Der Anruf beim technischen Support ging an einem Sommermorgen im Jahr 2021 unter der Nummer 07 Uhr ein. Alle Symbole auf dem Desktop des Anrufers seien leer geworden, sagte er. Nichts hat funktioniert.
Am anderen Ende der Leitung wusste John Abercrombie sofort, was schiefgelaufen war. Der Leiter des technischen Supports eines kleinen gewerblichen Bauunternehmens in Nordkalifornien wies den Anrufer an, den Stecker seines Computers unverzüglich aus der Steckdose zu ziehen. Eine Minute später erhielt Abercrombie einen weiteren Anruf von einer Zweigstelle mit derselben Beschwerde.
„In diesem Moment dachte ich mir: ‚Jetzt sind wir aber wirklich am Ende‘“, erinnert er sich heute.
Abercrombie rief an, um einen Techniker zu wecken, der näher am Firmensitz wohnte: „Es ist mir egal, ob Sie im Schlafanzug sind – kommen Sie sofort her und fangen Sie an, die Stecker zu ziehen!“ sagte er.
Zu diesem Zeitpunkt waren bereits mehr als hundert Server und Desktop-Computer des Unternehmens mit Schadsoftware infiziert worden. Der Ransomware-Angriff „ “ hatte nicht nur die Daten des Unternehmens gesperrt, sondern auch Betriebssystemdateien verschlüsselt, wodurch die Rechner nicht mehr funktionsfähig waren. Und Abercrombies Leidensweg hatte gerade erst begonnen.
Als Nächstes rief er bei seinem Cyber-Versicherungsunternehmen an, das ihm einen Anwalt empfahl. Dieser Anwalt beauftragte daraufhin ein „ “-Team für die Reaktion auf Vorfälle , das ihm dabei helfen konnte, das Chaos zu beseitigen – und zwar Rechner
für Rechner.
Es dauerte etwa eine Woche, bis der Betrieb des Unternehmens wieder aufgenommen werden konnte, was zum Teil darauf zurückzuführen war, dass sich die Angreifer bereits seit unbestimmter Zeit im Netzwerk eingenistet hatten und einige der Online-Sicherungen manuell gelöscht hatten. Insgesamt arbeitete Herr Abercrombie einen Monat lang täglich 15 Stunden, um die Systeme von Grund auf neu aufzubauen und den normalen Betriebsablauf des Unternehmens wiederherzustellen.
Letztendlich zahlte seine Versicherungsgesellschaft das Lösegeld – einen Betrag im niedrigen sechsstelligen Bereich – und das Unternehmen konnte die Dateien, die die Hacker zurückgegeben hatten, entschlüsseln.
John Abercrombie ist nicht der richtige Name dieses Mannes. Einige Einzelheiten des Angriffs wurden geändert, um die Identität seines Unternehmens zu schützen, damit es nicht zur Zielscheibe weiterer Angriffe wird. Doch seine Geschichte ist nichts Ungewöhnliches. Laut einem aktuellen Bericht des Senatsausschusses für innere Sicherheit und Regierungsangelegenheiten mit dem Titel „ “ () meldeten im Jahr 2021 mehr als 3 700 Unternehmen dem FBI einen Ransomware-Angriff. Diese Zahl stellt mit ziemlicher Sicherheit eine erhebliche Unterschätzung der tatsächlichen Angriffe dar.
Ransomware stellt nach wie vor eine eindeutige und unmittelbare Gefahr sowohl für kleine Unternehmen als auch für globale Konzerne dar. Und sollten Führungskräfte in der Wirtschaft keinen detaillierten Plan haben, um darauf zu reagieren, könnten sie in große Schwierigkeiten geraten. Folgendes müssen Führungskräfte tun, um ihren Plan in die Tat umzusetzen, sollten sie jemals mit einem Angriff konfrontiert werden.
Eine bekannte Geschichte über Malware im Zusammenhang mit echten Verbrechen
Von (Campbell Soup, ) über (Colonial Pipeline, ) bis hin zu (Tante-Emma-Läden, ) und (ganze Regierungen,) – keine Organisation ist vor Ransomware-Angriffen gefeit. Es handelt sich um ein Problem, das Organisationen und Einzelpersonen seit Jahrzehnten zu schaffen macht.
„“ In diesem Moment dachte ich mir: ‚Jetzt sind wir aber wirklich aufgeschmissen.‘“John Abercrombie, Leiter des technischen Supports im Bereich Gewerbebau
Der erste bekannte Fall eines Ransomware-Angriffs ereignete sich bereits im Jahr 1989. Die als „AIDS-Trojaner“ bekannte Malware wurde über eine infizierte Diskette verbreitet und zeigte eine Nachricht an, in der eine Zahlung zwischen 189 und 378 US-Dollar gefordert wurde.
