Horrorszenario Ransomware-Attacke Opfer eines Ransomware-Angriffs? Was sie jetzt tun sollten!

Anbieter zum Thema

F24 AG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Anzahl an Cyberangriffen steigt. 2022 um 27 Prozent im Vergleich zum Vorjahr; 2023 nochmals um 24 Prozent. Neben Naturkatastrophen und Krankheitswellen sind es Cyberangriffe, die Unternehmen in der technologisierten Gesellschaft herausfordern. Wir zeigen, wie Unternehmen nach einem Ransomware-Angriff reagieren sollten und wie sie dabei die Oberhand behalten.

Der Arbeitstag beginnt, der Posteingang wird gecheckt und dann passiert es: Der Zugriff auf die eigenen Dateien wird verweigert, das komplette System ist blockiert. Die Ursache: Ein Ransomware-Angriff. Unternehmensdaten wurden verschlüsselt und liegen bei den Angreifern, die nun ein Lösegeld verlangen und mit der Veröffentlichung der Daten drohen, sollte das Lösegeld nicht gezahlt werden. Schon ein unbedachter Klick auf einen Link, das Öffnen eines E-Mail-Anhangs oder einer infizierten Website genügt, um ein Szenario wie dieses auszulösen. Und die Gefahr steigt: Pro Tag registriert das Bundesamt für Sicherheit in der Informationstechnik (BSI) 70 neue kritische Schwachstellen in Software-Produkten. Und gerade, wenn Unternehmen von einer Ransomware-Attacke getroffen werden, sind die Schäden meist empfindlich hoch.

Gefahr durch Ransomware steigt massiv

Allein im Jahr 2023 verursachten Cyberangriffe einen Gesamtschaden von über 200 Milliarden Euro. Für das Jahr 2024 wird der Schaden auf 265 Milliarden Euro geschätzt. Zusätzlich zu dem Lösegeld kommen Kosten für Betriebsstörungen und die Datenwiederherstellung bei Umsatzeinbußen und Reputationsschäden hinzu. Betroffen sind nicht nur die großen Unternehmen und Konzerne. Auch kleine und mittlere Betriebe werden angegriffen – für die meisten ein Existenzrisiko. Inzwischen fokussieren sich die Kriminellen auf mobile Geräte, um sowohl an unternehmensbezogene als auch personenbezogene Daten zu gelangen. Die entsprechenden Ransomware-Kits sind inzwischen schon für 40 Dollar käuflich zu erwerben. Vorsicht ist geboten, Prävention zwingend notwendig.

Die vier Phasen eines fiktiven Ransomware-Angriffs

Phase 1: „Sie wurden gehackt“

Das fiktive Szenario beginnt mit einem Klick auf einen infizierten Link oder einen gefährlichen E-Mail-Anhang. Das eigene PC-System wurde durch die Angreifenden gesperrt. Umgehend öffnet sich ein Bildschirmfenster. Die Angreifenden informieren die Mitarbeitenden und dadurch auch das Unternehmen über die entwendeten und nun verschlüsselten Unternehmensdaten – Preislisten, Kundendaten, Gehaltsinformationen oder ähnliches –, fordern ein Lösegeld und drohen mit der Veröffentlichung der Daten, sollte der Angriff ignoriert oder das Lösegeld nicht gezahlt werden.

In dem Moment des Angriffs ist es essenziell, den internen Krisen- und Notfallplan zu aktivieren. Mit einem digitalen Tool erfolgt diese Alarmierung per einfachen Klick, um 1.) das Krisenmanagement zu informieren und 2.) wahlweise weitere Personen über den Vorfall und das weitere Vorgehen zu informieren. Zusätzlich ermöglichen digitale Tools, sofern diese unabhängig von der eigenen IT-Infrastruktur betrieben werden wie zum Beispiel als extern gehostete SaaS-Lösung, eine abteilungsübergreifende Kommunikation, selbst wenn das interne IT-System lahmgelegt wird. So wird die angegriffene Person anschließend automatisch mit dem Krisenstab in einen sicheren virtuellen Raum zugelassen oder ein physisches Treffen organisiert, um die nächsten Schritte zu besprechen.

Phase 2: Das Krisenmanagement wird aktiviert

Tritt diese Krise ein, gilt es, sich so schnell wie möglich einen Überblick zu verschaffen, alle notwendigen Rollen einzuberufen und die Handlungsmöglichkeiten zu definieren. Dazu sollten immer die W-Fragen – Was ist passiert? Wo ist es passiert? Wann ist es passiert? Warum ist es passiert und wie ist es passiert? – beantwortet werden. Erst dann können Krisenverantwortliche Entscheidungen treffen und die nächsten Schritte einleiten. Wichtig ist auch, alle Stakeholder – u.a. Medien, Investoren, Kunden – ins Boot zu holen und den Reputationsschaden möglichst gering zu halten. Ist der Vertrauensverlust zu groß, würde sich das auf die weitere Zusammenarbeit auswirken. Denn die Angreifenden könnten ebenfalls Zugriff auf die gespeicherten Daten Einzelner haben und diese jederzeit nutzen, um ihre Verhandlungsposition zu stärken. Digitale Tools wie beispielsweise FACT24 können diese Kommunikation vereinfachen und professionalisieren.

Die einzelnen Rollen und Verantwortlichkeiten sollten bereits im Vorfeld definiert worden sein. Der genaue Prozess zur Krisenbewältigung ist unternehmensspezifisch, kann sich aber an der Grafik orientieren. Auf digitalen Tools können die Informationen zur Situation, Lösungsmöglichkeiten, Entscheidungsvorschläge, die Gründe für die Entscheidung und eine Schlussfolgerung festgehalten werden.

