Ransomware, zusammengesetzt aus dem englischen ransom (Lösegeld) und software, verschlüsselt Dateien so, dass niemand mehr darauf zugreifen kann, und fordert Geld für den Zugang. Vereinfacht gesagt: Die Angreifer schließen das Büro ab und nehmen den Schlüssel mit. Wie sie hereinkommen und wie sich das Geschäftsmodell verändert hat, steht im Vertiefungsteil am Ende und in Lektion 1.1.3. Hier geht es um die fünf Minuten danach.
Die Angreifer schließen das Büro ab und nehmen den Schlüssel mt.
Im Ernstfall kommt es auf
die
ersten Minuten
an
Zurück zu Andrea S. vor dem schwarzen Bildschirm. Sie sieht die Erpresser-Meldung. Was darf sie auf keinen Fall tun — und was muss sie sofort tun?
Was nach dem Melden passiert, gehört nicht in die Hände von Mitarbeitenden: Die IT-Abteilung, je nach Unternehmen ergänzt durch externe Forensik-Spezialisten, übernimmt die Analyse, die Eindämmung und die Kommunikation mit Behörden.
Ein Alleingang ist die falsche Entscheidung!
„Vielleicht liegt nur ein harmloser Fehler vor." Oder: „Wenn ich das melde, stehe ich schlecht da." Oder: „Ich löse das schnell selbst." Diese Impulse sind verständlich, aber falsch, denn keiner dieser Gedanken hilft. Alle drei bremsen die Reaktion.
Dabei entscheidet sich in den ersten Stunden, wie groß die Sache wird. Ransomware bleibt nicht auf dem Rechner, auf dem sie sichtbar wird — sie arbeitet sich weiter, solange niemand sie stoppt. Jede Stunde ohne Meldung ist eine Stunde, in der aus einem betroffenen Gerät mehrere werden können. Der Anruf bei der IT ist deshalb keine Formalie. Er ist der wirksamste Hebel, den eine einzelne Person in dieser Lage überhaupt hat.
Was dabei auf dem Spiel steht, macht das BSI in einer Zahl greifbar: Ist ein Unternehmen vollständig kompromittiert, muss es damit rechnen, große Teile seiner Leistung zwei bis vier Wochen lang nicht erbringen zu können — Produktion, Aufträge, Kundenkontakt Nicht Stunden. Wochen.
Totalausfall eines kompromittierten Unternehmens:
2 bis 4 Wochen, oft mehrere Monate
Es gibt noch einen weiteren Grund, nicht allein zu handeln:
Die Entscheidung über eine mögliche Lösegeldzahlung gehört nicht in die Hände einer einzelnen Person. Das BSI empfiehlt klar, im Fall einer bereits erfolgten Verschlüsselung nicht auf die Erpressung einzugehen. Die Begründung ist pragmatisch: Es gibt keine Garantie, dass nach Zahlung ein funktionierender Entschlüsselungsschlüssel geliefert wird — und mit der Zahlung wird die nächste Angriffswelle mitfinanziert.
KEIN LÖSEGELD ZAHLEN!
Andrea S. tut also das Richtige:
Sie zieht das Netzwerkkabel.
Sie lässt den Rechner sonst unberührt
Sie zieht das Netzwerkkabel.
Sie ruft die IT-Notfallnummer an.
Sie beschreibt was sie sieht .
Sie wartet auf Anweisung.
Ruhig und besonnen handeeln!
Das Protokoll entscheidet,
nicht die Panik
Ransomware ist eine der wirksamsten Angriffsmethoden gegen Unternehmen — weil sie Angst erzeugt und Angst dazu verleitet, schnell und unkontrolliert zu handeln. Genau das wollen die Angreifer.
Die Gegenstrategie ist einfach, aber erfordert Übung: Protokoll vor Panik. Wer weiß, was zu tun ist — Kabel ziehen, Gerät anlassen, melden, auf Anweisung handeln — nimmt den Angreifern ihren wichtigsten Hebel. Wer dagegen selbst „repariert", versteckt oder improvisiert, verlängert den Schaden, oft um Wochen.
Zum Weiterlesen:
die Technik dahinter
Nicht Pflichtstoff — für alle, die genauer wissen wollen, warum die Verfahren sich so unterscheiden.
Ransomware ist eine Unterkategorie der Schadsoftware. Sie verschlüsselt Dateien auf einem Gerät oder in einem ganzen Netzwerk und macht damit auch alle Systeme unbrauchbar, die auf diesen Dateien aufbauen. Das BSI beschreibt sie als „sich ständig weiterentwickelnde Form von Malware, die Dateien verschlüsselt und Systeme unbrauchbar macht"
Was früher einfach war, ist inzwischen doppelt: Viele Angreifer stehlen die Daten erst, bevor sie verschlüsseln — und drohen dann zusätzlich mit Veröffentlichung. Lori Barner, Incident Commander bei Cisco Talos, nennt das den „Double Tap". Die Folge: Wer zahlt, kauft sich nicht sicher — er kauft sich nur aus dem ersten Problem heraus.
Phishing — der Versand täuschend echt wirkender Nachrichten, die zum Klicken auf einen Link oder zum Öffnen eines Anhangs verleiten — ist der häufigste Einstiegsweg. Daneben existieren präparierte Werbeanzeigen (Malvertising), Schwachstellen in nicht aktualisierten Programmen und gestohlene Zugangsdaten für Fernzugriffssysteme.
Die eigentliche Ransomware schlägt dann nicht sofort zu. Sie wartet: bewegt sich still durchs Netzwerk, sammelt Zugangsdaten, erhöht die eigenen Rechte. Das BSI stellt fest, dass „die tatsächliche Verschlüsselung von Daten häufig nachts oder am Wochenende beginnt" — genau dann, wenn niemand mehr am Rechner sitzt. Für Andrea S. heißt das: Der Angriff lief längst, als sie am Abend zuvor den Rechner verließ.
Die doppelte Erpressung — verschlüsseln und mit Veröffentlichung drohen — ist inzwischen Standard. Manche Gruppen gehen einen Schritt weiter: Bei der dreifachen Erpressung nutzen die Angreifer die erbeuteten Daten, um Kunden, Partner und Lieferanten des Opfers direkt unter Druck zu setzen. Diese Dritten erhalten eigene, kleinere Zahlungsaufforderungen, damit ihre Daten nicht veröffentlicht werden; teils folgen Überlastungsangriffe auf deren Systeme.
Für Beschäftigte ändert das an der Handlungsanweisung nichts — wohl aber an der Einschätzung, wen ein Vorfall trifft. Betroffen ist nicht nur das eigene Haus, sondern potenziell jeder, dessen Daten dort liegen. Das ist auch der Grund, warum eine Meldung nicht nur eine interne Angelegenheit ist.
- Was ist Ransomware? — Cisco (deutsch) / Original: What Is Ransomware? (Cisco, englisch)
- BSI: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall (Arbeitspapier v1.2, 2022)
- Cisco: Viren vs. Ransomware
- Cisco: Was ist ein Incident Response Plan?
- Rapid7: Ransomware-Playbook — dreifache Erpressung, Angriffsketten
