Kurtis Minder schirmte den Bildschirm seines Laptops vor neugierigen Blicken der Passagiere auf den umliegenden Sitzen ab.
Es war Ende Juni 2021, und der Geschäftsführer und Gründer von GroupSense – ein Unternehmen, das sich selbst als „Cyber-Aufklärungsunternehmen“ bezeichnet – befand sich in der heiklen und gefährlichen Endphase der Verhandlungen über einen Ransomware-Deal mit Cyberkriminellen, die die enorme Summe von 6 Millionen Dollar forderten, um das Netzwerk und die Daten eines Unternehmenskunden wieder in den Normalzustand zu versetzen.
„Das war eine schwierige Angelegenheit“, erinnert sich der 44-jährige Minder, der täglich zwei oder drei Vereinbarungen im Zusammenhang mit der Ransomware „ “ vermittelt. Im Gegensatz zu den meisten Angriffen erbeuteten die Hacker in diesem Fall die Finanzunterlagen des privat geführten Unternehmens, sodass sie wussten, wie viel es wert war. Außerdem hatten sie die Cyber-Versicherungspolice des Unternehmens entdeckt, aus der hervorging, dass es über die notwendigen Mittel zur Zahlung verfügte. Kurz gesagt: Die Hacker hatten die Oberhand.
„Meistens gleichen Verhandlungen bei Ransomware ein wenig einem Tennismatch, bei dem man sich hin und her über die Summen austauscht“, sagt Minder. „Diesmal waren sie dazu nicht bereit. „Sie beharrten auf ihrer Haltung.“
Angesichts der Tatsache, dass die Zahl der Ransomware-Angriffe in den USA laut um mehr als 300 % in die Höhe geschnellt ist und die bekannten Lösegeldzahlungen im vergangenen Jahr um 341 % auf 412 Millionen US-Dollar gestiegen sind – im Vergleich zu 2019 –, werden Verhandlungsführer wie Minder zu unverzichtbaren Rettungsankern für Tausende von betroffenen Unternehmen und Regierungsbehörden weltweit. Ihre Dienstleistungen können jedoch zu Kontroversen führen.
Das FBI und das Ministerium für Innere Sicherheit, die Ransomware-Angriffe untersuchen, raten Unternehmen davon ab, Lösegeld zu zahlen. Sie weisen darauf hin, dass eine Zahlung keine Garantie dafür darstellt, dass Sie Ihre Daten zurückerhalten. Zudem fördert – und subventioniert – dies die Aktivitäten von Ransomware-Banden.
Dennoch gibt es Situationen, in denen Unternehmen – insbesondere in der Infrastruktur- und Gesundheitsbranche – buchstäblich vor Entscheidungen stehen, bei denen es um Leben und Tod geht, wenn es darum geht, ihre Systeme so schnell wie möglich wieder in Betrieb zu nehmen. Hier kommen Fachleute wie Herr Minder ins Spiel.
[Lesen Sie auch: Eine Cyberversicherung ist nicht Ihr bester Schutz vor Cyberangriffen]
Wie jeder gute Verhandlungsführer setzt Minder eine Mischung aus Offenheit, Geschick und Charme ein, um die Krisen seiner Mandanten zu bewältigen. Während der jüngsten Verhandlungen teilte Herr Minder den Hackern mit, sein Mandant sei zwar zur Zahlung bereit – jedoch nicht, wenn der Betrag diesen in den Konkurs treiben würde. Minder und seine Kunden blieben geduldig und hielten unbeirrt an dieser Haltung fest, selbst als die Hacker den Druck erhöhten, indem sie ein Callcenter beauftragten, Mitarbeitern und Partnern mitzuteilen, dass das Unternehmen nicht in ihrem besten Interesse handele, indem es sich weigere, ihren Preis zu akzeptieren.
