Persönlicher Blick auf den Cyber-Angriff: Gemeinsam über das Maß hinauswachsen

Dortmund – 25.01.2023. Die Auswirkungen des Cyber-Angriffs auf die IHK-Organisation haben die Zusammenarbeit zwischen uns und unserer Kundschaft vor neue Herausforderungen gestellt, die es vor allem auf Ebene des Consultings zu bestehen galt. Mario Müller, Head of Consulting der IHK-GfI, teilt mit uns seine Eindrücke dazu, wie sich der Cyber-Angriff auf die Arbeit an der Schnittstelle zwischen uns als Dienstleister und unserer Kundschaft ausgewirkt hat.

Was waren deine ersten Gedanken, als du von dem Cyber-Angriff auf die IHK-Organisation erfahren hast? 

Meine ersten Gedanken drehten sich insbesondere um Fragen der zukünftigen Arbeitsfähigkeit unserer Kund*innen, aber auch der IHK-GfI. Auf der einen Seite malt man sich zunächst alle möglichen Szenarien aus, welchen Einfluss das Geschehen auf die gemeinsamen Projekte unserer Kundschaft und uns haben wird. Auf der anderen Seite war ich unglaublich stolz auf die Reaktionsschnelligkeit und -souveränität der IT-Sicherheit und des IHK-CERT der IHK-GfI: Sie haben das Problem schnell identifiziert, rechtzeitig den Stecker gezogen und auf diese Weise die größeren Probleme, die typischerweise infolge eines Cyber-Angriffs dieser Tragweite auftreten, verhindert. 

Als Head of Consulting hast du dein Ohr immer an unserer Kundschaft und stehst mit dieser in engem Austausch. Wie hast du die Wochen und Monate nach dem der Cyber-Angriff aus dieser Perspektive erlebt? 

Unsere tägliche Arbeit im Bereich Consulting hat sich im Zuge des Wiederaufbaus der Systeme spürbar verändert: in unserer regulären Tätigkeit beraten wir unsere vielen Kund*innen insbesondere zu Strategie und Prozessen. Daraus wurde quasi über Nacht eine intensive und techniknahe Betreuung von jeweils nur noch einer Handvoll von Ansprechpersonen in den IHKs. Unser Fokus lag also voll und ganz auf der Begleitung und Unterstützung der Kund*innen beim Wiederhochfahren der Systeme. Verständlicherweise war die Phase des Wiederaufbaus für uns und unsere Kundschaft an der ein oder anderen Stelle auch mal nervenaufreibend oder überfordernd. In der Summe konnten wir jedoch viele gemeinsame Erfolge feiern und unseren Humor und die Freude am Austausch bewahren. 

Was nimmst du aus der Zeit seit dem Cyber-Angriff für die Zukunft mit? 

Grundsätzlich war der Cyber-Angriff auf die IHK-Organisation zunächst einmal ein negatives Ereignis. Nichtsdestotrotz muss man versuchen, aus Allem das Beste zu machen, insofern empfinde ich vor allen Dingen die vielen neuen Kommunikationsbeziehungen, die sich im Rahmen unserer gemeinsamen Arbeiten zum Wiederaufbau entwickelt haben, als große Bereicherung für die Zukunft. Als Consulting der IHK-GfI ist es schließlich unser Auftrag, individuelle Lösungen für die individuellen Bedürfnissen unserer Kund*innen zu generieren.  
An einem Strang zu ziehen und gemeinsam auf das Ziel des vollständigen Wiederaufbaus hinzuarbeiten hat auf der Ebene unserer internen Zusammenarbeit dazu geführt, dass wir bereichsübergreifende Kooperationen vertiefen und dadurch unsere Gemeinschaft insgesamt stärken konnten. Die Erfahrungen, die wir im Rahmen der schwierigen Situation als Gemeinschaft gemacht haben, sind Grund für diese positive Entwicklung. Zukünftig gilt es, das Gelernte anzuwenden und die Kommunikation an der Schnittstelle zwischen uns als Dienstleister und unserer Kundschaft weiterhin zu optimieren. 

