Das schwächste Glied ist Ihr Dienstleister

Warum kann ein Dienstleister ein ganzes Gebäude zu Fall bringen?

Ein Gebäude verwaltet sich nicht von selbst. Der Verwalter (Syndic) stützt sich auf einen Heizungsbauer, einen Aufzugsdienst, einen Gebäudediagnostiker, einen Softwareanbieter, einen IT-Dienstleister, eine Zahlungsplattform. Jeder von ihnen hält einen Schlüssel in der Hand: einen Zugang zu einem Portal, ein Konto auf einem gemeinsam genutzten Werkzeug, eine Datenbank mit den Namen der Miteigentümer, manchmal den Türcode. Wird einer von ihnen kompromittiert, trägt das Gebäude die Folgen, ohne selbst Ziel gewesen zu sein.

Die vier folgenden Fälle sind durch Primärquellen oder Quellen ersten Ranges belegt: ein Parlamentsbericht, Meldungen an die Börsenaufsicht, Gerichtsentscheidungen, Warnungen von Behörden, die Erklärung eines Opfers. Nicht alle betreffen Gebäude; sie zeigen jedoch denselben Mechanismus.

Target und Fazio: das Konto des Heizungsbauers öffnet das Netzwerk der Handelskette (2013)

Fazio Mechanical Services in Sharpsburg, Pennsylvania, wartet Heizungs- und Kälteanlagen; die Handelskette Target ist einer ihrer Kunden. Laut dem Bericht des Handelsausschusses des US-Senats vom 26. März 2014 schickte der Angreifer mindestens zwei Monate vor dem Diebstahl der Kartendaten präparierte E-Mails an Fazio. Brian Krebs führt aus, dass die vermutete Schadsoftware Citadel ist, ohne Bestätigung, und dass sich der Dienstleister mit der kostenlosen Version von Malwarebytes schützte, deren Lizenz die Nutzung in Unternehmen untersagt.

Die gestohlenen Zugangsdaten öffneten das Lieferantenportal von Target, laut Krebs Ariba. Fazio stellte klar, dass seine Verbindung ausschließlich der elektronischen Rechnungsstellung, der Einreichung von Verträgen und dem Projektmanagement diente: Der Heizungsbauer steuerte nichts aus der Ferne. Ein Zugang, der zum Versenden von Rechnungen vorgesehen war, diente als Einstiegspunkt, weil eine Zwei-Faktor-Authentifizierung und eine Trennung zwischen dem Lieferantenportal und den Kassensystemen fehlten; der genaue Weg vom Portal bis zu den Kassen ist bis heute unbekannt. Das erste Eindringen datiert die New York Times, vom Senat übernommen, auf den 12. November 2013, Krebs auf den 15. November; die Kartendaten wurden vom 27. November bis zum 15. Dezember gesammelt und anschließend unverschlüsselt per FTP an externe Server gesendet, darunter einer in Russland.

Die Erkennungswerkzeuge von Target hatten angeschlagen: Warnungen von Symantec um den 28. November, von FireEye am 30. November sowie am 2. und 3. Dezember. Keine davon wurde weiterverfolgt. Bilanz: rund 40 Millionen Zahlungskarten und 70 Millionen Kundendatensätze, von Target am 10. Januar 2014 bekannt gegeben. Der Vorstandsvorsitzende Gregg Steinhafel verlässt das Unternehmen am 5. Mai 2014 (Meldung an die SEC). Am 23. Mai 2017 schließt Target einen Vergleich über 18,5 Millionen US-Dollar mit 46 Bundesstaaten und dem District of Columbia, verbunden mit einem Sicherheitsprogramm: Abschottung der Kartenumgebung, regelmäßiger Wechsel der Passwörter, zweiter Faktor auf bestimmten Konten. Diesem Fall ist keine registrierte Schwachstelle zugeordnet: Die Quellen beschreiben ein menschliches und organisatorisches Glied.

RealPage: eine E-Mail im Namen von Stripe leitet zehn Millionen Dollar Mieten um (2018)

RealPage, ein US-amerikanisches Immobilientechnologieunternehmen, übernimmt 2017 eine Gesellschaft, die Mieten im Auftrag von Vermietern über die Zahlungsplattform Stripe einzieht. Im April 2018 erhält ein Mitarbeiter eine E-Mail, die Stripe nachahmt, klickt und gibt seine Zugangsdaten ein. Laut dem Urteil des Berufungsgerichts für den fünften Bundesgerichtsbezirk vom 22. Dezember 2021 gewährten diese Zugangsdaten Zugriff auf die an Stripe übermittelten Auszahlungsanweisungen. Die Kriminellen änderten sie, und Stripe zahlte mehr als zehn Millionen US-Dollar auf andere Konten aus. Der im Mai 2018 entdeckte Vorfall steht im bei der SEC eingereichten Quartalsbericht; HousingWire berichtete im Januar 2020 darüber.

