Datensicherheit ist entscheidend für den Schutz vor Ransomware Backups gegen Ransomware schützen

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

Rubrik Germany GmbH

Ransomware ist ein Riesengeschäft – Kriminelle können Schadsoftware lizenzieren und selbst ohne große Vorkenntnisse beliebige Netzwerke angreifen. Dabei zielen sie oft auch auf Backup-Systeme ab. Deshalb müssen sie sich mit geschützten und unveränderbaren Backups gegen Ransomware immunisieren.

Unsere vernetzte Welt bietet Cyberkriminellen viele direkte Wege und Hintertüren, um in Unternehmensnetzwerke einzudringen. Laut dem Deloitte Cyber Security Report 2021 steht Schadsoftware in diesem Jahr mit 76 Prozent auf Platz zwei der größten Cyberrisiken. Im Vergleich zu 2013 ein Plus von 19 Prozent. Für diesen regelrechten Boom ist unter anderem auch der florierende Markt für Ransomware-as-a-Service (RaaS) verantwortlich. Mandiant zeigt in den M-Trends 2022 auf, dass in der EMEA-Region Cybersicherheitsvorfälle mit Ransomware von 2020 bis 2021 bereits über einen Fünftel der beobachteten Angriffe ausmachten.

Die Gefahren durch Ransomware sind vielfältig. Für Kriminelle zählen sie als lukratives Geschäft, denn die durchschnittliche Lösegeldzahlung beträgt mehr als 812.000 US-Dollar. Die geschädigten Unternehmen müssen zusätzlich die Kosten für die Behebung der Folgen eines solchen Vorfalls tragen. Die belaufen sich laut dem Sophos Ransomware Report im Durchschnitt auf rund 1,4 Millionen US-Dollar (pdf).

Unternehmen müssen die Angriffsstrategien verstehen

Wenn Daten und Systeme durch Ransomware unbrauchbar werden, dann liegt der Gedanke nah, dass eine Wiederherstellung aus dem Backup das Schlimmste verhindert. Das wissen Cyberkriminelle und greifen deshalb auch Backups an. Unternehmen, die ihre Backup-Daten auf dem Primärspeichersystem ablegen, anstatt sie zu isolieren, erleichtern es den Angreifern, diese im Falle eines Angriffs zu verschlüsseln oder zu löschen. Gleiches gilt für Backup-Daten in einer eigenen Cloud, da diese heutzutage als Teil hybrider Infrastrukturen nicht mehr streng von den Produktivsystemen getrennt sind.

IT-Verantwortliche müssen solche Angriffsstrategien verstehen, um ihr Unternehmen dagegen zu schützen. Ein Angriff ist nur eine Frage der Zeit. Dabei sind drei Gedanken zentral, um eine zeitgemäße Strategie für Datensicherheit zu entwickeln. Erstens dürfen Kriminelle gar nicht erst in das Netzwerk eindringen. Zweitens muss verhindert werden, dass Malware Schaden im System anrichtet und Daten ausspäht. Drittens dürfen Sicherheitskopien von Daten und Systemen nicht manipuliert werden, falls ein Angriff doch erfolgreich ist. Ein unveränderliches Backup, in dem die gespeicherten Daten nicht geändert, überschrieben oder gelöscht werden können, gibt Unternehmen die Möglichkeit, ohne Datenverlust und lange Ausfallzeit ihre Daten wiederherzustellen.

Wie kriminelle Hacker Systeme infiltrieren

Doch wie kommt Schadsoftware in die Unternehmensinfrastruktur? Am einfachsten fällt es den kriminellen Akteuren, wenn bekannte Sicherheitslücken nicht gepatcht wurden. Gefährdet sind Organisationen jedoch auch durch bislang unbekannte Schwachstellen, die noch gar nicht geschlossen werden konnten, sogenannte Zero Day Exploits. Deshalb gehören zuverlässige Patch-Routinen und die aktive Suche nach unentdeckten Sicherheitslücken zu den Grundelementen einer IT-Sicherheitsstrategie. Das Schlagwort lautet: Penetration Testing, kurz Pentesting.

Neben dem Ausnutzen von Sicherheitslücken setzen Kriminelle heutzutage primär auf Social Engineering – etwa Phishing oder Spear-Fishing. Zu den beliebten Varianten zählt, dass Mitarbeiter von der vermeintlichen Vorgesetzten eine E-Mail bekommen. Diese auf den ersten Blick seriös wirkende E-Mail enthält Anweisungen, wie zum Beispiel schnell einen Report mit angehängter Vorlage auszufüllen. Oft wird dabei Stress und psychischer Druck aufgebaut, damit die Nachricht nicht hinterfragt wird. Die scheinbare Dringlichkeit des Anliegens führt dann dazu, dass schädliche Anhänge vorschnell heruntergeladen, Zugangsdaten weitergegeben oder Aktivitäten einer Schadsoftware legitimiert werden. Um Phishing und anderen Social-Engineering-Methoden den Riegel vorzuschieben, lohnt sich eine Investition in die Sensibilisierung der Mitarbeiter für die verschiedenen Angriffsarten und die Aufklärung, wie diese erkannt und vermieden werden.

