Maersk nach NotPetya: Wiederanlauf in zwei Etappen
Im Juni 2017 fielen bei Maersk nach einem Angriff mit NotPetya an mehreren Standorten IT-Systeme aus. Nach Angaben des damaligen Verwaltungsratsvorsitzenden installierte der Konzern binnen zehn Tagen 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu. Später benannte Maersk umgesetzte und geplante Maßnahmen, um IT-Wiederherstellung und Notfallplanung zu stärken.
Das Wichtigste in Kürze
- Die Neuinstallation dauerte nach Snabes Angaben zehn Tage. In dieser Zeit sank das Transportvolumen nach seiner Darstellung um 20 Prozent, Beschäftigte griffen auf manuelle Abläufe zurück.
- Teile des Teams arbeiteten nach Angaben von Wired fast zwei Monate weiter. Sie bauten die Softwareumgebung wieder auf, bis die vollständige Wiederherstellung abgeschlossen war.
- Maersk bezifferte die Verluste für 2017 auf rund 222,5 bis 267 Millionen Euro. Eingerechnet sind Umsatzausfälle, IT-Wiederherstellung und außerordentliche Betriebskosten.
Verwandt: Cyberkrieg Ukraine: Wie sich Unternehmen vor Spillover-Angriffen schützen
Ausgangslage bei Maersk
Das Containerschifffahrtsgeschäft von Maersk war nach der Beschreibung im Geschäftsbericht für 2017 in mehr als 130 Ländern tätig. Zum Konzern gehören die Reederei Maersk Line mit ihrer Flotte sowie weitere Geschäftseinheiten.
Den Stand der eigenen Abwehr beschrieb Jim Hagemann Snabe im Rückblick nüchtern. Nach seiner Darstellung galten die Sicherheitsfähigkeiten des Konzerns als durchschnittlich. Snabe war nach Angaben von The Register zum Zeitpunkt seines Auftritts beim Weltwirtschaftsforum im Januar 2018 Verwaltungsratsvorsitzender von Møller-Maersk.
Was ist betriebliche Notfallplanung? Betriebliche Notfallplanung, im Englischen Business Continuity Planning, legt fest, wie ein Unternehmen kritische Geschäftsprozesse weiterführt, wenn Systeme oder Standorte ausfallen. Sie umfasst Ersatzabläufe wie manuelle Verfahren sowie die Reihenfolge, in der Prozesse wieder anlaufen. Die IT-Servicekontinuität ergänzt sie um die technische Seite, also die Wiederherstellung von Servern, Endgeräten und Anwendungen.
Angriff und Zeitachse
Am 27. Juni 2017 traf ein globaler Cyberangriff das Unternehmen. Maersk nannte ihn zunächst „Petya“. Am Folgetag meldete der Konzern ausgefallene IT-Systeme an mehreren Standorten und in ausgewählten Geschäftseinheiten. Zu diesem Zeitpunkt hatte Maersk zur Eindämmung bereits Systeme abgeschaltet.
Im August 2017 benannte Maersk den Einfallsweg von NotPetya. Die Schadsoftware gelangte über eine für Steuererklärungen in der Ukraine eingesetzte Software in das Unternehmen.
Im Januar 2018 schilderte Snabe beim Weltwirtschaftsforum den Wiederaufbau. Im Februar 2018 folgte der Geschäftsbericht für 2017 mit Verlustzahlen und einer Übersicht der Maßnahmen.
Entscheidungen im Wiederanlauf
Die erste dokumentierte Entscheidung galt der Eindämmung. Um den Angriff zu begrenzen, schaltete Maersk Systeme ab. Zugleich arbeitete das Unternehmen mit wichtigen IT-Partnern und internationalen Cybersicherheitsbehörden an einem technischen Wiederherstellungsplan.
Der Umfang des Wiederaufbaus ist vor allem durch Snabes Rückblick überliefert. Nach seinen Angaben installierte Maersk innerhalb von zehn Tagen 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu. Während dieser zehn Tage griffen Beschäftigte nach seiner Darstellung auf manuelle Abläufe zurück. Der Betrieb lief damit über Ersatzverfahren weiter, solange die IT-Landschaft neu aufgesetzt wurde.
