Eine Hausverwaltung in Kassel mit sieben Beschäftigten und 240 Wohnungen hat vier Tage und 8.400 € an eine Überweisung verloren, die nie hätte hinausgehen dürfen. Gehackt wurde niemand in dem Sinn, den das Wort nahelegt. Jemand hat wochenlang einen echten Schriftwechsel über eine Handwerkerrechnung mitgelesen, gewartet und dann von einer Nachbardomain aus in dem Augenblick geschrieben, in dem die Zahlung ohnehin anstand. Die Phishing-Nachricht, die funktioniert, ist die erwartete. Es gab keinen Anhang, keine Schadsoftware und nichts, das hätte anschlagen können.
Deshalb fängt dieses Gebiet bei den Angriffen an. Eine Verteidigung, die gewählt wird, ohne zu wissen, was tatsächlich ankommt, ist ein Einkauf. Und was ankommt, ist erstaunlich beständig und erstaunlich unspektakulär. Innerhalb der IT ist das der Teil, den man am ehesten für ein Produkt hält.
Was jede Schicht aufhält, und was hindurchgeht
Jede Maßnahme ist für irgendetwas durchsichtig, und eine Seite, die nur die aufhaltende Hälfte aufzählt, ist eine Anzeige. Der zweite Faktor ist der klarste Fall. MFA hält Credential Stuffing auf und ein gestohlenes Sitzungscookie nicht. Sobald jemand angemeldet ist, hält der Browser ein Merkmal, das genau das bezeugt, und wer dieses Merkmal erlangt, ist drinnen, ohne dem zweiten Faktor je begegnet zu sein.
Das spricht nicht gegen den zweiten Faktor, der weiterhin die beste Wirkung je ausgegebenem Euro hat. Es spricht dafür, seine Kante zu kennen, denn an dieser Kante wurde die Verwaltung angegriffen. Dieselbe Ehrlichkeit gilt nach unten: Ein Kennwortspeicher beseitigt die Mehrfachnutzung, also den Angriff, der in dieser Größenordnung wirklich vorkommt, und richtet nichts gegen einen Menschen aus, der eine Zahlung freigibt. Eine Sicherung übersteht einen Erpressungstrojaner und übersteht keine falsche Überweisung, denn verschlüsselt wurde nichts und verloren ging nur das Geld.
Zwei Sätze entscheiden, wie teuer es wird
Der erste betrifft Rechte und wird regelmäßig verkehrt herum erklärt. Ein Rechtekonzept begrenzt den Schaden, nicht die Wahrscheinlichkeit. Der Buchhalterin allein das Freigaberecht zu geben macht keinen Angriff unwahrscheinlicher, sondern entscheidet, wie viel erreichbar ist, sobald ein Konto übernommen wurde. In Kassel lautete der Einwand, sieben Leute, die seit acht Jahren zusammenarbeiten, bräuchten keine getrennten Freigaben. Das ist nachvollziehbar und beantwortet eine andere Frage. Die Rechte waren kein Urteil über eine Kollegin, sondern eine Grenze für einen Fremden, der ihre Sitzung hält.
Der zweite betrifft die Wiederherstellung und wird nie geprüft. Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung. In Kassel liefen die nächtlichen Sicherungen seit drei Jahren und waren kein einziges Mal zurückgespielt worden. Beim ersten Versuch kamen die Mietverträge zurück und die Datenbank mit den Objektdaten nicht, weil sie nach dem Einrichten des Auftrags dazugekommen war und der Auftrag Verzeichnisse einzeln benennt. Nichts war ausgefallen. Nachgesehen hatte auch nie jemand. Diese Arbeit steht bei der Verteidigung.
Die Uhr beginnt bei Kenntnis, nicht beim Vorfall
Hier steht der Teil, den kein gekauftes Produkt bedient und den eine englischsprachige Anleitung nicht kennt. Sobald personenbezogene Daten betroffen sind, und bei einem wochenlang mitgelesenen Postfach einer Hausverwaltung sind sie es, beginnt eine Frist. Die 72 Stunden aus Artikel 33 laufen ab Kenntnis, nicht ab dem Vorfall. Der Angriff selbst hatte im Juli begonnen; gerechnet wird ab dem Freitagnachmittag, an dem die Überweisung auffiel.
Der Zeitpunkt der Kenntnis gehört in dem Augenblick festgehalten, in dem er eintritt, sonst ist er später nicht mehr zu belegen. Artikel 33 Absatz 5 verlangt die Dokumentation auch ohne Meldung, also auch dann, wenn am Ende entschieden wird, dass kein Risiko besteht. Und wenn das Risiko für die Betroffenen hoch ist, kommt nach Artikel 34 die Benachrichtigung der Mieterinnen und Mieter dazu, was ein Brief an 240 Haushalte ist und keine Nachricht an eine Behörde.
