Ransomware.

Was Ransomware wirklich ist und warum die Verschlüsselung der einfache Teil ist

Ransomware ist Schadsoftware, die sich etwas aneignet, das Sie brauchen, und Sie zur Zahlung zwingt, um es zurückzubekommen. Der klassische Mechanismus ist die Verschlüsselung: Die Schadsoftware verschlüsselt die Dateien auf den Systemen, die sie erreicht, und bietet den Entschlüsselungsschlüssel im Austausch gegen eine Zahlung an, in der Regel in Kryptowährung. Doch Ransomware als ein Verschlüsselungsproblem zu behandeln, übersieht, was sie so verheerend macht.

Die Verschlüsselung ist das sichtbare Symptom eines Eindringens, das oft schon seit Tagen oder Wochen läuft. Bevor eine einzige Datei gesperrt wird, hat ein Angreifer typischerweise einen ersten Zugang erlangt, Privilegien ausgeweitet, sich seitlich durch das Netzwerk bewegt, die wichtigen Systeme lokalisiert und häufig die Daten nach außen kopiert. Die Sperrung am Ende ist schlicht der Moment, in dem der Betreiber beschließt, diesen Zugang in Geld umzuwandeln.

Diese Abfolge erklärt, warum es bei den schlimmsten Ransomware-Vorfällen nicht mehr nur um verschlüsselte Dateien geht. Die Betreiber lernten, dass ein Opfer mit guten Backups die Zahlung verweigern und wiederherstellen konnte, also fügten sie einen zweiten Hebel hinzu: zuerst die Daten stehlen, dann mit deren Veröffentlichung drohen. Das ist die doppelte Erpressung, und sie verändert das Kalkül vollständig.

Selbst eine Organisation, die sauber aus einem Backup wiederherstellt, steht weiterhin vor der Aussicht, dass vertrauliche Daten, Kundendaten oder Verträge auf einer öffentlichen Seite veröffentlicht werden. Manche Gruppen gehen mit zusätzlichem Druck weiter, indem sie Kunden oder Aufsichtsbehörden direkt kontaktieren oder einen Denial-of-Service-Angriff hinzufügen. Bei der Verhandlung, sofern es eine gibt, geht es nicht wirklich um einen Entschlüsselungsschlüssel. Es geht darum, ob die gestohlenen Daten privat bleiben.

Wie sie hineingelangt und warum die Aufsichtsbehörde sich nun dafür interessiert

Der Weg hinein ist selten exotisch. Die dominierenden Vektoren sind die unspektakulären: eine Phishing-E-Mail, die einen Loader ausliefert oder Anmeldedaten abgreift, ein ins Internet exponierter Dienst, der ungeschützt oder ungepatcht bleibt, ein schwaches oder wiederverwendetes Passwort für den Fernzugriff und die Lieferkette, bei der ein vertrauenswürdiger Anbieter oder eine vertrauenswürdige Software zum Weg in Ihr Netzwerk wird. Nichts davon erfordert einen neuartigen Exploit. Es erfordert eine offene Tür, weshalb Exposure-Management und Identitätshygiene mehr zur Verringerung des Ransomware-Risikos beitragen als jedes einzelne Produkt.

Ein Ransomware-Vorfall ist heute ein regulatorisches Ereignis, nicht nur ein technisches. Da der Angriff fast immer einen Datendiebstahl umfasst, löst er in der Regel die Pflichten bei Verletzungen des Schutzes personenbezogener Daten nach der GDPR aus, was eine Bewertung der Meldung an die Aufsichtsbehörde und in schwerwiegenden Fällen an die betroffenen Personen bedeutet. Betreiber wesentlicher und wichtiger Dienste unterliegen sich überschneidenden Meldepflichten für Vorfälle nach der Richtlinie NIS2.

Nationale Behörden wie ANSSI und ENISA veröffentlichen Leitlinien gerade deshalb, weil dasselbe Vorgehen immer wieder funktioniert. Die praktische Folge für eine Risikofunktion ist, dass der Reaktionsplan den rechtlichen und meldebezogenen Strang von der ersten Stunde an einschließen muss, parallel zur technischen Wiederherstellung durchgeführt und nicht im Nachhinein angefügt.

Der Ausgang wird vor dem Angriff entschieden, nicht während der Lösegeldforderung

Der wichtigste Gedanke für Praktiker ist, dass das Ergebnis eines Ransomware-Vorfalls weitgehend durch die Arbeit bestimmt wird, die lange vorher geleistet wurde. Eine Organisation, die schnell aus sauberen, getesteten, offline gehaltenen oder unveränderlichen Backups wiederherstellen kann, kann sich weigern, für einen Schlüssel zu zahlen. Eine, deren Backups vom selben Netzwerk aus erreichbar und daher zusammen mit allem anderen verschlüsselt wurden, hat diese Option nicht.

Die Netzwerksegmentierung begrenzt, wie weit sich ein Eindringen ausbreiten kann, bevor es die wichtigen Systeme erreicht. Eine starke Authentifizierung beim Fernzugriff und bei der E-Mail schließt die häufigsten Eingangstüren. Eine Erkennung, die Seitwärtsbewegungen erfasst, gewinnt die Stunden, die einen eingedämmten Vorfall von einem unternehmensweiten Verschlüsselungsereignis trennen.

Was kompetente Teams also tatsächlich tun, ist, in die Vorab-Aufstellung zu investieren statt in Verhandlungsgeschick. Sie halten Backups, die vom Produktionsdomäne isoliert, im Ruhezustand verschlüsselt und nach einem Zeitplan wiederhergestellt werden, sodass die Wiederherstellung nachgewiesen und nicht nur angenommen wird. Sie segmentieren Netzwerke, damit eine kompromittierte Arbeitsstation den Backup-Server oder die Domänencontroller nicht ungehindert erreichen kann.

Sie pflegen einen Vorfallreaktionsplan, der Rollen, Entscheidungsträger, externe Forensik und Rechtsberatung sowie den Meldeweg benennt, und sie üben ihn ein. Hier verbindet sich Ransomware unmittelbar mit dem Business-Continuity-Management und der Notfallwiederherstellung: Die Wiederherstellungszeit und der Wiederherstellungspunkt, die eine Organisation tatsächlich erreichen kann, getestet an einem realistischen Szenario, sind der Unterschied zwischen einer schlimmen Woche und einer existenziellen Krise.