Ransomware auf dem Vormarsch

Aktuell reißen die Nachrichten über erfolgreiche Ransomware Angriffe nicht ab. Egal ob es sich um eine große US-Amerikanische Pipeline handelt, ein weltweit aktiver Produzent und Händler von Fleisch, Entwickler von Videospielen, Regierungsbehörden oder Ministerien handelt. Überall wird aktiv angegriffen und es kommen nahezu täglich Berichte von erfolgreichen Angriffen herein.

Doch was ist Ransomware überhaupt?

Ransomware ist eine Schadsoftware, welche entweder ausgewählte Daten, oder komplette Systeme verschlüsselt und dann eine Botschaft hinterlässt, wo das Opfer aufgefordert wird ein Lösegeld zu zahlen. Diese orientieren sich häufig an der Größe des Unternehmens und den verschlüsselten Daten.

Allerdings werden auch vermehrt Daten exfiltriert. Das heißt kopiert und auf Systeme der Täter heruntergeladen. Dies wird dann genutzt um das Opfer mit der Veröffentlichung dieser Daten zu erpressen.
Da immer mehr Unternehmen funktionierende Backup-Konzepte haben, waren immer weniger bereit das Lösegeld zu bezahlen. Wenn jetzt aber auf einmal die Tatsache im Raum steht, dass wichtige interne Dokumente veröffentlicht werden könnten sind viele Unternehmen bereit das Lösegeld zu bezahlen.
Dabei gibt es keinerlei Sicherheit, ob die Täter sich an Ihre Aussagen halten und die Daten nicht dennoch veröffentlichen.

Hier ist es wichtig dafür zu sorgen, dass es gar nicht dazu kommen kann.

Wie kann man sich denn gegen Ransomware schützen?

• Ein Antivirenschutz auf möglichst allen Systemen. Idealerweise kombiniert mit einem EDR-System. Hier bietet beispielsweise Fortinet mit FortiEDR eine hochwertige Endpointschutzlösung mit DER-Funktionalität an. Dadurch können Angriffe frühzeitig erkannt und Schäden sogar rückgängig gemacht werden.
• Reduzierung der Angriffsfläche; die Übersicht im eigenen Netzwerk zu haben ist nahezu unmöglich geworden. Hier können professionelle Pentester oder Schwachstellenmanagement-Lösungen helfen. Wir arbeiten bei Schwachstellenscannern mit dem deutschen Hersteller Greenbone zusammen.
• Netzwerke segmentieren! Auch wenn es zu Reduzierung der Angriffsfläche zählt, wird es gesondert erwähnt. Viel zu wenige Unternehmen
• Mit einem Rechtemanagement können Sie dafür sorgen, dass nicht jeder Mitarbeiter mit lokalen Administratorrechten arbeitet. Dadurch kann dann auch eventuelle Schadsoftware nur mit den Rechten arbeiten die zur Verfügung stehen. Die Handlungsfähigkeit von Malware wird dadurch stark eingeschränkt, oder je nach Malware sogar unmöglich gemacht.
• Sensibilisierung der Mitarbeiter. Immer wieder gerne unterschätzt. Man kennt ja das Sprichwort, eine Kette ist nur so stabil wie das schwächste Glied. Wenn ein Mitarbeiter zweimal darüber nachdenkt, ob man den Anhang dieser unerwarteten E-Mail öffnet, oder warum man in Microsoft Office Dokumenten Makros aktivieren sollte, dann ist schon viel gewonnen.

Was soll man tun, wenn es dann doch mal so weit gekommen ist?

Hier macht das BSI folgende Vorschläge:

1. Nicht zahlen. Dadurch sollen die Täter demotiviert werden, Ihr Geschäft weiter zu betreiben. Zumal nicht garantiert werden kann, ob man dann ein Werkzeug zur Entschlüsselung erhält und die Daten die zudem gestohlen wurden auch vernichtet werden.
2. Strafanzeige bei der Polizei stellen. Durch Forensiker und Ermittler können die Daten eventuell gerettet werden, oder zumindest die Täter verfolgt werden um diese juristisch zu verfolgen und letztendlich auch vor Gericht zu bringen.
   Eine Anlaufstelle der zuständigen Landeskriminalämter finden Sie auf den Webseiten der Allianz für Cybersicherheit.
3. Betroffene Systeme isolieren damit diese nicht weitere Systeme kompromittieren können. Dabei diese System im kompromittiertem Zustand belassen bis Forensiker diese untersuchen konnte um Beweise zu sichern und Erkenntnisse zu erhalten, wie in das System eingedrungen wurde und ob es Anzeichen gibt, dass weitere Systeme betroffen sind.
4. Backups wiederherstellen. Wenn es sichere Backups gibt, welche nicht kompromittiert wurden, können diese genutzt werden um das System wiederherzustellen. Hierbei sollte man auf jeden Fall das System komplett neu aufsetzen und sicherstellen, dass sämtliche Daten auf dem System vor der Wiederherstellung des Backups gelöscht wurden.
   Sollten Sie in Ihrem Unternehmen kein IT-Security Team / Computer Emergency Response Team haben, kann Ihnen das BSI Unternehmen empfehlen, welche die notwendige Unterstützung bereitstellen können.

Sollten Sie Interesse an der Absicherung Ihres Unternehmensnetzwerkes haben, können wir Sie gerne beraten. Sie können uns gerne über E-Mail, Telefon oder unser Kontaktformular erreichen.