Der Angriff auf Stryker verdeutlicht eine neue Dimension von Cyberbedrohungen: Statt Malware oder klassische Ransomware einzuschleusen, nutzten die Angreifer die legitimen Funktionen von Microsoft Intune selbst, um massiven Schaden anzurichten. Dabei gingen die Hacker gezielt vor: Zuerst kompromittierten sie ein Administrator-Konto, erstellten dann ein neues Global-Administrator-Konto und führten von diesem aus die Wipe-Befehle durch. Diese Vorgehensweise macht deutlich, dass das Sicherheitsrisiko nicht nur bei Schwachstellen in der Software liegt, sondern auch bei unzureichendem Zugangsmanagement.
Handala, auch unter den Namen Handala Hack Team oder Hatef bekannt, ist seit Dezember 2023 aktiv. Die Gruppe wird mit dem iranischen Geheimdienst MOIS verknüpft und hatte sich zunächst auf Operationen gegen israelische Organisationen konzentriert. Der Angriff auf Stryker markiert eine Expansion ihres Aktionsradius und zeigt, dass europäische und deutsche Unternehmen gleichermaßen im Fokus solcher Operationen stehen können.
CISAs Empfehlungen sind konkret und praktikabel: Organisationen sollten das Prinzip der minimalen Berechtigung (Least-Privilege) umsetzen – Administrator-Rollen erhalten nur die Berechtigungen, die sie tatsächlich benötigen. Besonders wichtig ist die Implementierung von Multi-Faktor-Authentifizierung (MFA) und die Anforderung mehrfacher Administrator-Genehmigungen für kritische Aktionen wie Gerätlöschungen oder RBAC-Änderungen.
Microsoft hat bereits Hardening-Richtlinien veröffentlicht, die auf Entra-ID-Funktionen wie Conditional Access und Risk Signals setzen. Das Konzept wird von Microsoft selbst als “Protection by Design” bezeichnet – eine Sicherheitsarchitektur, die weniger auf das Vertrauen in Administratoren setzt, sondern auf technische Kontrollen und mehrschichtige Genehmigungsprozesse.
Für deutsche Organisationen, Behörden und Unternehmen, insbesondere in kritischen Infrastrukturen und der Medizintechnik, sollte dies oberste Priorität haben. Der Stryker-Angriff zeigt, dass gut gepflegte Admin-Accounts zum Einfallstor für großflächige Zerstörung werden können. Die Härtung von Intune-Umgebungen ist kein optionales Sicherheits-Upgrade, sondern eine notwendige Verteidigungsmaßnahme gegen ein reales und gegenwärtiges Risiko.