Eine grobe DDoS-Flut legte die neuseeländische Börse vier Tage in Folge lahm

Am Nachmittag des Dienstags, 25. August 2020, wurde die NZX – Neuseelands Börse – von dem getroffen, was sie als volumetrischen verteilten Denial-of-Service-Angriff beschrieb, der über ihren Netzwerkdienstanbieter aus dem Ausland eintraf. Die Flut sättigte die Netzwerkkonnektivität der NZX und legte ihre Websites und ihre Markets Announcement Platform lahm – den Kanal, auf den Marktteilnehmer für kursrelevante Offenlegungen angewiesen sind. Die NZX setzte den Handel an ihren Kassamärkten gegen 15:57 Uhr aus und konnte die Konnektivität erst nach Abwehr des Angriffs wiederherstellen.

Die Angriffe hörten nicht auf. Am Mittwoch, 26. August, zwang ein erneuter DDoS-Angriff die NZX, den Handel um 11:14 Uhr erneut auszusetzen; der Hauptmarkt, der Anleihemarkt und der Aktionärsmarkt von Fonterra öffneten etwa vier Stunden später wieder. Der Donnerstag brachte eine dritte Aussetzung. Am Freitag, 28. August, fiel die NZX ein viertes Mal aus – wegen dessen, was sie als Konnektivitätsprobleme bezeichnete, die denen der Angriffe dieser Woche ähnelten – und nahm den Handel um 13 Uhr wieder auf. Spark, der Netzwerkanbieter, erklärte, der Datenverkehr sei über das globale Gateway gekommen und stamme daher eindeutig aus dem Ausland, doch die Rückverfolgung des Ursprungs sei nahezu unmöglich gewesen.

Am vierten Tag hatte die Regierung die nationalen Sicherheitsmechanismen aktiviert: Finanzminister Grant Robertson sagte, das Government Communications Security Bureau und die nationale Cyberkriminalitätsbehörde seien hinzugezogen worden. Sicherheitsexperten fragten öffentlich, wie eine nationale Börse vier Tage in Folge durch einen groben Überflutungsangriff gestört werden könne. Niemand wurde je identifiziert oder angeklagt, und die Antwort der NZX auf diese Woche war ein teures Härtungsprogramm – neuer DDoS-Schutz, Architekturänderungen und fortgesetzte Investitionen in die Widerstandsfähigkeit.

Vier aufeinanderfolgende Tage mit ausgesetztem Handel an den Kassamärkten, dem Anleihemarkt, dem Fonterra-Markt und den Derivatemärkten der NZX, wobei das GCSB hinzugezogen wurde – die Angreifer wurden nie identifiziert

Die nach außen gerichtete Konnektivität der NZX – Websites und die Offenlegungsplattform – lag im Wirkungsbereich einer Flut auf Netzwerkebene, und der Handel kann rechtlich nicht fortgesetzt werden ohne die Ankündigungsplattform.

Die Abwehr hing vom Netzwerkdienstanbieter ab, und keine unabhängig kontrollierte Ausweichkapazität verhinderte vier aufeinanderfolgende Tage von Ausfällen.

Ein volumetrischer DDoS-Angriff ist der gröbste und billigste Angriff überhaupt; Abwehrmaßnahmen, die auf gewöhnliche Verkehrsspitzen ausgelegt waren, reichten bei weitem nicht für eine anhaltende Flut.

Die Börse nahm den Betrieb immer wieder auf und wurde erneut lahmgelegt, statt nach dem ersten Tag auf eine geschützte Architektur umzustellen – die Regierung musste bis zum vierten Tag eingreifen.

Die eigentliche Angriffsfläche einer Börse ist ihre Netzwerkanbindung. Wenn die Abwehr vom Wohlwollen eines einzigen Anbieters abhängt und es keinen Ausweichplan gibt, kann ein grober Überflutungsangriff einen nationalen Markt tagelang lahmlegen.

Die Woche endete damit, dass die NZX wieder handelte – die Sitzung am Freitag wurde um 13 Uhr wieder aufgenommen –, doch die Börse verbrachte die folgenden Jahre damit, ihre Netzwerkwiderstandsfähigkeit unter regulatorischer Beobachtung wieder aufzubauen. Die Financial Markets Authority behielt die Investitionen der NZX in Fähigkeiten und Widerstandsfähigkeit im Blick; in ihrer jährlichen Überprüfung der Pflichten für das am Juni 2025 endende Jahr, veröffentlicht im Juni 2026, stellte die FMA fest, dass die NZX ihre Pflichten als Marktbetreiber wirksam erfüllte, und verwies auf fortgesetzte Investitionen in Marktfähigkeiten und Widerstandsfähigkeit; formelle Empfehlungen sprach sie nicht aus. Die Identität der Angreifer wurde nie festgestellt.