwerk, das geschützt werden muss, und eine Außenwelt, vor der es geschützt werden muss.“
Moderne Unternehmen verlassen sich jedoch auf zahlreiche Software-as-a-Service-(SaaS)-Plattformen, Integrationen von Drittanbietern und Daten, die durch externe Systeme fließen. „Dieser Perimeter ist weitaus unübersichtlicher, als die Menschen glauben wollen“, sagt Strand.
Das ist das Lieferkettenrisiko, das im Zentrum dieses Vorfalls steht: Eine Organisation kann ihr eigenes Netzwerk absichern und trotzdem gestört werden, wenn bei einem abhängigen Dienstleister ein Sicherheitsvorfall auftritt.
Für Sicherheitsteams machen diese Abhängigkeiten die Verfügbarkeit zu einem Bestandteil des Risikomanagements für Dienstleister: Der Ausfall eines Anbieters kann wichtige Arbeiten unterbrechen, selbst wenn das eigene Netzwerk des Kunden weiterhin verfügbar ist.
Der Vorfall bei BAE Systems zeigt, wie schwerwiegend solche Abhängigkeiten werden können, wenn sie eine kritische öffentliche Funktion tragen.
Jacob Krell, Senior Director für Secure-AI-Lösungen und Cybersecurity bei Suzu Labs, beschreibt Insolvenzbekanntmachungen als „Maschinerie des rechtsstaatlichen Verfahrens“ und argumentiert, die Justiz habe einen einzigen Auftragnehmer für einen Dienst verantwortlich gemacht, auf den Gerichte angewiesen seien, damit Insolvenzverfahren vorankommen.
Wie Krell es formuliert: „Der Ausfall hat keinen Gerichtssaal berührt, und doch hat er den Kalender jedes Insolvenzverfahrens im Land neu geschrieben.“
Seine Sorge geht über den unmittelbaren Ausfall hinaus und betrifft das Fehlen einer Alternative für den Fall, dass der Auftragnehmer den Dienst nicht bereitstellen kann. Er fragt, warum „die Architektur für den Versand von Benachrichtigungen keinen alternativen Weg“ habe.
Das ist die übergreifende Lehre für Organisationen: Drittanbieter sind oft unverzichtbar, doch die von ihnen bereitgestellten Dienste können so wichtig werden, dass ihr Ausfall den Betrieb weit über den Dienstleister selbst hinaus stört.
Für unverzichtbare ausgelagerte Dienste sollten Organisationen festlegen, wie lange sie einen Ausfall tolerieren können, und einen alternativen Prozess testen. Je nach Dienst kann dies einen zweiten Anbieter, einen manuellen Ablauf oder eine interne Fähigkeit umfassen.
Was Verteidiger tun können
Cybersecurity-Verantwortliche können nicht jeden Angriff verhindern, aber sie können die Lücke zwischen dem Zeitpunkt eines Angriffs und der Dauer des Ausfalls verkleinern.
Organisationen sollten über getestete Pläne zur Reaktion auf Vorfälle und Pläne zur Notfallwiederherstellung verfügen, in denen festgelegt ist, wie sie betroffene Systeme isolieren, den Vorfall untersuchen, einen sauberen und vertrauenswürdigen Betrieb wiederherstellen und wichtige Dienste möglichst schnell aufrechterhalten werden.
Der Vorfall unterstreicht außerdem, wie wichtig es ist, Abhängigkeiten von Drittanbietern in die Wiederherstellungsplanung einzubeziehen. Sicherheits- und Geschäftsteams sollten ermitteln, welche Arbeitsabläufe von den einzelnen kritischen Anbietern abhängen, akzeptable Ausfalldauern festlegen und die Verantwortung für die Aktivierung eines alternativen Prozesses zuweisen.
Wiederherstellungsübungen sollten testen, ob diese Alternative ohne Zugriff auf die Systeme des betroffenen Dienstleisters funktioniert. Teams sollten außerdem festlegen, wie sie Verzögerungen kommunizieren, während des Ausfalls erledigte Arbeiten nachverfolgen und den Rückstand nach der Wiederaufnahme des Dienstes aufarbeiten.
Für Verteidiger besteht das Ziel nicht allein darin, Angreifer fernzuhalten, sondern auch darin sicherzustellen, dass wichtige Abläufe nach einem erfolgreichen Angriff schnell wiederhergestellt werden können.