Sicherheitsvorfall am MCP-Server
Was passiert ist, was wir wissen und wie wir damit umgehen

Am Abend des 21.10. war die ganze IT-Welt mit PHP2Shell beschäftigt. Genau zu dieser Zeit testet der Angreifer erstmalig eine Schwachstelle in unserem MCP-Server. Ab dem 23.10. bewegt er sich als regulärer User auf unserer Plattform. Er registriert Testkonten, nutzt Extensions und führt einfache Injection-Versuche durch.
Am 27.10. um 14:58 registriert er ein weiteres Konto, mit dem er um 15:03 Uhr die im MCP-Server gefundene Lücke gezielt ausnutzt. In unseren Protokollen können wir nachvollziehen, dass er sich extrem schnell durch unser System arbeitet. Das deutet auf die Verwendung von KI-Tools hin. Teilweise vergehen nur Sekunden zwischen Schritten, die bei einem menschlichen Angreifer deutlich länger dauern müssten.
In unseren Protokollen können wir außerdem nachvollziehen, dass der Angreifer seine Zugriffe tarnt und verschiedene Ablenkungsmanöver durchführt, auf die wir uns zunächst konzentrieren.
Für uns war nach Analyse dieses zeitlichen Verlaufs klar: Wir behandeln alle Daten ab dem 27.10. als kompromittiert.

Mittwoch, 4.11.: Entdeckung und Eindämmung
Am Vormittag des 4.11. haben wir ungewöhnliches Verhalten in einem unserer Systeme entdeckt. Um 11:11 Uhr haben wir das erste Konto des Angreifers gesperrt. Danach ging es Schlag auf Schlag: Umfangreiche Analysen interner Experten starten, nach und nach werden weitere relevante Spezialisten aktiviert. Das Ausmaß war unklar bis wir um 12:53 ein Gefühl für den Umfang hatten und die Statusseite auf „Untersuchung“ gesetzt haben.

Vorsorglich schalten wir Teile unserer Systeme offline. Wir nutzen die Zeit, um weitere Zugriffe zu verhindern und Zugänge zu widerrufen. Wir können den MCP-Server als Einfallstor identifizieren und schalten ihn ab.

Am Abend ist das mStudio wieder online. Die Webprojekte waren durchgehend erreichbar.

Donnerstag, 5.11.: Weiter Aufräumen und Absichern
Nachdem wir kurz nach Mitternacht Projekte gesperrt haben, in denen Spuren des Angreifers zu finden waren, haben wir auch die Registrierung neuer Konten vorübergehend deaktiviert. Im Verlauf des Tages sperren wir den Login ins mStudio und den Zugriff per SSH auf die Kundenprojekte. 
Externe IT-Forensiker unterstützen uns fortlaufend bei der Analyse. Die zuständigen Behörden haben wir informiert.

Freitag, 6.11.: Härtung und Aufarbeitung
Wir haben 56 kompromittierte Projekte und den MCP-Server forensisch ausgewertet. Nach wiederholten Scans unserer Systeme haben wir keine weiteren kompromittierten Projekte gefunden. Wir können gegenwärtig keine Aktivitäten eines Angreifers auf unseren Systemen nachweisen. Das mStudio ist im Laufe der Nacht wieder nutzbar.

Samstag, 7.11.: Freischaltung und Passkeys
Das mStudio ist wieder erreichbar und kann wieder genutzt werden. Die SSH-Zugänge haben wir in diesem Zusammenhang ebenfalls wieder freigeschaltet. Die von uns vorsorglich gesperrten Websites bleiben vorerst gesperrt. Sofern weitere Maßnahmen nötig sind, informieren wir betroffene Kunden noch einmal gezielt per E-Mail.
Da uns die Frage über verschiedene Kanäle erreicht hat: Das Kundencenter und die darin verwalteten Websites waren zu keiner Zeit von dem Sicherheitsvorfall betroffen.
Mit der Freischaltung des mStudios kannst du jetzt auch einen Passkey einrichten.

Zuerst die PHP2Shell-Lücke, jetzt der Angriff auf unsere Systeme: KI-Angriffe werden in Zukunft häufiger auftreten. Wir möchten transparent damit umgehen, und werden darum in der nächsten Woche eine ausführliche Darstellung der Ereignisse veröffentlichen, sobald unsere Analysen und die Wiederherstellung vollständig abgeschlossen ist. Damit werden wir uns das gesamte Wochenende und darüber hinaus beschäftigen. Relevante Informationen erhaltet ihr von uns proaktiv über die Statusseite und per E-Mail. Sollten wir feststellen, dass noch weitere Kunden betroffen sind und handeln müssen, informieren wir sie persönlich und begleiten sie bei den nötigen Schritten.