Datenschutz-Wochenbericht: Ihre Branchen-News-Serie

Kurz gesagt: In der Woche vom 12. Juli 2023 stand der mutmaßliche Ransomware-Angriff auf den Barts Health NHS Trust (National Health Service) im Fokus. Die ALPHV-Ransomware-Gruppe behauptet, 70 Terabyte an Patientendaten gestohlen zu haben. Organisationen im Gesundheitswesen und im öffentlichen Sektor sollten daher umgehend den Zugriff Dritter auf klinische Systeme überprüfen und sicherstellen, dass Offline-Backups vorhanden und getestet sind.

Die Geschichten dieser Woche:

Barts Health NHS Trust behauptet, Ransomware-Angriffe durchgeführt zu haben: Die ALPHV-Bande wirft dem Trust den Diebstahl von 70 Terabytes britischer Gesundheitsdaten vor.
Microsoft schließt das Rebranding von Azure AD zu Microsoft Entra ID ab und stellt zwei neue Dienste für sicheren Zugriff vor.
Die chinesische, staatsnahe Gruppe Storm-0558 verschaffte sich über eine Sicherheitslücke in der Microsoft Cloud Zugang zu E-Mail-Konten von US-amerikanischen und westeuropäischen Regierungen.
Der Cl0p MOVEit-Datendiebstahl betrifft über den gemeinsamen Anbieter Majorel auch die Deutsche Bank, ING, Postbank und Comdirect.
Laut Cisco Talos fälschen Angreifer Kernelmodus-Treibersignaturen, indem sie eine Sicherheitslücke in den Windows-Codesignaturrichtlinien ausnutzen.

Veröffentlicht: Juli 2023. Aktualisiert: August 2026 (Formatierung, Struktur und Analyse überarbeitet; die nachfolgenden Meldungen stellen eine korrekte historische Aufzeichnung dar und wurden nicht verändert). Geprüft vom Threat-Intelligence-Team von Encryption Consulting.

Über diese Serie

Diese Ausgabe ist Teil der wöchentlichen Reihe „Datenschutz“ von Encryption Consulting, einer regelmäßigen Zusammenfassung wichtiger Neuigkeiten aus den Bereichen Datenschutz und Cybersicherheit. Lesen Sie die vorherige Ausgabe (1. Juli 2023) oder fahren Sie mit der nächsten Ausgabe (27. Juli 2023) fort.

Methodik: Jede Ausgabe wird vom Forschungsteam von Encryption Consulting aus etablierten, unabhängigen Nachrichtenquellen zu Cybersicherheit und Datenschutz zusammengestellt, die in der jeweiligen Kalenderwoche veröffentlicht wurden. Die Artikel werden nach ihrer Relevanz für Zielgruppen aus den Bereichen Unternehmenssicherheit, Identitätsmanagement, Verschlüsselung und Compliance ausgewählt, anschließend mit Angabe der Primärquelle zusammengefasst und datiert, um das Auffinden zu erleichtern.

01. Der britische National Health Service ist dem größten Ransomware-Angriff aller Zeiten ausgesetzt

Großbritannien kämpft gegen eine zunehmende Welle von Cyberangriffen, während der Barts Health NHS Trust einen mutmaßlichen Ransomware-Angriff untersucht. Die ALPHV-Ransomware-Gruppe behauptet, 70 Terabyte an sensiblen Daten, darunter Pässe und vertrauliche E-Mails, gestohlen zu haben. Sie spricht vom größten Datenleck im britischen Gesundheitswesen.

Dies folgte auf einen kürzlichen Ransomware-Angriff auf die Universität Manchester, bei dem Hacker auf einen NHS-Datensatz mit Informationen zu 1.1 Millionen Patienten zugegriffen hatten. Der öffentliche Sektor Großbritanniens, darunter Ofcom und die University of the West of Scotland, war in den letzten Monaten Ziel von Cyberangriffen.

Auswirkungen auf Unternehmen: Netzwerke im Gesundheitswesen und im öffentlichen Sektor, die Patientendaten mit Dritten oder akademischen Partnern teilen, schaffen ein einziges, hochkarätiges Ziel; ein kompromittierter Anbieter oder Forschungsdatensatz kann Millionen von Datensätzen auf einmal offenlegen.

