Modul 1 · 1.3
Deutsch
Ransomware und Erpressung
Modul 1: Warum Sie ein Ziel sind · Lesezeit: 10 Minuten
Lernziel: Nach dieser Lektion können Sie erklären, wie Ransomware eindringt, was doppelte Erpressung ist und welche Massnahmen den Schaden begrenzen.
Kernbegriffe: Ransomware, Verschlüsselung, doppelte Erpressung, initialer Zugang, laterale Bewegung, Lösegeld, Decryptor (No More Ransom)
Was Ransomware ist
Ransomware ist Schadsoftware, die Ihre Dateien oder Systeme unbrauchbar macht und anschliessend Lösegeld fordert. Das Wort kommt vom englischen ransom: Lösegeld. Meist geschieht das durch Verschlüsselung: Die Software wandelt Ihre Dateien in unlesbare Daten um, mit einem Schlüssel, den nur der Angreifer besitzt. Sie sehen die Dateien noch, oft mit einer merkwürdigen Dateiendung, können sie aber nicht mehr öffnen. Auf dem Bildschirm oder in jedem Ordner erscheint eine Nachricht: Zahlen Sie innerhalb weniger Tage, sonst ist alles verloren.
Verschlüsselung an sich ist nichts Bösartiges. Es ist dieselbe Technik, die Ihren Laptop bei Diebstahl schützt (Lektion 5.2) und die Ihre Verbindung zu einer Website absichert. Der Unterschied liegt darin, wer den Schlüssel besitzt. Gute Verschlüsselung lässt sich nicht knacken. Deshalb ist „wir entschlüsseln das einfach mal eben" fast nie eine Option, es sei denn, die Entwickler der Ransomware haben einen Fehler gemacht.
Ransomware betrifft laut dem BSI nicht nur Dateien, sondern auch Systeme und Backups. Letzteres ist der wichtigste Punkt dieser Lektion.
Wie sie eindringt
Ein Ransomware-Angriff ist kein einzelner Moment, sondern eine Abfolge von Schritten. Er beginnt mit dem initialen Zugang: dem ersten Fuss in der Tür. Die häufigsten Wege:
| Zugangsweg | Wie es abläuft | Was es verhindert |
|---|---|---|
| Phishing mit Anhang oder Link | Ein Mitarbeiter öffnet eine „Rechnung" oder einen „Lieferschein", der Schadsoftware startet | Sensibilisierung (Lektion 9.2), Updates, eingeschränkte Rechte |
| Gestohlene Zugangsdaten | Ein geleaktes Passwort funktioniert beim Webmail, beim VPN oder bei der Fernwartung | Eindeutige Passwörter, Zwei-Faktor-Authentifizierung (Modul 2) |
| Eine bekannte Schwachstelle in einem System, das mit dem Internet verbunden ist | Ein veralteter VPN-Server, eine Firewall, ein NAS oder eine Website mit einer öffentlich bekannten Sicherheitslücke | Zügiges Aktualisieren (Lektion 5.1), nichts unnötig offen lassen |
| Offene Fernwartung | Ein Programm zum Fernzugriff auf einen PC, erreichbar aus dem gesamten Internet | Nur über eine gesicherte Verbindung, mit 2FA |
| Ein Dienstleister | Die IT-Firma oder die Software eines Dienstleisters wird missbraucht | Vereinbarungen und minimale Rechte (Modul 7) |
Nach dem ersten Zugang wartet ein Angreifer oft ab. Er sieht sich um, sucht nach Administratorkonten und springt von Computer zu Computer. Das nennt man laterale Bewegung. Er sucht vor allem zwei Dinge: wo die wichtigen Daten liegen und wo die Backups liegen. Erst wenn er beides gefunden hat, schlägt er zu, oft nachts oder am Wochenende, wenn es niemand bemerkt.
Warum ein angeschlossenes Backup nicht hilft
Viele kleine Unternehmen haben ein Backup: eine externe Festplatte, die ständig am PC hängt, oder ein Netzwerkspeicher (NAS), auf den jede Nacht eine Kopie läuft. Das ist besser als nichts bei einer defekten Festplatte. Gegen Ransomware hilft es oft nicht.
Der Grund ist einfach. Ransomware verschlüsselt alles, worauf der infizierte Computer oder das übernommene Konto zugreifen kann. Hängt die Backup-Festplatte am PC, kann die Ransomware darauf zugreifen. Liegt das Backup auf einem Netzwerkspeicher, bei dem Sie sich mit demselben Konto anmelden, kann die Ransomware auch dort hin. Ein Angreifer, der sich in Ruhe umgesehen hat, löscht die Backups manchmal sogar gezielt, bevor er verschlüsselt.
