Modul 1 · 1.3
Ransomware und Erpressung
Modul 1: Warum Sie ein Ziel sind · Lesezeit: 10 Minuten
Lernziel: Nach dieser Lektion können Sie erklären, wie Ransomware eindringt, was doppelte Erpressung ist und welche Maßnahmen den Schaden begrenzen.
Kernbegriffe: Ransomware, Verschlüsselung, doppelte Erpressung, initialer Zugang, laterale Bewegung, Lösegeld, Decryptor (No More Ransom)
Was Ransomware ist
Ransomware ist Schadsoftware, die Ihre Dateien oder Systeme unbrauchbar macht und anschließend Lösegeld fordert. Das Wort kommt vom englischen ransom: Lösegeld. Meistens geschieht das durch Verschlüsselung: Die Software wandelt Ihre Dateien in unlesbare Daten um, mit einem Schlüssel, den nur der Angreifer besitzt. Sie sehen die Dateien noch, oft mit einer merkwürdigen Dateiendung, können sie aber nicht mehr öffnen. Auf dem Bildschirm oder in jedem Ordner erscheint eine Nachricht: Zahlen Sie innerhalb weniger Tage, sonst ist alles weg.
Verschlüsselung an sich ist nichts Bösartiges. Es ist dieselbe Technik, die Ihren Laptop bei Diebstahl schützt (Lektion 5.2) und die Ihre Verbindung zu einer Website absichert. Der Unterschied liegt darin, wer den Schlüssel besitzt. Gute Verschlüsselung lässt sich nicht knacken. Deshalb ist "wir lassen das einfach schnell entschlüsseln" so gut wie nie eine Option, es sei denn, die Urheber der Ransomware haben einen Fehler gemacht.
Laut dem niederländischen NCSC trifft Ransomware nicht nur Dateien, sondern auch Systeme und Backups. Letzteres ist der wichtigste Punkt dieser Lektion.
Wie sie eindringt
Ein Ransomware-Angriff ist kein einzelner Moment, sondern eine Abfolge von Schritten. Er beginnt mit dem initialen Zugang: dem ersten Fuß in der Tür. Die häufigsten Wege:
| Zugangsweg | Wie es abläuft | Was dagegen hilft |
|---|---|---|
| Phishing mit Anhang oder Link | Ein Mitarbeiter öffnet eine "Rechnung" oder einen "Lieferschein", der Schadsoftware startet | Sensibilisierung (Lektion 9.2), Updates, eingeschränkte Rechte |
| Gestohlene Zugangsdaten | Ein geleaktes Passwort funktioniert beim Webmail, beim VPN oder bei der Fernwartung | Einzigartige Passwörter, Zwei-Faktor-Authentifizierung (Modul 2) |
| Eine bekannte Schwachstelle in einem System, das mit dem Internet verbunden ist | Ein veralteter VPN-Server, eine Firewall, ein NAS oder eine Website mit einer öffentlich bekannten Schwachstelle | Schnelles Aktualisieren (Lektion 5.1), nichts unnötig offen lassen |
| Offene Fernwartung | Ein Programm zum Fernzugriff auf einen PC, erreichbar aus dem gesamten Internet | Nur über eine gesicherte Verbindung, mit 2FA |
| Ein Dienstleister | Das IT-Unternehmen oder die Software eines Dienstleisters wird missbraucht | Vereinbarungen und minimale Rechte (Modul 7) |
Nach dem ersten Zugang wartet ein Angreifer oft ab. Er schaut sich um, sucht Administratorkonten und springt von Computer zu Computer. Das nennt man laterale Bewegung. Er sucht vor allem nach zwei Dingen: wo die wichtigen Daten liegen und wo die Backups liegen. Erst wenn er beides gefunden hat, schlägt er zu, oft nachts oder am Wochenende, wenn es niemand bemerkt.
Warum ein verbundenes Backup nicht hilft
Viele kleine Unternehmen haben ein Backup: eine externe Festplatte, die immer am PC hängt, oder ein Netzlaufwerk (NAS), auf das jede Nacht eine Kopie läuft. Das ist besser als nichts bei einer defekten Festplatte. Gegen Ransomware hilft es oft nicht.
Der Grund ist einfach. Ransomware verschlüsselt alles, was der infizierte Computer oder das übernommene Konto erreichen kann. Hängt die Backup-Festplatte am PC, kann die Ransomware darauf zugreifen. Liegt das Backup auf einem Netzlaufwerk, auf dem Sie sich mit demselben Konto anmelden, kann die Ransomware ebenfalls darauf zugreifen. Ein Angreifer, der sich in Ruhe umgesehen hat, löscht die Backups manchmal sogar bewusst, bevor er verschlüsselt.
