Das hat der Sicherheitsspezialist ID-Ware gemeldet Hackerangriff in der Nacht vom 16. auf den 17. September auf ID-ware-Systemen. Das Unternehmen ist ein deutscher Anbieter mit einer Tochtergesellschaft in den Niederlanden, der eine Reihe von Produkten und Dienstleistungen unter anderem für die nationale Regierung, den Senat und das Repräsentantenhaus bereitstellt. Dies betrifft Dienstleistungen im Zusammenhang mit den Rijkspas, die es Mitgliedern des Senats und des Repräsentantenhauses, den Mitarbeitern dieser Organisationen und Regierungsbeamten ermöglichen, das Parlament und die Regierungsgebäude zu betreten. Staatssekretärin Alexandra van Huffelen erwähnt dies in Buchstabe im Haus, das über die jüngsten Entwicklungen bezüglich des Hackings eines Lieferanten im Zusammenhang mit der Rijkspas-Show informiert wurde.

Laut dem Staatssekretär für Inneres, Digitalisierung und Königreichsbeziehungen werden in dem Schreiben die Folgen für die Benutzer von Rijkspas sowie die ergriffenen Maßnahmen und Folgemaßnahmen erörtert.

Van Huffelen berichtet Folgendes:

Für die nationale Regierung führt ID-ware das Anwendungsmanagement auf zentralen Rijkspas-Systemen durch, die auf nationaler Regierungsebene implementiert sind. Es erbringt Dienstleistungen für den Senat und das Repräsentantenhaus, um Zugangskarten aus den eigenen Systemen von ID-ware anzufordern und zu verwalten.

Am 21. September 2022 meldete ID-ware einen Angriff auf seine Systeme. Am 29. September 2022 wurden die ersten Forschungsergebnisse zur Art des Angriffs und den Auswirkungen auf die Daten per Mail geteilt. Es handelte sich um einen Ransomware-Angriff, bei dem Dateien verschlüsselt werden, um nach Zahlung eines Lösegelds wieder verfügbar zu werden. Nach Angaben des Unternehmens konnte der Schaden schnell behoben werden, es stellte sich jedoch heraus, dass eine große Anzahl von Dateien freigegeben wurde. (So ​​wurde festgestellt, dass eine große Datenmenge von den Angreifern gestohlen wurde).

Untersuchungen, bei denen ID-ware eine Sicherheitsfirma engagierte, ergaben, dass die zur Ausgabe der Karten verwendeten Datenbankserver nicht von dem Angriff betroffen waren. Ob sich auf den betroffenen Dateiservern behördliche Benutzerdaten befinden, wird derzeit untersucht. Bisher ist bekannt, dass die Namen, nationalen Karten und Initialen von fast 3.500 Mitarbeitern der Zentralregierung durch den Tür-zu-Tür-Lieferdienst der Karte durchgesickert sind. Untersuchungen können ergeben, dass andere Benutzerdaten von Regierungskarten durchgesickert sind. Das Unternehmen verwaltet kein Schlüsselmaterial.

Das Unternehmen erbringt ähnliche Dienstleistungen für andere Kunden in den Niederlanden und Deutschland und hat diese ebenfalls benachrichtigt. Es wurde auch eine Anzeige bei der niederländischen Datenschutzbehörde erstattet und das Unternehmen erstattete Anzeige bei der Polizei.

Auswirkungen

Die dem Unternehmen zur Verfügung stehenden personenbezogenen Daten beschränken sich auf die für die Herstellung der Karte notwendigen Daten: Name, Geburtsdatum, Geschlecht, nationale Passnummer und Lichtbild. Für die meisten Kartennutzer hat ein Leakage nur begrenzte Auswirkungen, insbesondere im Hinblick auf das Nutzungsrisiko im Falle von Phishing. Dennoch bedauere ich diesen Vorfall zutiefst, ebenso wie die möglichen Folgen für die Beteiligten.

Es ist nicht möglich, mit den offengelegten Informationen einen Ausweis zu erstellen, der den Zutritt zu Gebäuden gewährt, das dafür benötigte Schlüsselmaterial wird bei ID-ware nicht verarbeitet.

Messungen

Nachdem der Vorfall gemeldet wurde, hat das NCSC ein Ermittlungsteam mit Partnern wie der Polizei, CISO Rijk, BVA Rijk und den BVAs und CISOs des Senats und des Repräsentantenhauses eingerichtet, um die Situation zu analysieren und die Auswirkungen zu interpretieren.

Das Unternehmen und Rijkspasbeheer, der Senat und das Repräsentantenhaus haben die Angelegenheit der niederländischen Datenschutzbehörde gemeldet.

Die internen Systeme von Rijkspasbeheer, Senat und Repräsentantenhaus waren von dem ID-Ware-Hack nicht betroffen, die Verbindungen werden überwacht.

Die Personen, deren Daten bekannt gegeben wurden, wurden persönlich informiert oder werden eines Tages informiert.

Fortsetzung

Das NCSC und die oben genannten Beamten und Abteilungen der betroffenen Organisationen werden die Situation weiterhin genau beobachten und den betroffenen Mitarbeitern bei Bedarf Updates zukommen lassen und/oder über ihre Website Anleitungen geben, sagte Alexandra van Huffelen.