Marios Top 5 Learnings: 

Dortmund – 16.12.2022. Der Cyber-Angriff auf die IHK-Organisation im August hat für uns vieles verändert: Während sich zum einen die Sicht auf die Bedeutsamkeit von IT-Sicherheit bis in jeden Winkel des Unternehmens verschärft hat, hat sich zum anderen auch der Tätigkeitsbereich vieler der Mitarbeitenden der IHK-GfI in Anbetracht der neuen Aufgaben verändert. Gregor Grundmann ist bei uns als Systemadministrator im internen IT-Support tätig, hat im Rahmen des Cyber-Angriffs wie viele von uns jedoch einige weitere Aufgaben übernommen. Im Kurzinterview teilt er seine Eindrücke dazu, wie er die Krise sowie die mit ihr einhergehenden neuen Aufgabenbereiche empfunden hat und welchen Einfluss diese für ihn auf die Vereinbarkeit von Privatleben und Beruf hatten. 

Was waren deine ersten Gedanken, als du von dem Cyber-Angriff auf die IHK-Organisation erfahren hast?

An meinem letzten Urlaubstag habe ich durch einen Blick in den Austauschkanal unseres Teams erfahren, dass meine Kolleg*innen auffällige Aktivitäten in unseren Systemen festgestellt haben. Als ich mich dann auf meinen ersten Arbeitstag vorbereitete, ließ ich die Information erst einmal sacken. Wenn man von einer möglichen Bedrohungslage für die IT-Systeme erfährt, für deren Sicherstellung und Kontrolle man im Rahmen der IT-Infrastruktur mitverantwortlich ist, befürchtet man in gewisser Weise schon, dass man etwas hätte besser machen können. Als Familienvater bin ich kleinere und größere Sorgen jedoch gewohnt. Insofern habe ich mir zwar Sorgen gemacht, wollte mich jedoch nicht verrückt machen, solange ich den aktuellen Stand der Lage und das Ausmaß des Schadens nicht kenne. Ich hielt an dem Gedanken fest, dass jeder Rückschlag auch das Potential birgt, durch Erfahrungen auf lange Sicht Verbesserungen bewirken zu können. Es ist immer Luft nach oben und ich bin überzeugt davon, dass die IHK-GfI hinsichtlich ihrer beratenden und unterstützenden Kompetenz zu dem Thema IT-Sicherheit einen großen Sprung gemacht hat.

Wie hat sich dein regulärer Arbeitsalltag in Folge des Cyber-Angriffs verändert?

Vereinfacht gesagt ist meine Aufgabe als Systemadministrator im internen IT-Support der IHK-GfI zu einem Großteil die Aufrechterhaltung der Arbeitsfähigkeit aller Mitarbeitenden mit allem, was dazugehört: Beschaffung von Hard- und Software, Unterstützung bei technischen Problemen, Administration der Systeme sowie Endgeräte und vieles mehr. Mein Fokus liegt auf der Leitung sowie Instandhaltung des Antivirus-Systems und als Team stehen wir letztlich auch immer in einem direkten Austausch mit dem IT-Sicherheitsbeauftragten und dem IHK-CERT der IHK-GfI.
Von diesem regulären Arbeitsalltag konnte spätestens seit Entdeckung des Cyber-Angriffs im August jedoch keine Rede mehr sein. Die im Support bei uns üblichen Spezialisierungen sind aufgrund des hohen Aufkommens von Anfragen in den Hintergrund getreten, sodass wir praktisch alle für jedes erdenkliche Thema im Einsatz waren. Für mich kamen zudem noch die Mitarbeit an der Wiederherstellung von Services und konzeptionelle Aufgaben hinzu, um die digitale Arbeitsfähigkeit der IHKs schnellstmöglich zu verbessern.
Die Menge an wichtigen und dringenden Aufgaben fühlte sich für mich anfangs in etwa so an, als hätte ich einen Becher Wasser, um einen Großbrand zu bekämpfen. Es galt sowohl die IHK-GfI arbeitsfähig zu halten als auch die Arbeitsfähigkeit der IHKs schnellstmöglich wiederherzustellen. Das hat bei mir natürlich erst einmal zu Unsicherheit und auch einer deutlich höheren Arbeitslast geführt. Im Team konnten wir diese herausfordernde Situation aber durch das Finden neuer Lösungen und Arbeitskonzepte schrittweise meistern. Auch wenn die jetzige Arbeitslast immer noch sehr hoch ist, entspricht sie nicht mehr jener der Anfangszeit. Das Ziel haben wir also noch nicht erreicht, aber mittlerweile ist es zumindest in Sichtweite und das macht Hoffnung.