Dasselbe gilt für Synchronisierung. Ein Ordner, der automatisch mit der Cloud synchronisiert wird, synchronisiert auch die verschlüsselte Version. Manchmal lässt sich dann noch eine ältere Version einer Datei wiederherstellen, aber das hängt vom Dienst ab und davon, wie lange er Versionen aufbewahrt.
Ein Backup, das einen Ransomware-Angriff übersteht, hat mindestens eine Kopie, die der Angreifer nicht erreichen oder nicht verändern kann: eine Festplatte, die lose in der Schublade liegt, oder ein Backup bei einem separaten Anbieter mit einem eigenen Zugang, den Sie nicht auf Ihrem Arbeitscomputer verwenden, oder ein Speicher, bei dem Ändern und Löschen eine Zeit lang technisch unmöglich ist. In Modul 6 richten Sie das Schritt für Schritt ein. Ein Backup, das Ihr Hosting-Anbieter auf separaten Servern erstellt, losgelöst von Ihrem Paket, ist für Ihre Website und E-Mail bereits eine externe Kopie. Prüfen Sie allerdings, wie lange es aufbewahrt wird und wer es löschen kann.
Doppelte Erpressung
Früher war ein gutes Backup die vollständige Antwort auf Ransomware: wiederherstellen, fertig. Angreifer haben sich angepasst. Bei doppelter Erpressung stehlen sie zunächst eine Kopie Ihrer Daten und verschlüsseln erst danach. Dann gibt es zwei Drohungen:
- Zahlen Sie, sonst bekommen Sie Ihre Dateien nicht zurück.
- Zahlen Sie, sonst veröffentlichen wir Ihre Daten: Kundendateien, Angebote, Gehaltsdaten, Postfächer.
Ein Backup hilft gegen das Erste, nicht gegen das Zweite. Auch das BSI warnt davor, dass Angreifer manchmal drohen, gestohlene Daten zu veröffentlichen. Darüber hinaus ist der Diebstahl personenbezogener Daten an sich eine Datenpanne, mit einer Meldepflicht bei der zuständigen Datenschutzaufsichtsbehörde (Lektion 8.2), unabhängig davon, ob Sie zahlen.
Manchmal geht ein Angreifer noch weiter und wendet sich direkt an Ihre Kunden oder Geschäftspartner mit der Mitteilung, dass deren Daten bei Ihnen erbeutet wurden. Der Druck liegt dann nicht nur bei Ihnen, sondern auch bei Ihrem Ruf.
Zahlen oder nicht?
Der Rat von Behörden und Polizei ist eindeutig: zahlen Sie lieber nicht. No More Ransom, die Initiative unter anderem von Europol und europäischen Polizeibehörden, formuliert es so: Lösegeldzahlungen bieten keine Garantien. Es gibt gute Gründe dafür:
- Sie haben keine Garantie, dass Sie einen funktionierenden Schlüssel erhalten oder dass das Entschlüsseln gelingt.
- Sie haben keine Garantie, dass gestohlene Daten danach wirklich gelöscht werden.
- Sie bestätigen, dass Ihr Unternehmen zahlt, und das macht Sie attraktiv für einen weiteren Angriff.
- Sie finanzieren die nächsten Angriffe auf andere.
- Der Weg hinein ist noch nicht verschlossen. Ohne Untersuchung kann es erneut passieren.
Das BSI bezeichnet die Wiederherstellung aus einem Backup als die zuverlässigste Lösung. Gelingt das nicht, prüfen Sie, ob es einen Decryptor gibt: ein kostenloses Programm, das Dateien einer bestimmten Ransomware-Familie entschlüsseln kann, weil Forscher einen Fehler in dieser Familie gefunden oder Schlüssel beschlagnahmt haben. No More Ransom (https://www.nomoreransom.org) sammelt diese Decryptors und hilft Ihnen herauszufinden, um welche Ransomware es sich handelt. Längst nicht für jede Familie gibt es eine Lösung, aber nachsehen kostet nichts.
Erstatten Sie in jedem Fall Anzeige bei der Polizei und prüfen Sie, ob für Sie eine Meldepflicht besteht: bei der zuständigen Datenschutzaufsichtsbehörde, wenn personenbezogene Daten betroffen sind, beim BSI, wenn Sie unter das BSI-Gesetz (NIS-2-Umsetzung) fallen (Lektion 9.1), und manchmal bei einem Auftraggeber gemäss Ihrem Vertrag.
Was den Schaden begrenzt
Sie können die Wahrscheinlichkeit eines Angriffs verringern und den Schaden begrenzen, falls es doch passiert. Eine Übersicht, mit der Lektion, in der Sie es lernen:
- Aktualisieren, vor allem alles, was mit dem Internet verbunden ist: VPN, Router, NAS, Website (Lektion 5.1).
- Zwei-Faktor-Authentifizierung für E-Mail, Fernwartung und alle Administratorkonten (Lektion 2.3 und 2.4).
