Cybervorfall Ende Juni 2026

Anfang Juli 2026 haben wir mit einem Schreiben über den Cybervorfall in unserer IT-Infrastruktur informiert. Das Schreiben ist nach wie vor zugänglich.

Der Cybervorfall war ein einschneidendes Ereignis. Wir möchten die gewonnenen Erkenntnisse teilen und haben in der Zusammenarbeit mit externen Spezialist*innen eine Liste an Empfehlungen und Optimierungen zusammengestellt.

Die Empfehlungen der involvierten, externen Cyber-Security-Firma bestätigen unsere bestehenden Sicherheitsstandards und decken zusätzliche Bereiche ab, die wir kontinuierlich weiterentwickeln. Wir veröffentlichen hier eine Sammlung an Punkten zur Überprüfung von On-Premises Systemen inklusive hilfreicher Links und hoffen, dass andere Institutionen davon profitieren können. Bitte beachten Sie, dass dies abhängig von Ihrer eigenen IT-Infrastruktur ist und die Liste nicht als abschliessend betrachtet werden kann.

Bei technischen Fragen wenden Sie sich bitte direkt an Ihren persönlichen IT-Support oder Dienstleister. Aus Ressourcengründen ist es uns nicht möglich, diesbezügliche Fragen zu beantworten. Vielen Dank für Ihr Verständnis!

• Password Policies: Richtlinie für Passwortsicherheit festlegen. Dazu gehören Komplexität der Passwörter.
  Auch Administrator Passwörter sollten regelmässig geändert werden. Hier gilt zu beachten, dass diese für gewisse Schnittstellen eingesetzt werden können und dort allenfalls ebenso eine Änderung nötig ist, da sonst die korrekte Funktionsweise beeinflusst wird. Das NIST bietet dazu hilfreiche Guidelines.
• Multi-Faktor-Authentisierung (MFA) für alle: Zusätzliche Anmeldebestätigung einrichten. Viele nutzen dafür eine Authenticator App. Yubikey und Passkeys gelten als sichere Alternative. Von SMS wird zunehmend abgeraten – Anbieter wie Microsoft lösen dies schrittweise ab.
• Password Reset Einstellungen: Werden die Passwörter von einem lokalen System bspw. zu Microsoft synchronisiert wird empfohlen, den Self-Service Password Reset von extern einzuschränken. So kann verhindert werden, dass ausserhalb des internen Netzes das Passwort geändert werden kann. Wenn Sie ausschliesslich Cloud basierte Lösungen nutzen, kann die Passwortverwaltung bspw. über den Admin erfolgen. Jedoch bieten hier nicht alle Anbieter eine Einschränkung an.
• Alte Accounts löschen: Legen Sie einen Zeitraum fest, wie lange Accounts aufbewahrt werden. Beim Einsatz von Active Directory kann die Papierkorb / Recycle Bin Funktion aktiviert werden. Dies vereinfacht den Wiederherstellungsprozess wenn nötig und verlängert den Zeitraum, in dem Spuren verfügbar sind, wenn eine Untersuchung notwendig wird.
• Beim Einsatz von Active Directory achten Sie auf die Kerberos Verschlüsselung. Der DES Algorithmus wird als unsicher betrachtet und sollte auf LDAP Ebene deaktiviert werden.
• Richten Sie spezielle Berechtigungsgruppen ein und setzen Sie nicht Berechtigungen auf einzelne User. Bspw. könnte es Helpdesk/Support Gruppen geben die spezifische Rechte haben zum Hinzufügen von Clients zu einer Domäne. Andere User sollten diese Rechte nicht besitzen.
• Administratorkonten in Active Directory sollten das Kennzeichen „Account is sensitive and cannot be delegated“ gesetzt haben. Damit kann sichergestellt werden, dass eine Anwendung sich nicht „im Namen“ des Benutzers authentifizieren kann. Für solche Anwendungsfälle sollten niedrig priveligierte Konten verwendet werden.
• Die Gruppe „Protected Users“ implementiert zusätzliche Sicherheitsmassnahmen für alle Mitglieder dieser Gruppe und eignet sich daher für Administratorkonten.
• Das KRBTGT-Konto ist ein verstecktes Konto in Active Directory das Authentifizierungstoken verschlüsselt. Da dieses Konto also Token für jeden User ausstellt, ist es sinnvoll, das Passwort bspw. jährlich zu ändern.
• Active Directory Print Spooler Service deaktivieren: Dieser kann für gezielte Angriffe gegen das Netzwerk verwendet werden, wenn dazu noch offene/schwache Benutezraccounts bestehen.
• Entra ID SSO: Microsoft empfiehlt, das Rollover des Kerberos-Entschlüsselungsschlüssels mindestens alle 30 Tage mit dem Update-AzureADSSOForest-Cmdlet durchzuführen.
• Sollten Sie SMBv1 im Einsatz haben aufgrund älterer Betriebssysteme, empfiehlt es sich dies zu deaktivieren. Da dies zu Funktionsproblemen führen kann, wird ausgiebiges Testing empfohlen.
• Prüfen Sie ob auf alten Systemen noch LAN-Manager zur Authentifizierung verwendet wird. LM und NTLMv1 gelten als veraltet und sollten abgelöst werden.
• Netzwerksegmentierung: Kritische Systeme sollten strikt segmentiert werden. Clients dürfen keinen direkten Zugang auf solche haben.
• Remotezugriffe beschränken: Remotezugriffe sollten nur auf selektierte Systeme und mit MFA rmöglicht werden. Administratoren sollten ihre Remote-Sitzung über den regulären User mit geringen Rechten aufbauen und dann ihre Rechte von einem sicheren und gehärteten Jump-Host aus erweitern, wenn administrative Aufgaben durchgeführt werden müssen. Ebenso sollten entsprechende Tools auf den Servern selbst sparsam installiert und regelmässig geprüft werden.
• Limitierung des Internetzugriffs der Server: Durch die Einschränkung der Konnektivität wird das Risiko externer Bedrohungen, unbefugten Zugriffs und Malware-Infektionen deutlich reduziert.
• Endpoint Detection: Prüfen Sie, ob Sie moderne EDR/XDR-Lösungen im Einsatz haben. Eine vollständige EDR-Abdeckung erhöht die Transparenz über sicherheitsrelevante Aktivitäten, ermöglicht eine zeitnahe Erkennung und erleichtert die Auswertung von potenziellen Vorfällen, damit Auswirkungen zukünftiger Angriffe reduziert werden können.
• Backup-Strategie: Dies ist entscheidend für die Datenwiederherstellung bei einer Sicherheitsverletzung. Zentrale Punkte dabei sind Regelmässigkeit, Redundanz und Versionierung (Offline Backups, wie auch Cloud-basierte Umgebungen), Verschlüsselung und Zugriffskontrolle, regelmässige Tests und Verifikation, Segmentierung und Isolation und Implementieren von Überwachungsmechanismen.
• Empfehlungen für Active Directory Hardening findet man auf der Webseite von Microsoft.
  

