Schlagwortarchiv für: Fabian Schmid

Datenraub immer schlimmer

, , ,

Eine weitere Verteidigungslinie des Fürstentums bricht zusammen.

Der Datenraub im Allerheiligsten sei «ein gezielter Angriff auf hohem technischem Niveau auf eine komplexe Sicherheitsstruktur» gewesen, behauptete die fürstliche Regierung. Nur so sei es möglich gewesen, dass sämtliche 31’000 Datensätze mit Namen, Nationalität und Wohnsitz aller Begünstigten der Tarnkonstruktionen Stiftung, Trust usw. gestohlen werden konnten.

Unsinn.

Inzwischen räumt der IT-Leiter Fabian Schmid kleinlaut ein, eine «fehlerhafte Logik» bei der Berechtigungsprüfung habe den Einbruch und das ungenierte Absaugen über Stunden hinweg im Verzeichnis wirtschaftlich berechtigter Personen (VwbP) ermöglicht.

Die Täter konnten sich Zugang zur Anwendung verschaffen bzw. ein Konto eröffnen und benutzen und danach wegen einer mangelhaften Zugriffskontrolle auf Datensätze zugreifen, für die sie gar keine Berechtigung hatten.

Das ist weder anspruchsvoll, noch stand dem eine komplexe Sicherheitsstruktur entgegen. Sondern das ist kinderleicht. Eigentlich jeder kann sich im Internet ein entsprechendes Programm besorgen, und schwups, ich bin drin.

Genauso lächerlich ist die angebliche Sicherheitsstruktur. Wäre sie etwas wert, dann hätte sie sofort, real time, Alarm geschlagen und die Lücke geschlossen. Was offensichtlich nicht geschehen ist.

Da wurden nicht komplizierte kryptographische Schutzmechanismen geknackt, ein State of the art SIEM (Security Information and Event Management) überwunden. » Wir verfügten über mehrstufige Sichherheitsmassnahmen», es darf gelacht werden.

Offenbar wurde niemals der einfache Test durchgeführt, ob man mit einem normalen Benutzerkonto die Daten anderer Rechtsträger abrufen könnte. Das ist unterste Amateurliga.

Es wurde offensichtlich nicht mal ein Bot zum automatisierten Abgreifen verwendet, sondern jeder Datensatz einzeln abgesaugt. Über Stunden. Das ist oberpeinlich und ein tödlicher Schlag für das Vertrauen auf Diskretion in Liechtenstein.

Inzwischen wurde neu nach anderen wichtigen Plattformen auch noch das Handelsregister abgeschaltet. Was bedeutet, dass die gleiche trümmelige IT-Sicherheit auch hier verwendet wird. Das Handelsregister, man glaubt es kaum.

Und der Krisenstab bleibt stumm.

Wer ist eigentlich für diesen fundamentalen Entwicklungsfehler, den niemand trotz angeblich regelmässigen Überprüfungen bemerkt hat, verantwortlich?

Laut Schmid sei das eine lokale KMU, aber den Namen will er nicht verraten. Also liess das Ländle, gierig im Einsacken von Geld, geizig im Ausgeben, dermassen wichtige Plattformen von einem einheimischen Unternehmen bauen. Das, wie es im Fürstentum üblich ist, sicherlich mit Beziehungen an diesen lukrativen Auftrag herankam. Und dann wurde gespart, bis es kracht.

Allerdings behauptet das IT-Amt auch, dass die Applikationsarchitektur auf marktüblichen Komponenten und Bibliotheken basiere und nach den Entwicklungsstandards des Amts aufgebaut wurde. Also bleibt die Frage: War die fehlerhafte Berechtigungslogik Eigenentwicklung des Amts oder Bestandteil einer extern entwickelten Anwendung?

Das ist nicht unwichtig bezüglich Schadenersatzforderungen und Haftungsfragen. Beides wird sicherlich auf Liechtenstein zukommen.

Und was tut Liechtenstein bislang? Die Staatsanwaltschaft beantragte beim Landgericht Vorerhebungen wegen widerrechtlichen Zugriffs auf ein Computersystem und Datendiebstahls. Es darf nochmal gelacht werden.

In der Nacht auf den 30. Juli erfolgte der Einruch. Inzwischen sind 14 Tage, zwei Wochen, vergangen. Und kein Fortschritt erkennbar.

Es gibt keine Erpressung- oder Lösegeldforderung, laut Schmid. Die Daten sind auch noch nicht im Netz aufgetaucht. Brauchbare Spuren zu den Tätern gibt es auch nicht.

Also sind deren Motive weiterhin völlig unklar. Kriminell, staatlich (Geheimdienste) oder erzürnte Begünstigte der 800 Zombie-Trusts, die seit anderthalb Jahren nicht an ihre Geldtöpfe herankommen, während dort gelagerte Besitztümer wie Flugzeuge, Yachten, Villen verrosten und zerfallen?

Man weiss nichts Genaues. Nicht mal Ungenaues.