Zuständig ist die Behörde des Bundeslandes
Der zweite Satz, der in Kassel gefehlt hat, ist eine Adresse. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem die Stelle sitzt. Es gibt für nicht-öffentliche Stellen keine einzelne Bundesbehörde, an die gemeldet wird: Für einen Betrieb in Kassel ist es die hessische Aufsicht, für einen in Leipzig die sächsische, und jede führt ein eigenes Meldeformular. Diese Adresse gehört in denselben Ordner wie die Rufnummern des Systemhauses, und zwar bevor sie gebraucht wird.
Die Technik eines Vorfalls ist überall dieselbe. Die erste Stunde ist es nicht: Neben dem Abschalten und dem Sperren der Konten steht in Kassel eine Frist, und wer sie erst nachschlägt, während der Serverraum voll ist, hat von den 72 Stunden schon einen halben Tag ausgegeben.
Oben wird eingekauft, unten passiert es
Was tatsächlich ankommt, ist eine kurze Liste, und sie überschneidet sich schlecht mit dem, was verkauft wird. Wiederverwendete Kennwörter, nicht aktualisierte Software, Konten von Leuten, die längst weg sind, eine erwartete Zahlungsaufforderung und eine nie geprobte Rückspielung. Vier dieser fünf kosten nichts als Arbeitszeit. Wo tatsächlich eingebrochen wird, ordnen die Angriffsflächen, und die Erlaubnis, so etwas an einem fremden System zu üben, ist der Unterschied zwischen Penetrationstests und einer Straftat. Schriftliche Beauftragung, Umfang und Zeitfenster trennen die beiden, und die Handgriffe sind auf beiden Seiten dieselben.
Die Reihenfolge, und was ein Zertifikat lehrt
Die Reihenfolge, die trägt, ist das Vokabular, dann die Angriffe, dann die Abwehr, dann die Werkzeuge. Fast alle gehen sie rückwärts und kommen über ein Werkzeug herein, weil ein Werkzeug etwas ist, das sich herunterladen lässt. Die Sicherheitsgrundlagen stehen wirklich zuerst, denn die Wörter werden hier genau gebraucht, und ein Gespräch, in dem Risiko, Bedrohung und Schwachstelle austauschbar sind, kommt zu keiner Entscheidung.
Der zweite Stillstand liegt bei der Kryptografie, wo viele die Mathematik erwarten und aufhören, sobald sie ihr begegnen. Kaum jemand in diesem Beruf baut ein Verfahren. Gebraucht wird, was jeder Baustein zusichert und was nicht: dass eine Hashfunktion eine unveränderte Datei nachweist und für sich genommen nichts verbirgt, dass eine Signatur die Herkunft nachweist und nichts verbirgt, und dass Verschlüsselung verbirgt und nichts nachweist. Dafür ist keine Algebra nötig. Was Arbeitgeber am Ende abfragen, steht bei den Zertifikaten, und die ehrliche Bemerkung dazu ist, dass sie Gespräche öffnen und die Arbeit nicht beibringen.
Was 2026 zu öffnen ist
Ein gemeinsamer Kennwortspeicher ist in dieser Größe der wirksamste einzelne Schritt, und Bitwarden hat eine freie Stufe, die wirklich benutzbar ist, und einen quelloffenen Klienten. Er ersetzt die geteilte Tabelle. Für einen deutschen Betrieb hängt daran eine Entscheidung, die sich später nicht mehr ändern lässt: Das Konto entsteht entweder in der europäischen oder in der amerikanischen Region, ein Wechsel ist nicht vorgesehen, und wer die europäische will, muss sie beim Anlegen wählen.
Schlüssel zum Anstecken nach dem FIDO2-Verfahren sind der stärkste verfügbare zweite Faktor und halten genau den Angriff auf, der die vier Tage gekostet hat, denn der Schlüssel prüft den Namen der Gegenstelle und ein Mensch tut das nicht. Sie kosten Geld, im zweistelligen Eurobereich je Stück, und sinnvoll sind zwei je Person, weil einer verloren geht. Das gehört hingeschrieben statt weggelassen.
Um herauszufinden, was von außen erreichbar ist, bevor es jemand anderes tut, ist nmap weiterhin der Maßstab und kostenlos. Es ersetzte die Annahme, ein Dienst sei nicht erreichbar, weil er nicht erreichbar sein sollte. Der eigene Adressbereich ist der richtige Anfang, und die Ausgabe liest sich als Liste dessen, was irgendwann probiert wird. Weitere Ausrüstung steht bei den Sicherheitswerkzeugen.
Offen bleibt, wer um drei Uhr nachts hinsieht. Das ist eine Personalfrage, bevor es eine technische ist, und sie wird bei der Serveradministration aufgenommen.