Wie hat sich die erhöhte Arbeitslast durch den Cyber-Angriff auf die Vereinbarkeit von Privatleben und Beruf ausgewirkt und was hat dir dabei geholfen, die Waage zu halten?

Zunächst hat das dazu geführt, dass ich auf das Home-Office verzichten und meinen Alltag – wie zu Beginn der Corona-Pandemie – umorganisieren musste. Die Arbeitstage waren deutlich länger und viele der neuen Aufgabenstellungen herausfordernd.  Letztlich habe ich die Arbeit – zumindest im Kopf – oftmals mit nach Hause genommen und die erhöhte Arbeitslast hat mich psychisch und physisch viel Substanz gekostet. Die Familie kam bei mir in der Regel dann zu kurz, ebenso wie der Sport, den ich sonst gern als Ausgleich nutze. Die Unterstützung und das Verständnis meiner Familie, aber auch der Rückhalt meines Teams und der IHK-GfI insgesamt haben mir sehr geholfen, mit dieser herausfordernden Situation umzugehen. Auch wenn der Wiederaufbau noch nicht abgeschlossen ist, entspannte sich die Situation für mich bereits dadurch, dass mit der Eingewöhnung in die neuen Arbeitsabläufe und der schrittweisen Erschließung neuer Herangehensweisen auch das Home-Office wieder möglich wurde. Das hat mir dann auch wieder mehr Zeit für Familie, Sport und mein Privatleben generell eingeräumt.

Wie hast du die Zeit seit dem Cyber-Angriff empfunden und was nimmst du aus ihr mit?

Ich habe durch den Angriff eine Menge an Erfahrung dazugewonnen, die mir keiner mehr nehmen kann. Eines kann ich mit Sicherheit sagen: Wir sind alle an den Herausforderungen, die der Cyber-Angriff mit sich gebracht hat, gewachsen. Ich habe gelernt, Dinge mit mehr Abstand zu betrachten und zu priorisieren, sodass ich das Wesentliche besser im Fokus behalte. Für die Zukunft möchte ich meinen Schwerpunkt noch mehr als zuvor auf das Thema IT-Security legen und meine Kenntnisse sowie mein Fachwissen in diesem Bereich fortlaufend vertiefen.

Gregors Top 5 Learnings:

Dortmund – 22.11.2022. Mittlerweile sind seit der Entdeckung des Cyber-Angriffs auf die IHK-Organisation beinahe vier Monate vergangen. In den letzten Wochen haben sich alle Kräfte der IHK-GfI darauf konzentriert, die Folgen des abgewehrten Angriffs zu beheben, die Systeme zu durchleuchten und den Nutzer*innen somit wieder sicher zur Verfügung zu stellen. Seit der Entdeckung des Angriffs ist viel passiert und es ist an der Zeit, mit den gesammelten Erfahrungen im Gepäck den Blick nach vorne zu richten: Was hat der Cyber-Angriff für Spuren hinterlassen und welche Chancen birgt er für die Zukunft? Hierfür haben wir Dr. André Donk, Prokurist und Leiter der Abteilung Corporate Finance & Development der IHK-GfI, gefragt, wie er die Krise empfunden hat und was er für die Zukunft aus ihr mitnimmt.

Was waren deine ersten Gedanken, als du von dem Cyber-Angriff auf die IHK-Organisation erfahren hast?