Als Minders Flugzeug schließlich auf dem Rollfeld in San Francisco landete, hatte er die Hacker davon überzeugt, etwa 85 % bis 90 % weniger als ihre ursprünglichen Forderungen zu akzeptieren. Seine Mitreisenden ahnten nichts davon.
Wen werden Sie anrufen?
Wie selbst der gelegentlichste Nachrichtenkonsument inzwischen weiß, handelt es sich bei Ransomware um eine Form von Schadsoftware (sogenannter Malware), die in der Regel den Zugriff auf ein Computersystem oder auf Daten blockiert, indem sie die Daten oder Programme verschlüsselt. Die Täter fordern anschließend Zahlungen, um Systeme und Informationen wieder freizuschalten – ein Vorgang, der Wochen oder sogar Monate dauern kann.
Da nur wenige Unternehmen es sich leisten können, so lange auf IT-Systeme und Informationen zu verzichten, suchen versierte Führungskräfte externe Unterstützung, um den schnellsten Weg zur Lösung zu finden: . In der Regel beginnt dies damit, dass man sich an einen auf Datenschutzrecht spezialisierten Anwalt wendet, sich an einen Anbieter von Cyberversicherungen wendet oder beides tut. Jeder wird die Risiken des Mandanten (rechtlicher, technischer oder sonstiger Art) bewerten und eine Reihe von nächsten Schritten vorschlagen.
“„Meistens gleichen Verhandlungen bei Ransomware ein wenig einem Tennismatch, bei dem man sich hinsichtlich der Zahlen hin und her bewegt.“Kurtis Minder, Geschäftsführer und Gründer von GroupSense
Häufig verweisen sie Führungskräfte dann an einen Ransomware-Verhandlungsführer, der ihnen bei der Abwicklung mit den Hackern behilflich ist. Michael Phillips, ein praktizierender Rechtsanwalt, der als Chief Claims Officer bei Resilience, einem Start-up im Bereich Cyberversicherung, tätig ist sowie als Co-Vorsitzender der Ransomware-Taskforce des Institute for Security & Technology fungiert, erklärt, dass es ein Kinderspiel sei, die meisten Mandanten an Verhandlungsführer zu verweisen.
Einige hitzköpfige Führungskräfte und IT-Verantwortliche würden unweigerlich versuchen, auf eigene Faust zu verhandeln, sagt er, doch sie verstünden die Grundregeln nicht und könnten die Lage erheblich verschlimmern, wenn man sie unkontrolliert agieren ließe.
„Ich hatte es mit einem Geschäftsführer zu tun, der völlig außer sich war“, sagt Phillips. „Er war dieser hitzköpfige, männliche Typ, der den Angreifer kontaktieren und ihm genau sagen wollte, was er von ihm hielt – um ihm zu drohen.“ „Ein solches Verhalten verschärft die Situation jedoch nur noch weiter und veranlasst Hacker dazu, ihre Forderungen zu erhöhen, sich zurückzuziehen oder aus Trotz weitere Angriffe zu starten.“
Darüber hinaus, so Phillips, wissen nur wenige Unternehmens- oder IT-Führungskräfte, wo sie überhaupt anfangen sollen, die erforderliche Menge an Bitcoin zu beschaffen, um die Zahlung an einen Cyberkriminellen tatsächlich zu tätigen.
„Sie sollten nicht versuchen, Kryptowährungen im Wert von mehreren Millionen Dollar zu erwerben, ohne dabei auf die Unterstützung von Experten zurückzugreifen“, sagt er. Sie werden nicht die gleiche Preissicherheit erhalten, wie Sie sie bei einem Experten hätten. „Ich habe beispielsweise mit Menschen gesprochen, die Kryptowährung zu einer derart überhöhten Bewertung gekauft haben, dass sie weit mehr dafür bezahlt haben, als sie eigentlich hätten zahlen müssen, und mit anderen, die letztendlich doppelt bezahlen mussten, weil sie Bitcoin an die falsche Adresse gesendet hatten.“
Kennen Sie Ihren Feind
Kirsten Bay, Geschäftsführerin von Cysurance, einem Anbieter von Cyberversicherungen für kleine Unternehmen und deren Partner, erklärt, dass auch ihr Unternehmen Kunden an Verhandlungsführer weitervermittelt, da diese in der Regel besser als jeder andere wissen, wie sich die Gesamtkosten begrenzen und Abläufe beschleunigen lassen.
