Cyberangriff auf Lettlands Verkehrsbehörde legt Daten von 1,2 Millionen Menschen offen

Die CSDD teilte mit, ihre Untersuchung habe ergeben, dass Hacker Daten aus Zahlungsbelegen abgezogen haben, die bis ins Jahr 2008 zurückreichen. Betroffen sind laut Behörde Unterlagen von mehr als 1,2 Millionen Personen und 200.000 Unternehmen sowie weiteren juristischen Personen. Bei einer Bevölkerung von etwas mehr als 1,8 Millionen Menschen entspricht das einem erheblichen Teil des Landes.

Zu den abgeflossenen Informationen zählen nach Angaben der CSDD Personenkennzahlen oder Firmenregisternummern, Kennzeichen, Zahlungsbeträge und Zahlungsdaten sowie Adressen aus Fahrzeugscheinen. Nicht betroffen seien Kunden-Telefonnummern und E-Mail-Adressen; außerdem seien Adressangaben in manchen Datensätzen unvollständig gewesen. Auch Benutzernamen und Passwörter seien nicht kompromittiert worden.

Der Betrieb der Behörde sei durch den Vorfall nicht unterbrochen worden, erklärte CSDD. Online-Dienste und persönliche Services stünden weiterhin zur Verfügung. Gleichzeitig hat die Behörde den Zugriff auf einen Dienst eingeschränkt, über den sich anhand eines Kennzeichens Fahrzeuginformationen wie Marke und Modell abfragen lassen.

CERT.LV warnte, Kriminelle könnten die gestohlenen Daten für Social Engineering und Betrug nutzen. Nach einem Bericht an den lettischen öffentlich-rechtlichen Sender LSM erklärte das Computer-Notfallteam zudem, die Angreifer hätten eine Schwachstelle in einem aus dem Internet erreichbaren CSDD-System ausgenutzt; außerdem seien mehrere verpflichtende Cybersicherheitsanforderungen nicht erfüllt worden.

CSDD hatte den Vorfall bereits vergangene Woche öffentlich gemacht und damals von einem „komplexen“ Cyberangriff gesprochen, bei dem Dritte teilweise Zugriff auf Systeme mit historischen Zahlungsbelegdaten erhalten hätten. Die Behörde erklärte seinerzeit, sie habe gemeinsam mit Cybersicherheitsbehörden die von den Angreifern genutzten „Methoden und Kanäle“ identifiziert und vollständig blockiert.

Varis Teivans, stellvertretender Leiter von CERT.LV, sagte, die bislang vorliegenden Informationen deuteten auf einen gezielten Angriff hin, für dessen Umsetzung Vorbereitungen getroffen worden seien. Auch Art des Angriffs und die eingesetzten Methoden sprächen für technische Kompetenz auf Seiten der Täter. Über das Wochenende habe es laut CSDD einen weiteren Angriffsversuch gegeben, der nach Sicherheitsverbesserungen nach dem ersten Einbruch abgewehrt worden sei.

Inzwischen hat sich der Vorfall zu einer politischen Kontroverse über die Verantwortung ausgeweitet. Präsident Edgars Rinkevics bezeichnete den Angriff als „erhebliche Bedrohung für die nationale Sicherheit“ und erklärte, Ruf und öffentliches Vertrauen in die CSDD seien beschädigt; unter diesen Umständen dürfe die Leitung ihre Arbeit nicht fortsetzen. Auch der Abgeordnete Andris Kulbergs forderte den Rücktritt von Management und Aufsichtsrat. Am Mittwochmorgen reichte der Aufsichtsrat der Behörde seinen Rücktritt ein.

CSDD-Chef Aivars Aksenoks erklärte lokalen Medien, er bereite ebenfalls seinen Abgang vor, wolle aber zunächst bei der Aufklärung und Bewältigung der Folgen helfen. Zugleich deutete er an, die Verantwortung liege womöglich nicht allein bei der Behörde. Er verwies auf das lettische Telekommunikations- und Technologieunternehmen Tet, das Teile der IT-Infrastruktur und der Sicherheitsüberwachung bereitstellt. Laut Aksenoks umfasst ein Fünfjahresvertrag Wartung und Monitoring, darunter bestimmte Firewall- und Vorfallüberwachungsfunktionen. Tet habe den Einbruch nicht erkannt und die Behörde nicht alarmiert; stattdessen hätten CSDD-Mitarbeiter den Angriff selbst entdeckt und ihn innerhalb mehrerer Stunden gestoppt. Tet wies eine vorschnelle Zuschreibung von Verantwortung zurück. Vorstandschef Uldis Tatarcuks erklärte, zunächst müsse geklärt werden, wie und wann sich die Angreifer Zugang verschafft hätten, welche Systeme kompromittiert wurden und an welcher Stelle Sicherheitsmaßnahmen versagt hätten. Das Unternehmen betonte außerdem, es sei nur für bestimmte Teile der CSDD-Infrastruktur zuständig, nicht für das gesamte Netz.

Die lettischen Cybersicherheits- und Datenschutzbehörden untersuchen den Vorfall weiter, die Staatspolizei hat ein Strafverfahren eingeleitet.