Empfohlene Maßnahme: Prüfen Sie, welche Drittparteien und Forschungspartner Kopien von Patienten- oder Bürgerdaten besitzen, und stellen Sie sicher, dass unveränderliche Offline-Backups getestet und wiederherstellbar sind.

Der britische National Health Service ist dem größten Ransomware-Angriff aller Zeiten ausgesetzt

02. Microsoft benennt Azure Active Directory in Microsoft Entra ID um

Microsoft benennt sein Azure Active Directory (Azure AD) in Microsoft Entra ID um. Die Namensänderung, die bis Ende 2023 abgeschlossen sein soll, hat keine Auswirkungen auf die Funktionen des Dienstes, einschließlich Single Sign-On und Multifaktor-Authentifizierung. Microsoft hat außerdem zwei neue Dienste, Entra Internet Access und Entra Private Access, in der öffentlichen Vorschau vorgestellt.

Entra Internet Access sichert öffentliche Webdienste, während Entra Private Access den Fernzugriff auf interne Unternehmensressourcen ermöglicht. Das Unternehmen plant, Microsoft Entra zu erweitern, um die Sicherheit zu erhöhen und Zugriffsentscheidungen in Echtzeit zu ermöglichen.

Auswirkungen auf Unternehmen: Eine Namensänderung allein reduziert das Identitätsrisiko nicht; Organisationen, die Single Sign-On (SSO)- und Multi-Faktor-Authentifizierungsrichtlinien (MFA) nicht in Azure AD/Entra ID zentralisiert haben, bleiben unabhängig vom Rebranding weiterhin gefährdet.

Empfohlene Vorgehensweise: Nutzen Sie das Rebranding als Anlass, die Richtlinien für bedingten Zugriff von Entra ID zu überprüfen, die Multi-Faktor-Authentifizierung für alle Administratorkonten durchzusetzen und Entra Internet Access und Entra Private Access zu testen, bevor Sie den alten VPN-Zugriff einstellen.

03. Chinesische Hacker brechen E-Mails der US-Regierung im Rahmen eines Microsoft Cloud Exploits ein

Chinesische Hacker haben über einen Microsoft-Cloud-Exploit in E-Mails der US-Regierung eingedrungen und sich so einen Monat lang unbefugten Zugriff auf E-Mail-Konten verschafft, bevor sie entdeckt wurden. Der Angriff, der von einer in China ansässigen Hackergruppe namens „Storm-0558“ durchgeführt wurde, zielte auf E-Mail-Systeme zur Informationsbeschaffung ab und betraf rund 25 Organisationen, darunter Regierungsbehörden in Westeuropa und den USA. Microsoft hat Gegenmaßnahmen ergriffen und arbeitet mit den Behörden zusammen, um betroffene Nutzer zu schützen. Die genaue Zahl der betroffenen Organisationen und Regierungsbehörden wurde nicht bekannt gegeben.

Auswirkungen auf Unternehmen: Ein einmonatiger, unentdeckter Angriff auf Cloud-E-Mail-Konten zeigt, dass Schwächen bei der Token- und Schlüsselvalidierung innerhalb eines Cloud-Anbieters die eigenen Kontrollmechanismen einer Organisation vollständig umgehen können, auch bei Regierungsstellen und Fortune-500-Unternehmen.

Empfohlene Vorgehensweise: Überprüfen Sie die Protokolle für die Anmeldung bei Cloud-E-Mails und die Token-Ausgabe auf Anomalien, rotieren und beschränken Sie alle langlebigen API- oder Signaturschlüssel, die mit Microsoft-Cloud-Diensten verbunden sind, und stellen Sie sicher, dass die von Microsoft veröffentlichten Abhilfemaßnahmen auf Ihren Mandanten angewendet wurden.

Chinesische Hacker verschaffen sich Zugang zu E-Mails der US-Regierung durch eine Sicherheitslücke in der Microsoft Cloud mit dem Namen Storm-0558

MOVEit Cl0p-Verstoß betrifft Deutsche Bank, ING, Postbank und Comdirect über den Anbieter Majorel

04. MOVEit-Cyberangriff betrifft Deutsche Bank, ING, Postbank und Comdirect

Bei der Deutschen Bank, ING, Postbank und Comdirect kam es aufgrund der Cl0p MOVEit-Hacks zu Datenlecks bei Kundendaten. Die Banken nutzten denselben Drittanbieter, Majorel, der Opfer eines Cyberangriffs wurde. Zu den durchgesickerten Informationen gehören Kundennamen und internationale Bankkontonummern, was möglicherweise unbefugte Lastschriften ermöglicht.

