Wie ein Sicherheitsvorfall zu einer innovativen IT-Umgebung führte.

Die Herausforderung

Im Sommer 2022 musste sich der Deutsche Verein des Gas- und Wasserfaches e.V. – kurz DVGW – mit einem schwerwiegenden Security-Vorfall auseinandersetzen. Hacker waren in das Unternehmensnetzwerk eingedrungen und hatten sämtliche Systeme mit der Ransomware LockBit 2.0 verschlüsselt.

„Das Ziel der Hacker war das Active Directory. Damit wurde unser gesamtes Identitätssystem kompromittiert, und sie erhielten Zugriff auf die meisten Benutzerkonten und Passwörter. Wir waren aus unserem eigenen System ausgesperrt und hatten keinen Zugriff mehr auf unsere Daten.“

Thorsten Janssen (IT Project Coordinator at DVGW)

Um weiteren Schaden zu verhindern, wurde entschieden, das Netzwerk vollständig herunterzufahren. Statt jedoch auf die Forderung der Angreifer nach einer Lösegeldzahlung in Bitcoin einzugehen, entschied sich der DVGW dafür, externe Unterstützung hinzuzuziehen, um die Auswirkungen des Angriffs so gering wie möglich zu halten und die Systeme schnellstmöglich wieder in Betrieb zu nehmen.

Die Lösung

Bereits am Morgen nach dem Angriff waren unsere IT-Sicherheitsexperten mit zwei Teams im Einsatz – eines vor Ort für Disaster Recovery , eines remote für Incident Response. Während unser Disaster-Recovery-Team daran arbeitete, die grundlegende Infrastruktur wieder online zu bringen, kümmerte sich das Incident-Response-Team um die Beweissicherung, die Identifikation kompromittierter Systeme und deren Wiederherstellung. Dank unserer Blueprints können wir auf solche Vorfälle schnell und wirksam reagieren – nicht nur technisch, sondern auch in der Kommunikation mit allen relevanten Stakeholdern wie Vorstand, Mitarbeitenden oder Presse.

„water hat uns dabei geholfen, das gesamte Identity Management in nur vier Tagen neu aufzusetzen. Es war beeindruckend, wie schnell das ging.“

Thorsten Janssen (IT-Projektkoordinator, DVGW)

Sobald klar war, dass keine aktive Verbindung nach außen mehr bestand, begannen wir mit dem Rollout von Microsoft Defender for Endpoint. Im nächsten Schritt implementierten und aktivierten wir weitere Produkte der Microsoft 365 Defender Suite, um den Endpoint-Schutz um Identity- und Productivity-Security zu erweitern. Dieser mehrstufige Übergang mündete schließlich in der Einführung von Microsoft Sentinel – und damit in eine ganzheitliche Sicherheitslösung  für die IT-Infrastruktur des DVGW.

Die Vorteile

Damit ist der DVGW heute nicht nur besser gegen zukünftige Ransomware-Angriffe geschützt, sondern auch gegen eine Vielzahl weiterer potenzieller Security-Bedrohungen. Gleichzeitig lässt sich die IT-Landschaft des DVGW durch die Implementierung der Microsoft XDR Suite nun 24/7 über ein zentrales, gemanagtes SOC  überwachen und schützen. Dadurch können Prozesse automatisiert werden – was zu weniger Incidents und mehr Effizienz führt.

„Am meisten beeindruckt hat mich die fachliche Tiefe des water Teams. Es ist eine kleine, schlagkräftige Einheit, die in der Zusammenarbeit immer unsere geschäftlichen Anforderungen in den Mittelpunkt stellt.“

Thorsten Janssen (IT-Projektkoordinator, DVGW)

Darüber hinaus wurden strukturierte Incident-Response-Verfahren definiert und in einem Krisenhandbuch dokumentiert. So ist sichergestellt, dass im Fall eines zukünftigen Security-Vorfalls noch schneller und koordinierter reagiert werden kann.

„Mit der ‚Application Triage‘ haben wir sogar ein neues Wort erfunden. Dahinter steckt ein System, das uns dabei hilft, Anwendungen im Notfall zu priorisieren.“

Thorsten Janssen (IT-Projektkoordinator, DVGW)