Veeam Ransomware Trends Report 2023 Düstere Befunde in puncto Ransomware-Abwehr

Anbieter zum Thema

Veeam Software GmbH

Securepoint GmbH

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Der „Veeam Ransomware Trends Report 2023“ konstatiert, dass es zwischen Teams in IT-Abteilungen große Unstimmigkeiten gibt. Diese erschweren eine erfolgreiche Abwehr von Ransomware-Angriffen. Die Zahl der Opfer stieg binnen eines Jahres von 76 auf 85 Prozent.

Dass die Zahl erfolgreicher Ransomware-Angriffe stetig zunimmt, ist bekannt. Laut „Veeam Data Protection Report 2023“ stieg die Zahl der Opfer binnen eines Jahres von 76 Prozent auf 85 Prozent. Die Angreifer haben erkannt, wie lukrativ eine solche Cyberattacke ist, denn die Opfer zahlen lieber Lösegeld, als einen langfristigen Ausfall ihrer IT zu riskieren. Doch woran liegt es, dass die Abwehr so schwach ist, wollte der Sicherheitsspezialist Veeam wissen. Ein unabhängiges Marktforschungsunternehmen fand zahlreiche Schwachstelle in der Organisation der Befragten.

Bildergalerie

Bildergalerie mit 9 Bildern

In der IT gibt es viele Teams, doch es mangelt an deren Abstimmung untereinander, sagte Jason Buffington, bei Veeam zuständig für Marketing Strategy, bei der Präsentation der diesjährigen Ausgabe des RW23-Reports („Veeam Ransomware Trends Report 2023“). Obgleich zahlreiche Unternehmen sagen, dass Ransomware für sie eine Katastrophe darstelle und sie deshalb die Gefahr von Cyberangriffen in ihren Business-Continuity- und Disaster-Recovery-Plänen (BC/DR) berücksichtigten, lässt die tatsächliche Interaktion zwischen den Teams sehr zu wünschen übrig.

60 Prozent der Befragten sind der Auffassung, dass die Abstimmung zwischen Cybersicherheits- und Backup-Teams „deutlich verbessert“ oder „komplett neu strukturiert“ werden müsse. Das kommt nahezu einer Bankrotterklärung gleich. 45 Prozent der Befragten sind der Meinung, dass ihr Risikomanagement-Programm gut funktioniere, während die übrigen Befragten noch kein Programm haben oder dieses verbessern möchten. Hier ist noch viel Luft nach oben.

Dennoch stellt Veeams Report eine Abstimmung in zwei Bereichen fest: Budget und Strategien. Für die Abwehr von Cyberangriffen (Prävention) stehen Unternehmen 2023 um 5,3 Prozent höhere Budgets zur Verfügung, und auch die Budgets für die Datensicherung (Wiederherstellung) sind um 5,4 Prozent gestiegen. Das sind gute Nachrichten für den Channel und andere Partner.

Was das Vorhandensein von Incident Response Teams (CERTs etc.) und die Vorkehrungen von Unternehmen zur Reaktion auf unvermeidbare Cyberangriffe betrifft, so umfassen die Strategien für die Wiederherstellung nach einer Attacke vor allem a) saubere Backup-Kopien mit Daten, die nach einem Angriff wiederherstellbar sind und keinen schädlichen Code enthalten, und b) regelmäßige Überprüfung von Backups auf Wiederherstellbarkeit.

Cyberversicherung? Im Prinzip jein

Weltweit wurden 77 Prozent der geforderten Lösegelder von Versicherungen erstattet; in der Region EMEA lag der Anteil bei 82 Prozent. Laut Buffington wird es jedoch stetig schwieriger und teurer, eine solche Cyberversicherung abzuschließen: Zwölf Prozent der befragten Unternehmen gaben an, dass der Schadensfall „Ransomware“ inzwischen in ihren Policen explizit ausgeschlossen sei.

Unternehmen mit einer Cyberversicherung berichteten, dass sie diese zuletzt nur zu wesentlich ungünstigeren Konditionen verlängern konnten: 81 Prozent müssen höhere Beiträge bezahlen, 38 Prozent haben eine höhere Selbstbeteiligung, und drei Prozent erhalten im Schadensfall weniger Leistungen.