In der Regel gibt es mindestens drei Optionen für das weitere Vorgehen: Das Lösegeld direkt zu zahlen, das Lösegeld nicht zu bezahlen oder zu verhandeln. Vor diese Wahl gestellt, müssen Unternehmen sich immer fragen, ob sie überhaupt bereit sind, mit Kriminellen zu verhandeln – eine Frage, die auch ethische Implikationen mit sich bringt. Neben dieser ethischen Implikation gilt es natürlich auch die finanzielle Ebene zu betrachten: Liegen die Wiederherstellungskosten inklusive einer Lösegeldzahlung über oder unter den Kosten des Versuches, die Daten ohne die Entschlüsselungssoftware wiederherzustellen? Im Ernstfall sind diese Faktoren sorgfältig abzuwägen, um das bestmögliche Vorgehen zu bestimmen.

Phase 3: Die Verhandlung wird eingeleitet

Ganz egal, ob das Unternehmen grundsätzlich zur Zahlung eines Lösegeldes bereit ist oder nicht: In jedem Fall sollte es in die Verhandlung treten und die Bereitschaft zur Zahlung äußern, um wertvolle Zeit zu gewinnen. Ob ein Unternehmen tatsächlich zahlt, hängt von vielen Faktoren ab. Handelt es sich beispielsweise um eine russische Attacke oder einen Angriff aus einem anderen Land, das auf einer Sanktions-Liste steht, darf bereits aus juristischen Gründen kein Lösegeld gezahlt werden. Auch die Unternehmens-Policy gibt in den meisten Fällen klare Handlungsanweisungen vor – und für alle im Artikel genannten Ratschläge gilt: Jede Cyberattacke ist unterschiedlich und kann sich anders auf das Unternehmen auswirken. Für die strategisch taktische Beratung von Verhandlungsgesprächen sollten spezialisierte Experten herangezogen werden.

Um zu verhandeln, müssen Unternehmen in der Regel einen Tor Browser downloaden, um auf den spezifischen Service der Angreifer zuzugreifen und einen „Proof of Data“ anzufordern. So gewinnen sie einen Einblick in die gestohlenen Daten. Dieser Datensatz sollte direkt an die IT-Abteilung zur Einschätzung des Schadens und der Kosten für die Wiederherstellung weitergeleitet werden. Allein, um zu diesem Zeitpunkt noch abteilungsübergreifend schnell und effektiv kommunizieren zu können, sind digitale Kommunikations-Tools unerlässlich. Diese können als Software-as-a-Service implementiert und dadurch bei einer ausgefallenen IT-Infrastruktur genutzt werden. Mit einer integrierten Chat-Funktion können sich die Abteilungen untereinander kontaktieren und Dateien wie den “Proof of Data” austauschen. Dadurch bleibt die Kommunikation schnell und auf die Bewältigung der Krise ausgerichtet.

Wurden alle Informationen zusammentragen, wird die Verhandlung um das Lösegeld mit polizeilicher Unterstützung intensiviert. Haben sich beide Seiten geeinigt, wird das Lösegeld meist in Bitcoin oder einer vergleichbaren Währung gezahlt. Unternehmen müssen sich jedoch des Risikos bewusst sein, dass die Angreifenden unter Umständen die Daten trotz Zahlung nicht freigeben könnten. Um das Risiko eines solchen Szenarios zu minimieren, sollten Unternehmen sich zunächst schriftlich bestätigen lassen, dass der Angreifende bei Zahlung des Lösegeldes auch sicher garantiert, die Daten nicht zu veröffentlichen und einen Downloadlink – einen sogenannten Decrypter – mit den Daten bereitzustellen.

Verhandlungstipp: Ungerade Zahlen wirken seriöser und erhöhen dadurch die Wahrscheinlichkeit, das Lösegeld zu reduzieren.

Phase 4: Die Nachbereitung optimiert die Sicherheit und die Prozesse

Die Verhandlung lief erfolgreich, die Medien, Stakeholder sowie Geschäftsführung sind informiert. Doch erst jetzt beginnt die eigentliche Arbeit. Dabei geht es darum, die gehackte IT-Infrastruktur grundlegend neu aufzubauen. Noch sicherer als die vorherige, mit stärkeren E-Mail-Filtern, klügeren Passwort-Regeln bis hin zu fortlaufend aktuellen System-Updates. Auch Regelmäßige IT-Sicherheitsschulungen helfen dabei, das Bewusstsein für Gefahren wie Phishing-Mails und Social Engineering zu schärfen. Hat das angegriffene Unternehmen bis zu diesem Zeitpunkt bereits mit einem digitalen Tool gearbeitet, wurden alle Schritte des Krisenmanagements sorgfältig protokolliert. Aus diesen können wichtige Learnings abgeleitet und Trainings aufgebaut werden. Dann ist keine Krisensituation unlösbar und das Unternehmen geht dank der digitalen Resilienz-Steigerung gestärkt aus der Krise hervor.

Über den Autor: Markus Epner ist ausgewiesener Krisenexperte mit einer mehr als 20-jährigen Erfahrung im Sicherheits- und Krisenmanagement, u.a. bei der Deutschen Lufthansa und Boehringer Ingelheim. Aktuell ist Epner bei F24 als Head of Academy tätig.

(ID:50130358)