Der jüngste Ausfall von Garmin offenbarte klaffende Löcher in seiner Sicherheit und Kommunikation

Orangen

Letzte Woche erlitt Gamin einen massiven Ausfall, der nicht nur seine Multisportler daran hinderte, Aktivitäten auf seine Server hochzuladen, sondern auch sein Call Center, sein E-Mail-System, seinen Online-Chat und sogar seinen Flugdienst flyGarmin lahmlegte. Gerüchten zufolge war der Ausfall auf einen Ransomware-Angriff zurückzuführen, aber Garmin brauchte fünf Tage, um zuzugeben, dass es sich tatsächlich um einen Cyberangriff handelte.

Als der Ausfall am Morgen des 23. Juli begann, wurden Garmin Connect-Benutzer mit einem „Entschuldigung, wir sind wegen Wartungsarbeiten ausgefallen. Schauen Sie in Kürze noch einmal vorbei.” Nachricht, wenn Sie versuchen, online oder über die mobilen Connect-Apps auf den Dienst zuzugreifen. Das offizielle Garmin-Konto hat ebenfalls eine vage und im Grunde nicht hilfreiche Nachricht getwittert:

Danach ein weiterer allgemeiner „Es tut uns leid”-Tweet, zusammen mit einer sehr kurzen FAQ am 25. Juli:

Insgesamt ist das nicht viel zu tun, und das ist ein schlechter Ort, wenn Sie ein Garmin-Benutzer sind, insbesondere weil das Unternehmen in den folgenden vier Tagen genauso vage war.

Also was ist passiert?

Ah, das ist die Millionen-Dollar-Frage, nicht wahr? Die Wahrheit ist, wir sind uns immer noch nicht sicher. Es gibt viele Spekulationen und Gerüchte, die da draußen herumschwirren, wobei die glaubwürdigste (aber unbestätigte) Quelle von ZDnet stammt. Laut dem Autor Catalin Cimpanu wurde Garmin von einem Ransomware-Angriff namens WastedLocker getroffen.

Andere Quellen behaupten, dass Garmin nach der Entdeckung des Angriffs allen Mitarbeitern – die aufgrund der COVID-19-Pandemie anscheinend aus der Ferne arbeiten – befahl, alle Systeme herunterzufahren, einschließlich der Server des Unternehmens (weshalb das Callcenter, E-Mail und Chat-Dienste waren ebenfalls ausgefallen). Dies geschah, um die Hacker davon abzuhalten, die Server zu kapern und mehr Daten zu verschlüsseln, wodurch Garmin effektiv auch von seinem eigenen System ausgeschlossen wurde.

Über den fünftägigen Ausfall tauchten weiterhin Berichte auf, von denen viele behaupteten, der Angriff käme von der russischen Hackergruppe Evil Corp mit einer Forderung von 10 Millionen US-Dollar. Aber auch das ist unbestätigt.

Schließlich hat Garmin am 27. Juli offiziell die Ursache des Ausfalls anerkannt und erklärt, dass es „das Opfer eines Cyberangriffs war, der einige unserer Systeme am 23. Juli 2020 verschlüsselt hat”. Die Details sind immer noch viel dürftiger, als die Kunden meiner Meinung nach verdienen, aber das scheint die „Ransomware”-Gerüchte zumindest etwas zu untermauern.

Garmin erwartet, dass Benutzer ihm viele Daten anvertrauen – Gesundheit, Standort, Kontakte, Tracking und vieles mehr. Der Mangel an Transparenz seitens des Unternehmens sollte jedem Garmin-Benutzer da draußen Unbehagen bereiten, wenn es darum geht, seine Beziehung fortzusetzen.

Was Garmin richtig gemacht hat

Orangen

Ich bin zugegebenermaßen nicht zufrieden damit, wie Garmin mit der Situation umgegangen ist, aber es ist erwähnenswert, dass einige Dinge zumindest irgendwie richtig gehandhabt wurden.

Zunächst einmal schaltete Garmin seine Systeme ab, sobald erkannt wurde, dass etwas nicht stimmte. Gerüchten zufolge sprechen wir von jedem, der Fernzugriff auf das System und alle Server hatte. Aus diesem Grund hat die Synchronisierung nicht funktioniert – es gab nichts zum Synchronisieren.

Dieser erste Schritt war entscheidend für den Schutz der Benutzerdaten, da Garmin den Zugriff auf alle Server physisch entfernte, die noch nicht von dem Angriff betroffen oder entführt worden waren.

Darüber hinaus gibt es jedoch nicht viel Lob zu geben, wie Garmin mit der Situation umgegangen ist.

Wo Garmin den Ball fallen ließ

Wenn es eine Sache gibt, die ein Unternehmen, das Ihre privaten und/oder persönlichen Daten hat, verstehen sollte, dann ist es Transparenz. Wenn etwas schief geht, teilen Sie es den Benutzern mit. Wir haben ein Recht darauf zu erfahren, was mit unseren Daten passiert – oder sogar, was möglicherweise mit unseren Daten passieren könnte – in einer Situation wie dieser.

Sicher, Garmin hat eine vage Aussage in seine Ausfall-FAQ aufgenommen:

Waren meine Daten infolge des Ausfalls betroffen?
Garmin hat keinen Hinweis darauf, dass sich dieser Ausfall auf Ihre Daten ausgewirkt hat, einschließlich Aktivitäts-, Zahlungs- oder anderer persönlicher Daten.