Malware ist geduldig

Nachdem die Schadsoftware in ein System eingedrungen ist, zeigen sich oftmals keine unmittelbare Veränderung. Laut den M-Trends 2022 verweilt Ransomware zwischen 4 und 150 Tagen erfolgreich in Unternehmensnetzwerken, bevor sie entweder bemerkt oder offen tätig wird. Bleibt der Angriff unentdeckt, funkt das infizierte System an einen Heimat-Server und meldet die Infiltration. Danach können die Kriminellen je nach Bedarf und Motiv Späh-, Schad-, Extraktions- und Verschlüsselungssoftware nachladen. Der tatsächliche Angriff erfolgt erst, wenn das Netzwerk ausreichend ausgekundschaftet wurde.

Was dann passiert, hängt vom Ziel der Cyberkriminellen ab. Möchten sie zum Beispiel das Unternehmen erpressen, so werden sie Daten extrahieren, verschlüsseln und ein hohes Lösegeld für die Rückgabe oder Entschlüsselung verlangen. Manchmal machen sich Angreifer nicht einmal die Mühe, Daten zu verschlüsseln und drohen direkt damit, Kopien im Darknet anzubieten. Im Ukraine-Krieg wurden einige Firmen von vermutlich russischen Hackerbanden angegriffen, um deren Daten und Systeme zu vernichten. In solchen Fällen geht es nicht um Erpressung, sondern um Sabotage und Zerstörung.

Die Strategie für Cybersicherheit sollte deshalb einen Zero-Trust-Ansatz beherzigen. Dieser begrenzt den Zugriff auf die Unternehmensdaten und -systeme auf ein Minimum an Nutzern und Geräten und legt zeitliche Beschränkungen für den privilegierten Zugriff fest. Das unterscheidet ihn vom traditionellen „Trust but Verify“-Modell, bei dem Nutzern oder Geräten mit einfachen Anmeldeinformationen bereits ein breiter Zugang zu digitalen Ressourcen gewährt wird. Die Hürden für Malware und damit der Datenschutz für Unternehmen steigen.

Die Angriffe auf das Backup

Um Backups anzugreifen, können Cyberkriminelle verschiedene Strategien wählen. Im Fall von Sabotage und Zerstörung können sie zum Beispiel mit der eingeschleusten Malware den Zeitserver des Backups manipulieren. Backups benötigen Speicherkapazitäten, weshalb alte Backup-Versionen oft nur für eine bestimmte Zeit aufbewahrt werden. Wenn der Zeitserver kompromittiert und seine Systemuhr vorgestellt wird, dann löscht das Backup-System die Daten- und Systemsicherungen vor der vorgesehenen Zeit. Ein Zeitstempel im Backup, der vorwärts gezählt wird, kann die Abhängigkeit von Zeitservern aufheben.

Vielleicht verschafft sich die Schadsoftware aber auch Administratorrechte, um ein Backup zu kompromittieren. Wie in Produktivumgebungen trägt auch in Backup-Systemen ein Zero-Trust-Modell zu einem hohen Datenschutz bei. Einen zusätzlichen Schutz erhalten Unternehmen, wenn sie den Zugriff auf Backups auf eine API beschränken, die auf mindestens zwei Faktoren für die Authentifizierung besteht. Dann reicht zum Beispiel der Zugang zu einem Administratorkonto alleine nicht mehr aus, um mit diesen Rechten tatsächlich Schaden anzurichten.

Um sich gegen erpresserische Absichten zu schützen, müssen Unternehmen ihr Backup gegen Verschlüsselung absichern. Dabei spielen unveränderliche Backups eine entscheidende Rolle, die nur das Schreiben neuer Daten, nicht aber die Veränderung bereits geschriebener Backup-Daten erlaubt. Welches Szenario auch immer eintritt, für Unternehmen sollte es Priorität haben, dass sie ihre Backups schützen und vor allem unveränderbar machen, um Datenverluste zu vermeiden.

Fazit

Die intelligente Kombination von verschiedenen Sicherheitsmaßnahmen erlaubt es, präventiv zu agieren. Das muss heutzutage ebenfalls Maßnahmen einschließen, um die Kompromittierung von Backups zu verhindern und eine reibungslose Wiederherstellung zu gewährleisten. Der nächste Angriff kommt bestimmt, aber Unternehmen, die mit einer ganzheitlichen Strategie ausgestattet sind, können Schaden abwehren und sich auch im schlimmsten Szenario schnell erholen.

Über den Autor: Michael Pietsch ist Regional Vice President Germany bei Rubrik. Er begann seine Laufbahn bei Hewlett-Packard. Es folgten weitere Positionen bei Symantec, Palo Alto Networks und EMC/Dell. Zuletzt war er als Head of DACH and Eastern Europe bei Boomi tätig. Sein Know-how in den Bereichen Storage und Data Management sowie seine Erfahrung in der Cybersicherheit machen ihn zu einem Experten in Sachen moderne Data Protection und Data Security.

(ID:48830388)