Im Dezember 2021 sahen sich tausende Beschäftigte in den Vereinigten Staaten während der Feiertage mit einer unerwarteten Situation konfrontiert. Es handelte sich weder um einen Arbeitskonflikt noch um einen internen Verwaltungsfehler, sondern um einen Ransomware-Angriff auf einen der größten Anbieter von HR- und Lohnabrechnungssoftware des Landes.

Ultimate Kronos Group (UKG), dessen Plattformen von Krankenhäusern, öffentlichen Einrichtungen, Universitäten und Großunternehmen genutzt werden, wurde Ziel eines Angriffs, der zur Abschaltung der Kronos Private Cloud führte. Die Auswirkungen waren unmittelbar, Zeiterfassungs- und Lohnabrechnungssysteme standen still, Abläufe wurden unterbrochen und Organisationen verloren den Überblick über Zahlungen, Schichtpläne und Personaldaten.

Die tatsächlichen operativen Auswirkungen

Der Angriff traf Organisationen zu einem besonders sensiblen Zeitpunkt. Viele arbeiteten mit reduziertem Personalbestand aufgrund der Feiertage und befanden sich gleichzeitig im Jahresabschluss. Die Systemausfälle zwangen zu improvisierten manuellen Prozessen, Tabellenkalkulationen und Schätzungen, mit erheblichen Risiken bei Gehältern, Überstunden und Zusatzleistungen.

Besonders betroffen waren Bereiche wie Gesundheitswesen, öffentlicher Verkehr, Hochschulbildung und öffentliche Sicherheit. Krankenhäuser, Verkehrsbehörden und Universitäten meldeten langanhaltende Störungen, die weit über technische Probleme hinausgingen.

Systeme wiederherstellen heißt nicht Betrieb wiederherstellen

Obwohl UKG seine Dienste schrittweise wiederherstellen konnte, kehrte der Normalbetrieb nicht sofort zurück. Über Wochen hinweg mussten Organisationen Daten überprüfen, Unstimmigkeiten korrigieren und historische Informationen abgleichen. Der Vorfall machte deutlich, dass technische Wiederherstellung allein keine operative Kontinuität garantiert.

In Umgebungen, in denen Systeme zentrale Funktionen für Menschen übernehmen, wird der Schaden an Vertrauen, rechtlicher Sicherheit und organisatorischer Stabilität gemessen, nicht nur an Systemverfügbarkeit.

Datenrisiken und spätere Konsequenzen

Spätere Untersuchungen deuteten darauf hin, dass während des Angriffs möglicherweise auf Informationen zugegriffen wurde, was zusätzliche Bedenken hinsichtlich des Schutzes personenbezogener Daten von Beschäftigten auslöste. Damit rückte die Verantwortung von SaaS-Anbietern für sensible Kundendaten stärker in den Fokus.

Der Vorfall führte zu rechtlichen Auseinandersetzungen. 2023 erzielte UKG eine Einigung, die unter anderem Verpflichtungen zur Verbesserung von Sicherheitskontrollen und Überwachungsmechanismen umfasste. Unabhängig vom finanziellen Umfang war die Botschaft eindeutig, bei kritischen Diensten wird Verantwortung eingefordert.

Eine Lehre mit anhaltender Relevanz

Auch Jahre später gilt der Fall UKG als Beispiel für ein strukturelles Problem. Viele Organisationen hatten essenzielle Funktionen ausgelagert, ohne klare Pläne für längere Ausfälle zu haben. Die technologische Abhängigkeit war nicht immer von einem ausgereiften Management von Drittanbieterrisiken begleitet.

Der Vorfall unterstrich die Notwendigkeit, Verträge zu überprüfen, Transparenz einzufordern, Verantwortlichkeiten zu klären und Organisationen darauf vorzubereiten, auch bei Ausfall eines kritischen Dienstleisters handlungsfähig zu bleiben.

Der Ansatz von Tecnasys

Aus Sicht von Tecnasys zeigt der UKG-Fall eine unumgängliche Realität. Cybersicherheit und Geschäftskontinuität enden nicht an der Unternehmensgrenze. Externe Dienstleister sind ein integraler Bestandteil des operativen Risikos.

Tecnasys unterstützt Organisationen, die auf kritische Dienste angewiesen sind, bei der Identifikation von Schwachstellen, der Bewertung von Drittanbieterrisiken und der Entwicklung realistischer Kontinuitätskonzepte. Ziel ist es nicht, Abhängigkeiten zu vermeiden, sondern sie bewusst und strukturiert zu steuern.

Wenn externe Plattformen Prozesse steuern, die Menschen, Gehälter und rechtliche Verpflichtungen betreffen, lautet die entscheidende Frage nicht mehr, ob sie ausfallen können, sondern wie darauf reagiert wird.