Zusammenfassung
Die Kosten für die Geschäftstätigkeit haben sich durch Ransomware erheblich verändert, aber in Bezug auf Dollar und Verstand (wie viel sollte man zahlen, und was sollte man sonst noch tun oder nicht tun?), nun, es scheint wenig Einigkeit zu herrschen.
Wir wenden uns an einen der führenden Ransomware-Experten des Landes, um Tipps zu erhalten, was Priorität haben sollte: bessere Cyber-Hygiene, häufiges Patchen, stärkere Passwortrichtlinien – Haken, Haken, Haken. Und was ist mit neuen Gesetzen, die Lösegeldzahlungen verbieten? Hmm, sagt er … niemals nie sagen.
MODERATORIN: Maggie Miller, Direktorin für Content-Marketing, Tanium
GAST: Kurtis Minder, CEO, GroupSense
Shownotes
Lesen Sie diese Artikel in Focal Point, Taniums neuem Online-Cyber-Nachrichtenmagazin, sowie einen aktuellen Hinweis unserer Cyber-Bedrohungsanalysten (CTI) zur Debatte in Australien.
- Wie Unternehmen mit Ransomware umgehen
- Sollten Zahlungen an Ransomware-Erpresser verboten werden?
- Die Kunst der Ransomware-Verhandlung
- CTI: Australien erwägt ein Verbot von Ransomware-Zahlungen
Transkript
Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.
Kurtis Minder: Einige Leute in der Regierung glauben, dass die Angreifer aufhören werden anzugreifen, wenn wir es einfach illegal machen und die Menschen aufhören, Lösegeld zu zahlen. Und die Tatsache ist, dass höchstwahrscheinlich das eintreten wird, was das Verhalten in den Untergrund treibt. Wenn ich als kleines Unternehmen die Wahl habe, also, wenn ich entweder mein kleines Unternehmen, an dem ich 18 Jahre lang gearbeitet habe, verliere oder das Gesetz breche, aber vielleicht nicht erwischt werde, werde ich wahrscheinlich zur zweiten Option neigen.
Maggie Miller: Hallo, ich bin Maggie Miller, und heute sprechen wir bei Let's Converge über Ransomware und die wichtigsten Fragen, die Organisationen nach einem Angriff stellen sollten – Fragen wie: Zahlen wir das Lösegeld oder nicht? Wie viel sollten wir zahlen, oder sollten wir es durchhalten und gar nichts zahlen?
Unser Gast ist Kurtis Minder, ein Ransomware-Verhandlungsführer mit mehr als 20 Jahren Erfahrung im Bereich Informationssicherheit.
Als Gründer und CEO von GroupSense, einem Cyber-Aufklärungsunternehmen, weiß Kurtis aus erster Hand, wie widersprüchlich die Welt der Ransomware ist. Viele Unternehmensinhaber glauben beispielsweise, dass die Zahlung von Lösegeld der schnellste Weg ist, einen solchen Angriff zu überstehen und Kunden zu schützen. Einige Experten behaupten jedoch, dass Ransomware-Zahlungen nur weitere Angriffe und höhere Forderungen begünstigen.
Im Jahr 2021 erklärte der französische Versicherungskonzern AXA, dass er Cyber-Versicherungspolicen von Unternehmen kündigen würde, die Ransomware-Zahlungen leisten. Und letztes Jahr wurde North Carolina der erste Bundesstaat, der Regierungsbehörden solche Zahlungen untersagte. Was sollen Unternehmensführer also tun?
Vielen Dank, Kurtis, dass Sie sich die Zeit genommen haben.
Minder: Vielen Dank für die Einladung.
Miller: Bevor wir uns mit den Details befassen, wie Organisationen mit Ransomware umgehen können, möchte ich etwas ganz Grundlegendes wissen: Wie ist es für Sie als Ransomware-Verhandlungsführer, wenn Sie tatsächlich mit diesen Cyberkriminellen kommunizieren müssen? Ist es feindlich, ist es bedrohlich? Wie sind diese Hacker so?
