AKTE7

Im September 2023 stehen in Las Vegas die Spielautomaten still. Zimmerkarten funktionieren nicht, Gewinne werden mit Stift und Quittungsblock ausgezahlt, die Fernseher auf den Zimmern bleiben schwarz. Betroffen sind Bellagio, Aria, Mandalay Bay, MGM Grand, ein Konzern mit einem Börsenwert von über 30 Milliarden Dollar.
Der Auslöser war kein Zero-Day und kein Hollywood-Hack. Es war ein Telefonanruf beim IT-Helpdesk. Angeblich hat er zehn Minuten gedauert.

In der ersten Folge von AKTE7 gehen Chris Wojzechowski und Silas Borgmeier den Fall MGM Resorts durch: wie Scattered Spider vorgeht, warum Muttersprachler am Telefon die wirksamste Waffe dieser Szene sind, was der Angriff MGM gekostet hat, und warum die spannendste Lehre nicht in der Technik liegt, sondern im Prozess am Helpdesk.

Außerdem: der Mythen-Check zum Fall, drei konkrete Takeaways mit je einem Umsetzungsschritt, und was aus den mutmaßlichen Tätern geworden ist.

Quellen

Primärquellen

MGM Resorts International, SEC-Filings zum Vorfall (2023). Enthält die Bezifferung der Auswirkung auf das bereinigte Property-EBITDAR für die Las-Vegas-Strip-Resorts und die Regional Operations sowie die Einmalaufwendungen für Technologieberatung, Anwälte und weitere Dritte.
https://www.sec.gov/Archives/edgar/data/789570/000119312523233855/d502352dex991.htm
https://www.sec.gov/Archives/edgar/data/789570/000078957023000022/mgmex991q32023earningrelea.htm

US-Justizministerium, Central District of California: „5 Defendants Charged Federally with Running Scheme that Targeted Victim Companies via Phishing Text Messages“, 20.11.2024. Anklage gegen fünf Beschuldigte wegen Verschwörung zum Überweisungsbetrug, Verschwörung und schweren Identitätsdiebstahls.
https://www.justice.gov/usao-cdca/pr/5-defendants-charged-federally-running-scheme-targeted-victim-companies-phishing-text

US-Justizministerium: „Alleged Member of Criminal Cyber Hacking Group ‚Scattered Spider’ Arrested in Finland and Extradited to the United States“.
https://www.justice.gov/opa/pr/alleged-member-criminal-cyber-hacking-group-scattered-spider-arrested-finland-and-extradited

FBI und CISA, gemeinsames Advisory AA23-320A „Scattered Spider“, 16.11.2023, aktualisiert 29.07.2025.
Gemeinsam mit RCMP, ASD/ACSC, AFP, CCCS und NCSC-UK. Beschreibt Social Engineering, Push Bombing und SIM-Swapping als Kerntechniken der Gruppe.
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a
Fassung 2023: https://www.cisa.gov/sites/default/files/2023-11/aa23-320a_scattered_spider_0.pdf
Fassung 2025: https://www.cisa.gov/sites/default/files/2025-08/aa23-320a-scattered-spider-508c.pdf

Okta: Cross-Tenant Impersonation — Prevention and Detection.
Primärquelle zum Angriffsweg über den IT-Helpdesk und die Wiederherstellung von Authentifizierungsfaktoren.

Meldungen an Generalstaatsanwaltschaften: Breach Notice California Attorney General; Breach Notice Iowa Attorney General vom 05.10.2023.

Einordnung und Berichterstattung
MGM Resorts, öffentliche Stellungnahme vom 05.10.2023 zum Umfang der betroffenen Kundendaten.
Recherchen von Reuters und Vice/Motherboard zum Ablauf des Angriffs und zur Struktur von Scattered Spider.

Hinweise zur Sorgfalt
Diese Folge nennt Angaben, die aus Aussagen mutmaßlicher Täter stammen. Sie sind im Skript und in der Folge jeweils als solche gekennzeichnet und nicht unabhängig bestätigt, insbesondere die Dauer des Anrufs beim Helpdesk.
Für alle Personen, gegen die kein rechtskräftiges Urteil vorliegt, gilt die Unschuldsvermutung.
Mitarbeitende von MGM Resorts, die Ziel des Angriffs waren, werden nicht namentlich genannt.

Folge 002 erscheint am 24.09.2026: Colonial Pipeline. Ein Passwort ohne zweiten Faktor, sechs Tage Stillstand und 4,4 Millionen Dollar für ein Werkzeug, das nie gebraucht wurde.

AKTE7 ist der Podcast, in dem wir uns alle 2 Wochen einen echten Fall aus der Cybersicherheit vornehmen und ihn durchgehen wie eine Akte. Was ist passiert, mit Datum und Uhrzeit. Was davon ist belegt, und durch welche Quelle. Was wird nur behauptet, von Tätern, von Medien, von Beteiligten, die ein Interesse an ihrer Version haben. Und am Schluss die Frage, auf die es ankommt: Was nehmt ihr davon mit in die eigene Firma.