„Ransomware-Verhandlungsführer wissen, welche Summen für Unternehmen bestimmter Größe angemessen sind, welche Angreifer beteiligt sind, um welche Arten von Angriffen es sich handelt und so weiter“, sagt Bay. „Sie kennen Ihre Konkurrenten und wissen, welche von ihnen 60 %, 40 % oder 20 % weniger verlangen, was Ihnen viel Geld sparen kann.“
“Manchmal treffen Unternehmen … einfach die geschäftliche Entscheidung, eine Wiederherstellung aus Backups zu versuchen, und sagen dem Hacker, er solle sich zum Teufel scheren.“Minder
Das bedeutet jedoch nicht, dass die Verhandlungsführer sofort dazu übergehen, die Lösegeldforderungen der Cyberkriminellen zu begleichen. Laut Minder zahlen zwar 80 % seiner Kunden tatsächlich etwas, doch etwa 20 % tun dies ausnahmslos nicht.
„Manchmal beziehen Organisationen ethisch Stellung und erklären, dass die Zahlung von Lösegeld nicht mit ihren Grundwerten vereinbar sei“, sagt er. „In anderen Fällen verfügen sie über einen soliden Plan zur Aufrechterhaltung des Geschäftsbetriebs, der ihnen einen klaren Weg zur Lösung des Problems aufzeigt. Oder sie glauben nicht, dass die Auswirkungen des Angriffs allzu schwerwiegend sein werden. Oder sie treffen einfach die geschäftliche Entscheidung, die Daten aus den Backups wiederherzustellen, und sagen dem Hacker, er solle sich zum Teufel scheren.“
Allerdings können sich nur wenige Organisationen einen solchen Luxus leisten. Tatsächlich handelt es sich bei den meisten Opfern von Cyberangriffen um kleinere Unternehmen mit begrenzten IT-Ressourcen, und diese „geraten in Panik“, sagt Keith Swanson, ein pensionierter Polizeibeamter aus Scottsdale, Arizona, der nun als Verhandlungsführer bei Ransomware-Fällen für Kivu Consulting in Phoenix tätig ist sowie als Leiter des Bereichs „ “, des Incident-Response- s und der Forensik bei der Versicherungsgesellschaft Allstate.
[Lesen Sie auch: Warum Cyberkriminelle kleine Versorgungsunternehmen ins Visier nehmen]
Wenn dies geschieht, so Swanson, ist es die Aufgabe des Verhandlungsführers, die Beteiligten zu beruhigen. Er arbeitet mit dem Kunden zusammen, um herauszufinden, wie die Hacker in das Netzwerk eingedrungen sind. (Hinweis: Unzureichend gesicherte oder falsch konfigurierte Endgeräte sowie nicht gepatchte Software sind häufig die Ursache.) Anschließend unterstützt er die Kunden dabei, festzustellen, ob die Hacker private oder sensible Daten erbeutet haben, ermittelt, welche Cyberbande hinter der Ransomware steckt (indem er deren Kommunikation mit dem Opfer analysiert), und bespricht dann die Möglichkeiten, den Betrieb wiederherzustellen.
Swanson erklärt seinen Kunden, dass Cyberkriminelle bei Verhandlungen einem bestimmten Zeitplan folgen, und warnt davor, dass es einige Zeit dauern wird, bis eine Einigung erzielt wird. Noch wichtiger ist, dass er sie daran erinnert, dass selbst wenn sie das Lösegeld zahlen und das kryptografische Gegenmittel für ihr Dilemma erhalten, die Systeme nicht sofort wieder normal funktionieren werden. Die Daten werden nicht umgehend zurückgesendet. Auch das braucht Zeit.
