Ransomware gehört zu den folgenreichsten Bedrohungen für Unternehmen jeder Größe. Ein erfolgreicher Angriff kann Produktion, Buchhaltung und Kommunikation tagelang lahmlegen. Der Name setzt sich aus dem englischen „ransom“ (Lösegeld) und „Software“ zusammen.

Hinter modernen Angriffen steht selten ein einzelnes Programm, das zufällig zuschlägt. Meist handelt es sich um organisierte Gruppen, die arbeitsteilig vorgehen und Zugänge, Werkzeuge und Infrastruktur untereinander handeln. Dieses Geschäftsmodell wird oft als „Ransomware as a Service“ bezeichnet.

Wie funktioniert Ransomware?

Ein typischer Angriff verläuft in mehreren Phasen:

Erstzugang: über Phishing, gestohlene Zugangsdaten, schlecht geschützte Fernzugänge oder ungepatchte Schwachstellen in Systemen, die aus dem Internet erreichbar sind.
Ausbreitung: Die Angreifenden erweitern ihre Rechte, suchen nach Administratorkonten und bewegen sich im Netzwerk von System zu System.
Vorbereitung: Sicherungen werden gesucht und nach Möglichkeit gelöscht oder unbrauchbar gemacht, Daten werden häufig vorab kopiert.
Verschlüsselung: Dateien und Server werden verschlüsselt, eine Lösegeldforderung erscheint.

Bei der sogenannten doppelten Erpressung drohen die Täter zusätzlich damit, die kopierten Daten zu veröffentlichen. So entsteht auch dann Druck, wenn sich alle Systeme aus einem Backup wiederherstellen lassen. Sicherheitsbehörden raten grundsätzlich davon ab, Lösegeld zu zahlen, weil eine Zahlung weder eine funktionierende Entschlüsselung noch das Löschen kopierter Daten garantiert.

Typische Beispiele

Der Dateiserver ist eines Morgens nicht mehr nutzbar, auf allen Freigaben liegen Erpresserschreiben.
Ein ERP-System fällt aus, weil die zugrunde liegenden virtuellen Maschinen verschlüsselt wurden.
Nach dem Angriff zeigt sich, dass auch die Sicherungen im selben Netzwerk erreichbar waren und mitverschlüsselt wurden.

Worauf Unternehmen achten sollten

Sicherungen nach der 3-2-1-Backup-Regel anlegen, mindestens eine Kopie offline oder unveränderbar, und die Wiederherstellung regelmäßig testen.
Administrative Konten streng von Alltagskonten trennen und mit Multi-Faktor-Authentifizierung schützen.
Sicherheitsupdates zügig einspielen, besonders bei Systemen mit Internetzugang.
Endgeräte und Server mit einer Lösung zur Angriffserkennung überwachen, etwa mit Endpoint Detection and Response.
Einen Plan für die Incident Response vorbereiten, der Zuständigkeiten, Kommunikation und Meldepflichten regelt.

Bezug zu TOMORIS

Backup und Wiederherstellung deckt im vernetzten IT-Betrieb von TOMORIS der Baustein GRID.vault ab.

GRID.vault ansehen