Ein Überweisungsbetrug also: Wer das Konto kontrolliert, ändert das Ziel des Geldes. Das Urteil des Bundesbezirksgerichts für den nördlichen Bezirk von Texas vom 5. September 2024 schlüsselt die Beträge auf: rund 9 Millionen US-Dollar an Mieten, die den Vermietern zustanden, und 1 Million an Transaktionsgebühren; 4,5 Millionen rasch zurückgeholt; 2 908 130,53 US-Dollar vom Staat nach zivilrechtlicher Einziehung zurückerstattet; 1 231 692,78 US-Dollar vom Versicherer gezahlt; ein Nettoverlust von rund 6 Millionen. Das Geld war über 88 Konten von Finanzagenten bei 42 Banken gelaufen. RealPage informierte umgehend seine Banken und den US Secret Service, was das Einfrieren von 2,9 Millionen ermöglichte, und schrieb seinen Kunden die Beträge vollständig wieder gut.

Die Gerichte befanden anschließend, dass die Betrugsversicherung die Kundengelder nicht deckte, weil RealPage sie nicht „hielt“: Sie liefen über ein Konto des Zahlungsdienstleisters. Nur die Transaktionsgebühren, rund eine Million, waren gedeckt. Das Geld der Vermieter war genau in dem Moment am stärksten exponiert, in dem die Versicherung von RealPage es nicht deckte.

CTS und Simplify: der IT-Dienstleister fällt aus, achtzig Kanzleien stehen still (2021 und 2023)

Im Vereinigten Königreich läuft der Verkauf einer Wohnung über spezialisierte Kanzleien, die Conveyancer, die am Tag der Unterzeichnung Gelder und Urkunden austauschen. Am Mittwoch, dem 22. November 2023, verlieren die Kunden des IT-Dienstleisters CTS den Zugriff auf ihre Akten, so TechCrunch. Am Freitag, dem 24., spricht CTS von einem „Cyber-Vorfall“, beauftragt ein Forensikunternehmen und erklärt, keinen Zeitplan nennen zu können, berichtet The Record. Rund 80 Kanzleien sind betroffen. Käufer können am vorgesehenen Tag nicht unterzeichnen, zahlen Hotel und Möbellager, sehen ihre Darlehenszusage verfallen; die Presse nennt eine Käuferin, deren Vertragsaustausch für den 22. November vorgesehen war und deren Zusage bis zum 30. galt. Eine Kanzlei, O’Neill Patient, übernimmt die unmittelbaren Kosten ihrer Kunden. Ende Dezember waren laut Fachpresse (Today’s Conveyancer, 21. Dezember 2023) mehr als 90 % der Kunden wieder arbeitsfähig oder in der Abschlussprüfung: Rund jeder zehnte war es einen Monat danach nicht.

Die Ursache hat CTS nicht bestätigt. Ein Fachmann, Ian Towner, stellte die Hypothese eines aus dem Internet erreichbaren Citrix-NetScaler-Gateways auf, das von Sprout IT stammte, einem 2020 mit CTS fusionierten IT-Dienstleister, und der als CitrixBleed bekannten Schwachstelle CVE-2023-4966. Die Schwachstelle selbst ist belegt: Die gemeinsame Warnung von CISA, FBI, MS-ISAC und ACSC vom 21. November 2023 beschreibt einen Diebstahl von Sitzungstoken auf NetScaler-Gateways, der es erlaubt, Passwort und Multifaktor-Authentifizierung zu umgehen, ausgenutzt seit August 2023, unter anderem durch Partner von LockBit 3.0 gegen Boeing. Die Warnung empfiehlt, Gateways dieser Art innerhalb von 24 bis 48 Stunden nach der Veröffentlichung einer Schwachstelle zu patchen.

Zwei Jahre zuvor, am 7. November 2021, hatte die Simplify Group, die als größter Conveyancer des Landes vorgestellt wird, einen Angriff erlitten, dessen Vektor nicht veröffentlicht wurde. Ihre Jahresabschlüsse beziffern die Kosten auf rund 7 Millionen Pfund, 6,8 Millionen nach der Lesart von The Negotiator, mit etwa zehn Wochen eingeschränkter Tätigkeit.