Mein erster Gedanke war: Jetzt trifft es also auch uns. Mir war zwar sehr bewusst, dass Cyber-Angriffe die Wirtschaft und den Staat seit Jahren massiv herausfordern, es verändert jedoch eine Menge, wenn eine abstrakte Bedrohung auf einmal konkret wird. Ich bin eigentlich ein durchweg optimistischer Mensch und mache mir wenig Sorgen. Da zu dem Zeitpunkt jedoch noch nicht klar war, welche Auswirkungen dieser Angriff auf uns haben und wie lange die Abwehr und die Wiederinbetriebnahme unserer Services benötigen würde, lag ich in den ersten Nächten wach. Auch wenn die Situation mich zunächst verunsichert hat, wusste ich, dass wir ein wirklich starkes Team sind, das diese Krise gemeinsam bewältigen wird.

Man hat es ja nicht täglich mit der Bekämpfung der Folgen eines Cyber-Angriffs zu tun. Was hat dir in dieser neuen Arbeitssituation geholfen?

Nach den ersten Gesprächen mit Kolleg*innen und externen Expert*innen fühlte ich mich schon etwas besser. Unsere am Vorabend eingeleiteten Sofortmaßnahmen zur Abwehr des Angriffs waren richtig und haben Schlimmeres verhindert. Und dennoch: es war ein wenig wie bei einer sehr ernsten Erkrankung. Die Diagnose lag vor, die Not-OP ist gut gelaufen – doch wie die weitere Behandlung, Reha oder Nachsorge aussehen werden, das konnte ich noch nicht einschätzen.
Als Mitglied der Geschäftsleitung habe ich eine Querschnittsfunktion im Unternehmen und war von Anfang an Teil des interdisziplinären Krisenstabs. Wir haben uns jeden Tag zweimal zur Lage und Kommunikation besprochen und Maßnahmen zur Wiederherstellung geplant. Für uns alle war ohne Frage klar: Wir müssen unsere Kundschaft so schnell und so sicher wie möglich wieder arbeitsfähig machen. Das ist mit Druck und auch mit Frust verbunden. Nicht jeder Plan geht sofort perfekt auf, doch mich haben viele positive Momente mit den Kolleg*innen sowie die unterstützenden Gespräche mit den IHKs motiviert.

Wie hast du die Zeit seit dem Cyber-Angriff empfunden und was nimmst du aus ihr mit?

Als Führungskraft habe ich gelernt, dass ich mehr auf mich achten und für Ausgleich sorgen muss. In dieser Hinsicht ist diese Krise für mich sicher eine Chance, lange gehegte Verhaltensweisen noch einmal zu überdenken. Ich glaube, ich bin klarer und entschiedener geworden und kann besser Hilfe annehmen. Der Cyber-Angriff ist auch insofern eine Lehre, als dass IHK-GfI und IHK-Organisation zukünftig noch mehr in IT-Sicherheit investieren werden. Nichtsdestotrotz wird eine optimierte Technik allein das Problem nicht lösen: Auch die Menschen in der Organisation müssen für einen sicheren Umgang mit dem digitalen Arbeitsplatz noch besser sensibilisiert und geschult werden. Wir können die gesammelten Erfahrungen zukünftig nutzen, um anderen Organisationen in ähnlichen Situationen zu helfen. Deshalb hoffe ich, dass wir alle lernen, mit Krisen noch offener umzugehen. Hierzu braucht es Vertrauen, Zusammenhalt und vor allem auch Mut.

Andrés Top 5 Learnings:

Dortmund – 06.09.2022. Anfang August trennte die IHK-GfI, IT-Servicedienstleister der IHK-Organisation, die IT-Systeme der 79 Industrie- und Handelskammern vom Internet. Wie aktuelle Erkenntnisse nun zeigen, war dies der richtige Schritt, um die IHK-Organisation und ihre Mitgliedsunternehmen vor gravierenden Schäden zu bewahren. Hinter dem Cyber-Angriff stecken nach Erkenntnissen der IT-Forensiker und des Bundesamtes für Sicherheit in der Informationstechnik extrem professionelle Hacker. Die Vorgehensweise der Hacker deutet auf einen Angriff zum Zweck der Spionage oder Sabotage hin, auch wenn sie einen finanziell motivierten Hintergrund des Angriffs noch nicht ausschließen können.