Dasselbe gilt für die Synchronisation. Ein Ordner, der automatisch mit der Cloud synchronisiert wird, synchronisiert auch die verschlüsselte Version. Manchmal können Sie dann noch zu einer älteren Version einer Datei zurückkehren, aber das hängt vom Dienst ab und davon, wie lange er Versionen aufbewahrt.
Ein Backup, das Ransomware übersteht, hat mindestens eine Kopie, die der Angreifer nicht erreichen oder nicht verändern kann: eine Festplatte, die lose in der Schublade liegt, oder ein Backup bei einem separaten Anbieter mit einem eigenen Zugang, den Sie nicht auf Ihrem Arbeitscomputer verwenden, oder ein Speicher, der Ändern und Löschen eine Zeit lang technisch unmöglich macht. In Modul 6 richten Sie das Schritt für Schritt ein. Ein Backup, das Ihr Hosting-Anbieter auf separaten Servern erstellt, getrennt von Ihrem Paket, ist für Ihre Website und E-Mail bereits eine externe Kopie. Prüfen Sie dennoch, wie lange es aufbewahrt wird und wer es löschen kann.
Doppelte Erpressung
Früher war ein gutes Backup die vollständige Antwort auf Ransomware: wiederherstellen und fertig. Angreifer haben sich angepasst. Bei doppelter Erpressung stehlen sie zunächst eine Kopie Ihrer Daten und verschlüsseln erst danach. Dann gibt es zwei Drohungen:
- Zahlen Sie, sonst erhalten Sie Ihre Dateien nicht zurück.
- Zahlen Sie, sonst veröffentlichen wir Ihre Daten: Kundendateien, Angebote, Gehaltsdaten, Postfächer.
Ein Backup hilft gegen das Erste, nicht gegen das Zweite. Auch das niederländische NCSC warnt davor, dass Angreifer manchmal drohen, gestohlene Daten zu veröffentlichen. Darüber hinaus ist der Diebstahl personenbezogener Daten an sich eine Datenpanne, mit einer Meldepflicht bei der zuständigen Datenschutzaufsichtsbehörde (Lektion 8.2), unabhängig davon, ob Sie zahlen.
Manchmal geht ein Angreifer noch weiter und wendet sich direkt an Ihre Kunden oder Geschäftspartner mit der Mitteilung, dass deren Daten bei Ihnen erbeutet wurden. Der Druck liegt dann nicht nur bei Ihnen, sondern auch bei Ihrem Ruf.
Zahlen oder nicht?
Der Rat von Behörden und Polizei ist eindeutig: Zahlen Sie lieber nicht. No More Ransom, die Initiative unter anderem von Europol und der niederländischen Polizei, formuliert es so: Lösegeldzahlungen bieten keine Garantien. Es gibt gute Gründe dafür:
- Sie haben keine Garantie, dass Sie einen funktionierenden Schlüssel erhalten oder dass die Entschlüsselung gelingt.
- Sie haben keine Garantie, dass gestohlene Daten danach tatsächlich gelöscht werden.
- Sie bestätigen, dass Ihr Unternehmen zahlt, und das macht Sie attraktiv für einen weiteren Angriff.
- Sie finanzieren die nächsten Angriffe auf andere.
- Der Weg hinein ist noch nicht verschlossen. Ohne Untersuchung kann es erneut passieren.
Das niederländische NCSC bezeichnet die Wiederherstellung aus einem Backup als die zuverlässigste Lösung. Gelingt das nicht, prüfen Sie, ob es einen Decryptor gibt: ein kostenloses Programm, das Dateien einer bestimmten Ransomware-Familie entschlüsseln kann, weil Forscher einen Fehler in dieser Familie gefunden oder Schlüssel beschlagnahmt haben. No More Ransom (https://www.nomoreransom.org) sammelt diese Decryptoren und hilft Ihnen festzustellen, welche Ransomware Sie betroffen hat. Längst nicht für jede Familie gibt es eine Lösung, aber nachsehen kostet nichts.
Erstatten Sie in jedem Fall Anzeige bei der Polizei und prüfen Sie, ob für Sie eine Meldepflicht besteht: bei der zuständigen Datenschutzaufsichtsbehörde, wenn personenbezogene Daten betroffen sind, beim BSI, wenn Sie unter das BSI-Gesetz (NIS-2-Umsetzung) fallen (Lektion 9.1), und manchmal bei einem Auftraggeber gemäß Ihrem Vertrag.
Was den Schaden begrenzt
Sie können die Wahrscheinlichkeit eines Angriffs verringern und den Schaden begrenzen, falls es doch passiert. Ein Überblick, mit der Lektion, in der Sie es lernen:
- Aktualisieren, vor allem alles, was mit dem Internet verbunden ist: VPN, Router, NAS, Website (Lektion 5.1).
- Zwei-Faktor-Authentifizierung für E-Mail, Fernwartung und alle Administratorkonten (Lektion 2.3 und 2.4).
