Hacker drangen über einen Klimaanlagen-Zulieferer in Target ein – und stahlen 40 Millionen Karten

In der Weihnachtseinkaufssaison 2013 erlitt der Einzelhändler Target eine der größten Datenpannen der Geschichte. Die Angreifer verschafften sich Zugang nicht, indem sie Targets eigene Abwehr direkt durchbrachen, sondern indem sie Zugangsdaten von einem Drittanbieter stahlen, der Targets Heizungs- und Klimaanlagen wartete. Über diesen Zugang des Zulieferers drangen die Angreifer in Targets Netzwerk ein.

Einmal drinnen, installierten die Angreifer Malware auf Targets Kassensystemen und stahlen die Kredit- und Debitkartennummern von etwa 40 Millionen Kunden sowie persönliche Informationen (Namen, Adressen, E-Mails) von etwa 70 Millionen Menschen. Die Panne blieb wochenlang unentdeckt, obwohl Target Sicherheitstools besaß, die den Eindringling gemeldet hatten – Warnungen, auf die nicht reagiert wurde.

Die Folgen waren schwerwiegend. Target zahlte einen Vergleich über 18,5 Millionen US-Dollar mit mehreren Bundesstaaten und einen Vergleich über 10 Millionen US-Dollar in einer Sammelklage, gab Hunderte Millionen für die Behebung aus und erlitt Schäden an Umsatz und Ruf. Vorstandsvorsitzender Gregg Steinhafel trat 2014 zurück. Die Panne wurde zu einem wegweisenden Fall in der Cybersicherheit – ein drastisches Beispiel dafür, wie ein schwaches Glied in einer Lieferkette und ignorierte Sicherheitswarnungen die Daten von zig Millionen Kunden offenlegen können.

Die Panne kostete Target Vergleiche über 18,5 Mio. US-Dollar und 10 Mio. US-Dollar, Hunderte Millionen für die Behebung und den Job des CEO, nachdem 40 Mio. Karten und die Daten von 70 Mio. Kunden gestohlen worden waren.

Die Angreifer gelangten über die gestohlenen Zugangsdaten eines externen HVAC-Zulieferers in Targets Netzwerk und nutzten damit ein schwaches Glied in der Lieferkette aus.

Einmal drinnen, installierten sie Malware auf den Kassensystemen und stahlen 40 Millionen Kartennummern sowie Daten von 70 Millionen Kunden.

Targets Sicherheitstools meldeten den Eindringling, doch auf die Warnungen wurde nicht reagiert, sodass die Panne wochenlang unentdeckt blieb.

Die Panne kostete Target Hunderte Millionen an Vergleichen und Behebung, schädigte Umsatz und Ruf und führte zum Rücktritt des CEO.

Ihre Sicherheit ist nur so stark wie Ihr schwächster Zulieferer. Target wurde über die Zugangsdaten eines HVAC-Zulieferers kompromittiert, und seine Warnungen wurden ignoriert. Eine Warnung, auf die niemand reagiert, ist überhaupt keine Warnung.

Die Target-Panne war eine der größten der Geschichte und ein wegweisender Fall in der Cybersicherheit, bei dem die Daten von zig Millionen Kunden durch die Zugangsdaten eines Drittanbieters und ignorierte Warnungen offengelegt wurden. Sie kostete Target Hunderte Millionen an Vergleichen und Behebung, schädigte das Weihnachtsgeschäft und den Ruf und führte zum Rücktritt des CEO. Die Lehre ist dauerhaft: Die Sicherheit eines Unternehmens erstreckt sich auf jeden Zulieferer mit Zugang zu seinem Netzwerk, und Sicherheitstools sind wertlos, wenn die von ihnen erzeugten Warnungen ignoriert werden – die Panne, auf die Sie nicht reagieren, ist die, die Sie zerstört.