Betroffen sind ausschließlich Kunden, die den Kontowechselservice in bestimmten Zeiträumen genutzt haben. Auch die ING Bank und Comdirect haben ihre Beteiligung an dem Angriff bestätigt. Die Banken empfehlen ihren Kunden, ihre Konten auf unberechtigte Transaktionen zu überwachen. Die MOVEit-Angriffe haben zahlreiche Unternehmen weltweit betroffen.

Auswirkungen auf Unternehmen: Die Ransomware- und Datenerpressungsgruppe Cl0p, die hinter der MOVEit-Kampagne steckt, erreichte vier Banken über einen einzigen gemeinsamen Anbieter, Majorel. Dies verdeutlicht, wie ein ungepatchtes Drittanbieter-Tool zur Dateiübertragung die Offenlegung von Kundendaten entlang einer gesamten Lieferkette zur Folge haben kann. Weitere Informationen zu ähnlichen Vorfällen finden Sie in der Übersicht von Encryption Consulting zu bedeutenden Lieferkettenangriffen .

Empfohlene Vorgehensweise: Erstellen Sie eine Liste aller Drittanbieter, die Zugriff auf personenbezogene Daten von Kunden haben, einschließlich Subunternehmer wie Majorel, und verlangen Sie einen Nachweis darüber, dass MOVEit und andere Managed-File-Transfer-Software gepatcht wurden.

05. Hacker nutzen Lücke in Windows-Richtlinien aus und fälschen Kernelmodus-Treibersignaturen

Hacker nutzen eine Lücke in den Windows-Richtlinien, um Signaturen von Kernelmodustreibern zu fälschen. Dabei zielen sie vor allem auf chinesischsprachige Angreifer ab. Cisco Talos berichtete, dass die Angreifer Open-Source-Tools verwenden, um die Signaturdaten von Treibern zu ändern und schädliche Treiber mit abgelaufenen Zertifikaten zu laden. Microsoft hat Maßnahmen ergriffen, um alle Zertifikate zu blockieren, und erklärt, dass keine Kompromittierung von Microsoft-Konten festgestellt wurde.

Die Schwachstelle beruht auf einer Ausnahme, die unter bestimmten Bedingungen kreuzsignierte Treiber zulässt. Angreifer nutzen Software zum Fälschen von Signatur-Zeitstempeln, um Tausende unsignierter Treiber einzusetzen und so den Verifizierungsprozess von Microsoft zu umgehen. Diese Methode stellt eine erhebliche Bedrohung dar, da sie vollen Zugriff gewährt und das System gefährdet.

Auswirkungen auf Unternehmen: Gefälschte Treibersignaturen ermöglichen es, Schadcode auf Kernel-Ebene mit vollen Systemrechten zu laden, wodurch die Codesignatur als Vertrauensanker sowohl für Sicherheitssoftware als auch für Betriebssystemkomponenten untergraben wird.

Empfohlene Vorgehensweise: Erstellen Sie eine Bestandsaufnahme der Gefährdung von Code-Signaturzertifikaten in Ihrer Treiber- und Software-Release-Pipeline und befolgen Sie die Best Practices für Code-Signatur von Encryption Consulting , um die Verwahrung von Signaturschlüsseln und die Validierung von Zeitstempeln zu verbessern.

Hacker nutzen eine Sicherheitslücke in den Windows-Codesignaturrichtlinien aus, um Kernelmodus-Treibersignaturen zu fälschen.

Diese Woche im Überblick

Geschichte	Kategorie	Auswirkungen auf die reale Welt
Barts Health NHS Trust Ransomware-Anspruch	Gesundheitswesen / Ransomware	Mutmaßlicher Diebstahl von 70 Terabytes an Patientendaten aus Großbritannien, darunter Pässe und interne E-Mails.
Azure AD wurde in Microsoft Entra ID umbenannt.	Identitäts- und Zugriffsmanagement	Funktionale Änderungen an SSO/MFA nicht möglich; zwei neue sichere Zugriffsdienste gehen in die öffentliche Vorschau
Storm-0558 Microsoft Cloud-E-Mail-Sicherheitslücke	Nationalstaatliche / Cloud-Sicherheit	Unbemerkter, einmonatiger Zugriff auf E-Mail-Konten von Regierungsbehörden in etwa 25 Organisationen
Sicherheitslücke bei MOVEit/Cl0p über den Anbieter Majorel	Drittpartei-/Lieferantenrisiko	Kundennamen und Bankkontonummern bei vier großen europäischen Banken offengelegt
Fälschung von Windows-Treibersignaturen	Code-Signatur / Malware	Laden von Treibern auf Kernel-Ebene mittels gefälschter Signaturen, vorwiegend gegen chinesischsprachige Ziele

