Der Angriff auf Stryker markiert einen neuen Wendepunkt in der Cyberkriminalität: Die Hackergruppe Handala nutzte nicht traditionelle Malware, sondern Microsofts Cloud-basiertes Endpoint-Management-System Microsoft Intune, um mehr als 200.000 Geräte zu löschen. Dies bestätigten Cybersicherheitsexperten und Quellen mit Insiderwissen, nachdem zunächst von Wiper-Malware ausgegangen worden war. Stryker selbst erklärte in offiziellen Stellungnahmen, dass weder Malware noch Ransomware während der Ermittlungen gefunden wurden.
Die Auswirkungen waren verheerend: Weltweit kam es zu Störungen in Microsoft-Umgebungen des Unternehmens. Besonders betroffen war Irland, wo sich Strykers größtes Außenzentrum außerhalb der USA befindet. Dort wurden Support-Mitarbeiter, administrative Angestellte und Ingenieure nach Hause geschickt. Die Kommunikation erfolgte über WhatsApp – ein deutliches Zeichen der Ernst der Lage. Die Produktion von chirurgischen Instrumenten, orthopädischen Implantaten und Neurotechnologie-Produkten stockte.
Handala, deren Bezeichnung als Tarnname für die iranische staatliche Hackergruppe Void Manticore gilt, rühmt sich der Attacke und behauptet, 50 Terabyte an Daten geplündert zu haben. Die Gruppe wird von Cybersicherheitsexperten dem iranischen Geheimdienst (Ministry of Intelligence and Security, MOIS) zugeordnet. Seit Ausbruch des US-israelisch-iranischen Konflikts im Februar intensivierte Handala seine Aktivitäten gegen Ziele, die als Israel-freundlich wahrgenommen werden.
Die Missbrauchsmethode von Microsoft Intune offenbart eine kritische Sicherheitslücke: Legitime Administrator-Tools können zur Waffe werden, wenn Angreifer Zugang zu entsprechenden Credentials erhalten. Dies erschwert die Detektion erheblich, da die Systeme nur reguläre Management-Befehle ausführen – ohne verdächtige Malware-Signaturen.
Für deutsche Unternehmen, insbesondere im Healthcare- und Medizintechnik-Sektor, sollte dieser Angriff Anlass zur kritischen Überprüfung von Zugangsschutzmaßnahmen zu Endpoint-Management-Systemen sein. Multi-Faktor-Authentifizierung, strenge Zugriffskontrollen und Logging-Mechanismen sind essentiell.