Abschlussbericht Sicherheitsvorfall

Liebe Eltern,

inzwischen haben wir von IServ einen Abschlussbericht zum Sicherheitsvorfall erhalten. Zusammenfassend lässt sich sagen, dass aktuell davon ausgegangen wird, dass der Angriff den Rechenkapazitäten und Netzwerkressourcen galt. Es gibt keine Hinweise darauf, dass personenbezogene Daten abgeflossen sind. Dies lässt sich aus technischen Gründen aber nicht vollständig ausschließen. Bei Interesse lesen Sie gerne das offizielle Schreiben von IServ (s.u.)

Mit herzlichen Grüßen aus der Lembergschule!

Sehr geehrte Damen und Herren,

wir haben Sie in einem vorherigen Schreiben über einen Sicherheitsvorfall bei einem Auftragsverarbeiter und Schwesterunternehmen der IServ GmbH, der Virality GmbH, am 10. August 2026 informiert. Wir möchten Ihnen hiermit einen Bericht zum Abschluss der internen Untersuchung und ihrer Erkenntnissen zukommen lassen.

Der Sicherheitsvorfall in der Infrastruktur der Virality GmbH hat insgesamt sieben IServ-Module betroffen, die durch unser Schwesterunternehmen entwickelt und auf durch Kunden gemeinsam genutzter Cloud-Infrastruktur der Virality GmbH betrieben werden. Details zu den verarbeiteten Daten und Modulen finden Sie in unserer Verfahrensbeschreibung und Dokumentation.

Bitte haben Sie Verständnis, dass wir aufgrund möglicher strafrechtlicher Ermittlungen zu einzelnen Details keine weitere Auskunft geben können.

Wie wir bereits auf individuelle Anfragen kommuniziert haben, gingen wir nach einer initialen Sichtung der Monitoringdaten von einem erstmaligen unautorisierten Zugriff auf die Systeme der Virality GmbH am 3. August 2026 aus. Unsere Untersuchung der betroffenen Systeme hat diese Annahme bestätigt. Der erstmalige Zugriff ist am 3. August 2026 um 11:25 Uhr erfolgt.

Die Angreifer haben dabei automatisiert eine Fehlkonfiguration eines Authentifizierungsdienstes ausgenutzt, die bedauerlicherweise weder durch automatisierte Tests noch durch eine manuelle Prüfung der Konfigurationsänderung entdeckt wurde.

Von der Schwachstelle war lediglich ein einziges Konto betroffen. Die Änderung an der Konfiguration wurde zur Angleichung und Verbesserung der Zwei-Faktor-Authentifizierung in den Unternehmen durchgeführt. Das betroffene Konto ist Teil des Continuous Deployment (CD), also der automatischen Bereitstellung von Software in der Infrastruktur der Virality GmbH. Als Teil dieses Prozesses verfügte das Konto über weitreichende Rechte. Insbesondere bestand, wenn auch über Umwege, theoretisch Zugriff auf die Anwendungsdatenbank. Für einen solchen Zugriff gibt es keinerlei Hinweise.

Wenige Momente nach der initialen Entdeckung der Schwachstelle durch die Angreifer hat sich einer der Angreifer für weniger als eine Minute manuell auf einem System der Virality GmbH umgesehen und dabei u.a. die aktiven technischen Benutzersitzungen auf dem Linux-Hostsystem eingesehen, nicht aber die der Anwendung. Zu einer tiefergehenden Analyse des Systems ist es unserer Untersuchung nach nicht gekommen. Zudem wurde ein Programm zur Ausführung gebracht, das erhebliche Ressourcen des Systems in Anspruch genommen hat, aber nicht mit erhöhten Rechten lief, also keinen Zugang zu Benutzerdaten unserer Kunden hatte.

Wir kommen nach der Untersuchung zu dem Schluss, dass es sich nicht um einen zielgerichteten Angriff gehandelt hat und lediglich die Rechenkapazitäten und Netzwerkressourcen der Virality GmbH illegitim verwendet wurden.