Zahlung garantiert noch keine tatsächliche Wiederherstellung

Was vielleicht überrascht, ist die Tatsache, dass die meisten Befragten das geforderte Lösegeld bezahlt haben, obwohl dies vielen von ihnen vonseiten der Geschäftsführung oder durch den Gesetzgeber untersagt war. Dennoch seien laut Buffington auch Lösegeldzahlungen keine Garantie, dass eine Wiederherstellung der Daten möglich sei. 62 Prozent der befragten Betroffenen konnten nach Zahlung des Lösegelds ihre Daten wiederherstellen, doch 20 Prozent konnten ihre Daten trotz Lösegeldzahlung nicht wiederherstellen.

Lediglich 13 Prozent zahlten kein Lösegeld, da sie ihre Daten aus einem Backup wiederherstellen konnten. Statistisch waren weltweit gerade einmal 16 Prozent der Unternehmen dazu in der Lage; im Vorjahr waren dies laut Buffington noch 19 Prozent. Woran diese geringe – und weiterhin sinkende – Recovery-Quote liegen kann, wollten die Marktforscher wissen.

Die Bedeutung intakter Backups

Wichtigste Erkenntnis: Für eine Wiederherstellung ohne Lösegeldzahlung müssen Backups intakt bleiben, geschützt durch Verschlüsselung, WORM, Object-Lock oder Air-Gapping. Mindestens 93 Prozent der Cyberangriffe hatten auch die Backup-Repositorys zum Ziel. Seien die Angreifer erfolgreich, so Buffington, bleibe Unternehmen gar keine andere Wahl, als das Lösegeld zu zahlen. Dieses Vorgehen hat sich inzwischen zum Standard entwickelt. Die Folgen sind verheerend.

75 Prozent der Unternehmen konnten nach dem Angriff nur noch auf einen Teil ihrer Backup-Repositorys zugreifen, und 44 Prozent der Backup-Repositorys waren nach einem Angriff auf die Backup-Lösung nicht mehr verfügbar. Bei einem Angriff können Unternehmen entweder der Lösegeldforderung nachkommen oder ihre Daten aus einem Backup wiederherstellen. „Nimmt ein Angreifer die Backup-Lösung ins Visier, ist eine Entscheidung zwischen diesen Optionen nicht mehr möglich“, so der Veeam-Manager.

Bildergalerie

Bildergalerie mit 9 Bildern

Die Garantie für intakte Backups: Immutability

Neben weiteren Best Practices wie dem Schutz der Anmeldeinformationen für den Zugriff auf Backups, einer automatisierten Untersuchung von Backups auf Malware, einer automatischen Überprüfung der Backups auf Wiederherstellbarkeit und so weiter muss nach Veeams Befund vor allem sichergestellt werden, dass die Backup-Repositorys nicht gelöscht oder beschädigt werden können. Diese sogenannte „Immutability“, also die Unveränderlichkeit der gesicherten Daten, lässt sich laut Buffington über den gesamten „Lebenszyklus“ des Datenschutzes hinweg umsetzen: 82 Prozent der Unternehmen nutzen unveränderliche Cloud-Repositorys, die etwa durch AWS S3 Object Lock geschützt sind. Und 64 Prozent der Unternehmen nutzen unveränderliche Festplattenspeicher (WORM: Write Once, Read Many).

Was die Wiederherstellbarkeit der Medien betrifft, so gibt es nach Buffingtons Ansicht kein besseres Air-Gap als ein Tape, das aus dem Laufwerk genommen und in einem Schrank aufbewahrt wird. Wie die Umfrage ergab, werden nach wie vor 47 Prozent aller Daten zu irgendeinem Zeitpunkt des Datensicherungsprozesses auf Tape geschrieben. Das macht Bandlaufwerke weiterhin unverzichtbar.

Geheimrezept Portierbarkeit

Wie auch bei anderen Katastrophen (beispielsweise Brand, Überschwemmung oder Sturm) betrifft eine strategische Entscheidung die Frage, an welchem Ort Daten wiederhergestellt werden sollen. Sind beispielsweise die Produktivserver kompromittiert worden, benötigt das Unternehmen neue Server. In der Regel betreiben laut Buffington nur größere Unternehmen mehrere Rechenzentren mit Cold-Standby-Servern, die bei Bedarf hochgefahren werden können.

