SICPA beliefert Staaten mit Sicherheitsdruckfarben sowie Lösungen zur Produktauthentifizierung und Rückverfolgbarkeit. Nun stehen Vorwürfe zur eigenen Informationssicherheit des Unternehmens im Raum. In seinen offiziellen Darstellungen erklärt SICPA, Regierungen, Zentralbanken und Hochsicherheitsdruckereien zu bedienen. SICPAs Tätigkeitsfelder
Der bei The Ledgers eingegangene Hinweis enthielt Screenshots einer Korrespondenz zwischen SICPA-Beschäftigten. Die Bilder zeigen Warnungen vor Problemen, die bei unternehmenseigenen Audits und Sicherheitstests festgestellt wurden.
Zugriffsrechte: Warnung vor „hohem Risiko“
In einer E-Mail zur regelmäßigen Überprüfung der Zugriffsrechte heißt es:
„Es wurde mitgeteilt, dass die folgende Feststellung aus dem Audit von 2021 weiterhin offen ist.“
Laut der Audittabelle in der Nachricht verfügte ein ehemaliger SICPA-Mitarbeiter weiterhin über Administratorrechte und Zugang zu gemeinsam genutzten Servern mit sensiblen Dateien. Außerdem geht es um den Zugang von als „DNS“ bezeichnetem Personal zu IT-Ressourcen des Unternehmens, darunter Laptops, E-Mail-Konten, Software und das lokale SAP-System.
Das Risiko wird in der Tabelle als „High“, also „hoch“, eingestuft. Im selben Eintrag heißt es, der Mangel sei nicht behoben: DNS-Personal habe weiterhin Zugang zum SAP-System von SICPA Türkiye. Gefordert werden eine eingehende Prüfung der Zugriffsrechte und eine Folgenabschätzung.
Im weiteren Verlauf wird gefragt, ob die Zugriffsrechte jährlich kontrolliert und dokumentiert werden und auf welche Informationen DNS-Personal mit SAP-Zugang zugreifen kann. Die Korrespondenz dokumentiert damit nicht nur ein erkanntes Risiko, sondern auch Klärungsbedarf bei der Überwachung von Zugriffsrechten.
Schutz sensibler Dateien
Eine weitere E-Mail, die offenbar am selben Tag versandt wurde, hält fest, dass eine Auditfeststellung zum Schutz personenbezogener, sensibler und vertraulicher Informationen fortbesteht. Die zitierte Feststellung verweist auf das Risiko unbefugten Zugriffs, weil der Standard zur Informationsklassifizierung nicht eingehalten werde und präventive oder aufdeckende Kontrollen fehlten.
Als Maßnahme wird empfohlen, vertrauliche und sensible digitale Dateien mit dem unternehmenseigenen Informationsschutzwerkzeug zu klassifizieren und zu verschlüsseln. Genannt werden E-Mail-Verkehr, Dateien in gemeinsam genutzten Ordnern und Dokumente auf den Laptops der Beschäftigten. Auch Erinnerungen oder kurze Schulungen sowie regelmäßige Kontrollen der Umsetzung werden vorgeschlagen.
Rund 1.800 Konten bei einem Passworttest
Eine weitere Korrespondenz vom 23. Februar 2023 berichtet, dass die Sicherheitsabteilung im November 2022 einen Test zum Knacken von Passwörtern durchgeführt habe. In derselben Nachricht heißt es, bei einem früheren Test 2021 seien die Passwörter von rund 1.800 SICPA-Konten geknackt worden. Für einen Nutzer, dessen Passwort laut Nachricht beim jüngsten Test geknackt wurde, wird eine sofortige Passwortänderung verlangt.
Die Zahl von 1.800 Konten wird im Zusammenhang mit einem unternehmenseigenen Sicherheitstest genannt. Die Korrespondenz besagt nicht, dass sämtliche Konten zum Geschäft in der Türkei gehörten. Ein Sicherheitstest allein belegt keinen Sicherheitsvorfall. Entscheidend für diesen Bericht ist, welche Maßnahmen nach den in Tests und Audits festgestellten Mängeln umgesetzt wurden und wann dies geschah.
Weitere öffentlich bekannt gemachte Vorfälle in der Branche
Die Verantwortung von Anbietern von Sicherheitstechnologie für den Schutz ihrer eigenen Systeme wurde auch nach anderen öffentlich bekannt gemachten Vorfällen diskutiert. Die betroffenen Unternehmen sind in unterschiedlichen Bereichen tätig. Ihre Vorfälle sind getrennt von den Vorwürfen gegen SICPA zu bewerten, verdeutlichen aber Risiken der Branche:
| Unternehmen | Jahr | Öffentlich bekannt gemachter Vorfall |
|---|---|---|
| Entrust | 2022 | Das Unternehmen für digitale Identität und Datensicherheit bestätigte einen unbefugten Zugriff auf intern genutzte Systeme und den Abfluss von Daten. Bericht mit der Stellungnahme des Unternehmens |
| RSA Security | 2011 | Das Unternehmen erklärte, Informationen seien aus seinen Systemen entwendet worden; ein Teil davon habe seine SecurID-Authentifizierungsprodukte betroffen. Stellungnahme von RSA |
| FireEye | 2020 | Das Unternehmen gab den Diebstahl von Werkzeugen für Sicherheitstests bekannt und schrieb den Angriff einem staatlich unterstützten Akteur zu. Stellungnahme von FireEye |
| Okta | 2023 | Das Unternehmen teilte mit, bei einem Einbruch in sein Kundensupportsystem sei ein Bericht mit Namen und E-Mail-Adressen der Nutzer dieses Systems entwendet worden. Aktualisierte Mitteilung von Okta |
| Verkada | 2021 | Bei einem Einbruch in die Kameraplattform wurde auf Videodaten von Kunden zugegriffen. Die zunächst genannte Zahl von 95 Kunden wurde im späteren Vorfallsbericht auf 97 korrigiert. Vorfallsbericht von Verkada |
| G4S | 2022 | Das australische Geschäft teilte mit, nach einem Cybervorfall am 5. Juli habe ein unbefugter Dritter Informationen im Internet veröffentlicht. Mitteilung von G4S |
| Thales | 2022 | Nachdem LockBit unternehmensbezogene Daten veröffentlicht hatte, erklärte Thales, es sei kein Eindringen in die eigenen IT-Systeme festgestellt worden. Als eine Quelle wurde das Konto eines Partners auf einem Kooperationsportal identifiziert. Stellungnahme von Thales vom 11. November 2022 |
Stellungnahme und aktueller Stand
Das vorliegende Material enthält keine Stellungnahme des Unternehmens zu dieser konkreten Korrespondenz. Für die Einordnung der Vorwürfe werden insbesondere die Original-E-Mails, die betreffenden Auditberichte, Nachweise über die Erledigung der Feststellungen und eine Erklärung von SICPA maßgeblich sein.
Die übermittelten Screenshots tragen die Daten 23. und 24. Februar 2023. Für sich genommen belegen sie nicht, welchen Stand die Feststellungen nach diesen Zeitpunkten hatten.
