Orange-Ausfall in Spanien: DNS-Störung durch unsicheres RIPE-Konto

Kein Internet in Spanien: Der DNS-Ausfall bei Orange

An einem Nachmittag stellte ein großer Teil des Landes fest, dass die Konnektivität von schlecht geschützten Zugangsdaten abhing. Der Ausfall des Orange-Dienstes hinderte zahlreiche Kunden daran, Webseiten aufzurufen, obwohl ihre Mobilgeräte Empfang hatten, Apps reagierten und E-Mails eingingen. Diese Kombination – alles scheint zu funktionieren, aber nichts lädt – war der erste Hinweis darauf, dass das Problem nicht im Zugangsnetz lag, sondern im System, das Domainnamen übersetzt. Der DNS-Server des Betreibers wurde zum Hauptverdächtigen und führte zur unbequemen Frage: Wer überwacht wirklich die kritische Infrastruktur?

Warum funktionierte Orange nicht, obwohl Empfang vorhanden war?

Die häufigste Erklärung verweist auf den Nameserver. Wenn der DNS ausfällt, können Geräte Verbindungen herstellen, finden aber kein Ziel: Apps lassen sich öffnen, Systeme aktualisieren oder telefonieren, aber das Surfen im Web ist unmöglich. Mehrere Betroffene beschrieben genau dieses Szenario, mit einer auffälligen Ausnahme: Bestimmte Seiten luden weiterhin.

Daraus entstand der in Diskussionen genannte Workaround: Ein Wechsel zu einem externen DNS, wie dem von Google, ermöglichte das Surfen, auch wenn der DNS des Betreibers ausgefallen war. Dies funktioniert jedoch nur, wenn Nutzer wissen, wie sie die Einstellungen am Router oder Endgerät ändern können. Die meisten wissen es nicht, und sie sind die Mehrheit, die die Rechnungen zahlt.

RIPE, BGP und das Fehlen der Zwei-Faktor-Verifizierung

Berichten zufolge liegt der Ursprung beim RIPE-Konto, dem europäischen Register für die Verwaltung von IP-Adressen. Laut diesen Berichten erfolgte der Angriff durch Brute-Force-Methoden, und das betroffene Konto hatte keine Zwei-Faktor-Authentifizierung aktiviert. Zugang zu diesem Panel erlaubt Änderungen an Adressbereich-Zuweisungen, was das Routing beeinflusst. Manche gingen weiter und sprachen von Poisoning-Angriffen auf das BGP-Protokoll, mit dem Betreiber Netzwerkpfade ankündigen.

Die Diskussionen wandten sich schnell den Kosten für die Absicherung solcher Systeme zu. Das Hosten eines eigenen DNS innerhalb einer DMZ, einschließlich Wartung und Backups, wurde für ein IBEX-notiertes Unternehmen auf zwischen 500.000 und 1.000.000 geschätzt. Es wurde auch erwähnt, dass Monate zuvor sechs Server des CDN-Netzwerks eines großen Unternehmens kompromittiert worden waren. Ein früherer Vorfall – der Hack der spanischen Steuerbehörde (Hacienda) im Jahr 2022, der Daten von einer halben Million Steuerzahler betraf – wurde angeführt, um zu unterstreichen, dass dieses Muster nicht neu ist.

Vom Arzttermin bis zum Geldautomaten: Die Rechnung für totale digitale Abhängigkeit

Hier hört das Thema auf, rein technisch zu sein. In den 1980er Jahren konnte man ohne Internet noch telefonieren. Bei Netzwerk-Ausfällen gibt es keine Anrufe, Kreditkartenzahlungen, Alarmanlagen oder Terminvereinbarungen, selbst wenn man im Gesundheitszentrum erscheint. Bargeld funktioniert weiterhin; Geldautomaten nicht.

Ein Logistikunternehmen lieferte ein drastisches Beispiel: Ihr Unternehmen, ein Orange-Kunde, behielt den Zugriff auf die Master-Website, und die Filialen operierten normal, aber alle anderen Dienste waren unerreichbar. Bei 40.000 Sendungen pro Stunde verwandelt sich ein verlorener Nachmittag an Zugriff in eine Rechnung, die niemand unterschreibt.

Wer behebt dies und wie lange dauert es?

Im Fall von RIPE war die Wiederherstellung schnell und erfolgte in einem Bruchteil der üblichen Zeit. Eine Privatperson, die ihre Zugangsdaten verliert, wartet typischerweise 48 Stunden; nach dieser Logik würde ein KMU eine Woche lang arbeitsunfähig sein.

Der andere Grund für Ärger ist der Kundenservice, der oft ausgelagert und über Marken hinweg geteilt wird, die dieselbe zugrunde liegende Infrastruktur nutzen. Egal welches Label: Die Abdeckung basiert auf geerbter Infrastruktur, und die Schuld landet immer beim selben Ort.

Ein öffentliches Netz mit französischem Akzent verkauft

Der historische Kontext in der Diskussion ist nicht unerheblich: Das heutige Orange-Netz war ursprünglich Amena, davor Retevisión, ein staatliches Unternehmen. Der Aufbau kostete fast 38.000 Millionen Peseten und endete schließlich bei France Telecom, dann bei Fonds wie BlackRock. Der französische Staat hält 10 % des Unternehmens; Spanien hat weder Mitsprache noch Stimmrecht.

Wenn die Berichte stimmen – ein Firmenkonto im Register, geschützt nur durch Passwort und ohne Zwei-Faktor-Authentifizierung –, lautet die Frage nicht, wie die Angreifer eindringen konnten, sondern wie viele Betreiber noch genauso verwundbar sind.