Minder: Nun, das ist unterschiedlich. Es ist vielschichtig, aber wir bezeichnen sie als Bedrohungsakteure statt als Hacker – denn Hacker zu sein hat auch eine positive Seite. Aber größtenteils läuft es nach einem festen Schema ab. Sie haben ein Regelwerk, nach dem sie vorgehen, und eine Organisationsstruktur, ähnlich wie ein Unternehmen. Und wenn man einige dieser Fälle bearbeitet hat, in denen man mit ihnen zusammenarbeitet, wird man mit der Routine und dem Regelwerk vertraut. Und obwohl es wirklich aufregend klingt, ist vieles davon mechanischer Natur. Gelegentlich läuft es aus dem Ruder oder nimmt eine überraschende Wendung, aber nicht allzu oft.
Was ich außerdem sagen möchte: Der Umgang mit den Bedrohungsakteuren im Rahmen der Verhandlung ist definitiv eine Herausforderung – gewissermaßen der Kern des Szenarios. Aber es steckt auch viel Handwerkskunst darin, mit dem Opfer zusammenzuarbeiten. Und je nach Größe des Opfers kann das von Büropolitik bis hin zur Rolle eines Therapeuten reichen, wenn man so will – zumindest bei kleineren Unternehmen.
Miller: Wow. Können Sie uns den grundlegenden Ablauf eines Ransomware-Angriffs schildern? Also: Ich komme zur Arbeit, meine Computersysteme fallen aus, und es wird ein Lösegeld gefordert. Welche ersten Schritte muss ich unternehmen, und wie schnell sollte ich sie einleiten?
Minder: Die sichere Antwort lautet: Es kommt auf Ihre Organisation an. Aber ja, es ist ziemlich erschreckend, wenn man ins Büro kommt und buchstäblich nichts funktioniert. Und ich betone: nichts. Viele der Bedrohungsakteure sind sehr gut darin geworden, Störungen zu verursachen.
Und wenn man bedenkt, was nichts bedeutet, heißt das nicht nur, dass man seinen Computer nicht nutzen kann, oder dass Kunden nicht mit einem interagieren oder Produkte bestellen können, oder dass man – wenn man ein Hersteller ist – vielleicht keine Waren versenden kann. Es bedeutet auch, dass man beispielsweise keine Gehälter auszahlen und nicht elektronisch mit seinen Mitarbeitern kommunizieren kann. Das wirft also eine Reihe wirklich vielschichtiger Herausforderungen auf. Idealerweise sollte eine Organisation jeder Größe einen Plan haben und diesen auch umsetzen. Dieser Plan wird häufig durch Dinge wie eine Cyberversicherung bestimmt.
Wenn Sie also eine Cyberversicherung haben, wird diese die Reihenfolge, in der Sie bestimmte Schritte unternehmen, teilweise vorgeben.
Was ich außerdem sagen möchte: Wenn man auf die Lösegeldforderung selbst stößt – sie sind gewissermaßen nach einem Muster erstellt –, enthält sie eine Reihe von Geboten und Verboten seitens der Angreifer, von denen einige durchaus kein schlechter Rat sind, während andere eher theatralischer Natur sind. Die Lösegeldforderungen enthalten jedoch nicht den geforderten Betrag, sodass man erst nach der Kontaktaufnahme mit den Angreifern erfährt, was diese verlangen. Es ist also eine regelrechte Kunst, wann und wie schnell man das tut. Und das hängt wirklich von den spezifischen Umständen des Angriffs ab.
Miller: Wow. Wir wissen, dass Ransomware-Angriffe zunehmen, aber wie entwickeln sie sich weiter? Was ist neu oder anders an den Cyberangriffen, mit denen Sie heute konfrontiert sind, verglichen mit vor einigen Jahren?
Minder: Nun, sie entwickeln sich ständig weiter und versuchen, unsere Abwehrmaßnahmen zu umgehen, während diese sich verbessern. Es ist also gewissermaßen ein Katz-und-Maus-Spiel, sowohl aus technischer als auch aus strategischer Sicht. Sie sind sogar so weit gegangen, Callcenter zu beauftragen, Ihre Kunden oder Mitarbeiter anzurufen, um sie über den Angriff zu informieren und Sie so unter Druck zu setzen, mit ihnen zu verhandeln und zu zahlen. Sie haben also den Erpressungsaspekt erheblich ausgeweitet.
Eines der frustrierenden Dinge ist, dass trotz des Katz-und-Maus-Spiels bei den technischen Komponenten die meisten Angriffe nach wie vor genauso ablaufen wie vor einigen Jahren. Und es sind meist grundlegende Fehler in der Cyber-Hygiene, die Unternehmen machen und die es den Bedrohungsakteuren ermöglichen, relativ leicht einzudringen.
