CDK Global betrieb die meisten US-Autohändler über eine einzige Plattform – Ransomware legte alles lahm

CDK Global betreibt das Dealer-Management-System, auf das die meisten nordamerikanischen Autohändler für Verkauf, Finanzierung, Serviceplanung und Teilelager angewiesen sind – eine einzige gemeinsame Plattform hinter rund 15.000 Händlerstandorten, darunter große Gruppen wie Lithia Motors, Group 1 Automotive, Penske und Sonic sowie Hersteller wie BMW, Nissan und Honda. Am 18. Juni 2024 traf die BlackSuit-Ransomware-Bande diese Plattform. CDK fuhr am nächsten Tag seine eigenen IT-Systeme herunter, um den Angriff einzudämmen, und während der Wiederherstellung schlugen die Angreifer ein zweites Mal zu.

Die Forderung begann bei 10 Millionen US-Dollar und stieg im Verlauf des Ausfalls auf über 50 Millionen US-Dollar. CDK signalisierte, dass es bereit sei, zweistellige Millionenbeträge zu zahlen, und Berichte bezifferten die tatsächliche Zahlung später auf rund 25 Millionen US-Dollar – etwa 387 Bitcoin, die am 21. Juni auf ein mit BlackSuit verbundenes Konto überwiesen wurden. Selbst mit der Zahlung dauerte es bis zum 4. Juli, also mehr als zwei Wochen nach dem ersten Angriff, bis der Service für jeden Händler wiederhergestellt war.

Weil die Software von CDK für so einen großen Teil der Branche gleichzeitig das operative Rückgrat bildete, blieb der Ausfall nicht auf die eigene Infrastruktur von CDK beschränkt. Die Händler verloren die Fähigkeit, Verkäufe abzuwickeln, Finanzierungsunterlagen zu erstellen, Service-Termine zu erfassen oder Teile zu verfolgen – viele gingen dazu über, Geschäfte handschriftlich abzuwickeln und externe Software als Behelfslösung zu nutzen. Die Anderson Economic Group schätzte die direkten Verluste der Vertragshändler in den drei Wochen vom 19. Juni bis 5. Juli auf 1,02 Milliarden US-Dollar; diese Zahl umfasst entgangene Verkäufe und Arbeitskosten, nicht die eigenen Kosten von CDK.

Die Konzentration, die CDK für die Händler wertvoll machte – eine Plattform, die Finanzierung, Verkauf und Service zusammenführte und branchenweit übernommen wurde, weil sie effizienter war als fragmentierte Systeme –, war genau das, was aus einem einzigen Ransomware-Eindringen einen branchenweiten Ausfall machte. Kein einzelner Händler hatte einen Ausweichweg, weil dieser Ausweichweg aus dem Geschäft herauskonstruiert worden war, zugunsten des Betriebs von allem über CDK.

Eine Plattform für Verkauf, Finanzierung und Service ließ keinen Ausweichweg, sodass ein einziges Eindringen die Händler 1,02 Mrd. US-Dollar kostete und CDK rund 25 Mio. US-Dollar Lösegeld zahlte.

Rund 15.000 Händler in Nordamerika wickelten ihre Kernabläufe über eine einzige gemeinsame Plattform ab, sodass ein einziges Eindringen zu einem branchenweiten Ausfall wurde statt zu einem begrenzten Vorfall.

CDK wurde ein zweites Mal getroffen, während es sich noch von dem ersten Angriff erholte, was einen Ausfall verlängerte, der schließlich vom 18. Juni bis zum 4. Juli dauerte.

Die Händler hatten keinen Offline-Ausweichweg für Verkauf, Finanzierung oder Serviceplanung – die Effizienz, alles über ein System laufen zu lassen, ließ keinen manuellen Ausweichpfad, sobald dieses System weg war.

Das Lösegeld stieg von 10 Millionen auf über 50 Millionen US-Dollar, während sich der Ausfall hinzog, und CDK zahlte rund 25 Millionen US-Dollar, statt unabhängig neu aufzubauen.

Die Bündelung des Tagesgeschäfts einer Branche auf einer einzigen gemeinsamen Plattform beseitigt zusammen mit der Ineffizienz auch die Redundanz – ein einziger Ransomware-Angriff wird zum Ausfall aller, ohne dass ein manueller Ausweichweg bleibt.

CDK stellte bis zum 4. Juli 2024, rund zwei Wochen nach Beginn des Angriffs, den vollständigen Service für alle Händler wieder her. Der Vorfall veranlasste Händlergruppen und Hersteller, Notfallpläne für eine Abhängigkeit von einem einzigen Anbieter zu überprüfen, die sie zuvor nicht einem Belastungstest unterzogen hatten, und lenkte die Aufmerksamkeit auf BlackSuit als eine Ransomware-Operation, die mit einem einzigen Ziel eine bedeutende US-Branche lahmlegen konnte.