Vorgehensweise im Erpressungsfall Ransomware: Der Herr der Daten

Anbieter zum Thema

Arctic Wolf Networks Germany GmbH

WatchGuard Technologies GmbH

Impossible Cloud GmbH

mibeca GmbH – Mike Bergmann Akademie

Natürlich ist Vorsicht besser, als Nachsicht. Das gilt auch bei Cybersecurity. Doch wie geht man am besten vor, wenn alle Abwehrmaßnahmen versagt haben und man Opfer eines Ransomware-Angriffs geworden ist? Welche Schritte müssen eingeleitet werden?

Der Katastrophenfall ist eingetreten: Trotz aller Vorsichtsmaßnahmen ist das eigene Unternehmen Zielscheibe eines Ransomware-Angriffs geworden. Um der aufkommenden Panik vorzubeugen, empfiehlt es sich bereits vorab einen Notfallplan für den Fall der Fälle zu erstellen.

Ein kühler Kopf ist in solch kritischen Situationen unbezahlbar. Keinesfalls sollten Unternehmen schnell oder gar unüberlegt auf die Ransomware-Forderung eingehen. Denn damit setzen sie den Countdown der Angreifer in Gang. Vorab sollten die Verantwortlichen die zuständigen Behörden, also das Landes- oder Bundeskriminalamt informieren. Diese können auch Hilfestellung leisten, ebenso wie Hotline des Security-Partners, die Zentrale Ansprechstelle Cybercrime (ZAC) oder das BSI. Auch die Geschäftsführung muss über den Status Quo und die geplanten Schritte informiert werden.

Incident Response

Jetzt kommt der Notfallplan zum Einsatz. Mithilfe von Incident Response muss die weitere Ausbreitung gestoppt werden. Hier sind zunächst Kommunikationsmöglichkeiten für das Team einzurichten. Dann gilt es festzustellen, ob es weitere Angriffspunkte gibt. Anschließend muss der Angreifer aus dem Netzwerk ausgeschlossen werden. Schließlich müssen die Verantwortlichen sondieren, welche Infrastrukturteile isoliert beziehungsweise abgetrennt werden können oder müssen, um weitere Schäden zu verhindern.

Nach diesen ersten Schritten gilt es, das Schadensausmaß festzustellen und Recovery-Optionen einzuleiten. Ist ein Backup vorhanden, sollte dies direkt offline genommen werden, um eine Verschlüsselung zu verhindern. Weiterhin muss eruiert werden, welche Services betroffen und welche Daten verschlüsselt wurden. Können letztere wieder entschlüsselt werden? Was ist zu tun, wenn diese Möglichkeit nicht besteht?

Um Daten erfolgreich selbst zu entschlüsseln, ist es wichtig, möglichst viele Informationen zur Ransomware zusammenzutragen. Dazu gehört beispielsweise:

• Um welche Ransomware handelt es sich?

• Gibt es schon Entschlüsselungsmöglichkeiten?

• Welche Schwachstellen hat sie?

• Wer steckt dahinter? Welche Motivation haben die Angreifer?

Mangelhafte Notfallplanung

Nur jedes zweite Unternehmen hat einen Notfallplan für Cyberattacken

Zahlen oder nicht zahlen?

Falls es keine Möglichkeit gibt, die Daten selbst zu entschlüsseln oder anderweitig wieder herzustellen, müssen sich die Verantwortlichen Gedanken zur Zahlung des Lösegelds machen. Je nachdem, wie viel das Unternehmen bereit wäre, zu bezahlen, könnte dies sogar „günstiger“ sein, als die Daten selbst wiederherzustellen, lange Ausfallzeiten sowie Image- und Reputationsschäden in Kauf zu nehmen oder finanziellen Forderungen von Stakeholdern nachzukommen. Zahlreiche Unternehmen haben inzwischen auch eine Cyberversicherung, die zumindest einen Teil der Schäden übernimmt. Dennoch bleibt die Gefahr, dass die Angreifer die Daten trotz Zahlung nicht wieder freigeben. Behörden wie das LKA und das BKA sowie das BSI raten von einer Lösegeldzahlung ab, um keine organisierte Kriminalität zu finanzieren.

Entscheidet sich das betroffene Unternehmen zur Zahlung des Lösegelds, geht es an die Verhandlungen mit den Erpressern. Zuvor sollten sich die Verantwortlichen darüber klar werden, welche Ziele sie konkret erreichen wollen und wie sie die Zahlungsmittel aufbringen. Nimmt man Kontakt mit den Angreifern auf, gilt es, höflich zu bleiben. Auch wenn es einem zuwider sein mag: Die Erfahrung zeigt, dass „schwierige Kunden“ auch schlechter behandelt werden. Dies könnte die Konditionen verschlechtern. Ein wichtiger Punkt ist, direkt zu Beginn zu verifizieren, ob es sich auch tatsächlich um die Angreifer handelt und ob diese die Daten auch entschlüsseln können. Dies kann über die Freigabe von Free Keys geschehen, mit denen man in einer Sandbox überprüfen kann, ob es sich um den korrekten Schlüssel und nicht um weitere Malware handelt.

Schließlich geht es darum, die Höhe der Zahlung zu verhandeln. Da Cyberkriminelle über öffentlich zugängliche Geschäftsberichte und Finanzbilanzen gut über die Zahlungsfähigkeit informiert sind, sollte man sie hier keinesfalls unterschätzen. Der nächste Schritt ist die Festlegung eines Zeitplans: Bis wann muss das Geld bezahlt sein? Wann wird der Schlüssel geliefert? Die Bezahlung erfolgt meist in Krypto-Währung. Auch der finale Schlüssel sollte wieder zunächst in einer Sandbox überprüft werden.

Um zu verhindern, dass das Unternehmen direkt wieder angegriffen wird, hat der Security-Operations-Services-Partner Arctic Wolf Tipps auf Lager:

• Scannen und Bereinigen aller Systeme

• Zurücksetzen aller User-Passwörter und technischer Accounts

• Überprüfung und Schließen möglicher Backdoors und Schwachstellen

• Im Public-, Dark-, und Deep-Web überprüfen, ob wirklich keine Daten veröffentlicht wurden.

Ransomware as a Service (RaaS)

Ransomware als Dienstleistung aus dem Darknet

(ID:49016379)