Mitte April bekannte sich die Ransomware-Bande Play zum Angriff auf die Medienhäuser NZZ und CH Media. Ihr Bekennerschreiben verknüpften die Cyberkriminellen mit der Drohung, erbeutete Dateien zu veröffentlichen. Man sei im Besitz von "privaten und persönlichen vertraulichen Daten, Projekten, Gehaltslisten, Mitarbeiterinformationen und mehr".

Ihr Ultimatum hat die Bande seither mehrfach verschoben. Heute, 3. Mai, sind erste Dokumente im Darkweb aufgetaucht. Es handelt sich um ein rund 6 Gigabyte grosses Datenpaket. "Wenn es keine Reaktion gibt, wird der komplette Datensatz hochgeladen", schreibt Play dazu.

"Wie ein Blick von inside-it.ch zeigt, handelt es sich primär um Dokumente und Dateien der AZ Vertriebs AG, die zu CH Media gehört. Darunter befinden sich Protokolle, Lageberichte sowie einige Personalangaben zu Zeitungsveträgerinnen und -verträgern. Zum Teil betreffen die Dokumente auch das Geschäftsjahr 2022 respektive 2023"*

In einer ersten Stellungnahme bestätigt CH Media, dass es sich um Daten der Zustellorganisationen handelt. Kundendaten seien nach dem bisherigen Informationsstand nicht betroffen. Auf Anfrage von 'Keystone-sda' erklärte die NZZ ihrerseits, bisher nicht von der Veröffentlichung der Daten betroffen zu sein.

Play gehört zu den 10 derzeit aktivsten Ransomware-Banden. Gemäss Erhebungen von Security-Forschern ist die Gruppe für rund 5% der weltweiten Ransomware-Angriffe seit Jahresbeginn 2023 verantwortlich.

Dass zuerst ein kleines Datenpaket veröffentlicht wird, gehört zum Modus Operandi von Play, um die Drohung nochmals zu verstärken. In der Vergangenheit – etwa im Fall der angegriffenen Hotelkette H-Hotels – folgte später ein "Full Dump" mit über 100 Gigabyte an Daten von betroffenen Unternehmen. Nicht immer hat Play solche Drohungen aber auch wahr gemacht. Deshalb ist es schwierig abzuschätzen, wie viele und welche Dateien die Cyberkriminellen tatsächlich erbeutet haben.

CH Media wie auch NZZ hatten auf unsere Anfrage im April erklärt: "Aktuell ist uns nur ein sehr kleiner Datenabfluss bekannt, wobei die Analysearbeiten noch laufen." Die Zeitungsproduktion beider Medienhäuser hat sich inzwischen vom Cyberangriff erholt.

In einer weiteren Stellungnahme teilte CH Media am Nachmittag gegenüber 'Keystone-sda' mit, es könne nicht mehr ausgeschlossen werden, dass auch Daten von Zeitugsabonnentinnen und -abonnenten betroffen seien. "Auf Basis der aktuellen Analysen können postalische Abonnentendaten nicht mehr ausgeschlossen werden." Weitere Untersuchungen seinem im Gang. Je nach Erkenntnissen und Sensitivität der Informationen würden betroffene Personen auch direkt informiert. Das Unternehmen setze alles daran, die Daten von Kunden, Mitarbeitenden und des Unternehmens zu schützen und werde konsequent gegen die Weiterverbreitung und unrechtmässige Bearbeitung von widerrechtlich veröffentlichten Daten vorgehen. Man werde weiter "transparent und zeitnah informieren", soweit es die laufenden Ermittlungen zuliessen. (Mit Material von Keystone-sda)

*Update 19. Juni 2023: Wegen einer superprovisorischen Verfügung des Handelsgerichts Kanton Aargau wurde dieser Abschnitt am Freitag, 5. Mai 2023, entfernt. Nach Vergleichsverhandlungen zwischen CH Media und Inside IT vor dem Handelsgericht Aarau vom 13. Juni 2023, darf die im Zusammenhang mit der superprovisorischen Massnahme zensierte Passage nun wieder veröffentlicht werden.