Der Befund, dass die meisten Umfrageteilnehmer hybride Strategien verfolgen, überrascht daher nicht: 69 Prozent der Unternehmen planen die Wiederherstellung in eine Cloud-basierte Infrastruktur oder mittels DRaaS; 83 Prozent der Unternehmen planen die Wiederherstellung auf Server in einem Rechenzentrum.

Zur Wiederherstellung von Servern im Rechenzentrum setzen Unternehmen unter anderen auf den Einsatz von Cold-Standby-Servern (etwa durch den Betrieb von zwei Rechenzentren), die Anschaffung neuer Server, sofern diese schnell genug lieferbar sind, die einfache Löschung der Daten auf den ursprünglichen Servern und Weiterverwendung dieser Systeme, sofern sie nicht für forensische Untersuchungen oder zur Strafverfolgung benötigt werden.

Da die beiden Prozentwerte zusammen mehr als hundert Prozent ergeben, sei es laut Buffington ein positives Zeichen, dass die BC/DR- und Cybersicherheitsstrategien der meisten Unternehmen abhängig von der jeweiligen Situation beide Umgebungen beinhalte, also Cloud und On-Premises.

Erneute Infektionen vermeiden

Entscheidend sei laut Buffington, bei der Wiederherstellung keinen weiteren Schaden anzurichten und keine Schad-Software oder infizierten Daten in die Produktivumgebung einzuspielen. Bei anderen, etwa durch Brand oder Überschwemmung verursachten Katastrophen können die Daten aus Backups, Replikaten und Snapshots umgehend für die Wiederherstellung genutzt werden. Sie wurden ja in nicht betroffenen Rechenzentren gespeichert.

Bildergalerie

Bildergalerie mit 9 Bildern

Eines der zahlreichen Probleme bei Cyberangriffen besteht jedoch laut Buffington darin, dass die Daten sehr wahrscheinlich kompromittiert wurden, bevor die Lösegeldforderung eingegangen ist. Deshalb müssten die Daten während der Wiederherstellung sorgfältig überprüft werden. Das sei nicht immer leicht und hänge davon ab, ob die Datensicherungslösung in Erkennungstechnologien (wie etwa Intrusion Detection and Prevention in SIEM-Lösungen) integriert sei (die während der Sicherung und/oder Wiederherstellung zum Einsatz kommen) und ob es eine Bereitstellungs- beziehungsweise Staging- oder Sandbox-Umgebung gebe.

Bei den von einem Cyberangriff betroffenen Umfrageteilnehmern zeigte sich folgendes Bild: 44 Prozent der Unternehmen stellten ihre Daten vor der Übertragung in die Produktivumgebung zunächst in einem isolierten Testbereich beziehungsweise einer Sandbox wieder her. „Dies ist der einzige empfehlenswerte Weg“, riet Buffington. 35 Prozent stellten ihre Daten in der Produktivumgebung wieder her und untersuchten sie sofort danach auf Schad-Software – „das kann bis zu drei oder vier Wochen dauern“. Zwölf Prozent stellten ihre Daten wieder her und überwachten danach ihre Umgebung: „Hier gilt das Prinzip Hoffnung“. Neun Prozent trafen keinerlei Vorkehrungen zur Vermeidung einer erneuten Infektion. Das lasse sich nur als fahrlässig bezeichnen, so der Manager, denn der nächste Angriff sei nur eine Frage der Zeit.

Zusammenfassung

Ein Großteil der 1.200 von einem Cyberangriff betroffenen Umfrageteilnehmer setzt inzwischen aufgrund seiner Erfahrungen verschiedene grundlegende Technologien ein, um sich für den nächsten Angriff zu wappnen: Immutable Storage auf Festplatten, in Cloud-Umgebungen und auf Air-Gap-Medien zur Gewährleistung der Wiederherstellbarkeit; hybride IT-Architekturen zur Wiederherstellung auf alternativen Plattformen wie bei anderen BC/DR-Strategien; und schließlich Wiederherstellung in einer Staging-Umgebung oder Sandbox zur Vermeidung einer erneuten Infektion. Nur wer alle drei Strategien beherzigt und realisiert, dürfte den nächsten Ransomware-Angriff unbeschadet überstehen.

(ID:49543371)