7.000 Passwörter bei LVM-Angriff geleakt

Für einen staatlichen Forstbetrieb ist eine Cyberattacke kein abstraktes IT-Problem. Holz muss weiter ausgeliefert werden, Auftragnehmer brauchen Anweisungen, Käufer planen mit festen Mengen. Als Lettlands staatliches Forstunternehmen LVM am 22. Juni seine gesamte IT-Infrastruktur abschaltete, ging es deshalb um Schadensbegrenzung: Der Angreifer sollte daran gehindert werden, weitere Dateien zu kopieren.

Der operative Teil gelang vergleichsweise schnell. Die Holzlieferungen an die meisten Abnehmer liefen binnen vier Tagen wieder an, die meisten internen Systeme waren bis zum 29. Juni wiederhergestellt. LVM erklärte, über funktionierende Backups verfügt zu haben und keine Lösegeldforderung erhalten zu haben. Lettlands nationale Cybersicherheitsbehörde CERT.LV bestätigte, die Sicherungen seien wiederherstellbar gewesen, und widersprach damit frühen Berichten, wonach sie zerstört worden seien.

Das Unternehmen blieb also handlungsfähig. Der schwerere Schaden liegt woanders: Rund 44 Gigabyte interner Daten wurden bereits online veröffentlicht, die tatsächlich entwendete Datenmenge könnte größer sein.

Ein alter Server, zwei Wochen Zugriff

Moderne Erpressungsangriffe funktionieren nur noch selten wie das einfache Sperren eines Rechners. Eher gleichen sie einem Einbruch: Der Täter findet einen schwachen Zugang, bewegt sich durch das Netzwerk, sammelt digitale Schlüssel, kopiert Unterlagen und droht anschließend mit Veröffentlichung oder Verschlüsselung. Die amerikanische Cybersicherheitsbehörde CISA beschreibt diesen Ablauf in ihrem Ransomware-Leitfaden als typisches Muster: Zugang erlangen, im Netzwerk ausbreiten, Zugangsdaten stehlen, Daten kopieren, Systeme verschlüsseln.

Der lettische Cybersicherheitsexperte Elvis Strazdiņš sagte lettischen Medien, der Angreifer habe sich mutmaßlich fast zwei Wochen in den Systemen von LVM bewegt. Der Einstieg sei über einen Server mit veralteter Software erfolgt. Demnach habe der Eindringling Zugriff auf etwa 7.000 Mitarbeiterpasswörter gehabt und Schadsoftware platziert.

Das sind Einschätzungen eines Experten und Medienberichte, keine amtlichen forensischen Feststellungen. Sie zeigen aber ein bekanntes Grundproblem: Ein ungepatchter Server kann auch in einer sonst modernen Infrastruktur reichen, um das ganze Netz zu öffnen.

Strazdiņš erklärte zudem, er habe Kontakt zu dem Hacker aufgenommen. Dieser habe als Preis für die Entschlüsselung rund 618.600 EUR verlangt, berechnet als 0,1 Prozent des LVM-Umsatzes. LVM sagt dagegen, eine Forderung habe das Unternehmen nie erreicht. CERT.LV-Chefin Baiba Kaškina beschrieb den Angreifer als jemanden, der eher Aufmerksamkeit als Geld gesucht habe; die Gruppe habe Organisationen in mehreren Ländern ins Visier genommen.

Für eine staatliche Steuerung des Angriffs gibt es keine belastbaren Hinweise. Das Muster passt eher zu kommerziell motivierter Erpressungskriminalität, verbunden mit dem Wunsch nach öffentlicher Sichtbarkeit.

Ausgetauschte Schlösser, fotografierte Akten

Die Backups haben LVMs Betrieb gerettet. Sie lösen aber nur den Teil des Problems, der mit Verschlüsselung zu tun hat. Was kopiert wurde, lässt sich nicht zurückholen: Passwörter, Sicherheitszertifikate, also digitale Nachweise der Identität eines Servers, interne Dokumente und andere Schlüssel bleiben ein Risiko, auch wenn die Originalsysteme sauber wiederhergestellt werden.

Nach einem Einbruch die Schlösser auszutauschen, ist notwendig. Es ändert aber nichts daran, dass der Täter unterwegs Akten fotografiert hat. CERT.LV warnte, kompromittierte Passwörter, Zertifikate und digitale Schlüssel müssten ersetzt werden. Zugleich entstünden durch die veröffentlichten Daten fortlaufende Risiken für Dritte, die mit LVM-Systemen verbunden seien.

Wenn Vorbereitung zur Rechtsfrage wird

Genau diese Lücke zwischen „Systeme wiederhergestellt“ und „Daten geschützt“ steht im Zentrum der europäischen NIS2-Richtlinie. Sie erfasst 18 kritische Sektoren und verschiebt den Maßstab: Führungskräfte müssen künftig nicht nur zeigen, dass sie nach einem Angriff reagieren konnten, sondern dass sie vorher angemessene Vorsorge getroffen haben. Die Richtlinie macht Leitungsorgane ausdrücklich für Risikomanagement und Meldepflichten verantwortlich.

Ob LVM eindeutig unter den NIS2-Anwendungsbereich fällt, hängt davon ab, wie Lettland das Unternehmen einordnet. Die vollständige Umsetzung in den Mitgliedstaaten zieht sich bis 2027 und darüber hinaus. Viele Betreiber bauen die Nachweise und Schutzmechanismen also erst noch auf, die sie bald vorlegen müssen.

Der Fall LVM zeigt beide Seiten dieser Übergangsphase. Die funktionierende Vorbereitung, also Backups, gestufte Wiederherstellung und Notfallplanung, brachte den Betrieb binnen Tagen zurück. Die unzureichende Vorbereitung, offenbar veraltete Software und zu späte Erkennung des Eindringlings, ließ Tausende Zugangsdaten und Gigabytes an Dateien ins Netz gelangen.

Kaškina fasste das strukturelle Ungleichgewicht knapp zusammen: Verteidiger müssten alles absichern, ein Angreifer brauche nur eine Schwachstelle. Für europäische Betreiber öffentlicher Dienstleistungen bleibt genau das die zentrale Aufgabe, ob sie Wälder, Krankenhäuser oder Lieferketten verwalten.