Cybersicherheit: Hackerangriff in Bulgarien

Die Cybersicherheit in Bulgariens Steuerbehörde NAP war gestört: Hackern gelang es, persönliche Daten von Millionen Menschen zu erbeuten. Die NAP verwaltet sämtliche Steuern und Rentenabgaben Bulgariens. Es wird gemutmaßt, dass der Hack politisch motiviert war: Kurze Zeit vor dem Cyberangriff hatte das Land wichtige Rüstungsinvestitionen beschlossen. Man möchte die bisher genutzten sowjetischen MiG-Kampfjets durch die US-amerikanischen F-16-Falcons ersetzen.

Bulgariens erste große Cyberattacke

Bulgariens Innenminister Mladen Marinov bestätigte den Hackerangriff im TV-Sender bTV: „Es gibt tatsächlich einen nicht erlaubten Zugriff auf einen Server der NAP“. Die gestohlenen Daten sollen anschließend über eine russische E-Mail-Adresse weiter verbreitet worden sein.

Die russischen Behörden schweigen sich zu dem Vorfall in dem Land, das einst Verbündeter Moskaus war, aus. Mittlerweile ist Bulgarien EU- sowie NATO-Mitglied. Ministerpräsident Bojko Borissow, Finanzminister Wladislaw Goranow sowie die zentrale Steuerbehörde NAP bestätigen den Hackerangriff. Goranow: „Es ist beunruhigend, dass es dabei neben persönlichen Daten auch um Steuer- und (Pensions-)Versicherungsinformation geht.“ Betroffen seien laut Goranow drei Prozent der NAP-Datenbank.

Nachdem der Hackerangriff im Juli 2019 stattfand, ging ein Bekennerschreiben bei drei bulgarischen Medien ein. Der angebliche NAP-Hacker gibt sich als Staatsbürger Russlands aus. Er drohte, weitere Daten online zu stellen, wenn die Sicherheitsbehörden in Sofia weiterhin zum Datenleck schweigen würden.

Bulgarische Medien erklärten, die Nachricht des oder der Hacker wurden über russische Server an die bulgarischen Medien geschickt worden. Darin forderte man die Freilassung von Julian Assange. Als mögliches Einfallstor gilt eine elektronische Dienstleistung der NAP, die Bürger zur Rückerstattung der Mehrwertsteuer nutzen können. Jassen Tanew, seines Zeichens Experte für Cybersicherheit, beschreibt den ersten Hackerangriff auf das Land als „IT-Tschernobyl“.

Daten von 70 % der Bulgaren betroffen

Aus verschiedenen E-Mails der Hacker geht hervor, dass sie von über fünf Millionen der etwa sieben Millionen registrierten Bulgaren, Ausländer sowie Unternehmen Angaben zu den Steuern und Sozialversicherungsabgaben erbeutet hätten. Bulgariens Wirtschaftskammer zeigt sich entrüstet: „Es gibt heute kaum einen Bürger oder Unternehmer, der sich durch das Informationsleck nicht bedroht fühlt“, erklärt der Vizechef der Kammer, Stanislaw Popdontschew.

Die bulgarische Zeitung Monitor berichtet, dass die oder der Hacker Zugriff auf 110 Datenbanken der NAP hätte. Daten im Umfang von 21 GByte seien kopiert worden. Der oder die Täter packten einen Link in die E-Mail – die Medien könnten so einen Teil der Datenbeute herunterladen. Rund 11 GByte und damit der Inhalt von 57 der Datenbanken seien zum Download bereit. Monitor erklärte, dass die Datensätze auf den ersten Blick authentisch wirkten, die Echtheit durch Sicherheitsbehörden jedoch noch zu überprüfen sei.

Hackerangriff mit politischen Motiven

Der Zusammenhang zu den neuen Rüstungsinvestitionen wird von Innenminister Marinov deshalb vermutet, weil es sich beim Kauf der acht US-Kampfjets im Wert von etwa 1,3 Milliarden US-Dollar um den größten Rüstungskauf seit Ende des Kommunismus handelt. Die US-Jets sollen die bisher genutzten russischen Jets ablösen.