- Minimale Rechte: nicht täglich mit einem Administratorkonto arbeiten und nicht jedem überall Zugriff geben (Lektion 7.1).
- Ein Backup ausser Reichweite Ihrer gewöhnlichen Konten, und regelmässig testen, ob das Wiederherstellen funktioniert (Modul 6).
- Eine Notfallkarte, damit jeder weiss, was zu tun ist: Netzwerk trennen, nicht einfach ausschalten, anrufen (Lektion 8.1 und 8.3).
- Sensibilisierung: Ein Kollege, der sofort meldet, dass er einen verdächtigen Anhang geöffnet hat, verschafft Ihnen einen Vorsprung von Stunden (Lektion 9.2).
In der Praxis: So sieht es aus
Ein Beispiel, zusammengestellt aus häufig vorkommenden Situationen. Ein Installationsbetrieb mit zwölf Mitarbeitern hatte einen VPN-Server, um von zu Hause aus auf die Dateien zugreifen zu können. Die Firmware war seit anderthalb Jahren nicht aktualisiert worden. Über eine bekannte Schwachstelle gelangte ein Angreifer hinein, sah sich eine Woche lang um und fand das Administratorkonto des Netzwerkspeichers. In einer Samstagnacht wurden die PCs, der Netzwerkspeicher und die daran angeschlossene USB-Festplatte mit dem Backup verschlüsselt. Was übrig blieb: die E-Mail und die Website, die bei einem Hosting-Anbieter mit eigenem Backup lagen, sowie eine alte Kopie der Buchhaltung auf einer Festplatte, die der Steuerberater zu Hause liegen hatte. Damit konnte das Unternehmen nach ein paar Tagen wieder Rechnungen stellen. Die Angebote und Zeichnungen der vergangenen Monate waren verloren.
Ein Update und eine einzelne lose Festplatte in einer Schublade hätten den Unterschied zwischen ein paar Tagen und ein paar Monaten ausgemacht.
Zusammenfassung
- Ransomware verschlüsselt Dateien, Systeme und Backups und fordert Lösegeld; gute Verschlüsselung lässt sich nicht knacken.
- Ransomware dringt über Phishing, gestohlene Passwörter, nicht aktualisierte internetverbundene Systeme, Fernwartung oder einen Dienstleister ein; danach sieht sich der Angreifer oft erst um.
- Ein Backup, das am Computer hängt oder mit demselben Konto erreichbar ist, wird häufig mitverschlüsselt.
- Bei doppelter Erpressung werden Daten zunächst gestohlen; ein Backup hilft dann nicht gegen die Drohung der Veröffentlichung, und es handelt sich um eine Datenpanne.
- Zahlen Sie lieber nicht; stellen Sie aus einem Backup wieder her, prüfen Sie bei No More Ransom auf einen Decryptor und erstatten Sie Anzeige.
Quiz
Aufgabe
Aufgabe D1.3: Was, wenn es heute Nacht passiert? Gehen Sie für Ihr eigenes Unternehmen durch, was Ransomware heute Nacht verschlüsseln könnte. Notieren Sie, wo Ihre Backups liegen, ob sie von einem gewöhnlichen Arbeitscomputer oder mit einem gewöhnlichen Konto erreichbar sind, und welche Systeme mit dem Internet verbunden sind. Beantworten Sie anschliessend die Reflexionsfragen.
Aufgabe D1.3: Was, wenn es heute Nacht passiert?
So gehen Sie vor: (1) Erstellen Sie eine Liste aller Orte, an denen wichtige Dateien liegen: PCs, Laptops, Netzwerkfestplatte, Cloud-Speicher, Mail, Buchhaltung, Website. (2) Schreiben Sie zu jedem Ort auf, wo das Backup liegt, und ob dieses Backup von einem gewöhnlichen Arbeitscomputer aus erreichbar ist oder mit einem Konto, das Sie täglich benutzen. (3) Prüfen Sie, welche Systeme mit dem Internet verbunden und von aussen erreichbar sind (VPN, Fernverwaltung, NAS, Router, Website), und wann sie zuletzt aktualisiert wurden. (4) Prüfen Sie, ob es mindestens eine Kopie gibt, die Ransomware nicht erreichen kann (getrennt in der Schublade, oder bei einer separaten Partei mit eigenem Login). (5) Schauen Sie sich einmalig auf https://www.nomoreransom.org/de/index.html an, wie die Seite funktioniert, damit Sie es wissen, wenn es nötig ist.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es vergleichbar.
- WebOké Backups: Ein Backup ansehen, wiederherstellen oder herunterladen
- DirectAdmin Anleitung 16.1: Welche Arten von Backups es bei WebOké gibt
- BSI, Was ist Ransomware: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/ransomware-angriffe_node.html
- No More Ransom: https://www.nomoreransom.org/de/index.html