Snexi und die Welle ChimeraZ: die Daten des Verwalters bei seinem Dienstleister für Übergabeprotokolle (2026)

Dieser jüngste Fall ist mit einer Vorsicht zu lesen: Ein Teil ist nur durch die Behauptungen eines Hackers bekannt. Ab dem 9. Juni 2026 bietet ein Akteur namens ChimeraZ Datenbanken zum Verkauf an, die er Leboncoin Immobilier, Propriétés Privées, Capifrance und am 24. Juni der Gruppe Digit RE zuschreibt, mit Umfängen von mehreren Millionen Zeilen, die ZATAZ ab dem 9. Juni und danach Fachseiten weitergaben. Diese Umfänge sind die des Hackers. Eine Bestätigung eines unbefugten Zugriffs durch Digit RE wurde von einer Fachseite berichtet, ohne dass eine offizielle Mitteilung gefunden wurde.

Der belegte Teil betrifft Snexi, ein Unternehmen aus Tours, das auf Übergabeprotokolle und Gebäudediagnosen spezialisiert ist und zur Gruppe Arche gehört. Am 2. September 2026 angegriffen, bestätigte es am 7. September schriftlich, dass die veröffentlichten Stichproben aus seinem Vorfall stammten; La Nouvelle République veröffentlichte seine Mitteilung am 8. September. Die möglicherweise betroffenen Daten sind laut dem Unternehmen Namen, Vornamen, E-Mail- und Postadressen sowie Telefonnummern; Snexi gibt an, keine finanziellen, Bank- oder sensiblen Daten zu besitzen. Es hat die CNIL benachrichtigt und eine eigene Kontaktadresse eingerichtet. Am 11. September behauptet der Hacker 2 249 970 Zeilen, 1 139 584 Personen, 1 833 Agenturen und 49 899 „Digicodes“, von denen rund 90 % mit dem Netz Citya Immobilier verbunden sein sollen. Diese Verbindung ist nicht bestätigt, und nichts deutet darauf hin, dass die Systeme von Citya kompromittiert wurden: Die Daten stammen wahrscheinlich aus dem Werkzeug des Dienstleisters.

Warum steht dieser Fall trotz dieser Vorbehalte hier? Weil der Mechanismus derjenige ist, der einen luxemburgischen Verwalter bedroht. Ein Dienstleister für Übergabeprotokolle benötigt die Adresse, den Namen des Mieters, einen Termin und häufig den Türcode. Wird er kompromittiert, ist der Verwalter nicht angegriffen worden, aber seine Miteigentümer können gezielte E-Mails im Namen ihres Verwalters erhalten, und ein Code, der mit einer genauen Adresse verknüpft ist, kann bei Unbekannten landen. Ein Digicode in einer Datenbank ist ein Schlüssel.

Was ein Gebäude oder eine Eigentümergemeinschaft in Luxemburg daraus lernt

Diese Schritte gehören zu Vertrag, Verfahren und Führung, nicht zur Technik.