Das Problem ist heute um ein Vielfaches größer. Der „ -Bericht zu Datenpannen 2022 “ von Verizon hat einen alarmierenden Anstieg immer raffinierterer Ransomware-Angriffe festgestellt. Der Anstieg der Angriffe um 13 % im Jahr 2021 war der stärkste Anstieg seit fünf Jahren. Laut einer Endpoint-Analyse von Daten des Blockchain-Spezialisten Chainalysis haben Unternehmen seit 2020 fast 1,3 Milliarden US-Dollar in Kryptowährungen an Ransomware-Banden gezahlt. Das entspricht etwa dem Vierfachen des Gesamtbetrags, der von 2016 bis 2020 gezahlt wurde.
Im Jahr 2021 gingen laut einem Bericht von „ “ von Chainalysis bis zu 74 % der Ransomware-Zahlungen westlicher Unternehmen – das entspricht einem Wert von etwa 400 Millionen US-Dollar in Kryptowährungen – an russische Geheimdienste, kriminelle Banden und „Hacktivisten“. Eine im Juni veröffentlichte Studie von „ “ von Microsoft ergab, dass Russland seit Kriegsbeginn 128 Organisationen in 42 Ländern außerhalb der Ukraine ins Visier genommen hat, darunter Regierungen, Thinktanks, humanitäre Organisationen, IT-Anbieter sowie Unternehmen, die kritische Infrastruktur betreiben. Die russische Zielausrichtung auf war in 29 % der Fälle erfolgreich. Bei mindestens einem Viertel dieser erfolgreichen Angriffe wurden Daten gestohlen.
Die wirksamste Reaktion auf Angriffe dieser Art hat sich seit dem ersten Auftreten von Ransomware kaum verändert. Sofern Sie über aktuelle Offline-Sicherungen verfügen, können Sie die infizierten Rechner zurücksetzen, die Daten wiederherstellen und Ihren Arbeitstag fortsetzen. Möglicherweise gehen Ihnen Daten aus einigen Stunden verloren, doch das ist immer noch besser, als ein Lösegeld zu zahlen, bei dem nicht sicher ist, ob Sie anschließend die Schlüssel zur Entschlüsselung der gestohlenen Daten erhalten.
„Sobald Ihr Netzwerk kompromittiert wurde, sind zuverlässige Offline-Sicherungen das Beste, worauf Sie hoffen können“, erklärt Josh Bryant, Senior Director of Technical Account Management bei Tanium.
Es gibt keine einfache Lösung für die aktuelle Ransomware-Epidemie
Warum stellt Ransomware also nach wie vor ein so enormes Problem dar?
Ein Grund dafür ist, dass viele Unternehmen bei der Erstellung von Sicherungskopien nicht sorgfältig genug vorgehen, bemerkt Mike Meikle, ein langjähriger Sicherheitsberater, der schätzt, dass er etwa 20 % seiner Zeit mit der Bewältigung von Ransomware-Problemen verbringt. Insbesondere versäumen es Unternehmen, ihre Backups angemessen zu testen, um sicherzustellen, dass diese zuverlässig sind und alle besonders wichtigen und aktuellen Daten enthalten, die für die Wiederherstellung des Geschäftsbetriebs erforderlich sind.
Ein weiterer wichtiger Grund ist, dass die Ransomware-Branche immer ausgefeilter geworden ist. Der Vormarsch von „Ransomware-as-a-Service“ (RaaS) erleichtert es auch weniger erfahrenen Angreifern, Angriffe durchzuführen. Warum sollten Sie Zeit und Geld für die Entwicklung eigener Schadsoftware aufwenden, wenn Sie die eines anderen einfach mieten können? Viele Angreifer arbeiten mit sogenannten „Initial Access Brokers“ zusammen – anderen Hackern, die sich Zugang zu Netzwerken verschaffen und diese Hintertüren an die kriminellen Banden verkaufen, was die Arbeit noch weiter erleichtert.
Die Banden sind in letzter Zeit bei der Auswahl ihrer Ziele selektiver geworden und konzentrieren sich nun eher auf finanzstarke Organisationen als auf kleine Unternehmen. Laut Chainalysis stieg die durchschnittliche Lösegeldzahlung von rund 25 000 US-Dollar im Jahr 2019 auf fast 120 000 US-Dollar im Jahr 2021. Angreifer verbringen immer mehr Zeit damit, sich im Netzwerk eines Unternehmens zu verstecken – sie bewegen sich lateral, suchen nach Schwachstellen und entwenden sensible Daten.
Zudem haben sie ein sekundäres Geschäftsmodell eingeführt: Erpressung. Nach Angaben des auf Cyberrisikomanagement spezialisierten Unternehmens Kroll enthielten fast acht von 10 Ransomware-Angriffen im ersten Halbjahr 2021 die Drohung, die gestohlenen Daten im öffentlichen Internet zu veröffentlichen.
Die häufigsten Angriffsvektoren sind jedoch im Laufe der Jahre weitgehend unverändert geblieben: Software-Schwachstellen , die ungepatcht bleiben sowie Menschen, die dazu verleitet werden, ihre Zugangsdaten preiszugeben oder Schadcode auszuführen.
„Es ist äußerst schwierig, diesen ersten Zugriff zu verhindern“, sagt Bryant von Tanium. „Ganz gleich, wie viele technische Sicherheitsmaßnahmen Sie auch einführen – Angreifer können Sie dennoch dazu verleiten, ihnen Zugang zu Ihrer Umgebung zu gewähren.“ „Und sobald sie erst einmal drinnen sind, können sie sich von dem ernähren, was das Land hergibt, und sich seitwärts fortbewegen.“
Was ist nach einem Ransomware-Angriff zu tun?
