Lars, but not Least
»Solarwinds 123«: Der Praktikant war's
Fortsetzung des Artikels von Teil 1
Menschliches Totalversagen im digitalen Super-GAU
Und auch bei Solarwinds selbst gibt es hier noch etwas Verbesserungspotenzial, insbesondere in Sachen Krisen-PR zur Rettung der eigenen Glaubwürdigkeit. Zwar hat das Unternehmen auf technischer Seite von Anfang an schnell und vergleichsweise offen über seine Erkenntnisse zum Angriff sowie mögliche Opfer, Gefahren und Gegenmaßnahmen informiert. An anderer Stelle gibt man sich jedoch fast schon beschämend verschlossen. Bestes Beispiel dafür ist der Umstand, dass der Update-Server es den Angreifern mit dem Passwort »Solarwinds 123« geradezu einladend leicht machte. Eine unentschuldbare Panne, auch wenn Solarwinds bis heute nicht darüber aufgeklärt hat, ob und welche Rolle das im Gesamtverlauf gespielt hat.
Überhaupt bezog das Unternehmen erst jetzt, also nach über drei Monaten und im Wesentlichen den drängenden Fragen des Senats geschuldet, eingehend Stellung dazu – und versuchte sich dabei auf beschämende Weise herauszureden. Bei der Suche nach einem Verantwortlichen hatte der ehemalige Solarwinds-CEO Kevin Thompson doch tatsächlich die Chuzpe, auf einen Praktikanten zu zeigen. Der habe das Passwort nicht nur gesetzt, sondern es auch noch auf seinem privaten Github-Account veröffentlicht und somit gleich mehrfach gegen die Passwortrichtlinien verstoßen. Selbst wenn das stimmen sollte, müssen hier nicht der Praktikant und sein Verhalten in Frage gestellt werden, sondern eindeutig die Passwort-Richtlinien und Kontrollprozesse innerhalb des Unternehmens, zumal in einem so sensiblen Bereich.
Für weiteres Unverständnis sorgt zudem, dass Thompson vor dem Senat behauptete, das Problem sei sofort nach Bekanntwerden vom Sicherheitsteam behoben worden. Dem widersprechen jedoch die Berichte anderer Zeugen. So gab etwa der Security-Fachmann Vinoth Kumar an, Solarwinds bereits 2019 über das riskant schwache Passwort auf dem Update-Server informiert zu haben. Ganz offensichtlich jedoch ohne Erfolg. Wahrscheinlich war seine E-Mail dazu einfach nur unglücklich bei einem unzuverlässigen Praktikanten gelandet.
- »Solarwinds 123«: Der Praktikant war's
- Menschliches Totalversagen im digitalen Super-GAU
Lesen Sie mehr zum Thema