Allgemeine Grundsätze kurz zusammengefasst:

• Prüfen Sie die Einstellungen in Zusammenhang mit Passwörtern, Authentifizierung und Logs. Der Zugang zu internen Systemen sollte mit MFA abgesichert werden, die Passwörter regelmässig geändert- und Administratoraccounts spezifisch und nicht global eingesetzt werden. Zudem sollten verwendete Protokolle und Verschlüsselungstechnologien auf Aktualität geprüft werden.
• Mit einer geeigneten und umfangreichen Ereignisprotokollierung stellen Sie sicher, dass bei einem Zwischenfall die Schritte zurückverfolgt werden können. Microsoft führt dazu Empfehlungen auf.
• Führen Sie regelmässig User-Schulungen durch und bieten Sie Handbücher und Nachschlagewerke für Mitarbeiter*innen an. Sicherheit beginnt auch beim User.
• Die regelmässige Aktualisierung von Servern und Anwendungen mit Sicherheitspatches ist entscheidend, um die Sicherheit zu gewährleisten und das Risiko von Cyberangriffen zu reduzieren.
• Sicherheitspatches sollten regelmässig durchgeführt werden. Dabei lohnt es sich zu prüfen, ob der Patch alleine ausreicht oder beim Hersteller selbst grössere Sicherheitslücken entstanden ist (dies hat allenfalls zur Folge, dass man die eigene Konfiguration oder die Zugänge anpassen muss).
• Ermöglichen Sie Remotezugriff nur dort, wo unbedingt nötig, und nur mit MFA.
• Überprüfen und testen Sie regelmässig Ihre Backup-Strategie. Stellen Sie sich die Frage: Geht die Backup-Strategie im Ernstfall auf? Was wenn die Angreifer das Backup löschen? Wissen Sie wie der Recovery funktioniert? Wurde der Recovery getestet? Es empfiehlt sich grundsätzlich auch, in ein immutable Backup zu investieren.