Einschränkungen

Diese Zusammenstellung ist eine kuratierte Auswahl öffentlich gemeldeter Geschichten aus der Woche vom 10. bis 12. Juli 2023 und keine vollständige Aufzeichnung aller Ereignisse im Bereich Datenschutz oder Datensicherheit in diesem Zeitraum.
Alle Fakten, Zitate und Zahlen stammen aus den unten genannten externen Quellen (TechCrunch, BleepingComputer, The Verge, Cybernews, The Hacker News) und spiegeln den Stand der Berichterstattung zum Zeitpunkt der Erstveröffentlichung im Juli 2023 wider.
Einige Details, wie beispielsweise die genaue Anzahl der von der Storm-0558-Sicherheitslücke betroffenen Organisationen, wurden zum Zeitpunkt der Meldung nicht offengelegt und wurden möglicherweise inzwischen von den ursprünglichen Quellen präzisiert.
Diese Artikelreihe spiegelt die redaktionelle Einschätzung von Encryption Consulting wider, welche Artikel für Sicherheits-, Datenschutz- und Compliance-Teams die größte Relevanz besitzen, und stellt keinen Ersatz für die direkte Überwachung von Herstellerhinweisen oder behördlichen Bekanntmachungen dar, die Ihr Unternehmen betreffen.

Häufig gestellte Fragen

Was geschah bei dem Ransomware-Angriff auf den Barts Health NHS Trust?

Die ALPHV-Ransomware-Gruppe behauptete, in den britischen NHS-Trust Barts Health eingedrungen zu sein und 70 Terabyte an Daten, darunter Pässe und vertrauliche E-Mails, gestohlen zu haben. Der Trust untersuchte die Behauptung Mitte Juli 2023. Zuvor war es bereits zu einem Ransomware-Angriff auf die Universität Manchester gekommen, bei dem ein NHS-Datensatz mit Daten von 1.1 Millionen Patienten offengelegt worden war.

Hat die Umbenennung von Microsofts Entra ID die Funktionsweise der Azure AD-Sicherheit verändert?

Nein. Microsoft hat Azure Active Directory in Microsoft Entra ID umbenannt, Kernfunktionen wie Single Sign-On (SSO) und Multi-Faktor-Authentifizierung (MFA) blieben jedoch unverändert. Parallel zum Rebranding führte Microsoft zwei neue Dienste in der öffentlichen Vorschau ein: Entra Internet Access und Entra Private Access. Diese dienen der Absicherung von öffentlich zugänglichen bzw. internen Unternehmensressourcen.

Wer war von der Microsoft Cloud-Sicherheitslücke Storm-0558 betroffen?

Eine in China ansässige Gruppe, die unter dem Namen Storm-0558 geführt wird, verschaffte sich innerhalb eines Monats Zugriff auf E-Mail-Konten von rund 25 Organisationen, darunter US-amerikanische und westeuropäische Regierungsbehörden, bevor sie entdeckt wurde. Microsoft hat inzwischen Gegenmaßnahmen ergriffen, die vollständige Liste der betroffenen Organisationen wurde jedoch nicht veröffentlicht.

Wie gelangte die MOVEit/Cl0p-Sicherheitslücke zur Deutschen Bank und anderen Banken?

Deutsche Bank, ING, Postbank und Comdirect waren indirekt über Majorel betroffen, einen gemeinsamen Drittanbieter, der im Zuge der umfassenderen Cl0p-MOVEit-Kampagne kompromittiert wurde. Zu den offengelegten Daten gehörten Kundennamen und internationale Bankkontonummern von Kunden, die in bestimmten Zeiträumen einen Kontowechseldienst genutzt hatten, jedoch keine vollständigen Bankdaten.