Miller: Eine der Hauptaufgaben eines Ransomware-Verhandlungsführers besteht darin, festzustellen, welcher Betrag für verschiedene Unternehmen unterschiedlicher Größe angemessen zu zahlen ist. Wie ermitteln Sie das also?
Minder: Das ist eine sehr gute Frage. Als wir damit begannen, dies als Praxis zu etablieren, konzentrierten wir uns wirklich nur auf das, was ich als den Teil der Bedrohungsakteur-Einbindung oder den Verhandlungsteil bezeichnen würde. Aber wir wurden zu Beginn dieser Fälle immer wieder gefragt, ob wir zahlen sollten. Und unsere Antwort war immer: Ich weiß es nicht, denn das ist eine geschäftliche Entscheidung, eine ethische Entscheidung und in gewissem Maße auch eine rechtliche Entscheidung.
Wenn ich Sie durch die grundlegenden Entscheidungsstufen führen darf: Die erste Stufe lautet: Verstößt die Zahlung eines Lösegelds gegen Ihren Ethikkodex oder Ihre Grundwerte als Organisation? Das steht an erster Stelle. Denn wenn das der Fall ist, haben wir diese Frage offensichtlich bereits beantwortet – wir werden nicht zahlen, egal was passiert. Aber vielleicht haben Sie in Ihren Grundwerten Prioritäten festgelegt, die besagen, dass Sie lieber im Geschäft bleiben und Ihre Mitarbeiter bezahlen möchten, was in der Regel der Fall ist.
[Lachen.] Und Sie gelangen zur nächsten Stufe, nämlich: Ist es illegal? Das Finanzministerium führt eine Liste von Personen, mit denen man keine Geschäfte machen darf. Daher ist es wichtig, die rechtlichen Konsequenzen zu verstehen ... und mittlerweile verabschieden bestimmte Bundesstaaten entsprechende Gesetze, darunter North Carolina, das ein Gesetz verabschiedet hat, das die Zahlung von Lösegeld unter Strafe stellt. Wir müssen also die Compliance-Aspekte dieser Thematik verstehen. Ist es illegal? Sie haben also jetzt diese Hürde überwunden.
Und hier kommt die wirklich schwierige Frage, die auch Ihrer Frage entspricht: Ist es aus geschäftlicher Sicht sinnvoll, sich auf Verhandlungen einzulassen und ein Lösegeld zu zahlen, und wie hoch sollte der richtige Betrag sein? Das ist eine wirklich schwierige Frage, denn ein Großteil des Angriffs ist subjektiver Natur, und es ist schwer, darauf eine quantitative Antwort zu geben. Ich nenne es den Ransomware-Schadensradius: Wir verstehen, dass die unmittelbare Auswirkung eines Ransomware-Angriffs eine Betriebsunterbrechung ist.
Sie können Ihre Maschinen nicht nutzen und nicht mit Ihren Kunden interagieren. Um diese Betriebsunterbrechung herum gibt es konzentrische Auswirkungsringe, die manchmal länger anhalten und potenziell kostspieliger oder schädlicher sind als die betrieblichen Auswirkungen selbst. Einige davon sind offensichtlich – wir haben über den Erpressungsaspekt gesprochen. Wenn also Daten geleakt werden oder Ihre Geschäftspartner oder Mitarbeiter kontaktiert werden, entsteht dadurch eine Art Marken- oder Vertrauensproblem. Und dann gibt es subtilere Aspekte, wie zum Beispiel: Wenn Sie die Gehaltsabrechnungen nicht durchführen können und dies möglicherweise für eine gewisse Zeit nicht möglich ist und es zu Personalfluktuation kommt – was kostet es dann, neue Mitarbeiter einzustellen, zu schulen und zu rekrutieren, um diese Personen zu ersetzen?
Diese Mathematik ist wirklich schwierig, und wir helfen Unternehmen nach besten Kräften zu Beginn des Falls dabei, dies durchzuarbeiten, aber letztendlich liegt es an ihnen als Opfer zu entscheiden, was das wert ist. Und manchmal bestimmt das, ob wir uns überhaupt einschalten, denn wenn wir auf eine Zahl kommen, die für das Unternehmen einfach unzumutbar ist, dann lautet die Antwort: Kontaktieren Sie die Gegenseite erst gar nicht – wir werden das einfach nicht hinbekommen und müssen einen anderen Weg finden. Es ist sehr kompliziert.
