Ransomware: Gefahr, Definition, geeignete Schutzmaßnahmen und Bedrohungslage

Die Versender der E-Mail versuchen, das Angriffsziel zum Öffnen eines Anhanges zu bewegen, indem sie diese als Rechnungen, eingescannte Dokumente oder Bestellbestätigungen tarnen. Mit dem Öffnen der Datei wird die Schadsoftware heruntergeladen und die Dokumente des Unternehmens werden verschlüsselt. Dabei sind die Angreifer mittlerweile so geschickt, dass schadhafte E-Mails immer schwerer zu identifizieren sind. Beispielsweise verwenden sie den Betreff einer vorherigen Konversation oder als Absender wird eine dem Opfer bekannte Person verwendet, wie ein Kollege oder eine Vorgesetzte.

Bei einer Drive-By Infektion wird die Malware beim Besuch einer kompromittierten Webseite automatisch heruntergeladen, wenn die Firewall keinen Alarm schlägt. Dies geschieht häufig unbemerkt im Hintergrund, weshalb Drive-By Infektionen oft lange unentdeckt bleiben. In einigen Fällen werden über die Webseiten oder Werbebanner Exploit-Kits verbreitet, die Schwachstellen in geläufigen Programmen und Softwares zur Verteilung der Ransomware ausnutzen.

Ist ein Server aus dem Internet zu erreichen, so können ihn Täter durch das Brechen von Passwörtern angreifen. Gängige Angriffsmethoden sind beispielsweise das Credential Stuffing oder Brute-Force Angriffe.

Beim Credential Stuffing hoffen die Angreifer darauf, dass ein Nutzer für verschiedene Dienste identische Anmeldeinformationen verwendet. Werden solche Informationen über ein Datenleck herausgefunden, versuchen die Täter, sich damit bei anderen Dienstleistern anzumelden.

Brute-Force Angriffe verfolgen hingegen keine ausgeklügelte Strategie, sondern wenden die Trial-and-Error Methode an. Verschiedene Zahlen- und Buchstabenkombinationen werden so lange automatisiert ausgetestet, bis das richtige Passwort gefunden wurde. Diese Art von Angriffen wird unter anderem auch auf ungeschützte Fernzugänge angewandt.

Auch externe Speichermedien, wie USB-Sticks oder Festplatten, können zur Angriffsfläche von Ransomware-Angriffen werden. Durch das Einführen infizierter Wechseldatenträger gelangt die Ransomware auf den Rechner und verbreitet sich so im Unternehmensnetzwerk. Deshalb sollen unbekannte externe Speichermedien nicht eingesteckt bzw. eingelesen werden, bevor eine genaue Überprüfung stattgefunden hat.

Ein Krisenstab bzw. Projektteam, das die Bewältigung des Sicherheitsvorfalls und die interne und externe Kommunikation übernimmt, sollte interdisziplinär aufgestellt sein und über eine Kenntnis der kritischen Geschäftsprozesse verfügen. Verschiedene Stellen, wie beispielsweise ein Mitglied der Geschäftsführung, die IT-Leitung, die Rechtsabteilung und die Unternehmenskommunikation, sollten unbedingt in das Team eingebunden werden.

Zunächst sollte analysiert werden, welchen Schaden der Angriff verursacht hat und welche Systeme betroffen sind, woraufhin eine Phase des Übergangs folgt. Während des Übergangsbetriebs müssen weitere Infektionen dringend verhindert werden und die Netze stehen unter Beobachtung. Daraufhin gilt es, die Netze und Systeme zu bereinigen und neu aufzusetzen. Um sich künftig besser gegen Ransomware-Angriffe schützen zu können, hilft eine Analyse des Vorfalls, damit das Sicherheitskonzept weiter ausgebaut und neue Sicherheitsmaßnahmen entwickelt werden können.

Eine gelungene Kommunikation ist bei der Bewältigung von Ransomware-Angriffen eine wichtige Aufgabe, der im betroffenen Unternehmen eine angemessene Aufmerksamkeit zukommen soll. Zunächst sollten die Mitarbeitenden schnellstmöglich informiert und für die bevorstehenden Maßnahmen und den verantwortungsvollen Umgang mit Medien sensibilisiert werden. Die Kommunikationskanäle sollten sowohl für die interne als auch für die externe Kommunikation sorgsam gewählt werden. Zudem soll klar geregelt werden, wer welche Informationen an welchen Empfänger kommunizieren darf. Es ist hilfreich, wenn die Botschaften eindeutig und prägnant sind, weshalb der Krisenstab involviert werden sollte und bei Bedarf die Hilfe von Kommunikationsspezialisten hinzugezogen werden kann. Es ist besonders wichtig, keine Schuldzuweisungen vorzunehmen und stets die Wahrheit zu sagen.

Die Kommunikation mit der Öffentlichkeit hilft dabei, transparent zu bleiben und kann einem Imageschaden und den Bedenken von Kunden und Partnern entgegenwirken.

Obwohl das technische Vorgehen individuell von der Art des Angriffes abhängt, gibt es generell zu beachtende Grundsätze. Bestenfalls kann der Angriffsweg herausgefunden und die Sicherheitslücke geschlossen werden, wobei nicht außer Acht gelassen werden darf, dass mehrere Systeme betroffen sein können. Eine Anmeldung mit privilegierten Nutzerkonten auf einem eventuell infizierten System muss verhindert werden.

Die technischen Maßnahmen müssen gut geplant werden und eine ausführliche Absprache mit der Managementebene, der IT-Abteilung und eventuellen Dienstleistern ist unabdingbar.

Um die Institution vor weiteren Angriffen zu schützen, sollte der Vorfall möglichst umfassend und neutral aufgearbeitet werden. Daraus lassen sich Sicherheitsmaßnahmen ableiten, die dann in der Organisation umgesetzt werden sollen. Besonders wichtig ist, sich nach der Bewältigung eines Angriffs nicht in der trügerischen Sicherheit zu wähnen, dass das Unternehmen nicht erneut Ransomware zum Opfer fallen kann. Es ist daher umso wichtiger, zu handeln und Schutzmaßnahmen jeglicher Art zu implementieren – bei Bedarf mit der Unterstützung externer Expertise. Zudem soll eine Strafanzeige bei den zuständigen Behörden erfolgen, damit die Täter eventuell identifiziert und gefasst werden können.