Aber glasklar ist: nach diesem Super-GAU wird der Finanzplatz Liechtenstein Jahre brauchen, um sein wichtigstes Asset – Vertrauen in Diskretion – wieder aufzubauen. Wenn das überhaupt möglich ist.

/47 Kommentare/von

Grabesruhe im Fürstentum

, , , ,

Zehn Tage seit dem grössten Datenklau aller Zeiten. War da was?

Nichts Neues im Ländle. Der Krisenstab Liechtensteins arbeite angeblich Tag und Nacht an der Bewältigung des Diebstahls von 31’000 hochsensible Datensätzen. Sie enthalten die Identikationsmerkmale aller Besitzer oder Nutzer von Stiftungen und Trusts & Co. Die wurden – mit welchen ehrenhaften oder kriminellen Motiven auch immer – eingerichtet, weil der Stifter auf die Diskretion und den Schutz des Fürstentums vertraute.

War ein schwerer Fehler, wurden sie alle eines Schlechteren belehrt.

Inzwischen schweigen auch die Medien, nachdem eine kleine Welle der Berichterstattung durch sie schwappte. Einzig die NZZaS hat gestern den Skandal aufgegriffen, aber doch eher mit Weichspüler und ohne zu deutlich auf das krachenden Versagen aller Sicherheitsmassnahmen und die Auswirkungen auf die Betroffenen hinzuweisen.

Es fehlt auch jede Kritik daran, dass es seit inzwischen zehn Tagen nicht gelungen ist, bei der Untersuchung oder der Identifikation der Räuber auch nur einen Schritt weiterzukommen.

Die NZZaS zitiert die Regierungschefin des Fürsten Brigitte Haas: ««Wir kennen bis jetzt weder die Täter noch deren Motiv», sagt sie etwas nervös.» Das sei «auch für uns sehr unbefriedigend.»» Es darf gelacht werden. Ausser, man ist ein Betroffener.

Was weiss man, laut NZZaS? «Derweil schiessen die Spekulationen ins Kraut. Mit jedem Tag wächst die Vermutung, es handle sich nicht um «normale Verbrecher», sondern um staatliche Akteure. So halten auch politisch exponierte Personen Stiftungen in Liechtenstein, beispielsweise bunkerten Russen gerne ihr Vermögen in Stiftungen im «Ländle».»

Ach was. Aber nicht nur Russen, sondern – neben durchaus ehrenhaften Betreibern – auch aller Abschaum aus der ganzen Welt.

Aber bislang: keine Lösegeldforderung, keine Veröffentlichung im Darknet, kein Verkaufsangebot, keine Erpressung von Opfern. So viel man weiss.

Bemerkenswert ist, dass auch andere staatliche Systeme abgeschaltet wurden. Das Zentrale Kontenregister, Intax, das eMWST-Portal und das Justizsystem Lides. Sicherheitsüberprüfung, wiegelt der Krisenstab ab, es gebe keine Hinweise, dass auch diese Plattformen betroffen seien.

Das vielleicht nicht. Aber es ist ein weiterer Hinweis, wie lausig die IT-Sicherheit gehandhabt wurde. Denn solche ziemlich wichtigen Systeme schaltet man nur ab, wenn die gleiche Authentifizierung, Infrastruktur und die gleichen Schnittstellen verwendet wurden.

Der IT-Verantwortliche Fabian Schmid sagt dazu nur, dass das ganze System, zumindest das gestohlene Verzeichnis wirtschaftlich berechtigter Personen (VwbP), von einer liechtensteinischen KMU mitsamt IT-Sicherheit betrieben worden sei. Den Namen nennt er allerdings nicht. Seine Arbeitsplatzsicherheit scheint hingegen sehr gefährdet.

Es gibt eine erstaunlich grosse Anzahl solcher Buden, ein rundes Dutzend. Darunter erscheinen KYBERNIA, Rocksolid, sl.one, Speedcom und Interum als besonders geeignet, Rocksolid nennt zudem ausdrücklich den Finanz-und Treuhandbereich als Kundschaft.

Es gilt natürlich die Unschuldsvermutung.

Allerdings könnte ein Outing den Ruin der Bude bedeuten, denn wer will sich schon von solchen Versagern eine delikate IT-Plattform basteln lassen, in die man offensichtlich kinderleicht durch das Eröffnen eines neuen Fake-Accounts einsteigen kann. Wer will schon zugeben müssen, dass alle State of the art Schutzmechanismen nicht existieren. Sonst hätten die Hacker nicht ungestört stundenlang herumfuhrwerken und alle Daten absaugen können.

Oder aber, das scheiterte an der Knausrigkeit der Fürstenregierung. Denn das kostet. Allerdings im Unterhalt nur wenige Millionen im Jahr, wie auf Inside Paradeplatz erläutert wurde. Ein Klacks, angesichts eines Milliarden-Staatshaushalts und eines milliardenschweren Fürsten.

Auf der anderen Seite verdienen sich die Treuhänder dusselig mit dem Unterhalt und der verwaltung dieser Konstrukte. Nehmen wir an, nur 20’000 davon seien aktiv. Alleine so kämen wir bei durchschnittlichen Administrationskosten von lediglich 10’000 Franken auf 200 Millionen jährlich. Erklecklich.

