KCA Deutag ist auf die Förderung von Erdöl und Erdgas sowie Geothermie spezialisiert. Der Konzern mit Hauptsitz in Aberdeen betreibt 61 Landplattformen und 39 Offshore-Plattformen in 20 Ländern, beschäftigt weltweit rund 9000 Mitarbeitende und wies 2020 einen Umsatz von 1,1 Milliarden Dollar aus.

Im Jahresbericht 2020 schrieb KCA Deutag: "Obwohl wir verschiedene Verfahren und Kontrollen anwenden, um unsere Gefährdung durch Cyberrisiken zu verringern, vergrössern sich die Risiken im Bereich der Cybersicherheit mit neuen Bedrohungen, die auftauchen. Diese könnten erhebliche negative Auswirkungen auf unser Geschäft haben." Im Dezember 2021 ist eine solche Bedrohung Tatsache geworden.

Der Konzern meldete damals einen "Cybersicherheitsvorfall, nachdem ein Unbefugter Zugriff auf die Backoffice-Systeme hatte". Zusammen mit externen Experten würde man an der sicheren Wiederherstellung der Systeme der Gruppe arbeiten. Über die Art des Angriffs gab KCA Deutag damals nichts bekannt. Doch nun ist klar, dass es sich um Ransomware handelt.

Zum Angriff bekannt hat sich Ransomexx. Die Bande ist seit 2018 aktiv, zu ihren früheren Opfern gehörten unter anderem Konica Minolta und die Verkehrsbetriebe von Montreal. Ransomexx hat jetzt ein 362 GB grosses Datenpaket mit Dokumenten von KCA Deutag im Darknet veröffentlicht. Wie Screenshots zeigen, befinden sich darunter viele sensible Daten von Mitarbeitenden: Kopien von Reisepässen, Badge-Nummern und die Ergebnisse von Drogentests – von Marihuana über Kokain hin zu Amphetaminen wird auf ziemlich viel getestet. Weiter auch Listen, die den Covid-Impfstatus sowie ärztliche Angaben von Mitarbeitenden ausweisen.

Auf unsere Anfrage erklärt ein Sprecher von KCA Deutag: "Wir können bestätigen, dass KCA Deutag die jüngste Organisation ist, die Opfer eines Cyberangriffs wurde. Während des gesamten Vorfalls war es unsere Priorität, die Sicherheit unserer Mitarbeiter zu jeder Zeit zu gewährleisten und den hohen Standard an Dienstleistungen zu liefern, den unsere Kunden erwarten."

Es seien sofort Massnahmen zur Aufrechterhaltung des Geschäftsbetriebs eingeleitet worden. "Wir sind zuversichtlich, dass die getroffenen Abhilfemassnahmen die Unterbrechung unseres Geschäftsbetriebs auf ein Minimum reduziert haben." Der Vorfall sei der schottischen Polizei und den zuständigen Behörden weltweit gemeldet worden.

Angesprochen auf des grosse Datenpaket, heisst es: "Wir wissen, dass infolge des Angriffs Material im Darkweb veröffentlicht worden ist. Wir arbeiten mit den Betroffenen zusammen, um die Störungen zu minimieren und alle Probleme zu lösen, die sich aus diesem kriminellen Akt ergeben." KCA Deutag werde alle Kunden, Lieferanten und Kollegen weiterhin regelmässig auf dem Laufenden halten. Man danke diesen für ihre Geduld und ihr Verständnis während des Wiederherstellungsprozesses.