Stand 6. November, 17:15 Uhr
Mittwald arbeitet weiter an der Fehlerbehebung. Aktuell haben wir eine Mail mit folgendem Inhalt erhalten:
„Wir arbeiten weiterhin daran die letzten Sicherheitsvorkehrungen zu treffen um das mStudio wieder zu aktivieren.“
Auf einen Blick
- Unbekannte sind am 27. Oktober in den MCP-Server von Mittwald eingedrungen, eine Schnittstelle für KI-Assistenten. Mittwald hat das am 4. November entdeckt und den Server abgeschaltet.
- Wir haben weder den MCP-Server noch den AV-Manager eingerichtet, für uns nicht und für unsere Kunden nicht. Ihre Websites und E-Mails laufen weiter.
- Betroffen sein kann nur, wer den MCP-Server selbst oder über eine andere Agentur eingerichtet hat. Mittwald schreibt diese Kunden persönlich an.
Unser Hosting läuft über Mittwald, und wir arbeiten eng mit Mittwald zusammen. Das ist kein Geheimnis. Mittwald hat seine Kunden jetzt über einen Sicherheitsvorfall informiert, und seitdem rufen Kunden bei uns an und fragen, was los ist.
Wir können Entwarnung geben.
Was passiert ist#
Mittwald bietet einen sogenannten MCP-Server an. Über diese Schnittstelle konnten Kunden einen KI-Assistenten mit dem mStudio verbinden, der Oberfläche, in der bei Mittwald Websites, Datenbanken und Zugänge verwaltet werden.
Am 27. Oktober sind Unbekannte in diesen Server eingedrungen und haben Zugangsschlüssel ausgelesen, sogenannte Tokens. Ein Token ist kein Passwort, es funktioniert eher wie ein Besucherausweis am Empfang. Wer ihn trägt, kommt durch dieselben Türen wie die Person, auf die er ausgestellt ist, bis der Ausweis gesperrt wird. Der Angreifer hat sich dabei wie ein gewöhnlicher Nutzer verhalten. Deshalb ist der Zugriff erst am 4. November bei eigenen Analysen von Mittwald aufgefallen. Mittwald hat den Server daraufhin abgeschaltet und alle Tokens gesperrt.
Seit dem 5. November gelten bei Mittwald vorsorglich Einschränkungen für alle Kunden. Die Anmeldung im mStudio, der Zugang per SSH, die Erweiterungen und neue Bestellungen sind vorübergehend abgeschaltet, ebenso das Kundencenter für alle, die den AV-Manager nutzen. Einen kleinen Teil der Projekte hat Mittwald zusätzlich vom Netz genommen und die Inhaber per E-Mail benachrichtigt. Alle Projekte, auf die mit den ausgelesenen Tokens zugegriffen werden konnte, werden gerade einzeln geprüft. Den Verlauf hält Mittwald auf seiner Statusseite fest, Fragen und Antworten zum Vorfall stehen auf einer eigenen Seite.
Was das für Sie heißt#
Wir haben den MCP-Server nicht eingerichtet, weder für uns noch für einen unserer Kunden. Den AV-Manager nutzen wir ebenfalls nicht. Ihre Websites und Ihre E-Mails laufen weiter, und Sie müssen nichts tun.
Anders ist es, wenn jemand anderes den MCP-Server für Ihr Projekt eingerichtet hat, etwa eine andere Agentur, oder wenn Sie das selbst getan haben. Das haben wir nicht in der Hand. Nach Angaben von Mittwald ist nur betroffen, wer den Server tatsächlich genutzt hat, und jeder Betroffene bekommt eine persönliche E-Mail. Wenn Sie nicht sicher sind, ob die Nachricht in Ihrem Postfach so eine persönliche Mail ist, leiten Sie uns die Nachricht weiter. Wir sehen nach.
Wenn Sie den MCP-Server genutzt haben#
Für diesen Fall nennt Mittwald fünf Schritte:
- das Passwort im mStudio ändern,
- die Zwei-Faktor-Anmeldung einschalten,
- API-Keys, Project Tokens und SSH-Keys durchsehen und alles löschen, was niemand bewusst angelegt hat, vor allem unbekannte SSH-Benutzer,
- Zugangsdaten zu anderen Diensten erneuern, die im Projekt hinterlegt sind, etwa für Datenbanken, E-Mail oder externe Schnittstellen,
- die übrigen Nutzer des Projekts informieren.
Einige dieser Schritte gehen erst, wenn Mittwald die Anmeldung im mStudio wieder freigibt. Wenn Sie dabei Hilfe brauchen, rufen Sie uns an, auch wenn die Einrichtung nicht von uns stammt.
Die Zwei-Faktor-Anmeldung empfiehlt Mittwald unabhängig vom Vorfall allen Kunden. Das sehen wir genauso.
E-Mails zum Vorfall sollten Sie in den nächsten Tagen genau ansehen. Wenn Sie Ihr Passwort ändern wollen, rufen Sie bitte die Seite von Mittwald direkt im Browser auf und klicken nicht auf einen Link in einer Mail.
Bei Fragen erreichen Sie uns unter 07153/6136-0 oder über unser Kontaktformular.