Das Überleben der Ruhigsten
Für die meisten Führungskräfte sei dies eine Situation, die mit großem Druck verbunden sei, sagt er. Sowohl die Existenzfähigkeit ihrer Unternehmen als auch ihre Beziehungen zu Kunden, Partnern, Investoren, Mitarbeitern und den Medien sind gefährdet.
„Ein Kunde, dessen System gehackt worden war, rief uns an einem Freitagnachmittag an und sagte: ‚Wir sind bereit, sofort alles zu tun!‘ “ So Swanson. „Sie sagten: ‚Wir müssen dieses Lösegeld innerhalb der nächsten 30 Minuten zahlen, damit wir unsere Systeme bis Montag wieder zum Laufen bringen können.‘“ Wir verfügen über keine Sicherungskopien. „Wir müssen zahlen, weil es für uns auf diese Weise schneller geht, die Daten zu entschlüsseln.“ Das stimmt natürlich nicht. Wir haben noch nie erlebt, dass jemand – selbst wenn er für den kryptografischen Schlüssel bezahlt hat – in weniger als einer Woche wieder einsatzbereit war. Der Verschlüsselungs- und Entschlüsselungsprozess führt zu einer Beschädigung der Dateien. Es unterbricht Verbindungen. Dies führt zu Instabilitäten bei Computern. „Das ist ein Albtraum.“
In den meisten Fällen gelingt es den Verhandlungsführern, Führungskräfte auf den Boden der Tatsachen zurückzuholen. Anschließend werden sie ein offenes Gespräch über den Stand ihrer Datensicherung führen. Sollte sich herausstellen, dass sich die gehackten Datenbanken zwar vor Ort befanden, die Organisation jedoch klug genug war, Informationen an externen Standorten zu speichern, befindet sie sich in einer starken Position. Sie müssen nicht unbedingt verhandeln, auch wenn es sich manchmal lohnt, wenn eine Einigung dazu beiträgt, den Wiederherstellungsprozess zu beschleunigen oder die Hacker dazu zu bewegen, die erbeuteten Daten nicht im Dark Web unter zu veröffentlichen.
Vorbereitung auf den Kampf
Sowohl Swanson als auch Minder geben an, dass sie niemals mit der Absicht in Verhandlungen gehen, einen Cyberkriminellen zu bezahlen. Befindet sich ein Mandant jedoch in einer schwachen Position, ist ihm bewusst, dass dies das wahrscheinliche Ergebnis ist. In solchen Momenten wenden sie – wie jeder erfahrene Verhandlungsführer der Polizei in einer Geiselnahme – so viele Tricks aus dem Metier wie möglich an, um eine Verbindung herzustellen.
Die Kommunikation mit Ransomware-Angreifern verläuft in der Regel wie folgt: Die Mitarbeiter kommen eines Tages zur Arbeit und stellen fest, dass die Systeme ausgefallen sind. E-Mail funktioniert nicht. Sie haben keinen Zugriff auf wichtige interne Anwendungen. Die digitalen Verbindungen zur Außenwelt brechen ab. Mitten in all dem erscheint auf den Bildschirmen von Führungskräften und IT-Verantwortlichen ein elektronisches Lösegeldschreiben, in dem Geld – in nicht zurückverfolgbarem Bitcoin – als Gegenleistung für einen Entschlüsselungscode gefordert wird. Der Zettel könnte sogar Aufschluss über die Identität des Täters geben. Conti, DarkSide, Maze und NetWalker sind bekannte Bedrohungen.