Miller: Ja. Ich habe Anfang dieses Jahres eine Organisation interviewt, die von einem Ransomware-Angriff getroffen worden war und nicht gezahlt hat. Der Grund war, dass sie ein Backup aller ihrer Daten hatten und somit auf alle benötigten Daten zugreifen konnten. Sie waren auch in der Lage, sicher wieder online zu gehen. Sie hatten den infizierten Endpunkt unter Quarantäne gestellt. Sie konnten jeden anderen Endpunkt aktualisieren und ziemlich schnell wieder online gehen.
Glauben Sie also, dass dies im Grunde die beste Position ist, in die man sich für so etwas bringen kann, falls es passieren sollte?
Minder: Sicherlich ist ein geschäftlicher Kontinuitäts- und technologischer Ansatz zur Lösung dieses Problems die beste Voraussetzung. Aber das funktioniert bei vielen Organisationen oft nicht so gut, wie Sie es gerade beschrieben haben. Je nach Größe der Organisation sprechen wir bereits von allem – mehreren Standorten, mehreren Netzwerken, mehreren Systemen – deren Wiederherstellung ein sehr mühsamer und zeitaufwändiger Prozess sein kann.
Wir hatten sogar Fälle, in denen die Leute anfangs sehr zuversichtlich waren und sagten: „Hey, schau mal, wir wollen diesen Leuten nicht zahlen. Wir haben einwandfreie Backups und werden die Daten wiederherstellen." Und ich sage dann: Gut, ich will ihnen auch nicht zahlen [Lachen], also machen wir das. Aber dann rufen sie mich 12 Stunden später an und sagen, es stellt sich heraus, dass die Wiederherstellung acht Wochen dauern wird, und wir brauchen das System bis Mittwoch in Betrieb.
Es hängt also wirklich von der Organisation, den Backups und den Geschäftskontinuitätsprozessen ab, die auf der Technologieseite koordiniert werden.
Meiner Meinung nach gibt es vier Möglichkeiten, das Ransomware-Problem einzudämmen: Erstens die Prävention. Das ist mein Favorit, weil es wie ein Einflussbereich ist – es liegt unter unserer Kontrolle. Es ist relativ kostengünstig und proaktiv.
Zweitens ist Technologie, worüber Sie gerade sprechen. Tools, die die Bedrohung erkennen, unter Quarantäne stellen und die Auswirkungen minimieren können.
Drittens wäre da die Politik. Im Moment haben Sie als Ransomware-Opfer in vielen Fällen zwei Möglichkeiten: Sie zahlen ein Lösegeld oder Sie gehen pleite, oder Sie zahlen ein Lösegeld oder Sie entlassen Mitarbeiter. Oder wenn Sie ein Krankenhaus sind, zahlen Sie ein Lösegeld oder Menschen sterben – was leider der Realität entspricht. Ja. Und ich glaube, es gibt Raum für eine dritte Option, die durch politische Maßnahmen vorangetrieben werden könnte und den Opfern eine subventionierte Wiederherstellung ermöglicht – ein Programm, das ihnen hilft, kein Lösegeld zahlen zu müssen und dennoch im Geschäft zu bleiben. Und daran arbeite ich derzeit in Washington.
Die letzte [vierte] ist meine Lieblingsidee, aber die am wenigsten wahrscheinliche. Und das sind negative Konsequenzen für die Täter. [Lachen.]. Aber wie Sie wissen, operieren die meisten Täter in gewissermaßen unfreundlichen Ländern ohne Auslieferungsabkommen und mit einer Art inoffizieller Amnestie durch ihre Heimatregierung.
Miller: Ja. Und ich stimme zu. Diese Organisation, mit der ich gesprochen habe, hatte in ihrer Situation sehr viel Glück. Sie sagten, dass sogar das FBI, mit dem sie zusammenarbeiteten, ihnen bestätigte, dass sie in einer besseren Lage waren als so gut wie jedes andere Unternehmen, das etwas Ähnliches durchmachte.
Minder: Nun, hoffentlich können wir dafür sorgen, dass dies in Zukunft eher die Regel und nicht die Ausnahme ist.
