Ransomware und Cyberversicherungen Cyberversicherungen gegen digitale Lösegeldforderungen

Anbieter zum Thema

KnowBe4 Germany GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Hat Ransomware früher Daten einfach nur lokal verschlüsselt, so dass Cyberkriminelle Geld für deren Entschlüsselung fordern konnten, stiehlt aktuelle Malware Unternehmen außerdem die Daten. Die Kriminellen können dann Lösegeld­forderungen unter Drohung der Veröffentlichung der Daten erheben. Cyber­versicherungen können hier Teil der Risk-Management-Strategie von Unternehmen sein.

In der Vergangenheit wurde mit Ransomware einfach die Türe eingetreten und Daten als Geisel genommen, danach war eine Zahlung erforderlich, um wieder Zugang zu den Informationen zu erhalten. Anfangs hat dies viele Unternehmen überrumpelt. Sie waren nicht vorbereitet, ohne digitale Systeme, Kundenlisten, frühere Aufzeichnungen und Dokumentationen, die für die Produktion von Fertigungsteilen benötigt wurden. Dies löste einen Run auf Lösungen mit dem Fokus auf die Wiederherstellung von Daten aus. Unternehmen, die nie geglaubt hatten, dass sie Opfer eines Vorfalls mit Datenverlust würden, wurden plötzlich durch Angriffe auf andere Organisationen die Augen geöffnet. Informationssicherheit war nicht mehr Thema im Mikromanagement, sondern wurde nun zu einem Thema bei Vorstandssitzungen.

Mit der erhöhten Aufmerksamkeit, Daten schnell wiederherzustellen und sogar in Abwesenheit digitaler Systeme zu operieren, sank die Notwendigkeit, die Angreifer zu bezahlen, wenn Lösegeldforderungen eingingen. Das hat sicch auf die Einnahmen der Angreifers ausgewirkt und diese haben beschlossen, sich zu wehren.

Ende 2019 konnte der erste echte Fall von Lösegeldforderungen in Verbindung mit Datenexfiltration beobachtet werden. Obwohl die Angreifer den Opfern versicherten, dass sie Daten exfiltriert hatten und diese öffentlich machen würden, wenn sie nicht zahlen wollten, wurde dies als Bluff immer ohne Folgen bewertet. Die Maze-Ransomware änderte dies, als sie zwei GB an Daten (von angeblich 32 GB) freigab, von denen gesagt wurde, dass sie während des Lösegeldangriffs Anfang des Monats exfiltriert wurden. Durch die mediale Berichterstattung änderte sich die Vorstellung davon, was während eines Lösegeldangriffs geschieht. Die Möglichkeit, Daten wiederherzustellen, schützte plötzlich nicht mehr vor den Cyberkriminellen, denn die unbefugte Offenlegung von Daten stellt eine grundlegend neue Gefahr dar.

Auswirkungen auf die Cyber-Versicherungsplanung

Nach dem alten Modell der Cyberversicherung wurden in etwa 1 Million US-Dollar für die Deckung eines Lösegeldangriffs veranschlagt. Dies wird oft auf der Grundlage der Kosten berechnet, die mit der Neuabbildung von Maschinen, digitaler Forensik und finanziellen Verlusten aufgrund von Ausfallzeiten verbunden sind, während die Produktion zum Erliegen gekommen ist. Wenn die Angreifer tatsächlich Daten aus dem Firmennetzwerk geschleust haben und diese öffentlich zugänglich machen, müssen sich die Sicherheitsexperten mit einer anderen Art von Risiko­management befassen. Wenn Kundendaten offengelegt werden, müssen die Unternehmen möglicherweise ein Callcenter und eine Antwort-Website einrichten, sich mit rechtlichen Fragen und möglichen Bußgeldern befassen, Pressekonferenzen abhalten und auch PR-Firmen einbeziehen.

Kurz gesagt, die Datenexposition ist eine andere Art einem Unternehmen finanziellen Schaden zuzuführen. Die Kosten überschreiten die 1-Million-US-Dollar-Richtlinie schnell. Es muss nicht mehr lediglich geprüft werden, wie die Angreifer eindringen und welche Malware oder Hintertüren sie hinterlassen haben, sondern es muss zusätzlich geprüft werden, welche Daten gestohlen wurden und wie groß der Umfang der geschädigten Kundendaten ist.