• Die Liste der Dienstleister mit Zugang führen. Heizungsbauer, Aufzugsdienst, Alarmanlageninstallateur, Anbieter des Portals, Plattform für Übergabeprotokolle, externer Buchhalter: Wer greift worauf zu, auf welchem Weg, seit wann. Die Liste wird bei jedem Vertragswechsel, nach einer Übernahme oder einer Fusion überprüft, und der Zugang wird am Ende der Leistung entzogen. Bei Target diente ein Konto für die Rechnungsstellung als Einstiegspunkt.
• Trennen. Das Portal, in dem ein Lieferant seine Rechnungen einreicht, hat weder die Buchhaltung der Eigentümergemeinschaft noch die technische Überwachung noch die Zutrittskontrolle zu sehen. Der Vergleich von 2017 hat dies Target auferlegt.
• Ein zweiter Faktor auf jedem Fernzugang, und rasche Korrekturen. Die gemeinsame Warnung zu CitrixBleed erinnert daran, dass ein ungepatchtes Fernzugangs-Gateway diesen zweiten Faktor umgehen lassen kann; das ist die für CTS vorgebrachte, unbestätigte Hypothese. Fragen Sie den IT-Dienstleister, wer die Korrekturen der aus dem Internet erreichbaren Geräte verfolgt und in welcher Frist; dieselbe Warnung spricht von 24 bis 48 Stunden. Dieselbe Frage gilt für die im Gebäude installierten Geräte: Wer aktualisiert sie, wer hat ihre werkseitigen Zugangsdaten geändert.
• Die Sicherheit in den Vertrag schreiben. Artikel 28 der DSGVO verlangt, Auftragsverarbeiter, die personenbezogene Daten verarbeiten, vertraglich zu binden. In ihrem Dossier zur Videoüberwachung in Eigentümergemeinschaften erinnert die CNPD daran, dass die Miteigentümergemeinschaft der Verantwortliche für die Verarbeitung ist und der Verwalter als Auftragsverarbeiter handelt; die Dienstleister, die der Verwalter hinzuzieht, werden auf dieselbe Weise gebunden: erhaltene Daten, Aufbewahrungsdauer, Schutz, Frist und Kanal für die Meldung eines Vorfalls. Ein Code, den ein kompromittierter Dienstleister besitzt, wird geändert.
• Ein Überweisungsverfahren, das nicht von einer E-Mail abhängt. Bei RealPage genügte es, Auszahlungsanweisungen zu ändern. Für eine Eigentümergemeinschaft: Freigabe nach dem Vier-Augen-Prinzip oberhalb eines Schwellenwerts, Prüfung jeder Änderung von Bankverbindungen über einen unabhängigen Kanal, Obergrenzen auf den Einzugskonten. Und die Versicherung vor dem Schadensfall lesen: RealPage stellte im Nachhinein fest, dass die Gelder seiner Kunden, die bei einem Dritten durchliefen, nicht gedeckt waren.
• Die Fortführung ohne den Dienstleister vorsehen. Die Kunden von CTS hatten wochenlang keinen Zugriff auf ihre Akten. Wo werden die Akten der Eigentümergemeinschaft gehostet, gibt es davon eine vom Hoster unabhängige Kopie, was geschieht, wenn das Werkzeug einen Monat stillsteht, und wer trägt die Kosten der Privatpersonen, wenn ein Termin platzt?
• Die Warnungen lesen. Target verfügte über Werkzeuge, die das Eindringen erkannt hatten; niemand ging ihnen nach. Eine Warnung, die niemand liest, schützt nicht.
• Schnell melden, über einen sicheren Kanal. RealPage hat Banken und Behörden umgehend alarmiert und konnte knapp 3 Millionen US-Dollar einfrieren lassen. In Luxemburg wird eine Verletzung des Schutzes personenbezogener Daten innerhalb der 72 Stunden des Artikels 33 der DSGVO an die CNPD gemeldet, und das CIRCL, das nationale Zentrum für die Reaktion auf Sicherheitsvorfälle, kann hinzugezogen werden. Artikel 34 der DSGVO verlangt, die betroffenen Personen unverzüglich zu informieren: Besser, die Miteigentümer erfahren es von ihrem Verwalter als aus einer betrügerischen E-Mail.
• Bestätigtes von Behauptetem unterscheiden. In der Welle ChimeraZ ist allein die Erklärung von Snexi belegt; die Umfänge und die Verbindung zu Citya sind die des Hackers. Ein Gerücht an die Miteigentümer weiterzugeben, fügt dem Vorfall einen Schaden hinzu.

Der rote Faden lässt sich in einem Satz fassen: Die Verantwortung verlässt denjenigen nicht, der den Zugang oder die Daten anvertraut hat, auch wenn es der Auftragsverarbeiter ist, der sie verloren hat. Ein Verwalter kann eine Leistung delegieren, nicht die Verantwortung für das, was den Miteigentümern widerfährt.

Quellen

• US-Senat, Handelsausschuss, Anhörung und Bericht „Kill Chain“, 26. März 2014: govinfo.gov.
• Krebs on Security, 5. Februar 2014: krebsonsecurity.com; 12. Februar 2014: krebsonsecurity.com.
• Target, Formular 8-K, SEC, 5. Mai 2014: sec.gov.
• Attorney General des District of Columbia, 23. Mai 2017: oag.dc.gov.
• RealPage, Formular 10-Q, erstes Quartal 2018: sec.gov.
• HousingWire, 27. Januar 2020: housingwire.com.
• Berufungsgericht für den fünften Bundesgerichtsbezirk, RealPage gegen National Union, 22. Dezember 2021: caselaw.findlaw.com.
• Bundesbezirksgericht für den nördlichen Bezirk von Texas, 5. September 2024: govinfo.gov.
• The Record, 24. November 2023: therecord.media.
• TechCrunch, 27. November 2023: techcrunch.com.
• CISA, FBI, MS-ISAC und ACSC, Warnung AA23-325A, 21. November 2023: cisa.gov.
• Today’s Conveyancer, 21. Dezember 2023 (ohne Link).
• The Negotiator, 10. Mai 2023: thenegotiator.co.uk.
• ZATAZ, 9. Juni 2026: zataz.com.
• La Nouvelle République, Tours, 8. September 2026, Artikel von Alexandre Métivier mit der Mitteilung von Snexi (ohne Link).
• CNPD, Themendossier „Videoüberwachung in Eigentümergemeinschaften“: cnpd.public.lu.