Miller: Aber mir gefällt, wohin Sie mit dem Präventionsansatz wollten. Was können Organisationen also tun, um proaktiv vorzugehen? Wie sehr kann beispielsweise eine gute Cyber-Hygiene einer Organisation dabei helfen, Angriffe abzuwehren oder zu minimieren?
Minder: Ich denke, einer der Vorteile, auf der Reaktionsseite tätig zu sein – und das gilt sowohl für technische Incident-Responder als auch für die Arbeit, die wir leisten –, ist, dass wir in jedem Fall eine Art Bestandsaufnahme machen können, wie die Bedrohungsakteure Zugang erlangt haben. Und wenn man diese Fälle zusammenfasst, stellt man fest, dass die Mehrheit der Fälle – etwa 80 Prozent oder mehr – von Anfang an hätte verhindert werden können, wenn grundlegende Maßnahmen zur Cyber-Hygiene ergriffen worden wären, wie Sie sagten.
Es ist frustrierend, weil der Großteil unseres Publikums wahrscheinlich technisch versiert ist – es sind wahrscheinlich Leute mit Cybersicherheitsfokus. Sie werden die Augen verdrehen, und das ist in Ordnung. Ich nehme das nicht persönlich, denn wir sprechen schon seit langer Zeit über diese Dinge, aber in vielen Organisationen werden sie immer noch nicht umgesetzt oder nicht ordentlich durchgeführt. Dinge wie Passwortrichtlinien und Anmeldedatenrichtlinien.
Also komplexe Passwörter, keine Wiederverwendung von Passwörtern. Und wenn ich von Anmeldedatenrichtlinien spreche, meine ich damit, dass man seine Unternehmensanmeldedaten nicht für Dinge verwendet, die nichts mit dem Unternehmen zu tun haben. Verwenden Sie diese nicht, um Ihr Facebook-Konto zu erstellen … oder um sich bei Ihrer Lieblings-Hobbyseite anzumelden, denn die Angreifer stehlen die Anmeldedaten von diesen Seiten und nutzen sie gegen uns.
Natürlich sprechen wir viel über Multi-Faktor-Authentifizierung – die löst viele Probleme. Wenn Sie also die ersten Punkte, die ich genannt habe, nicht umgesetzt haben, würde MFA das in vielen Fällen für Sie lösen.
Patching – ich bin mein gesamtes Erwachsenenleben in der Cybersicherheit tätig und verstehe die Komplexität des Patchings in Organisationen, aber ich würde sagen, dass selbst grundlegendes Patching nach wie vor ein Problem zu sein scheint – ich spreche nicht von industriellen Steuerungssystemen; ich spreche nur von den Laptops der Mitarbeiter, ihren Safari-Browsern oder was auch immer sie verwenden, oder ihren Mobiltelefonen. Ich mache diesen Witz, wenn ich öffentliche Vorträge darüber halte: Ich sage dann, ich weiß, es ist wirklich lästig, mitten in einem tollen Wortspiel sein Handy zu aktualisieren, aber tut es trotzdem. Und ich weiß, dass ihr gerade auf Reddit am Doom-Scrolling seid und euren Browser nicht neu starten wollt, aber tut es trotzdem … Und macht das zu einem Teil der Richtlinien und der Cyber-Hygiene der Organisation.
Miller: Ja. Ich liebe diese Tipps, und man kann sie gar nicht oft genug betonen. Wie stark wirkt sich die Cyber-Qualifikationslücke auf Ransomware aus? Manche sehen das vielleicht als ein separates Geschäftsproblem, aber sehen Sie Zusammenhänge?
Minder: Absolut, und ich liebe diese Frage, weil sie gewissermaßen ein Herzensprojekt von mir ist. Es gibt ein Angebots- und Nachfrageproblem beim Cybersicherheits-Fachkräftemangel, das den Großteil des Marktes ohne Unterstützung bei ihren Cybersicherheitslücken lässt. Das liegt daran, dass es einen Mangel an Fachkräften gibt. Die durchschnittlichen Gehälter liegen alle an der Spitze des Marktes, und wirtschaftlich motivierte Menschen werden sich in diese Richtung orientieren.
