Rumäniens Register fiel aus, kurz vor 21% Steuer

Ein Land hörte an einem Dienstag auf, Eigentum einzutragen

In der Nacht zum 13. Juli antworteten die Systeme der rumänischen Nationalen Agentur für Kataster und Immobilienpublizität nicht mehr, und am Dienstag, dem 14. Juli, waren die Katasterplattform e-Terra, die Webseiten der Behörde und ihre Mailserver sämtlich unerreichbar. ANCPI bezeichnete den Vorfall später als den schwersten technischen Zwischenfall in der Geschichte der Institution. Die rumänische Cybersicherheitsbehörde DNSC bestätigte einen Cyberangriff und stufte ihn als finanziell motiviert ein, ausgeführt mit geleakten Zugangsdaten und bekannten Schwachstellen und nicht durch einen staatlichen Akteur. Eine Woche später lief die Plattform immer noch nicht.

Die Wirkung war sofort spürbar und landesweit. Notare konnten keine Kaufverträge beurkunden, keine Übertragungen eintragen und keine Hypotheken registrieren, weil diese Akte in Rumänien über genau das Register laufen, das der Angreifer lahmlegte. Ein Täter unter dem Namen ByteToBreach reklamierte die Tat für sich, und ab dem 15. Juli wurde Material, das aus der Behörde stammen soll, darunter interne Datenbanken und Quellcode, in einem Forum zum Verkauf angeboten. Die Sicherheitsfirma KELA ordnete das Pseudonym Zakaria Mahdjoub zu, einem mutmaßlichen Cyberkriminellen aus Oran in Algerien.

Zwei Darstellungen derselben Woche

Die Mitteilung von ANCPI ist sorgfältig und eng gefasst. Sie hält fest, dass die technischen und juristischen Datenbanken der Institution nicht betroffen waren, und warnt ausdrücklich, dass die öffentlich kursierenden Informationen über angebliche Folgen des Angriffs nicht aus offiziellen Quellen stammen. Das ist die Position der Behörde, veröffentlicht auf ihrer eigenen Seite, und sie wurde nicht zurückgenommen.

Sicherheitsforscher und der Angreifer erzählen die härtere Fassung: Zugang mit gültigen Zugangsdaten, Erkundung interner Systeme, dann Zerstörung von Systemen und Sicherungen, nachdem ein Erpressungsversuch gescheitert war, und eine Wiederherstellung, die auf einer offline gehaltenen Kopie beruht. Beide Darstellungen können teilweise stimmen, denn ein Register kann seine Produktionsumgebung verlieren und den Rechtsbestand trotzdem behalten. Für alle außerhalb der Behörde ändert dieser Unterschied in diesem Monat nichts Wesentliches. Gestoppt wurden die Geschäfte durch die Verfügbarkeit, nicht durch die Integrität.

Die Wiederherstellung ist an Bedingungen geknüpft. Der Steuertermin nicht.

Wer den Wiederherstellungsplan der Behörde genau liest, findet darin kein Datum. ANCPI erklärt, die Anwendungen würden in die Regierungscloud migriert, voraussichtlich abgeschlossen am Mittwoch, dem 22. Juli, danach prüften autorisierte Institutionen die Systeme und erstellten einen Bericht, danach kehre der Betrieb schrittweise nach operativer Priorität zurück. Betroffene Systeme bleiben isoliert, bis jede erkannte Schwachstelle behoben ist. Das ist eine Kette von Bedingungen, keine Zusage, und es ist die richtige Art, eine Wiederherstellung zu führen. Sie ist zugleich unbegrenzt.

Dieser unbegrenzten Kette steht eine begrenzte gegenüber. Vorverträge, die unter Rumäniens ermäßigtem Satz von 9 Prozent Mehrwertsteuer für Neubauten geschlossen wurden, laufen Ende Juli aus, danach gilt für die betroffenen Geschäfte der Regelsatz von 21 Prozent. Eine Verlängerung wurde nicht angekündigt. Zwölf Prozentpunkte eines Kaufpreises hängen jetzt an einem Verwaltungsakt, den im ganzen Land niemand ausführen kann. Derselbe Staat kontrolliert den Ausfall und die Frist, und bisher hat er nur eines von beiden bewegt, nämlich keines.

Für ein Monopolregister gibt es kein Failover

Eigentümer kaufen Redundanz für die Teile ihrer Infrastruktur, die sie selbst kontrollieren. Sie halten eine zweite Cloudregion vor, einen zweiten Netzbetreiber, einen zweiten Zahlungsdienstleister. Die Einzelfehlerpunkte, die ein Geschäft tatsächlich stoppen, liegen meist außerhalb dieses Perimeters: ein Grundbuch, ein Handelsregister, eine Umsatzsteuer-Prüfung, ein nationaler Endpunkt für elektronische Rechnungen, ein Identitätsverfahren. Nichts davon lässt sich doppelt beziehen, weil der Staat der einzige Anbieter ist und die Ausfallsicherheit, auf die Sie sich verlassen, vollständig die eines anderen ist. In Deutschland läuft dieselbe Abhängigkeit über die Grundbuchämter bei den Amtsgerichten, und ein deutscher Käufer hat dort ebenso wenig einen Ersatz wie ein rumänischer.

Ein Einzelfall ist das ebenfalls nicht. Grundbuchbehörden in Polen, der Slowakei, Griechenland, Marokko, Russland und der Ukraine wurden in den vergangenen drei Jahren angegriffen, was den Ausfall öffentlicher Register zu einem einplanbaren Risiko macht und nicht zu höherer Gewalt. Unter NIS2 fallen die Betreiber solcher Register als Einrichtungen der öffentlichen Verwaltung eindeutig in den Anwendungsbereich, aber die Richtlinie verpflichtet sie dazu, das Risiko zu managen, nicht dazu, Ihnen die Woche zu ersetzen, in der sie fehlen.

Was Sie aufschreiben sollten, bevor Ihre eigene Woche kommt

Nehmen Sie sich eine Stunde und listen Sie jedes öffentliche Register auf, ohne das eine Ihrer Transaktionen nicht abschließt. Halten Sie für jedes fest, welcher rechtliche Notweg bei Ausfall existiert, ob Papiereinreichung, notarielle Hinterlegung, vorläufige Eintragung oder eben gar nichts, und benennen Sie die Person, die ihn auslösen darf. Stellen Sie dann Ihrem Rechtsbeistand die Frage, die rumänische Käufer gerade stellen: Ist eine gesetzliche Frist gehemmt, wenn das Register, das man dafür braucht, nicht erreichbar ist? In Rumänien kommt die Antwort nach der Frist, und das ist der denkbar schlechteste Zeitpunkt dafür.

Auf Ihrer eigenen Seite ist die Lehre enger und älter. Der Weg hinein waren geleakte Zugangsdaten plus längst bekannte Schwachstellen, also die Kombination, die seit Jahren keine einzige neue Technik mehr braucht. Erzwingen Sie phishingresistente Mehrfaktor-Authentifizierung auf jedem administrativen Konto, sperren Sie Zugangsdaten, die in Leak-Sammlungen auftauchen, ohne auf einen Missbrauchsnachweis zu warten, und halten Sie mindestens einen Wiederherstellungsweg außerhalb der Zugangsdaten, mit denen die Produktion läuft. Die Offline-Kopie ist genau die, an die ein Angreifer mit Ihren Passwörtern nicht herankommt.

Weiterlesen: Der nginx-Patch ist da, der Exploit kommt im August  |  ServiceNow patchte die eigene Cloud zuerst, Sie 103 Tage später