Kriminelle erpressen Schweizer Webshop

«This is Armada Collective» – mit diesen Worten fängt ein E-Mail an, das der Betreiber eines Schweizer Onlineshops am Sonntag erhalten hat. Der Absender behauptet, im Besitz der gesamten Kundendatenbank des Händlers zu sein. Als Beweis hat er einen Eintrag mitgeschickt.

Das E-Mail ist ein Erpressungsversuch. Der Betreiber soll innerhalb von drei Tagen 2,85 Bitcoins – umgerechnet rund 2800 Franken – überweisen. Dann werde die Datenbank zerstört, heisst es im Mail. Die Cyberkriminellen geben ihm sogar den Tipp, dass er an SBB-Automaten Bitcoins kaufen kann.

«Es ist eine gezielte Attacke», sagt der Geschäftsleiter des Shops, der anonym bleiben möchte. Kommt er der Forderung nicht nach, könnte das einen Imageschaden nach sich ziehen. Dann etwa, wenn die Kunden von den Erpressern über ein allfälliges Leck informiert würden.

«Wie die Täterschaft an die Kundendaten kommt, weiss ich nicht genau», sagt der Shopbetreiber. Auffällig sei aber, dass bei dem mitgeschickten Datensatz die interne Auftragsnummer nicht angegeben wurde. Er vermutet deshalb, dass die Täter Daten bei Paypal – eventuell über gestohlene Konten – abgegriffen haben.

Der Melde- und Analysestelle für Informationssicherung (Melani) sind zurzeit keine weiteren Erpressungsfälle bekannt. «Aufgrund der Tatsache, dass uns bisher keine solchen Erpressungsversuche gemeldet wurden, ist das Vorgehen für uns neu», sagt Max Klaus, stellvertretender Leiter von Melani. Laut Klaus sei es aber nicht ausgeschlosssen, dass es der Täterschaft tatsächlich gelungen ist, in die Datenbank des Onlineshops einzudringen. «Es sollte auf jeden Fall geprüft werden, wie man diese Informationen künftig besser schützen kann», sagt Klaus.

Melani rät in jedem Fall von einer Zahlung des Lösegelds ab. «Einerseits gibt es auch bei einer Zahlung keine Garantie, dass die Daten nicht doch veröffentlicht werden. Andererseits unterstützt man die Angreifer mit einer Zahlung finanziell, was dazu führt, dass diese in eine noch bessere Infrastruktur für künftige Erpressungsversuche investieren können», so Klaus.

Der Shopbetreiber hat auch nicht vor, zu zahlen. «Die Forderung wird natürlich nicht erfüllt», sagt er. Stattdessen wird er Strafanzeige bei der Polizei erstatten.