Wenn man sich also im mittleren Marktsegment oder darunter befindet, ist der Zugang zu echter Cybersicherheitskompetenz nahezu nicht vorhanden. Und es wird nicht besser. Zum Beispiel: Für jeden Cybersicherheitsvorfall bzw. jeden Ransomware-Angriff, von dem wir in den Nachrichten hören, gibt es Tausende von kleinen Unternehmen, die getroffen werden, von denen wir nichts hören. Aber wenn Sie eine Reinigung, ein Druckereiunternehmen oder eine kleine Buchhaltungsfirma mit fünf Mitarbeitern sind, ist es gewissermaßen unrealistisch zu erwarten, dass Sie die mit Ihrer gesamten Technologienutzung verbundenen Risiken verstehen und mindern können. Ich weiß nicht, wie mein Mobiltelefon funktioniert, und ich bin ein Technikexperte. Es ist eine Wunderbox, oder? Von diesen Menschen zu erwarten, dass sie all diese Dinge verstehen, ist also unrealistisch.
Wie bringen wir also grundlegende Cybersicherheitskompetenz zu diesen Menschen? Ich habe eine gemeinnützige Organisation, die sich mit diesem Problem befasst, aber ich denke, dass es die nationale Sicherheit der Vereinigten Staaten und die Wirtschaft beeinträchtigt.
Miller: Es ist schön, Ihre Gedanken dazu zu hören. Um das Thema etwas zu wechseln: Letztes Jahr kündigte das Versicherungsunternehmen AXA an, Cyber-Versicherungspolicen in Frankreich auszusetzen, die Unternehmen für Ransomware-Zahlungen entschädigen. Dies geschah als Reaktion auf eine Anfrage von Cyber-Behörden der französischen Regierung, die versuchten, die Flut immer häufiger werdender Ransomware-Angriffe einzudämmen. Was waren seitdem die Folgen? Und hat es Auswirkungen auf die Situation gehabt?
Minder: Ich denke, dass es bei solchen Maßnahmen, wie dem Verbot von Lösegeldzahlungen, ein Problem gibt. Das ist so ähnlich, wie seinen Wählern zu sagen, sie sollen für das Wohl aller zurückstecken.
Wenn man das mit der Frage verbindet, die Sie zuvor gestellt haben, dann fordert man Menschen, die keine Möglichkeit haben, sich zu verteidigen, im Grunde dazu auf, für alle anderen zu leiden, damit niemand zahlt. Ich halte das nicht für einen vernünftigen Ansatz. Und es wird wahrscheinlich größere Auswirkungen auf die Wirtschaft des betreffenden Landes haben. Ich denke daher, dass Aufklärung und Cyber-Kompetenzen der richtige Weg sind, das Problem anzugehen, anstatt solche strafenden Maßnahmen zu ergreifen.
Miller: Könnte so etwas wie das, was in Frankreich passiert ist, hier in den USA passieren?
Minder: Es ist möglich; Sie wissen ja, wie die Politik sein kann [Lachen.]. Ich habe durchaus etwas Hoffnung, denn ich glaube, dass die Leute bei CISA – Jen Easterly und ihr Team – dies durch die richtige Brille betrachten, nämlich eher als ein präventives und unterstützendes Programm. Und sie treiben einen Teil dieser Politik voran.
Und ich tue alles, was ich kann, um die Gesetzgeber im Repräsentantenhaus und im Senat über die Realität dieser Situation und die potenziellen langfristigen Schäden und Auswirkungen aufzuklären. Ich denke, es liegt an uns technischen Experten, die im Einsatz und an vorderster Front sind, die Gesetzgeber – sowohl auf lokaler als auch auf nationaler Ebene – bei jeder sich bietenden Gelegenheit darüber aufzuklären, worum es dabei wirklich geht und wie es wirklich ist, ein Opfer zu sein, sowie über die Umstände dieser Angriffe – wie etwa der fehlende Zugang zu Cyberfachkräften –, damit sie dies nicht als rein negative Situation betrachten oder das Opfer aus einer negativen Perspektive sehen, denn die Betroffenen sind wie wir alle.
Diese Unternehmen tun einfach nur ihre Arbeit. Sie geben ihr Bestes – insbesondere kleine Unternehmen, die gerade COVID und Lieferkettenprobleme durchgestanden haben, und denen man nun [im Falle eines Ransomware-Angriffs] sagt, sie müssten entweder ihr Geschäft aufgeben oder gegen das Gesetz verstoßen.
