(ik) Die Schmersal-Gruppe, ein international tätiger Anbieter im Bereich Maschinensicherheit und ein familiengeführtes Unternehmen mit Sitz in Wuppertal, hat nach einem massiven Cyberangriff die Produktion an ihren weltweiten Standorten wieder hochgefahren. Ende Mai hat Schmersal von offizieller Seite eine Warnung erhalten, dass Cyberkriminelle einen gezielten Angriff auf das Firmennetzwerk planen. Nach einer Verifikation des Anrufs trafen die IT-Verantwortlichen schnell eine Entscheidung von großer Tragweite: Sie schalteten das gesamte Firmennetzwerk ab.
1. Identifikation und Isolation der Schadsoftware 2. Erfolgreiche Reaktivierung des ERP-Systems, des Zentrallagers sowie des Kommunikationsnetzwerks 3. Zusammenarbeit über Unternehmensgrenzen hinweg
Innerhalb von zehn Minuten war die Verbindung zum Internet getrennt und innerhalb von 90 Minuten die gesamte IT weltweit heruntergefahren. Nichts ging mehr, von der Telefonanlage über die gesamte ERP-System-Infrastruktur und die komplette Produktion bis zum vollautomatisierten Lager, an allen Standorten.
Identifikation und Isolation der Schadsoftware
Wie sich schnell herausstellte, war dies die einzig richtige Entscheidung, und sie kam zum exakt richtigen Zeitpunkt. IT-Forensiker konnten die aggressive Schadsoftware identifizieren und isolieren. Offenbar befand sich der Angreifer noch in einer Vorbereitungsphase, als die Systeme abgeschaltet wurden. Nun galt es, den Angreifer daran zu hindern, die Attacke zu vollenden. Daher mussten die Systeme zur Vorsicht abgeschaltet bleiben, bis sie final gesäubert werden konnten.
Der Offline-Zustand blieb eine ganze Reihe von Tagen bestehen: Die komplette Produktion ruhte, während Verwaltung und Vertrieb intensiv daran arbeiteten, Kunden, Lieferanten und andere Geschäftspartner zu informieren. „In solchen Situationen wird deutlich, wie abhängig ein Unternehmen heutzutage von der IT ist. Telefonieren, Mailen, Bestellungen annehmen: Für jeden Vorgang mussten wir alternative Kanäle finden. Wir haben deshalb mit großem Aufwand auf allen denkbaren Wegen den Kontakt zu unseren Kunden gesucht und sie auf dem Laufenden gehalten. Schließlich galt es, die Lieferketten unserer Kunden so wenig wie möglich zu beeinträchtigen“, sagt Philip Schmersal, geschäftsführender Gesellschafter.
Zeitgleich gab es sehr viel „Handarbeit“ zu erledigen: Da diese Schmersal-spezifische Schadsoftware zu Beginn von keinem Standard-Scanner erkannt wurde, musste jeder Rechner mit einer individuellen Reinigungsroutine bearbeitet werden. Parallel dazu wurden über Ersatz-Server die Kommunikation aufrechterhalten, tausende von E-Mails mit Bestellungen ausgedruckt und manuell bearbeitet sowie die Software-Programme wieder hochgefahren.
