Digitale Geiselnehmer aussperren

Rund 67 Prozent der befragten Unternehmen in Deutschland (global 66 Prozent) waren im Jahr 2021 von Ransomware betroffen, im Jahr 2020 waren es nur 46 Prozent. Die Studie „The State of Ransomware 2022“ des IT-Sicherheitsunternehmens Sophos zeichnet ein beunruhigendes Bild. Das durchschnittliche Lösegeld, das von deutschen Unternehmen gezahlt wurde, hat sich fast verdoppelt auf 253.160 Euro.

Ransomware bedroht jedes Unternehmen, jede öffentliche Verwaltung und jede Behörde. Die Fallhöhe ist gewaltig. Es drohen massive Beeinträchtigungen des Geschäftsbetriebs, Vertrauensverlust und der Verlust schützenswerter Daten, geheimer Unterlagen und Know-how. Es droht im Schadensfall nicht weniger als das Ende des Unternehmens oder der Arbeitsfähigkeit von Behörden über Monate.

Die organisierte Ransomware-Kriminalität verdient mit ihren Attacken Milliarden. Die lukrativsten Angriffsziele sind große Unternehmen, weil diese mitunter Lösegelder in Millionenhöhe zahlen. Leichter rein in die IT-Systeme kommen die Erpresser hingegen bei kleinen und mittleren Unternehmen, von denen viele die Gefahr noch unterschätzen. Auch die öffentliche Verwaltung wird nicht verschont. Im Landkreis Anhalt-Bitterfeld ging nach einem Hackangriff nicht mehr viel. Es dauerte über ein Jahr, bis der IT-Neuaufbau im Kreis abgeschlossen war.

Nicht auf Lösegeldforderungen eingehen

Die Angriffsvektoren der Attacken ähneln sich. Im Visier der Geiselnehmer sind vor allem Administratoren, deren Passwörter ausgekundschaftet werden. Das gelingt meist über Phishing-Attacken, sprich über eine E-Mail mit einem gefährlichen Anhang oder Link. Über öffentlich zugängliche Informationen auf Webseiten und in sozialen Medien kundschaften die Kriminellen vorab aus, wie man die Mitarbeiter der IT-Abteilung erreichen und am besten täuschen kann. Erlangen die Angreifer Zugang zu den Unternehmenssystemen, agieren sie zunächst unauffällig und bereiten die Verschlüsselung aller Daten und Systeme vor oder kopieren Daten von Kunden mit dem Ziel, diese als Druckmittel zu nutzen. Zum Tag X schlagen sie dann zu, verschlüsseln die Daten und stelle eine Lösegeldforderung.

Experten und das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfehlen, die Lösegelder nicht zu zahlen. Doch viele Unternehmen tun es dennoch. 42 Prozent (global 46 Prozent) der deutschen Unternehmen, deren Daten verschlüsselt wurden, zahlten das Lösegeld, um ihre Daten zurückzubekommen, zeigt die Sophos-Studie. Ein Versicherer in den USA soll bis zu 40 Mio. Dollar gezahlt haben, um die Kontrolle über die eigenen Systeme wiederzuerlangen.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2022. Bestellen Sie ein kostenfreies Probe-Abo.

Die Sicherheitslage ist angespannt bis kritisch, zum Teil gilt die Alarmstufe „Rot“, sagt das BSI. Cybererpressungen entwickeln sich zur größten Bedrohung überhaupt. Dennoch stehen viele Systeme sperrangelweit offen. Das IT-Sicherheitsgesetz schreibt Unternehmen vor, die Kritische Infrastrukturen (KRITIS) betreiben, für IT-Sicherheit zu sorgen und diese aktuell zu halten. Sie müssen außerdem Cybervorfälle melden. Auch wenn Unternehmen die Medien zunächst nicht informieren wollen, sollte doch eine vertrauliche Meldung ans BSI erfolgen.

Am besten ist es jedoch, vorzusorgen, d.h. alles zu tun, um das Risiko einer erfolgreichen Ransomware-Attacke von vorneherein zu minimieren und zugleich Notfallpläne zu machen, falls es dennoch soweit kommen sollte. Die Unternehmen Sophos, Microsoft und Rohde & Schwarz haben sich mit dem Ziel, dafür praktische Hilfestellung zu leisten, zur Initiative Ransomware unter dem Dach des Eco – Verbands der Internetwirtschaft e.V. zusammengeschlossen. Die Initiative empfiehlt dringend die folgenden technischen und organisatorischen Vorkehrungen:

• ein Bewusstsein für Cybersicherheit bei den Angestellten schaffen – Phishing, sei es per E-Mail oder per Telefon, ist eines der erfolgreichsten Werkzeuge der Cyberkriminellen

• starke Passwörter und, wo es möglich ist, eine starke Multi-Faktor-Authentifizierung verwenden

• externe Verbindungen auf interne Systeme nur von festgelegten IP-Adressen oder über VPN zulassen

• sparsam mit der Vergabe von Benutzerrechten vorgehen – insbesondere Administratorrechte sollten ausschließlich dem fachkundigen IT-Personal vorbehalten sein

• die Installation von Apps nur von vertrauenswürdigen Quellen aus zulassen

• auf Warnungen der Monitoring-Software reagieren – ungewöhnliche Netzwerkaktivitäten sind ein eindeutiges Alarmsignal

• Scripting-Umgebungen und Makros aus externen Quellen deaktivieren – die Mehrzahl der Schadprogramme wird über Office-Dateien eingeschleppt

• zeitnah Updates für die verwendete Software und Betriebssysteme installieren

• die Business-Continuity-Management- (BCM) und IT-Notfallpläne überprüfen und sich darauf vorbereiten, bei einem großflächigen Cyberangriff zeitweise ohne externe Dienstleister auskommen zu müssen

• die Backup-Strategie überprüfen und testen – von allen geschäftskritischen Systemen sollten Backups existieren und auch das Wiedereinspielen derselbigen getestet sein.

Bildquelle: Getty Images / iStock / Getty Images Plus