Die IHK-GfI entdeckte am 3. August 2022 ein auffälliges Verhalten in ihren IT-Systemen. Die Expert*innen des IHK Cyber Emergency Response Teams (IHK-CERT) der IHK-GfI haben den Vorfall daraufhin unverzüglich untersucht. In Zusammenarbeit mit externen IT-Sicherheitsexperten entschied die IHK-GfI, aus Sicherheitsgründen die Verbindung aller Industrie- und Handelskammern zum Internet zu trennen. Ein solches Vorgehen verwehrt Angreifern den weiteren Zugriff auf die Systeme und verhindert somit eine weitere Fortführung des Angriffs, insbesondere den Diebstahl oder die mögliche Verschlüsselung von Daten. Dadurch konnte die IHK-GfI den Angriff stoppen. Die Ergebnisse der IT-Forensik zeigen, dass der Angriff von langer Hand vorbereitet wurde. Die von den Hackern eingesetzten Werkzeuge zur Manipulation sind hochentwickelt. „Bei der Cyber-Attacke auf die IHK-Organisation handelt es sich um einen extrem professionellen Angriff“, bestätigt Dr. Christoph Hebbecker, Staatsanwalt bei der Zentral- und Ansprechstelle Cybercrime Nordrhein-Westfalen (ZAC NRW) in Köln.

Nach Einschätzung der externen Experten reagierte die IHK-GfI konsequent und unter dem Gesichtspunkt der wirtschaftlichen und politischen Rahmenbedingungen und aus der Erfahrung aus vergleichbaren Vorfällen absolut angemessen und alternativlos.

Aufgrund der Professionalität und Diskretion der Hacker bewertet die IHK-GfI das Risiko weiterer Angriffe als hoch. Daher werden die Software-Anwendungen und IT-Systeme der IHKs nur nach intensiver Prüfung schrittweise hochgefahren. Bis alle Industrie- und Handelskammern deutschlandweit wieder voll funktionsfähig arbeiten können, wird es folglich noch einige Wochen dauern. Für die Arbeit der IHKs essentielle Services werden derweil mit vorübergehenden Maßnahmen kurzfristiger zur Verfügung gestellt oder sind bereits wieder verfügbar.

Bisher konnte die IHK-GfI gemeinsam mit spezialisierten, vom BSI zertifizierten IT-Experten bereits einige Services wiederherstellen: So sind die Websites der meisten IHKs inzwischen wieder online erreichbar, 47 Industrie- und Handelskammern sind mit Stand 6. September wieder per E-Mail erreichbar. Weiterhin stehen die wesentlichen IHK-internen Anwendungen zur Verfügung.

„Bereits heute ist klar, dass alle Teile der IHK-Organisation ihre Lehren aus den Vorfällen ziehen müssen“, betont Jan Eder, Vorsitzender des Aufsichtsrates der IHK-GfI und Hauptgeschäftsführer der IHK Berlin. „So haben wir in den letzten Wochen sehr deutlich erlebt, dass die Sicherheit der Gesamtorganisation von jedem Einzelnen von uns abhängt.“

Die IHK-GfI kann derzeit keine weiteren Informationen zum Cyber-Angriff geben, um einerseits die IHK-Organisation weiterhin erfolgreich zu schützen und andererseits die laufenden Ermittlungen der Sicherheitsbehörden nicht zu gefährden.

Außerdem warnt die IHK-GfI ausdrücklich vor Trittbrettfahrern. Der Bekanntheitsgrad des Vorfalls ruft mit hoher Wahrscheinlichkeit weitere Kriminelle auf den Plan: Diese könnten Phishing, Social-Engineering und andere Methoden einsetzen, um von der Situation zu profitieren. Daher sollte man besonders wachsam sein im Umgang mit (vermeintlichen) E-Mails der IHK. Zuletzt verschickten Kriminelle beispielsweise Phishing-E-Mails, die Mitgliedsunternehmen aufforderten, sich „neu zu identifizieren“, ansonsten würde der jeweilige Account nach einer gewissen Frist gesperrt werden. Wenn Zweifel bestehen, ob eine E-Mail tatsächlich aus der IHK stammt, so sollte zur Absicherung eine kurze telefonische Klärung stattfinden.