Maßnahmen gegen Ransomware

Die letzten Monate haben es gezeigt: Die Bedrohung von Unternehmen und Privatleuten durch Ransomware (Lösegeld-Trojaner) wächst stetig. „Seit Mitte September 2015 hat sich die Bedrohungslage deutlich verschärft“, konstatiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem Bericht zu Cyberrisiken.

Dass BSI weiter: „Weil der Leidensdruck für die Betroffenen so hoch ist, zahlen Opfer in vielen Fällen das geforderte Lösegeld.“ Dieser Erfolg führe dazu, dass mittlerweile Kapazitäten aus anderen Geschäftsbereichen des organisierten Cyber-Verbrechens abgezogen werden und viele Botnetze nun Ransomware verteilen.

Dabei investieren die Kriminellen recht viel Gehirnschmalz. Es gibt vermehrt Ransomware-Varianten, die im Moment als sicher geltenden Verschlüsselungs-Algorithmen einsetzen, sodass eine Entschlüsselung nicht ohne weiteres möglich ist. Außerdem sind seit einiger Zeit auch Mobilgeräte in den Fokus der Verbrecher geraten.

Die Schadprogramme werden derart schnell weiterentwickelt, dass zumindest in den ersten Tagen nach Erscheinen praktisch jeder Virenscanner wirkungslos ist. Ganz generell gehört es zum Sport der Cyberkriminellen, Schutzprogramme trickreich zu umgehen. So gibt es beispielsweise Word-Makroviren, die Skripts der Windows Powershell enthalten und damit Malware am Virenscanner vorbei in den Arbeitsspeicher einschleusen.

Kurz: Die Bedrohungslage hat sich gegenüber der Situation vor einem Jahr deutlich geändert. Die Folgen eines Ransomare-Angriffs können in Unternehmen zu kritischen Situationen führen, die es bis an den Rand der Zahlungsunfähigkeit bringen. Zur Bekämpfung müssen in der Regel alle IT-Systeme teilweise für Tage heruntergefahren werden, damit die Software neu installiert und Sicherungskopien wiederhergestellt werden können.

Infektion verhindern, Schaden begrenzen

Das BSI empfiehlt ein Unternehmen jeder Größe einige Maßnahmen, die eine Infektion verhindern oder zumindest das Ausmaß des Schadens begrenzen können:

• Erstens ist ein umfassendes Patchmanagement notwendig. Auf allen IT-Systemen (Clients und Server) sollten für Betriebssysteme und Anwendungsprogramme Sicherheitsaktualisierungen nach Verfügbarkeit so schnell wie möglich ausgebracht werden.
• Zweitens sollte auf den Systemen nur die unbedingt benötigte Software installiert sein. Ungenutzte Software, aber auch nicht zwingend notwendige Browser-Plugins (Flash, Java, Silverlight) sollten entfernt werden.
• Drittens sollte die HTML-Darstellung von E-Mails in den jeweiligen Client-Anwendungen (etwa Outlook) unterdrückt werden. Dies bedeutet zwar gelegentlich einen Verlust an Darstellungskomfort, hat aber die größte Schutzwirkung, da nun Links nicht mehr verschleiert werden können, sodass Fake-Websites schneller auffallen.
• Viertens sollte in Microsoft Office die automatische Ausführung von Makros verhindert werden. Idealerweise sollte es eine entsprechende Gruppenrichtlinie geben, die auf allen Clients die Funktion abschaltet.
• Fünftens sollte die Endpoint Protection durch herkömmliche Virenscanner durch weitere Maßnahmen ergänzt werden, etwa durch die Intrusion Prevention (IPS)-Module und Cloud-Dienste der Anbieter von Antivirus-Software.
• Sechstens benötigt jedes Unternehmen ein umfassendes Datensicherungskonzept, das die Risiken durch Ransomware berücksichtigt. Hierzu ist ein Offline-Backup notwendig, da Ransomware häufig auch Online-Backups verschlüsselt, etwa Dateien auf NAS-Systemen oder Schattenkopien.

Eine wichtige Maßnahme fehlt noch in dieser Aufzählung: Awareness-Schulungen für die Mitarbeiter. Denn sie sind das eigentliche Einfallstor für Schadprogramme, etwa durch unbedarftes Öffnen von Anhängen in E-Mails oder durch den Besuch kompromittierter Websites im Internet.

Jeder Mitarbeiter in einem Unternehmen benötigt ein gesundes Misstrauen gegenüber zugesagten Mails mit Links und Dateianhängen. So sollten die Empfänger den E-Mails nicht blind vertrauen und vor allem Mails von unbekannten Absendern besonders kritisch betrachten. Im Zweifel ist es hilfreich, beim Absender einer ungewöhnlich erscheinenden E-Mail per Telefon nachzufragen.

Bildquelle: Thinkstock

BSI-Infos zu Ransomware