- Minimale Rechte: nicht täglich mit einem Administratorkonto arbeiten und nicht jeden überall Zugang gewähren (Lektion 7.1).
- Ein Backup außerhalb der Reichweite Ihrer gewöhnlichen Konten, und regelmäßig testen, ob die Wiederherstellung funktioniert (Modul 6).
- Eine Notfallkarte, damit jeder weiß, was zu tun ist: Netzwerk trennen, nicht einfach ausschalten, anrufen (Lektion 8.1 und 8.3).
- Sensibilisierung: Ein Kollege, der sofort meldet, dass er einen merkwürdigen Anhang geöffnet hat, verschafft Ihnen Stunden Vorsprung (Lektion 9.2).
In der Praxis: so sieht es aus
Ein Beispiel, zusammengesetzt aus häufig vorkommenden Situationen. Ein Installationsbetrieb mit zwölf Mitarbeitern hatte einen VPN-Server, um von zu Hause aus auf die Dateien zugreifen zu können. Die Firmware war seit anderthalb Jahren nicht aktualisiert worden. Über eine bekannte Schwachstelle gelangte ein Angreifer hinein, schaute sich eine Woche lang um und fand das Administratorkonto des Netzlaufwerks. In einer Samstagnacht wurden die PCs, das Netzlaufwerk und die daran hängende USB-Festplatte mit dem Backup verschlüsselt. Was übrig blieb: die E-Mail und die Website, die bei einem Hosting-Anbieter mit eigenem Backup lagen, sowie eine alte Kopie der Buchhaltung auf einer Festplatte, die der Buchhalter zu Hause liegen hatte. Damit konnte das Unternehmen nach einigen Tagen wieder Rechnungen stellen. Die Angebote und Zeichnungen der vergangenen Monate waren verloren.
Ein Update und eine einzelne lose Festplatte in einer Schublade hätten den Unterschied zwischen ein paar Tagen und ein paar Monaten ausgemacht.
Zusammenfassung
- Ransomware verschlüsselt Dateien, Systeme und Backups und fordert Lösegeld; gute Verschlüsselung lässt sich nicht knacken.
- Ransomware dringt ein über Phishing, gestohlene Passwörter, nicht aktualisierte Systeme mit Internetverbindung, Fernwartung oder einen Dienstleister; danach sieht sich der Angreifer oft erst um.
- Ein Backup, das am Computer hängt oder mit demselben Konto erreichbar ist, wird oft mitverschlüsselt.
- Bei doppelter Erpressung werden zuerst Daten gestohlen; ein Backup hilft dann nicht gegen die Drohung der Veröffentlichung, und es handelt sich um eine Datenpanne.
- Zahlen Sie lieber nicht; stellen Sie aus einem Backup wieder her, prüfen Sie bei No More Ransom, ob es einen Decryptor gibt, und erstatten Sie Anzeige.
Quiz
Aufgabe
Aufgabe D1.3: Was, wenn es heute Nacht passiert? Gehen Sie für Ihr eigenes Unternehmen durch, was Ransomware heute Nacht verschlüsseln könnte. Schreiben Sie auf, wo Ihre Backups liegen, ob sie von einem gewöhnlichen Arbeitscomputer oder mit einem gewöhnlichen Konto erreichbar sind, und welche Systeme mit dem Internet verbunden sind. Beantworten Sie anschließend die Reflexionsfragen.
Aufgabe D1.3: Was, wenn es heute Nacht passiert?
So gehen Sie vor: (1) Erstellen Sie eine Liste aller Orte, an denen wichtige Dateien liegen: PCs, Laptops, Netzwerkfestplatte, Cloud-Speicher, Mail, Buchhaltung, Website. (2) Schreiben Sie zu jedem Ort auf, wo das Backup liegt, und ob dieses Backup von einem gewöhnlichen Arbeitscomputer aus erreichbar ist oder mit einem Konto, das Sie täglich benutzen. (3) Prüfen Sie, welche Systeme mit dem Internet verbunden und von außen erreichbar sind (VPN, Fernverwaltung, NAS, Router, Website), und wann sie zuletzt aktualisiert wurden. (4) Prüfen Sie, ob es mindestens eine Kopie gibt, die Ransomware nicht erreichen kann (getrennt in der Schublade, oder bei einer separaten Partei mit eigenem Login). (5) Schauen Sie sich einmalig auf https://www.nomoreransom.org/de/index.html an, wie die Seite funktioniert, damit Sie es wissen, wenn es nötig ist.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- WebOké Backups: Ein Backup ansehen, wiederherstellen oder herunterladen
- DirectAdmin Anleitung 16.1: Welche Arten von Backups es bei WebOké gibt
- Das niederländische NCSC, Was ist Ransomware: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/nl/index.html