Ransomware einfach erklärt
Das englische Wort „ransom“ bedeutet Lösegeld. Die Täter machen Daten unbrauchbar, indem sie sie verschlüsseln, und bieten den Schlüssel gegen Bezahlung an, üblicherweise in einer Kryptowährung. In vielen Fällen kopieren sie vorher vertrauliche Daten und drohen zusätzlich mit deren Veröffentlichung. So wollen sie auch Unternehmen unter Druck setzen, die ihre Daten aus einer Sicherung zurückholen könnten.
Viele Täter haben sich spezialisiert: Manche brechen nur ein und verkaufen den Zugang weiter, andere liefern die Verschlüsselungssoftware, wieder andere führen den eigentlichen Angriff aus. Kleine und mittlere Unternehmen sind dabei kein Nebenschauplatz. Für viele Täter zählt weniger die Größe eines Opfers als die Frage, wie leicht sich ein Zugang finden lässt.
Wie Ransomware ins Unternehmen gelangt
Typische Wege ins Netz sind wenig spektakulär:
- E-Mails: Phishing mit verseuchten Anhängen oder Links auf gefälschte Anmeldeseiten ist ein verbreiteter Einstieg.
- Fernzugänge: Aus dem Internet erreichbare Zugänge, die nur mit einem Passwort geschützt sind, werden gezielt durchprobiert.
- Veraltete Systeme: Fehlen Updates, nutzen Täter bekannte Lücken in Servern, Firewalls oder VPN-Gateways.
- Gestohlene Zugangsdaten: Passwörter aus früheren Datenlecks werden gehandelt und wiederverwendet.
Zwischen dem ersten Eindringen und der Verschlüsselung kann einige Zeit vergehen. Die Angreifer sehen sich im Netz um und verschaffen sich Administratorrechte, etwa über schlecht geschützte Verwaltungskonten. Besonders interessiert sie die Datensicherung: Ist sie aus dem Netz erreichbar, machen sie sie vor der Verschlüsselung unbrauchbar.
Was vor Ransomware schützt
Einen einzelnen Schalter gegen Ransomware gibt es nicht. Wirksam ist eine Kombination mehrerer Schichten:
- Sicherheitsupdates für alle Systeme zeitnah einspielen
- Fernzugänge und Cloud-Konten mit Multi-Faktor-Authentifizierung absichern
- Endgeräte mit Endpoint Security und Verhaltenserkennung per EDR schützen
- Administratorrechte sparsam vergeben und für Verwaltungsaufgaben eigene Konten nutzen
- Das Netz per Netzwerksegmentierung in Zonen gliedern, damit ein befallener Rechner nicht jeden Server erreicht
Die letzte Verteidigungslinie ist die Datensicherung. Mindestens eine Kopie sollte vom Firmennetz aus nicht erreichbar sein: entweder physisch getrennt oder als Immutable Backup, das sich für eine festgelegte Zeit nicht ändern oder löschen lässt. Wie ein solches Konzept aufgebaut ist, zeigt unsere Seite zur Datensicherung für Unternehmen. Ausführlicher geht unser Beitrag zur Backup-Strategie mit der 3-2-1-Regel darauf ein.
Wenn die Datensicherung mitverschlüsselt wird
Angenommen, in einer Schreinerei mit achtzehn Arbeitsplätzen lassen sich an einem Dienstag die Zeichnungen auf dem Server nicht mehr öffnen. In jedem Ordner liegt eine Textdatei mit einer Zahlungsaufforderung. Auch der Netzwerkspeicher mit der Datensicherung ist verschlüsselt, denn er war auf dem Server dauerhaft als Laufwerk verbunden.
Den Betrieb rettet eine zweite, tägliche Sicherung außer Haus, an die die Täter nicht herankamen. Erst wird geklärt, auf welchem Weg sie eingedrungen sind. Dann wird der Server neu aufgesetzt und aus dieser Kopie zurückgespielt. Die Schreinerei verliert Arbeitstage, kann Kundendaten und Konstruktionspläne aber aus der Kopie zurückholen. Den Netzwerkspeicher bindet sie seitdem nur noch für den Sicherungslauf ein.
Was im Ernstfall zu tun ist
Wer in den ersten Stunden besonnen handelt, begrenzt den Schaden. Als Orientierung für die ersten Schritte:
- Befallene Rechner vom Netz nehmen, also Netzwerkkabel ziehen und WLAN abschalten. Geräte möglichst nicht herunterfahren oder neu installieren, sonst gehen Spuren verloren.
- Den IT-Dienstleister und Fachleute für die Vorfallbewältigung einschalten, Fachbegriff Incident Response
- Nicht auf eigene Faust mit den Erpressern verhandeln. Ob nach einer Zahlung ein funktionierender Schlüssel kommt und gestohlene Daten wirklich gelöscht werden, kann niemand zusichern.
- Anzeige erstatten, etwa bei der Zentralen Ansprechstelle Cybercrime (ZAC) der Polizei Ihres Bundeslandes, und prüfen, ob personenbezogene Daten betroffen sind
Sind personenbezogene Daten betroffen, verlangt Art. 33 DSGVO in der Regel eine Meldung an die Datenschutzaufsicht, und zwar unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde. Mehr dazu erklärt der Begriff DSGVO; diese Einordnung ist keine Rechtsberatung, im Einzelfall hilft eine rechtliche Prüfung weiter. Akute Hilfe bietet die Ransomware-Notfallhilfe von Rootsektor (externe Website), unserem Partner für offensive IT-Sicherheit.
Wie ProNet unterstützt
Vorbeugend sichern wir Ihre Systeme mit Updates, Endpoint-Schutz und abgesicherten Zugängen ab. Dazu kommt eine Datensicherung, bei der mindestens eine Kopie getrennt vom Firmennetz liegt. Kommt es doch zu einem Vorfall, klärt unser Partner Rootsektor auf, was passiert ist. Auf Grundlage dieser Analyse spielen wir Ihre Daten aus einer geprüften Sicherung zurück und setzen die betroffenen Systeme neu auf. Einen Überblick über alle Bausteine finden Sie im Bereich IT-Sicherheit für Unternehmen.