Was den rechtlichen Ansatz betrifft, glauben einige Regierungsvertreter, dass die Menschen aufhören werden, Lösegeld zu zahlen, und die Angreifer aufhören werden anzugreifen, wenn wir es einfach illegal machen. Aber höchstwahrscheinlich wird das Verhalten dadurch in den Untergrund getrieben. Wenn ich als kleines Unternehmen die Wahl habe, entweder mein Unternehmen, an dem ich 18 Jahre gearbeitet habe, zu verlieren oder gegen das Gesetz zu verstoßen, aber vielleicht nicht erwischt zu werden, werde ich wahrscheinlich zur zweiten Option neigen. Ich möchte meine Mitarbeiter behalten und meine Investition schützen.
Und so könnten wir am Ende die Übersicht über das Ausmaß dieser Angriffe auf übergeordneter Ebene verlieren. Ich glaube, dass die CISA dies ebenfalls so sieht. Und ich hoffe, dass sie dabei bleiben.
Miller: Wir haben über einige ernste Themen gesprochen, und ich möchte auf einer positiven Note enden. Daher möchte ich einfach fragen: Was ist eine Ihrer liebsten Erfolgsgeschichten? Vielleicht eine Situation, die zunächst aussichtslos war, sich aber wirklich zum Guten gewendet hat?
Minder: Oh, davon haben wir eine ganze Reihe, und einige ähneln dem Szenario, in dem die Backups den Tag gerettet haben.
Ich muss sagen, dass es bei diesen Szenarien immer ein gewisses Kleingedrucktes gibt, denn die Bedrohungsakteure haben eine Kopie einer Menge Daten mitgenommen. In den meisten Fällen werden sie diese verkaufen oder veröffentlichen. Es gibt auch eine lustige Randnotiz: Manche Bedrohungsakteure haben so viele Opfer, dass sie manchmal einfach vergessen [Lachen.]. Das ist uns schon passiert, wo wir darauf gewartet haben, dass sie die Daten veröffentlichen, wie sie es angedroht hatten, und sie es nie getan haben. Sie vergessen es einfach. Sie haben 200 Opfer und machen einfach mit dem nächsten weiter.
Dann hatten wir Szenarien, in denen wir die Bedrohungsakteure als Beweis davon überzeugen konnten, die gestohlenen Dateien im Darknet zu veröffentlichen, und wir konnten die wichtigsten Konfigurationsdateien und ähnliches herunterladen und wiederherstellen. Wir hatten also einige wirklich gute Fälle dieser Art.
Meine Favoriten sind jedoch die Auswirkungen der Präventionsprogramme und der gemeinnützigen Arbeit, die wir leisten, bei der wir kleinen Unternehmen buchstäblich kostenlos helfen, diese Änderungen vorzunehmen, und gleichzeitig den Mangel an Cybersicherheitsfachkräften beheben. Und das ist das Beste, denn der Angriff findet gar nicht erst statt. Wir sind ihm einen Schritt voraus.
Miller: Das ist das Beste, und ich bin froh, dass es Menschen wie Sie gibt, die uns helfen, dieses Problem zu lösen.
Minder: Danke schön.
Miller: Wunderbar. Es war wirklich wunderschön, Sie heute zu interviewen, Kurtis. Vielen Dank, dass Sie im Podcast dabei waren.
Minder: Gern geschehen. Vielen Dank für die Einladung.
Miller: Ich habe mit Kurtis Minder gesprochen, dem Gründer und CEO des Cyber-Aufklärungsunternehmens GroupSense.
Wenn Sie mehr über Ransomware lesen möchten, besuchen Sie Focal Point, Taniums neues Online-Magazin für Cyber-Nachrichten. In den Show-Notizen finden Sie Links zu mehreren Artikeln, oder besuchen Sie tanium.com, um weitere Gespräche mit führenden Unternehmensverantwortlichen und Sicherheitsexperten von heute zu hören. Abonnieren Sie Let's Converge in Ihrer bevorzugten Podcast-App, und wenn Ihnen diese Episode gefällt, geben Sie uns bitte eine Fünf-Sterne-Bewertung.
Vielen Dank fürs Zuhören. Wir freuen uns darauf, in der nächsten Episode von Let's Converge weitere Cyber-Einblicke mit Ihnen zu teilen.
