Datenpanne bei SolarWinds
18.000 Kunden von Supply Chain-Hack betroffen.

Der US-amerikanische Softwareanbieter SolarWinds ist Opfer eines Hacks geworden, bei dem dessen Orion-Software kompromittiert und mit einer Hintertür namens SUNBURST (alternativ: Solorigate) für die Angreifer versehen wurde. Insgesamt haben 18.000 der weltweit 300.000 SolarWinds-Kunden die infizierte Version des Programms gedownloadet.

Dieser Vorfall ist von herausgehobener Brisanz, da zu den Kunden von Solarwinds u.a. auch 425 der US Fortune 500 Unternehmen sowie zahlreiche US-amerikanische Institutionen und hohe Regierungsbehörden gehören, darunter neben vielen Hochschulen auch das Präsidialamt, die Verteidigungs-, Innen- und Justizministerien, der Geheimdienst NSA, die Bundespost und die NASA.

Für vom Vorfall betroffene Unternehmen und Institutionen besteht ein akutes Cybersicherheitsrisiko, da die Hintertür es den Angreifern ermöglicht, Code auf infizierten Systemen auszuführen. Betroffenen wird ein Update der Software auf die Version 2020.2.1 HF 1 empfohlen, das die Sicherheitslücken wieder schließt.

Hinter dem Angriff wird die mutmaßlich vom russischen Staat unterstützte Hacker-Gruppe APT29 vermutet. Die russische Botschaft in den USA dementierte einen entsprechenden Zusammenhang jedoch. 

Nachtrag vom 08.11.2022:

SolarWinds hat sich mit den Aktionären, welche den IT-Anbieter aufgrund der Auswirkungen des Hacks auf den Börsenwert des Unternehmens im Rahmen einer Sammelklage verklagt hatten, auf einen Vergleich mit einem Volumen von 26 Millionen USD geeinigt. Das Gericht muß dem Vergleich allerdings noch zustimmen. Ungeachtet dessen erwägt die Börsenaufsicht SEC derzeit noch, gegen SolarWinds aufgrund der Vorgehensweise bei der Offenlegung des Datenschutzverstoßes ein Verfahren zu eröffnen.

Nachtrag vom 26.07.2024:

In einem noch anhaltenden Verfahren, das die SEC gegen SolarWinds anstrengte, wurde ein Großteil der von der SEC erhobenen Vorwürfe abgewiesen. Diese besagten, dass das Unternehmen keine ausreichenden internen Kontrollmechanismen implementiert hatte. Diese Einschätzung teilte das Gericht nicht.

Die Kritik, dass SolarWinds auf seiner Webseite zu undurchsichtig über potenzielle Gefahren und bestehende Sicherheitsmaßnahmen informiert habe, bleibt jedoch und wird weiterhin untersucht.

Nachtrag vom 27.11.2024:

Die finanziellen Folgen des Vorfalls betrugen nach Einschätzungen von 2021 allein für SolarWinds mind. 18 Mio. USD.

Nachtrag vom 21.11.2025:

Die US-Börsenaufsicht ließ ihre Klage gegen das Unternehmen fallen.