“Sie sollten nicht versuchen, Kryptowährungen im Wert von mehreren Millionen Dollar zu erwerben, ohne dabei auf die Unterstützung von Experten zurückzugreifen. [Es kann] weitaus mehr kosten, als es sollte.”Michael Phillips, Rechtsanwalt, Resilience
Von dort aus ist es recht einfach, mit den Angreifern zu kommunizieren. Der Brief enthält in der Regel auch eine verschlüsselte E-Mail-Adresse wie , ProtonMail, oder einen Link zu einem Chat-Portal auf Tor (kurz für „The Onion Router“), einem Open-Source-Datenschutznetzwerk, das es Nutzern ermöglicht, anonym im Internet zu surfen.
Swanson erklärt, dass ein Teil der Strategie darin besteht, die Kommunikation mit Hackern einzuschränken.
„Wir möchten nicht ständig hin und her diskutieren“, sagt er. „Wir nutzen die Zeit zu unserem Vorteil, indem wir ihnen sagen: ‚Hören Sie, Sie haben unser Haus niedergebrannt.‘ „Wir sind gerade damit beschäftigt, wieder in Gang zu kommen.“ Sie halten sie auf Distanz, damit Sie nicht verzweifelt wirken. Wir werden uns anhören, wie sie darauf reagieren. Analysieren Sie deren Tonfall. „Und sich im Moment darauf einzustellen.“
[Lesen Sie auch: Wie Sie auf eine Datenpanne reagieren sollten]
Der Tonfall der Hacker sei unterschiedlich, so Swanson. Manche sind „Typen, die versuchen, sich einen Namen zu machen, indem sie den harten Kerl spielen.“ Dann gibt es noch Typen, die uns als „Schwuchteln“ und „Scheißkerle“ und so weiter bezeichnen. „Die meisten, denen ich begegne, verhalten sich jedoch recht professionell.“
Minder hat ähnliche Erfahrungen gemacht.
„Wenn ich ihr allgemeines Auftreten beschreiben müsste, würde ich es als kühl bezeichnen.“ „Die meisten sind nicht bedrohlich“, sagt er. „Sie sagen ganz sachlich: ‚Das ist es, was ich habe.‘“ „Das werde ich tun, und so wird es sich auf Sie auswirken, wenn Sie nicht zahlen.“ „Sie sind eigentlich nicht feindselig.“
Sich wandelnde rechtliche Auswirkungen
Die Verhandlungsführer arbeiten selten in einem Vakuum. Die meisten Kommunikationsvorgänge im Rahmen des Hin- und Her-Austauschs werden vom Kunden genehmigt. Außerdem achten sie darauf, die Strafverfolgungsbehörden (das FBI) einzubeziehen. Zudem müssen sie stets die Bundesvorschriften beachten, die regeln, an welche Gruppen Lösegeld gezahlt werden darf und an welche nicht.
Es ist eine wenig bekannte Tatsache, dass die Zahlung von Lösegeld in der Regel nicht illegal ist. Tatsächlich raten Bundesbehörden wie das FBI lediglich von dieser Vorgehensweise ab und weisen darauf hin, dass sie keine Garantie für die Rückgabe der Daten bietet. Die Zahlung eines Lösegelds kann jedoch rechtswidrig werden, wenn eine Organisation einen Hacker bezahlt, der auf einer der Sanktionslisten des Office of Foreign Assets Control (OFAC) des US-Finanzministeriums ( ) aufgeführt ist:. Ähnlich wie die Terrorbeobachtungsliste der Regierung dienen diese Listen dazu, Hackergruppen zu identifizieren, von denen angenommen wird, dass sie mit feindlichen ausländischen Mächten wie Nordkorea oder dem Iran in Verbindung stehen. Und die Listen werden immer länger. Tatsächlich ergab eine Studie von Chainalysis unter dem Titel „ “ ( ), dass 32 % der in diesem Jahr bekannten Ransomware-Zahlungen ein OFAC-bezogenes Sanktionsrisiko bargen, verglichen mit 15 % im Jahr 2020.
