Thought Leadership
Die Cybersicherheitsbehörde CERT-EU hat einen Angriff auf Systeme zur Verwaltung mobiler Endgeräte der EU-Kommission entdeckt. Personenbezogene Daten von Mitarbeitern könnten kompromittiert worden sein.
Ende Januar ist die IT-Infrastruktur der Europäischen Kommission Ziel eines Cyberangriffs geworden. Wie die zuständige Cybersicherheitsbehörde CERT-EU mitteilte, entdeckten Sicherheitsexperten am 30. Januar Spuren einer Attacke auf die zentrale Verwaltungsinfrastruktur für mobile Endgeräte.
Containment in neun Stunden
Den Angaben zufolge gelang es, den Vorfall rasch einzudämmen und die kompromittierten Systeme innerhalb von neun Stunden zu säubern. Die mobilen Endgeräte selbst seien nicht kompromittiert worden, betont CERT-EU. Allerdings könnten die Angreifer Zugriff auf personenbezogene Daten erlangt haben, darunter Namen und Mobilfunknummern einzelner Kommissionsmitarbeiter.
Gründliche Aufarbeitung angekündigt
Der Vorfall soll nun im Detail analysiert werden. Die gewonnenen Erkenntnisse will die Kommission nutzen, um ihre Cybersicherheitsfähigkeiten weiterzuentwickeln. Man nehme die Sicherheit der internen Systeme und Daten ernst und werde die Lage weiter beobachten, heißt es. Sämtliche erforderlichen Maßnahmen zur Systemsicherheit würden ergriffen.
CERT-EU mit Rund-um-die-Uhr-Monitoring
CERT-EU ist die zentrale Cybersicherheitsstelle für sämtliche EU-Institutionen, -Organe und -Agenturen. Der Dienst überwacht Bedrohungen rund um die Uhr, setzt automatisierte Alarmsysteme ein und reagiert schnell auf Sicherheitsvorfälle, um Schwachstellen zu beseitigen, bevor sie ausgenutzt werden können. Koordiniert wird diese Arbeit durch den Interinstitutionellen Cybersicherheitsausschuss (IICB), der einheitliche Sicherheitsstandards festlegt und deren Einhaltung in der EU-Verwaltung überwacht.
Timing: Kurz nach neuem Cybersicherheitspaket
Der Angriff ereignete sich nur zehn Tage nach Vorstellung eines umfassenden Cybersicherheitspakets durch die Kommission. Am 20. Januar hatte Brüssel neue Maßnahmen präsentiert, zu denen der Cybersecurity Act 2.0 gehört. Dieser soll einen Rahmen für vertrauenswürdige IKT-Lieferketten schaffen und Risiken durch Hochrisiko-Zulieferer eindämmen.
Flankiert wird dies durch die NIS2-Richtlinie, die ein einheitliches rechtliches Fundament für Cybersicherheit in 18 kritischen Sektoren europaweit etabliert. Die Mitgliedstaaten sind aufgefordert, nationale Cybersicherheitsstrategien zu entwickeln und bei grenzüberschreitenden Vorfällen zusammenzuarbeiten.