Ich denke, das ist etwas, aber es ist nicht genug. Schauen wir uns einige Fälle an, in denen Unternehmen alles daran gesetzt haben, ihre Benutzer wissen zu lassen, was passiert, während es passiert.

Im vergangenen Dezember kam es bei Wyze zu einem Datenleck auf einem Testserver. Das war die Schuld des Unternehmens, und es wurde klar anerkannt. Wyze hat alles getan, um klar und deutlich zu erklären, was passiert ist, wie es passiert ist und welche Daten offengelegt wurden. Die ganze Situation war schlimm, aber die Art und Weise, wie Wyze damit umging, war vorbildlich.

Ein weiteres Beispiel ist der jüngste Twitter-Hack. Während das Ganze nur als Katastrophe bezeichnet werden kann, hat Twitter gute Arbeit geleistet, um zu kommunizieren, was passiert ist, und dann mit weiteren Details nachgereicht, sobald diese verfügbar wurden.

Orangen

Und hier hat Garmin das Ganze vermasselt – es ist Tage her, seit der Dienst ursprünglich eingestellt wurde. Nach rund fünf Tagen erwachte der Dienst erst vor kurzem langsam wieder zum Leben. Und Garmins Aussage ist ein anmutiger Worttanz ohne wirkliche Erklärung außer „es gab einen Cyberangriff”.

Verdammt, Garmin hat sich nicht einmal die Mühe gemacht, Kunden per E-Mail über den Ausfall zu informieren – abgesehen von der vagen Kommunikation über Twitter hat das Unternehmen absolut nichts unternommen, um sicherzustellen, dass die Kunden wissen, was vor sich geht. Das ist scheiße, denn wenn Sie nicht wussten, wo Sie suchen sollten, standen Sie draußen in der Kälte. Oder noch schlimmer – das Lesen potenziell falscher Spekulationen und Hörensagen aus unbegründeten Quellen auf zufälligen Websites.

Was wird Garmin dagegen unternehmen?

Es gibt kein Wort darüber, was wirklich passiert ist. Wenn es sich tatsächlich um einen Ransomware-Angriff handelte, hat Garmin das Lösegeld gezahlt, um entführte Daten zurückzugeben? Wenn nein, wie wurde mit der Situation umgegangen? Welche Maßnahmen werden ergriffen, um eine solche Situation in Zukunft zu verhindern?

Das letzte Bit ist ein entscheidendes Detail. Jedes Mal, wenn ein Unternehmen Opfer einer Datenschutzverletzung wird, sollte es seine Kunden darüber informieren, was es tun wird, um diese Art von Angriffen in Zukunft zu verhindern. Aber Garmin hat kein Wort darüber gesagt, was es tun wird. Wir wissen nicht, ob das Unternehmen etwas ändern wird. Mehr Mitarbeiterschulung? Eine Sicherheitsberatung von einem seriösen Unternehmen? Gar nichts? Wer weiß.

Das sind alles Dinge, die Garmin-Kunden wissen sollten. Wir vertrauen darauf, dass sie unsere Daten sicher aufbewahren, und wir verdienen es verdammt noch mal, alle Details zu erfahren, wenn etwas passiert.

Aber hey, zumindest haben sie dafür gesorgt, dass diese Menge Mist am Ende der Pressemitteilung enthalten ist:

Die Produkte von Garmin wurden im Inneren für das Leben im Äußeren entwickelt und haben den Lebensstil in den Bereichen Luftfahrt, Automobil, Fitness, Marine und Outdoor revolutioniert. Garmin ist bestrebt, Menschen dabei zu helfen, das Beste aus ihrer Zeit zu machen, die sie damit verbringen, ihren Leidenschaften nachzugehen, und glaubt, dass jeder Tag eine Gelegenheit für Innovationen und eine Chance ist, das Gestern zu übertreffen.

Ich weiß nicht, wie Sie sich dabei fühlen, aber als langjähriger Garmin-Kunde fühlt sich das für mich wie ein Schlag ins Gesicht an. Dies ist nicht die Zeit für ein Verkaufsgespräch.

Ich habe eine Idee, Garmin: Wie wäre es, wenn Sie das Gestern schlagen, indem Sie Ihre Sicherheit und Kommunikation verbessern?

Also was kannst du tun?

Viele Teile von Garmin Connect werden immer noch nicht richtig geladen. Nocken

Das ist das Schlimmste an einem Szenario wie diesem – Sie sind fast machtlos, irgendetwas zu tun. Sie können Garmin nicht zwingen, aufzugeben, was passiert ist oder was es tun wird, um zu verhindern, dass es wieder passiert.

Aber man kann tun, was in solchen Situationen so oft empfohlen wird: Mit dem Geldbeutel abstimmen. Wechseln Sie zu einer neuen Plattform. Löschen Sie Ihre Daten von Garmin und wechseln Sie zu etwas, das hoffentlich zuverlässiger oder vertrauenswürdiger ist. Es gibt viele andere Unternehmen da draußen – wie Wahoo, Polar, Hammerhead und mehr – die konkurrierende Produkte mit Garmin herstellen.

Das größte Problem hier ist, dass keines dieser konkurrierenden Unternehmen mit einer ähnlichen Situation zu tun hatte, die mir einfällt. Das heißt, wir haben keine Ahnung, welche tatsächlich besser damit umgehen würden.

Ich denke, die Zeit wird es zeigen.