Hacker können sauer werden, wenn man ihre Forderungen ignoriert. In Rumänien hat ein Krimineller die gesamte Grundbuchdatenbank des Landes gelöscht, nachdem ein Erpressungsversuch scheiterte. Mangelhafte Cybersicherheit machte es ihm besonders leicht.

Zunächst verschaffte sich der Hacker Zugang zum rumänischen Katasteramt, der Nationalen Agentur für für Kataster und Immobilienpublizität (ANCPI), und postete anschließend in einem Hackerforum: „[RO] Thy arss shall be spanked, Romania! [ANCPI]“

„Neben den Daten rumänischer Bürger aus verschiedenen Datenbanken, die über die ANCPI-Netzwerke zusammengetragen wurden, liegt mir auch eine Kopie der GitLab-Server mit dem Quellcode all ihrer Systeme vor, darunter Eterra und RENNS, sowie eine Version meines kleinen Ransomware-Programms“, hieß es in dem Posting weiter.

Immobilienmarkt steht still

„Die offizielle Regierungswebsite meldete eine Abschaltung der IT-Systeme wegen ‚technischer Probleme’ – eine ziemliche Untertreibung. Ein Hilfsangebot wurde gemacht, jedoch ohne Nachdruck.“

Tatsächlich hatte die ANCPI zunächst technische Probleme als Ursache angegeben, musste schließlich aber einräumen, Opfer eines Cyberangriffs geworden zu sein. Derzeit ist der Zugriff auf die Systeme der Behörde praktisch nicht möglich.

Da die Erpressung erfolglos blieb, löschte der Hacker, der sich offenbar mit gültigen Zugangsdaten Zugang verschafft hatte, sämtliche entwendeten Daten: interne Dokumente, Mitarbeiterzugangsdaten und natürlich die Grundbuchdaten.

Der Angriff hat den gesamten rumänischen Immobilienmarkt zum Erliegen gebracht, wie Risky Business berichtet.

Notare können keine neuen Transaktionen mehr beurkunden, Bürger erhalten weder Eigentumsnachweise noch detaillierte Grundbuchauszüge. Rumänien ist dabei kein kleiner Markt: Im Jahresdurchschnitt werden zwischen 150.000 und 170.000 Wohnimmobilien im ganzen Land verkauft.

Der Hacker, dessen Darknet-Account den Namen ByteToBreach trägt und der Anfang dieses Jahres auch das schwedische E-Government-Portal angegriffen hat, wurde enttarnt.

Die Notarin Ana Stan schrieb im Internet: „Ich bin Notarin. Seit Dienstag kann ich keinen Grundbuchauszug ausstellen, keinen Kauf beurkunden, keine Hypothek eintragen.“

Im Darknet prahlte der Hacker außerdem damit, Sicherungskopien der gestohlenen Daten angelegt zu haben, um eine Wiederherstellung zu verhindern.

Rumänische Behörden konnten inzwischen zumindest die Website der ANCPI wiederherstellen und eine Mitteilung veröffentlichen, wonach das gesamte Netzwerk der Behörde von Grund auf neu aufgebaut wird. Offenbar verfügt die Behörde über eine Offline-Kopie der gelöschten Daten.

„Entgegen einigen in der Öffentlichkeit kursierenden Informationen verfügte die ANCPI zum Zeitpunkt des Vorfalls über mehrere Standorte zur Aufbewahrung von Sicherungskopien, eine Maßnahme, die Redundanz und die Möglichkeit der Datenwiederherstellung bei Cybersicherheitsvorfällen gewährleistet“, heißt es in der Pressemitteilung.

Angriff wäre vermeidbar gewesen

Dennoch wird die angebliche Passivität der ANCPI im Umgang mit dem Angriff in Rumänien scharf kritisiert.

Kritiker monieren, dass der Täter leichtes Spiel hatte, weil die ANCPI kaum in Cybersicherheit investiert hat. Das rumänische Wirtschaftsblatt Ziarul Financiar bezeichnete den Vorfall sogar als „Ergebnis eines Modells, in dem Cyberabwehr als Randthema behandelt wird.“

Die Behörde hat in den vergangenen 20 Jahren Berichten zufolge 135 Millionen Euro (rund 154 Millionen Dollar) für die Digitalisierung ausgegeben. Doch lediglich 0,2 Prozent davon, etwa 305.000 Euro (rund 348.000 Dollar), flossen in die Cybersicherheit.

Auch Rumäniens zuständige Cybersicherheitsbehörde, die Nationale Cybersicherheitsdirektion (DNSC), erklärte, sie habe die ANCPI bereits auf Mängel in deren Cybersicherheitspraxis hingewiesen.

Das Risiko eines Cyberangriffs lässt sich nie auf null reduzieren, aber ich bin überzeugt, dass viele Institutionen, darunter auch die ANCPI, bei der Prävention und bei der Absicherung ihrer eigenen Software noch erheblichen Nachholbedarf haben.

Irineu Dărău

Der Direktor der Behörde, Dan Cîmpean, erklärte sogar, der Cyberangriff auf die ANCPI sei nicht besonders komplex gewesen und hätte ohne Weiteres verhindert werden können. Zudem habe der Hacker laut DNSC „Sicherheitslücken ausgenutzt, über die wir die Behörde erst kürzlich informiert hatten.“

Rumäniens geschäftsführender Wirtschaftsminister Irineu Dărău sagte gegenüber Digi24, die ANCPI hätte deutlich intensivere Präventionsarbeit leisten können, um solche Angriffe abzuwehren.

Die Diskussion zu diesem Thema ist in vollem Gange. Beteilige dich am Gespräch.

„Jede Institution und ihre Führung muss Cybersicherheit als oberste Priorität behandeln. Das Risiko eines Cyberangriffs lässt sich nie auf null reduzieren, aber ich bin überzeugt, dass viele Institutionen, darunter auch die ANCPI, bei der Prävention und bei der Absicherung ihrer eigenen Software noch erheblichen Nachholbedarf haben“, sagte Dărău.

Für die Regierung kommt der Angriff zu einem besonders ungünstigen Zeitpunkt. Der Cyberangriff traf die ANCPI genau in den letzten Wochen, in denen Immobilien noch mit einem Mehrwertsteuersatz von 9 Prozent erworben werden können. Ab dem 1. August steigt die Steuer auf Neubauten auf 21 Prozent.

Hacker enttarnt

Immerhin wurde der Hacker, dessen Darknet-Account den Namen ByteToBreach trägt und der Anfang dieses Jahres auch das schwedische E-Government-Portal gehackt hat, enttarnt.

Das Cybersicherheitsunternehmen KELA gibt an, dass hinter der ByteToBreach-Kampagne wahrscheinlich Zakaria Mahdjoub steckt, eine in Oran, Algerien, ansässige Person.

Forscher bezeichnen ihn als „technisch versierten Cyberkriminellen, der sensible Daten von Fluggesellschaften, Banken und Behörden weltweit zum Kauf anbietet.“

ByteToBreach soll außerdem hinter Angriffen auf Regierungsregister in Osteuropa stecken, darunter in der Slowakei, der Ukraine, Polen und Litauen.