Am Mikrofon sitzen zwei, weil ein Fall zwei Seiten hat. Chris Wojzechowski ist Geschäftsführer der AWARE7 und schaut darauf, was so ein Vorfall am Ende kostet, wer dafür geradesteht und was davon in einer Geschäftsführung überhaupt ankommt. Silas Borgmeier ist Informationssicherheitsbeauftragter und schaut auf Technik und Prozesse: Berechtigungen, Notfallpläne, die Frage, wer im Zweifel was darf und wer es entscheiden muss.

Fest dabei ist in jeder Folge der Mythen-Check. Wir nehmen die Sätze, die über einen Fall im Umlauf sind, und halten sie gegen die Akte. Erstaunlich oft bleibt davon wenig übrig.

Worauf ihr euch einstellen könnt: Wo die Quellenlage dünn ist, sagen wir das. Wo Zahlen kursieren, die niemand belegen kann, sagen wir das auch. In den Shownotes steht jedes Dokument, aus dem wir zitiert haben, mit Link, und das ist bei uns keine Floskel. Jede Folge endet mit Punkten, die ihr in der eigenen Firma anfassen könnt, nicht mit einem Appell.

Los geht es am 10.09.2026. Danach alle 2 Wochen donnerstags.

Alle Folgen und Quellen: a7.de/podcast

100 Folgen. Über 3.000 Minuten Informationssicherheit. Und immer noch derselbe Satz: „Das Thema ist zu kompliziert.“

Also machen wir die Gegenprobe: Silas stellt Chris 10 Fragen – 100 Sekunden pro Antwort. Von Phishing über Ransomware bis IT-Grundschutz vs. ISO 27001, dazu der überschätzteste Hype aus 100 Folgen, der bitterste Fall aus der Praxis und die Frage, wer von KI gerade mehr profitiert: Angreifer oder Verteidiger.

Vorher blicken wir zurück: Was hat sich seit Folge 1 wirklich verändert – bei Cloud, digitaler Souveränität, KI und der schieren Zahl der Vorfälle?

Und am Ende: ein Ausblick. Diese Folge ist die letzte in dieser Form. Der 7Cast bekommt ein neues Format. Nur so viel: Die 7 bleibt uns erhalten.

Wenn dir die Folge gefallen hat, lass uns eine Bewertung da, das hilft uns wirklich.

Stell dir vor, jemand in deinem Unternehmen klickt auf einen Phishing-Link und sagt es niemandem. Nicht aus böser Absicht, sondern aus Angst vor Ärger. Genau dieses Schweigen kostet Unternehmen mehr als der Klick selbst.In dieser Folge des 7Cast sprechen Chris und Silas darüber, warum die Klickquote aus Phishing-Simulationen als KPI in die Irre führt und warum die Meldequote die deutlich wertvollere Kennzahl für dein ISMS ist. Es geht um gesetzliche Meldefristen (24 und 72 Stunden), den Aufbau einer nachhaltigen Meldekultur ohne Naming and Shaming, anonyme Meldewege, Fehlerkultur als Führungsaufgabe und echte Fälle aus der Praxis – vom verlorenen Firmenlaptop bis zum vertuschten Phishing-Klick.Das nimmst du mit:- Warum „null Sicherheitsvorfälle“ ein Alarmsignal ist – kein Gütesiegel- Wie du eine Meldekultur aufbaust, in der Mitarbeitende Vorfälle ohne Angst melden- Was 24-Stunden-Meldefristen für deine internen Prozesse bedeuten- Wie Tabletop-Übungen und klare Bewertungskriterien deine Incident Response stärkenWenn dir die Folge gefällt, folge dem Podcast, das hilft uns sehr!

ncident Response, Business Continuity Management, Notfallplan, diese Begriffe kennt man in der IT-Sicherheit. Aber was bedeuten sie konkret, wenn ein Sicherheitsvorfall wirklich eintritt?In dieser Folge des Sevencast sprechen Chris und Silas darüber, wie Unternehmen ihren Incident-Response-Prozess aufbauen, bevor es zum Ernstfall kommt.
Themen: Unterschied zwischen Ereignis, Vorfall, Notfall und Katastrophe, Business-Impact-Analyse (BIA), Aufbau eines Krisenstabs, interne und externe Kommunikation bei Cyberangriffen und Ransomware-Vorfällen sowie Tabletop-Übungen als praxisnahe Vorbereitung.Außerdem: Warum die eigene Live-Hacking-Show der sensibelste Geschäftsprozess bei AWARE7 ist – und was das über das Thema Ausfallsicherheit verrät.Für ISBs, IT-Verantwortliche und alle, die ein ISMS oder BCM aufbauen wollen.Kopieren