Sollten Sie das Pech haben, mit Malware infiziert zu sein, sollten Sie als Erstes Ihre Rechtsabteilung kontaktieren, so Bryant. Diese können wiederum direkt mit Ihrem Cyber-Versicherer und Ihrem Incident-Response-Team zusammenarbeiten.
„Sobald Hacker einmal im System sind, können sie sich aus den vorhandenen Ressourcen versorgen und sich lateral bewegen.“Josh Bryant, Senior Director für technisches Kundenmanagement bei Tanium.
Im Falle eines Rechtsstreits wären alle vom IR-Team ergriffenen Maßnahmen durch das Anwaltsgeheimnis vor einer Offenlegung geschützt. Rechtsanwälte wären zudem an der Meldung des Vorfalls an Justizbehörden beteiligt, wie beispielsweise an die Cybersecurity and Infrastructure Security Agency (CISA) des US-Heimatschutzministeriums ( ) oder an das Internet Crime Complaint Center (IC3) des FBI (IC3).
Noch wichtiger ist, dass Sie einen Wiederherstellungsplan für das gesamte Unternehmen aktivieren – einen, dessen Umsetzung Ihnen bereits bekannt ist. Regelmäßige Tabletop-Übungen oder Simulationen, an denen alle wichtigen Beteiligten teilnehmen, können wesentlich dazu beitragen, nach einem Hackerangriff eine vollständige Wiederherstellung zu gewährleisten, fügt Bryant hinzu.
Nachdem Sie einen Einbruch festgestellt haben, müssen Sie ermitteln, wie die Angreifer eingedrungen sind und wohin sie sich von dort aus bewegt haben. Hat Ihr Warnsystem etwas übersehen? Verfügen Sie über geeignete Kontrollmechanismen hinsichtlich der Zugriffsrechte Ihrer Mitarbeiter? „Wenn man die Handlungsmöglichkeiten eines Angreifers einschränkt, lässt sich der Großteil der Ransomware-Bedrohungen beseitigen“, so Bryant. Wenn Angreifer sich nicht lateral durch Ihr Netzwerk bewegen können, werden sie sich mit größerer Wahrscheinlichkeit einem leichteren Ziel zuwenden.
Ob Sie letztendlich ein Lösegeld zahlen , hängt von der jeweiligen Situation ab, sagt er. Es handelt sich um eine Entscheidung, bei der Risiken und Vorteile gegeneinander abgewogen werden müssen und die in der Regel in die Zuständigkeit der Rechtsabteilung und der Geschäftsleitung fällt. Bryant empfiehlt, Fragen zu stellen wie: Was ist ein akzeptables Ausmaß an Verlusten? Können wir es verkraften, eine Woche oder einen Monat ohne Daten auszukommen, falls unsere aktuelleren Online-Backups kompromittiert werden sollten?
„Selbst wenn Sie sich für eine Entschlüsselung entscheiden, ist es dennoch ratsam, eine gründliche Untersuchung durchzuführen, um sicherzustellen, dass die Angreifer keine Spuren hinterlassen haben, und anschließend Ihre Systeme zu löschen und anhand guter, zuverlässiger Sicherungskopien neu zu installieren“, sagt Bryant.
Und natürlich möchten Sie alles in Ihrer Macht Stehende tun, um sicherzustellen, dass sich ein Hackerangriff nicht wiederholt.
John Abercrombie sichert nun alle kritischen Server seines Unternehmens auf einem lokalen Gerät, das die Backups unter Verwendung anderer Zugangsdaten als die für das übrige Netzwerk auf einen Cloud-Speicher repliziert. Das Unternehmen hat neue, KI-basierte Endgeräteschutz-Software „ “ sowie E-Mail-Sicherheitssoftware eingeführt und ein Unternehmen für Managed Detection and Response (MDR) mit der Verwaltung dieser Lösungen beauftragt. Das Unternehmen richtete die Zwei-Faktor-Authentifizierung unter ein und führte für alle Mitarbeiter Schulungen zum Thema Phishing-Schutz durch.
Das nächste Mal: Malware-Ausbruch
Abercrombie erinnert sich, dass das Beängstigendste an dem Ransomware-Angriff auf sein Unternehmen die Erkenntnis war, dass nichts einen erneuten Angriff verhindern konnte.
„Es gibt zahlreiche Ransomware-Banden“, sagt er. „Es ist ja nicht so, dass man sagen würde: ‚Oh, einer unserer Konkurrenten hat sie letzten Monat geschlagen, da lassen wir sie mal davonkommen.‘“ „Seit diesem Vorfall legen wir daher größten Wert auf Sicherheit.“
Was ist Abercrombies bester Rat für andere? „Machen Sie einen Plan“, sagt er. „Wenn es also passiert – und das wird es –, stehen Sie nicht vor der Situation, dass Sie erst herausfinden müssen, was zu tun ist.“