Andere Auswirkungen der neuen Ransomware-Bedrohung

Eine weitere Folge ist, dass Ransomware-Angriffe oft nicht offiziell gemeldet werden. Dies ist sinnvoll, denn wenn keine Daten die Organisation verlassen und der Angriff auf einige wenige Maschinen beschränkt ist sowie die Anwendungen schnell wieder in Gang gesetzt werden, gibt es in den meisten Fällen keinen Grund, das Ereignis außerhalb der Organisation zu streuen. Es ist im Wesentlichen wie jede andere Malware-Infektion. Die Datenexfiltration ändert all dies. Wenn nun Kundendaten gestohlen werden, insbesondere wenn sie nicht verschlüsselt gespeichert waren, bestehen andere zumeist gesetzliche Anforderungen an die Berichterstattung und Benachrichtigung.

Interessanterweise wurde die Anleitung des US-Gesundheits- und Sozialdienstes (HHS) zu diesem Thema bereits 2016 in der Publikation „FACT SHEET: Ransomware and HIPAA“ veröffentlicht und berücksichtigte das Risiko der Datenexfiltration durch Ransomware. Im Wesentlichen heißt es darin, dass das Ereignis als Verstoß gemeldet werden muss, wenn die Daten zum Zeitpunkt des Angriffes nicht verschlüsselt wurden.

Verteidigung gegen Angriffe

Es reicht nicht mehr aus, sich auf die Datensicherung und -wiederherstellung zu konzentrieren, um den Auswirkungen von Ransomware-Attacken zu entgehen. Die beste Chance ist Prävention, um das Netzwerk vor der Infektion zu schützen. Oftmals gehen die Organisationen davon aus, dass das Problem zu groß sei und effektiver Schutz somit nicht möglich ist.

Es gibt keine Sicherheitskontrolle in einer Organisation, die ständig wirksam ist. Eine „Wunderwaffe“ existiert nicht. Dennoch ist sie ein Vorwand, sich auf die Wiederherstellung, anstatt auf die Prävention zu konzentrieren. Das kann in der heutigen Zeit, in der Daten ausgefiltert und offengelegt werden, sehr kostspielig sein.

Backups und Datensicherungen sind lediglich ein Baustein effektiver Verteidigung, dennoch ist es immer erforderlich, die Ursache zu bekämpfen, also aktiv nicht reaktiv zu agieren. Die Angriffe bei Ransomware erfolgen fast immer über eine Phishing-E-Mail oder über ein Fernzugriffsportal das unsicher im Internet liegt. Der effektivste Weg, mit Phishing umzugehen, ist die Schulung des Benutzerbewusstseins. Technisches Personal ist oft nicht der beste Ausbilder für nicht-technische Mitarbeiter. Nicht viele Personen stellen gerne Endbenutzerschulungen zusammen und führen sie durch.

Im Hinblick auf das Problem des Fernzugriffs sollte Multi-Factor-Authentifizierung (MFA) aktiviert, alle Authentifizierungsversuche protokollieren, Konten nach mehreren Versuchen gesperrt und Fehler schnell gemeldet werden. Dies wird den Sicherheitsexperten helfen, Brute-Force-Angriffe zu erkennen. Außerdem wird das Risiko verringert, dass sich die Angreifer mit Hilfe von Credential-Stuffing-Techniken oder gängigen Passwörtern einloggen können.

Fazit

Ransomware wird nicht so bald verschwinden. Die jüngsten Fortschritte machen die Dinge schlimmer denn je. Organisationen sollten den aktuellen Cyber-Versicherungsschutz überprüfen, um sicherzustellen, dass sie den neuen Bedrohungen durch Lösegeld-Angriffe gewachsen sind. Darüber hinaus ist es sinnvoll, präventive Maßnahmen zu ergreifen, wie zum Beispiel New School Sicherheitsbewusstseins-Schulungen und die Überprüfung der Konfiguration und Kontrollen von Fernzugriffsportalen durchzuführen, um diese Art von Problemen von vornherein zu vermeiden.

Über den Autor: Erich Kron ist Security Awareness Advocate bei KnowBe4.

(ID:46543616)