Wir haben keinerlei Hinweise für einen unberechtigten Zugriff auf oder Abfluss von Benutzerdaten gefunden, dieser lässt sich aus technischen Gründen aber nicht vollständig ausschließen. Obwohl wir Anmeldungen, Eingaben und Verhalten der Angreifer nachvollziehen können und auch die Auswertung der Verkehrsdaten der betroffenen Systeme kein Verkehrsvolumen zeigt, das mit einem Abfluss der Benutzerdaten konsistent wäre, sind technische Protokolle dieser Art leider nicht lückenlos. Wir haben allerdings auch keine Hinweise dafür gefunden, dass die Angreifer versucht hätten, ihre Spuren oder Eingaben zu verbergen oder zu verwischen. Auch eine tiefere Einnistung der Angreifer in die Systeme hat nicht stattgefunden. Infolge der Wiederherstellung der Systeme ist es zu keinem Datenverlust gekommen. Wir haben auch keine Hinweise auf Manipulation von Kundendaten.

Ein Systemadministrator der Virality GmbH begann am 10. August 2026, einen Monitoring-Alert zu untersuchen, der schließlich um 9:53 Uhr als Sicherheitsvorfall erkannt wurde. Bereits um 10:02 Uhr hat die Virality GmbH die IServ GmbH über das Problem unterrichtet und um Unterstützung bei der Aufarbeitung gebeten. Wir haben daraufhin unmittelbar einen gemeinsamen Krisenstab einberufen und mit der Untersuchung des Vorfalls begonnen. Nachdem die Ursache des Problems ermittelt werden konnte, haben wir um 12:13 Uhr gemeinsam die Entscheidung getroffen, die gesamte betroffene Infrastruktur der Virality GmbH aus sicheren Quellen neu zu installieren, und unsere Kunden über eine Admin-News über den Ausfall der Module der Virality GmbH informiert. Um Angreifern keine Möglichkeit zur Reaktion zu lassen, wurde dieser Ausfall öffentlich zunächst als Wartungsarbeiten kommuniziert. Nach der Wiederherstellung der Systeme am 11. August 2026 um 2:13 Uhr haben wir um 12:12 Uhr begonnen, alle betroffene Kunden ausführlich per E-Mail über den Vorfall zu informieren. Einen Tag später wurden auch die zuständigen Träger in einer separaten Mail über den Vorfall unterrichtet.

Die IServ GmbH hat bewusst die Entscheidung getroffen, ihre Kunden so früh wie möglich zu informieren. Uns ist bewusst, dass wir initial nicht alle offenen Fragen klären konnten. Ein transparentes und zügiges Vorgehen war uns wichtiger als eine allumfassende Erstmeldung. Sollten sich nach Versand dieser Abschlussmeldung für Kunden relevante Erkenntnisse ergeben, informieren wir darüber auch weiterhin umgehend und unaufgefordert.

Zur Aufarbeitung des Vorfalls hat die Virality GmbH ausgewählten Mitarbeitern der IServ GmbH umfangreiche Rechte auf ihrer Infrastruktur eingeräumt. Mitarbeiter der IServ GmbH haben die Beseitigung der Schwachstelle und Untersuchung der Systeme unabhängig begleitet und verifiziert.

Weder Systeme der IServ GmbH selbst noch individuelle Kundensysteme, unabhängig davon ob lokal auf Kundenhardware installiert oder zentralisiert in der Cloud bereitgestellt, waren von der Fehlkonfiguration betroffen. Die Systeme der Virality GmbH laufen vollständig isoliert. Ein Übergriff auf andere IServ-Systeme ist bedingt durch die verwendeten unidirektionalen Authentifizierungsmechanismen ausgeschlossen.

Wie alle Sicherheitsereignisse nehmen wir auch diesen Vorfall zum Anlass, unsere technischen und organisatorischen Maßnahmen zu überprüfen. 

Wir werden zusammen mit der Virality GmbH ein weiteres Sicherheitsaudit der Anwendung und Systeme vornehmen. Zwei entsprechende Audits haben wir bereits zusammen mit der Virality GmbH durchgeführt. Leider fand das letzte Audit im April dieses Jahres vor der fehlerhaften Konfigurationsänderung statt.

Wir können zum jetzigen Zeitpunkt bereits sagen, dass die Virality GmbH umfangreiche technische Maßnahmen umsetzen wird. Dazu gehören beispielsweise der Ausbau automatischer Tests, der Einsatz zusätzlicher Firewallregeln und die Einführung zusätzlicher dateibasierter Backups. Auch eine verbesserte zentralisierte Protokoll-Auswertung, sowie die beschleunigte Wiederherstellung der Infrastruktur im Ernstfall wurden bereits umgesetzt.