Aber eben, die Geldgier ist gross im Ländle. die Bereitschaft Geld für Sinnvolles auszugeben, ist klein.

/51 Kommentare/von

«Strafanzeige gegen unbekannt»

, , , ,

Das ist bislang die grösste Tat, die dem Fürstentum im Skandal um gestohlene Daten eingefallen ist.

Betroffene Gesichter machen konnten sie gut, die vier Vertreter der fürstlichen Landesregierung am Sonntag bei der Medienkonferenz, an der sie Ungeheuerliches bekanntgaben.

Die persönlichen Daten aller Besitzer oder Begünstigten von 23’000 aktuellen und sogar von 8000 ehemaligen Stiftungen und Trusts sind in unbefugte Hände gelangt. Ein offenes Einfallstor für alle möglichen Arten von Erpressung. Aus diesem Grund – und vielen anderen – vertraute jeder, der sein Geld nach Liechtenstein brachte, dass sein Name hinter diesen Konstrukten, verwaltet von Treuhändern mit Schweigeglöbnis, verschwindet und nie auftaucht.

Und jetzt das.

Was für ein Amateurverein muss das sein. Es gibt ein Amt für Informatik, zuständig für alle IT-Infrastruktur der gesamten Landesverwaltung. Leiter Fabian Schmid. Darin gibt es die Stabsstelle Chief Information Security Officer. Leiter Michael Somma. Dann gibt es parallel dazu die Stabsstelle Cyber-Sicherheit. Leiter Michael Valerie. Und das Amt für Justiz ist verantwortlich für das gestohlene Register der wirtschaftlich berechtigten Personen. Leiter Martin Alge.

Man wird sich allenthalben in den Hintern beissen, dass man dem Erstellen dieses Verzeichnisses 2021 zugestimmt hat, weil der internationale Druck in der Bekämpfung von Geldwäsche zugenommen hat. Dabei ist Diskretion doch der Verkaufsschlager des Ländle.

Diese Herren dürften einige unangenehme Fragen zu beantworten haben. Dann kommt es wie immer im Ländle darauf an, wie gut sie vernetzt sind und ob das Fürstenhaus seine Huld über ihnen leuchten lässt.

Grosse Aktivitäten hat Liechtenstein bislang nicht entfaltet. Obwohl es in einer Medienmitteilung am Montag, die eine auf Dienstag verschobene Pressekonferenz ersetzte, heisst:

«Hinsichtlich des Tathergangs laufen die Ermittlungen auf Hochtouren.»

Allerdings bislang völlig ergebnislos. Einzig wurde bekanntgegeben, dass es sich um einen gezielten Angriff auf diese Datenbank gehandelt habe, andere IT-Plattformen seien nicht betroffen. Dennoch wurden «aus Sicherheitsgründen» weitere Systeme «vorübergehend» von Netz genommen.

Das dient offensichtlich ausschliesslich dazu, Aktivität zu simulieren. Ansonsten läuft es wie bei den 800 Zombie-Fonds. Problem knirschend einräumen, Aktion vortäuschen, eine Task Force, einen Krisenstab einberufen – und dann die grosse Pause. Nichts passiert, keine Lösung des Problems in Sicht.

Auch bei der nächsten Medienorientierung vom Dienstag wurde zusätzlich zur Hitzewelle mehr heisse Luft produziert. «… potenzielles Einfallstor identifiziert … Strafverfolgungsbehörden ermitteln … verschiedene Massnahmen umgesetzt … gezielter Angriff auf hohem technischem Niveau … arbeiten mit Hochdruck …».

Lustig war einzig, dass die verantwortlichen Behörden die Information der Opfer «den Rechtsträgern» überlassen. Na, viel Spass für die Treuhänder.

Ein begabter IT-Forensiker kann aus der Art des Angriffs viele Schlussfolgerungen ziehen. Wie professionell ist der Hacker? Hat er einen kriminellen Hintergrund? Könnte es sich um einen ausländischen Geheimdienst handeln? Einen Konkurrenten um die Gunst von Superreichen? Oder war es wieder ein unzufriedener Angestellter, wie beim Steuerdatenskandal bei der Fürstenbank LGT?

Auch sechs Tage nach dem Hack ist zumindest das, was die Regierung und der Krisenstab öffentlich sagen, weiterhin in einem knappen Satz zusammenzufassen: wir wissen nichts Genaues. Auch nichts Ungenaues. Ausser: die Daten wurden geklaut, kopiert, abgegriffen. Und warten nun irgendwo bei irgendwem darauf, verwendet zu werden.

Aber wie?

Das könnte über das Schicksal des Finanzplatzes Liechtenstein entscheiden. Aber hier hat man die Fürstenruhe weg, glaubt immer noch zu fest an:

Mir kann keiner, ich bin Liechtensteiner.

Aber mit Aussitzen und der frommen Hoffnung «es geht vorbei» wird sich dieses Riesenproblem, dieser Super-GAU nicht lösen lassen.

/28 Kommentare/von