Ergebnis und Kosten
Das Transportvolumen sank während der zehntägigen Neuinstallation nach Snabes Angaben um 20 Prozent. Mit der Neuinstallation war die Arbeit allerdings nicht beendet. Nach Angaben von Wired arbeiteten Teile des Maersk-Teams in Maidenhead fast zwei Monate weiter am Wiederaufbau der Softwareumgebung, bevor die vollständige Wiederherstellung abgeschlossen war.
Für das Berichtsjahr 2017 bezifferte Maersk seine Verluste durch NotPetya auf rund 222,5 bis 267 Millionen Euro. Eingerechnet sind Umsatzausfälle, Kosten der IT-Wiederherstellung und außerordentliche Betriebskosten.
Zugleich nannte Maersk Maßnahmen zur Stärkung von IT-Infrastruktur, IT-Servicekontinuität, Wiederherstellung und betrieblicher Notfallplanung, also der Vorsorge für den Weiterbetrieb bei Ausfällen. Diese Maßnahmen waren umgesetzt oder geplant. Welche davon bereits abgeschlossen waren, wies das Unternehmen nicht einzeln aus. Snabe formulierte darüber hinaus ein strategisches Ziel. Nach seiner rückblickenden Darstellung plante Maersk, die eigenen Sicherheitsfähigkeiten so zu verbessern, dass sie zu einem geschäftlichen Vorteil werden.
Folgerungen für CISOs im DACH-Raum
Die zehn Tage der Neuinstallation und die fast zwei Monate in Maidenhead beschreiben zwei verschiedene Meilensteine. Technische Wiederinbetriebnahme und Abschluss sämtlicher Wiederherstellungsarbeiten sollten deshalb getrennt behandelt werden. Für Sicherheitsverantwortliche ergeben sich daraus vier Folgerungen.
- Zwei Zielmarken im Notfallplan. Wiederanlaufpläne sollten getrennt festhalten, ab wann Server, Endgeräte und Anwendungen wieder laufen und ab wann die Wiederherstellung insgesamt abgeschlossen ist.
- Getrennte Lageberichte an die Geschäftsleitung. Berichte an Vorstand und Aufsichtsgremien sollten beide Meilensteine einzeln ausweisen. Eine Angabe wie die zehn Tage bei Maersk wird so nicht als Ende sämtlicher Arbeiten gelesen.
- Ressourcen über die erste Etappe hinaus. Personal- und Budgetplanung sollte die Phase nach der Wiederinbetriebnahme einschließen, in der Teams wie jenes in Maidenhead an der vollständigen Wiederherstellung arbeiten.
- Übungen mit beiden Meilensteinen. Notfallübungen sollten neben dem schnellen Wiederanlauf auch den Weg bis zum Abschluss der Wiederherstellung abbilden.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Wie stand es um die Schiffe von Maersk während des Ausfalls?
Nach Unternehmensangaben vom 28. Juni 2017 blieben die Schiffe von Maersk Line manövrierfähig und kommunikationsfähig. Die Besatzungen waren nach denselben Angaben sicher.
Hat Maersk durch den Angriff Daten an Dritte verloren?
Maersk meldete zum Angriff von 2017 weder eine Datenverletzung noch einen Datenverlust zulasten Dritter. Diese Einordnung gab das Unternehmen im August 2017 zusammen mit der Angabe zum Einfallsweg ab.
Was hat es mit dem Domänencontroller in Ghana auf sich?
Ein Domänencontroller ist ein Server, der in Windows-Netzen Benutzerkonten und Anmeldungen verwaltet. Nach Angaben von Wired überstand ein solcher Server im Büro von Maersk in Ghana den Angriff von 2017, weil ein Stromausfall ihn zuvor vom Netzwerk getrennt hatte.
Lesetipps der Redaktion
LesetippLinux-Kernel-Lücke: Ubuntu liefert noch keinen PatchLesetippCisco-VPN wird angegriffen: Wer jetzt patchen mussLesetippKI-Agenten brauchen begrenzte Vollmachten
Bildquelle: KI-generiert (November 2026)
Mehr aus dem MBF Media Netzwerk
cloudmagazinCloud-Souveränität könnte 115 Milliarden Euro kosten
MyBusinessFutureKI-Assistenten bringen seltener Zielkunden als die Suche
Digital ChiefsSchwarz setzt auf Cohere: Was Aleph-Alpha-Kunden tun