Marinov erklärte weiter, dass die Daten über eine russische E-Mail-Adresse an die bulgarischen Medien gesendet worden seien. Angeblich wurden sie von Servern des russischen E-Mail-Anbieters Yandex abgesendet. Das könnte jedoch auch ein Versuch sein, eine Spur in Richtung Russland zu legen.

Noch hat das Land nicht reagiert: Bulgarien hat keine weiteren Informationen zum Hack oder darüber, wie er erfolgte, bekanntgegeben.

Mutmaßlicher Hacker wurde gefasst

Wenige Tage nach Bekanntwerden dieser Hackerattacke wurde ein 20-jähriger Verdächtiger festgenommen. Kristian Boikov, ein Bulgare, war bei einer Firma für Cybersicherheit beschäftigt. Diesen Verdächtigen brachte Jawor Kolew an die Öffentlichkeit, er ist im Innenministerium fürs Bekämpfen von Cyberkriminalität zuständig.

Dem 20-Jährigen aus Plowdiw warf die Staatsanwaltschaft in Sofia ein Verbrechen gegen ein Informationssystem vor, welches Teil einer kritischen Infrastruktur sei. An seinem Arbeitsplatz und in der Wohnung des Verdächtigen konnten Computertechnik sowie Datenträger sichergestellt werden, die auf den Hackerangriff hinweisen würden. Zwischen 5 bis 8 Jahren Haft drohten dem jungen IT-Spezialisten. Kurz nach seiner Festnahme ist Boikov jedoch wieder freigelassen worden. Die Staatsanwaltschaft begründete: Das Informationssystem, gegen das die Straftat ausgeführt wurde, sei „kein Teil der kritischen Infrastruktur“.

Interessant ist, dass Boikov kein Unbekannter ist: Im Jahre 2017 hackte er die Website des bulgarischen Bildungsministeriums, um auf Sicherheitslücken hinzuweisen. Auf seiner eigenen Website bestreitet Boikov, etwas mit den aktuellen Vorfällen zu tun zu haben.

Ivan Geschev, Bulgariens stellvertretender Generalstaatsanwalt, sprach zunächst von Boikov als Einzeltäter, korrigierte sich jedoch später, wie die Rheinische Post berichtete: Boikov sei durch die Vorgesetzten der Cybersicherheitsfirma TAD Group angestiftet worden. Auch den Chef der TAD Group hatte man vorübergehend festgenommen und angeklagt. Beweismittel wurden schon zwei Wochen nach der Verhaftung Boikovs und vor dem Prozess präsentiert. Ganz nebenher leakte der Staatsanwalt durch die Präsentation dieser Beweise über 2.000 Privatadressen, die Teil des Beweismaterials waren. Dieses Vorgehen kritisierten Menschenrechtler, da dies einer Vorverurteilung gleichkomme.

Cybersicherheit in Bulgarien: Umgang mit der Cyberattacke

Ministerpräsident Bojko Borissow war zweifellos verärgert über die Cyberattacke, lobte aber dennoch die IT-Kompetenz Boikovs. Als „Zauberer“ bezeichnete er ihn und erklärte, wie wichtig es sei, es zu ermöglichen, solche Spezialisten in Tätigkeiten zugunsten des Staates einzusetzen.

Und das Datenleck, um das es ging? Die bulgarische Regierung hat diesbezüglich bislang wenig getan, wie IT-Spezialist Bozhanov weiß. Immerhin: Den Bürgerinnen und Bürgern Bulgariens steht nun eine App zu Verfügung, mit der man prüfen könne, ob die eigenen Daten betroffen seien. Dass man sich per eID für die App anmelden muss und diese weder fortgeschritten noch weit verbreitet ist, ist dabei eher als ungünstig einzustufen. Hinzu kommt: Finden Bürger heraus, dass auch ihre Daten vom Hack betroffen waren, werden sie damit alleingelassen.

Experten denken, dass das Bekennerschreiben des russischen Hackers nicht im Zusammenhang mit diesem Groß-Hack steht. Es ist außerdem wahrscheinlich, dass Bulgarien durch seine EU-Mitgliedschaft eine Millionenstrafe wegen des Hacks droht. Die DSGVO macht auch vor Ländern und Regierungen nicht halt.