Der deutsche Softwareanbieter Teamviewer ist nach eigenen Angaben Opfer einer Cyberattacke geworden. Am Mittwoch habe das Sicherheitsteam von Teamviewer eine «Auffälligkeit» in der internen IT-Umgebung festgestellt, teilte das TecDax-Unternehmen auf seiner Website mit. Man habe unverzüglich das Abwehr-Team aktiviert und entsprechende Prozesse in die Wege geleitet. «Gemeinsam mit weltweit anerkannten IT-Sicherheitsexperten haben wir unmittelbar mit Untersuchungen begonnen und notwendige Schutzmaßnahmen umgesetzt.»

Teamviewer ist einer der größten Anbieter von Fernwartungssoftware, die in Unternehmen unter anderem dazu genutzt wird, sich auf die Bildschirme der Mitarbeiter einzuwählen, um eine Serviceanfrage zu lösen. Über diesen Weg kann man auch an sensible Informationen gelangen. Teamviewer erklärte, die bisherigen Untersuchungen deuteten auf einen Angriff am Mittwoch hin, der mit Anmeldedaten eines Standard-Mitarbeiterkontos in der Corporate IT-Umgebung erfolgt sei.

Russische Häcker sollen verantwortlich sein

Zusammen mit einem externen Dienstleister führt Teamviewer den Angriff derzeit auf die als APT29 / «Midnight Blizzard» bekannte Gruppe zurück. APT29 ist auch unter dem Namen «Cozy Bear» bekannt. Dabei handelt es sich um eine vom russischen Geheimdienst SWR gesteuerte Gruppe. Die Kreml-Hacker stehen auch im Verdacht, mehrere deutsche Parteien mit Schadsoftware angegriffen zu haben.

Teamviewer bestätigte damit einen Bericht des Portals Heise.de, das auf Informationen aus dem Umfeld verschiedener IT-Sicherheitsorganisationen verwiesen hatte, wonach der Angriff auf das Konto einer APT-Gruppe (Advanced Persistant Threat) gehe. Hinter solchen Gruppen stehen zumeist staatliche Akteure. So zirkuliere in sozialen Netzwerken ein Auszug eines Memos des IT-Sicherheitsunternehmens NCC Group, in dem von einer signifikanten Kompromittierung durch eine APT-Gruppe die Rede ist.

Weniger Schaden durch gute Infrastruktur

Teamviewer betonte, nach aktuellem Stand der Untersuchungen sei der Angriff auf die Corporate IT-Umgebung des Unternehmens beschränkt geblieben. «Es gibt keine Hinweise darauf, dass die Angreifer Zugang zu unserer Produktumgebung oder zu Kundendaten erlangt haben.» Der Fernwartungsspezialist wies auf eine strikte Trennung zwischen der Corporate IT, der Produktumgebung und der Teamviewer Konnektivitätsplattform. «Dies bedeutet, dass wir alle Server, Netzwerke und Konten strikt getrennt halten, um unbefugten Zugriff und Bewegungen zwischen den verschiedenen Umgebungen zu verhindern.»