Dennoch, so die Verhandlungsführer, gelingt es ihnen durchweg, mit den meisten Hackern eine Einigung über Lösegeldzahlungen in Höhe von 10 % bis 25 % der ursprünglichen Forderungen zu erzielen.
„Es ist eine Kunstform“, sagt Swanson. „Wir nutzen unsere Wortwahl, um dies zu erreichen. Unsere Kreativität. Unser Zeitplan. Wir haben COVID manchmal als Vorwand benutzt. Meine Güte, während der Wahlen haben wir sogar Donald Trump eingesetzt. „Was auch immer uns in diesem Moment einfällt, das setzen wir ein.“
Dem Widerstand der Industrie entgegenwirken
Nicht jeder in der Branche ist der Ansicht, dass Verhandlungen bei Ransomware-Angriffen eine solche Kunst darstellen.
Der französische Versicherer AXA hat beispielsweise kürzlich beschlossen, die Erstattung von Lösegeldzahlungen an einzustellen, nachdem Regierungsvertreter Bedenken geäußert hatten, dies könne zu einer Zunahme der Kriminalität führen. Inzwischen hat sich eine Gruppe namens „– The No More Ransom Project“ mit Unterstützung von Cybersicherheitsunternehmen sowie von Amazon Web Services gebildet, um sich gegen die Zahlung von Lösegeld bei Ransomware-Angriffen zu wehren. Und im August beteiligte sich Microsoft an dem Start-up Rubrik, um Produkte zu entwickeln, mit denen Daten schnell wiederhergestellt werden können, ohne Hacker bezahlen zu müssen.
Die ablehnende Haltung gegenüber der Zahlung von Lösegeld (nicht unbedingt gegenüber den Verhandlungsführern) erstreckt sich auch auf den Finanzdienstleistungssektor, wo die Prämien für Cyberversicherungen aufgrund großer Ransomware-Angriffe auf Unternehmen wie SolarWinds, Kaseya, CNA Financial, Colonial Pipeline und Acer sowie weitere Unternehmen stetig gestiegen sind. John Donnelly, CEO von Marsh, erklärt beispielsweise, dass die Prämien für Cyberversicherungen im vergangenen Jahr um bis zu 60 % gestiegen sind . Dies schmälert zweifellos den Gewinn der „Fortune 1000 “-Unternehmen, von denen schätzungsweise 70 % über eine Cyberversicherung verfügen, so Bay von Cysurance. Für kleinere Unternehmen, die unter Druck stehen, ist die Preiserhöhung jedoch erheblich – so sehr, dass sich viele eine Versicherung nicht mehr leisten können.
[Lesen Sie auch: Eine Cyberversicherung ist nicht Ihr bester Schutz vor Cyberangriffen]
„Gerade im Mittelstand leiden die Menschen am meisten“, sagt Bay. „Wenn Ihr Jahresumsatz unter 50 Millionen Dollar liegt, liegt Ihre Deckungsquote wahrscheinlich bei 30 % bis 40 %.“ „Wir müssen uns verbessern.“
Frau Bay erklärt, dass sie – im Gegensatz zu anderen Beobachtern – nicht der Ansicht ist, dass Lösegeldzahlungen der Hauptgrund für die Erhöhung der Prämien bei Cyberversicherungen sind.
„Die Nebenkosten sind der Hauptgrund für die Schwierigkeiten und Verluste“, sagt sie. „Es kann vorkommen, dass jemand nach einer Verhandlung 12 000 Dollar Lösegeld zahlt, aber zusätzlich noch 300 000 Dollar für die Behebung der Schäden aufbringen muss.“ Sofern es sich nicht um einen der großen Angriffe auf die Lieferkette handelt, wie beispielsweise im Fall von Kaseya, ist es die Wiederherstellung, die für die Betroffenen so kostspielig ist. „Je schneller die Verhandlungsführer also jemanden durch den Prozess begleiten, desto besser.“
