Kurz gesagt: Die Schweizer Softwarefirma Concevis AG wurde am 4. und 5. November 2023 Opfer eines Ransomware-Angriffs. Laut dem Nationalen Zentrum für Cybersicherheit (heute BACS) entwendeten die Angreifer Daten und verschlüsselten sämtliche Server der Firma; unter den gestohlenen Daten befanden sich mutmasslich auch ältere, operative Daten der Bundesverwaltung. Concevis zahlte kein Lösegeld, worauf die Angreifer mit einer Veröffentlichung im Darknet drohten.
Das Wichtigste in Kürze
- Datum: Angriff am 4. und 5. November 2023 (Angabe von Concevis, zitiert von SRF); öffentliche Information des Bundes am 14. November 2023 (BACS).
- Unternehmen: Concevis AG, Anbieterin von Softwarelösungen für öffentliche Verwaltungen (Bund, Kantone, Städte), den Finanzsektor sowie Industrie und Logistik (BACS).
- Angriffsart: Ransomware mit Datendiebstahl und anschliessender Verschlüsselung sämtlicher Server (BACS).
- Bestätigte Auswirkungen: Mutmasslich ältere, operative Daten der Bundesverwaltung betroffen; Kompromittierung von Bundessystemen laut BACS unwahrscheinlich (BACS).
- Weitere Betroffene: Bei der Stadt Luzern können ältere Gesuchsdaten für die Nutzung des öffentlichen Raums betroffen sein (Stadt Luzern). Bei Sympany wurden Daten eines Offerttools bei Concevis verschlüsselt; die eigenen IT-Systeme von Sympany waren nicht betroffen (Sympany).
- Reaktion: Strafanzeige bei der Staatsanwaltschaft Basel-Stadt, Beizug eines externen Sicherheitsdienstleisters, Information der Kunden (BACS).
Was ist bestätigt?
Das NCSC informierte am 14. November 2023, dass die Angreifer zuerst Daten entwendeten und danach sämtliche Server von Concevis verschlüsselten. Nachdem die Firma der Lösegeldforderung nicht nachgekommen war, drohten die Angreifer mit der Veröffentlichung der Daten im Darknet.
Zu den Kunden von Concevis gehörten laut BACS das Bundesamt für Bevölkerungsschutz, das Bundesamt für Raumentwicklung, das Bundesamt für Statistik, das Bundesamt für Zivilluftfahrt, die Eidgenössische Steuerverwaltung und das Kommando Ausbildung. Welche Stellen und Daten konkret betroffen waren, war zu diesem Zeitpunkt noch in Abklärung. Die Anwendungen von Concevis werden durch Leistungserbringer der Bundesverwaltung betrieben; die bisherigen Analysen ergaben keine Hinweise auf eine Kompromittierung von Bundessystemen.
Die Stadt Luzern teilte am 16. November 2023 mit, dass sie die Concevis-Anwendung eLICET für Gesuche zur Nutzung des öffentlichen Raums einsetzt. Möglicherweise betroffen sind ältere Gesuchsdaten wie Name, Adresse, Geburtsdatum, Telefonnummer, E-Mail-Adresse und Angaben zum Anlass. Eine weitere Kompromittierung städtischer Systeme schloss die Stadt aus. Die Krankenversicherung Sympany meldete den Vorfall der FINMA, dem EDÖB und dem BAG.
Was ist nicht bekannt?
Die zitierten offiziellen Quellen nennen weder die verantwortliche Tätergruppe noch den Einstiegsweg der Angreifer. Sie beziffern weder die Höhe der Lösegeldforderung noch die Menge der entwendeten Daten, einen finanziellen Schaden oder die Dauer eines Betriebsunterbruchs. Ob und welche Daten tatsächlich veröffentlicht wurden, bestätigen sie nicht. Zu einer Versicherungspolice oder einer Schadenregulierung bei Concevis liegen keine Angaben vor.
Einordnung für die Cyberversicherung
Aus dem Vorfall allein lässt sich keine Deckungszusage ableiten. Je nach Vertrag können unter anderem Incident Response und IT-Forensik, Datenwiederherstellung, Betriebsunterbrechung, Rechts- und Datenschutzberatung, Benachrichtigung betroffener Personen, Krisenkommunikation sowie eine Haftpflichtdeckung für Ansprüche von Kunden relevante Bausteine sein. Ob und in welchem Umfang eine Leistung besteht, hängt insbesondere vom Vertragswortlaut, von Sublimiten und Ausschlüssen, von vereinbarten Sicherheitsobliegenheiten und vom konkreten Schadenprozess ab.
Für Softwareanbieter ist der Fall besonders relevant, weil Daten ihrer Kunden betroffen sein können. Für Kundinnen und Kunden solcher Anbieter stellt sich die Frage, ob Vorfälle bei Dienstleistern in der eigenen Police berücksichtigt sind.
Lehren für Schweizer KMU
- Datenbestände bei Dienstleistern erfassen: Führen Sie eine Liste, welche Softwareanbieter welche Ihrer Daten speichern, auch Kopien und ältere Bestände.
- Datenminimierung vertraglich regeln: Legen Sie fest, welche Daten ein Anbieter benötigt, wie lange er sie aufbewahrt und wann er sie löscht. Der Fall zeigt, dass gerade ältere Datenkopien betroffen sein können.
- Meldewege vorbereiten: Klären Sie im Voraus, wer bei einem Vorfall bei einem Lieferanten informiert, wie Betroffene benachrichtigt werden und welche Aufsichtsstellen relevant sind.
- Systemtrennung prüfen: Prüfen Sie, ob ein kompromittierter Anbieter auf Ihre eigenen Systeme zugreifen könnte, und beschränken Sie Zugänge auf das Nötige.
- Offline-Backups testen: Werden sämtliche Server verschlüsselt, entscheiden getrennte, regelmässig getestete Sicherungen über die Wiederherstellung.
- Police auf Lieferkettenrisiken prüfen: Klären Sie mit Ihrer Versicherung oder Ihrem Broker, wie Vorfälle bei Dienstleistern und Haftpflichtansprüche Dritter geregelt sind.
Quellen
- BACS: Hackerangriff auf die Firma Concevis: Auch die Bundesverwaltung ist betroffen (14.11.2023)
- Stadt Luzern: Medienmitteilung «Hackerangriff auf die Firma Concevis: Auch Stadt Luzern ist betroffen» (16.11.2023)
- Sympany: Information zum Cyberangriff (Stand 14.11.2023)
- SRF: Erneut Daten der Bundesverwaltung durch Hackerangriff gestohlen (14.11.2023, Sekundärquelle)