Incident Response unter Zeitdruck Ransomware-Angriff abwehren mit Incident-Response-Plan

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Bei einem Ransomware-Angriff brauchen CISOs einen erprobten Incident-Response-Plan zur Schadensbegrenzung. Mit klaren Maßnahmen lassen sich infizierte Systeme schnell isolieren, Datenverluste verhindern, Backups schützen und die DSGVO-konforme Meldepflicht sicher erfüllen.

Ransomware-Angreifer agieren zunehmend organisierter und auch deutlich aggressiver. Keine Organisation oder Unternehmung gilt als tabu. Krankenhäuser, Schulen, kritische Infrastrukturen und Unternehmen jeder Größe sind gefährdet. Im Falle eines Ransomware-Angriffs ist es daher für CISOs entscheidend, die richtigen Schritte zu unternehmen, um die Auswirkungen auf das Unternehmen möglichst zu minimieren.

Dafür ist es geboten, vorab einen Vorfallsreaktionsplan zu erstellen, der das Incident-Response-Team anleitet. Dieser Plan sollte idealerweise in regelmäßigen Abständen als Training durchgespielt werden. In der Folge sind die wichtigsten Punkte einer effektiven Ransomware-Checkliste zusammengestellt:

Zwei neue Insolvenzanträge

Cyberattacken treiben deutsche Unternehmen in den Ruin

Ruhe bewahren

Wenn CISOs eine Ransomware-Attacke feststellen, ist es geboten, vor allem ruhig zu bleiben und zielgerichtet zu handeln. Liegt noch kein Vorfallsreaktionsplan vor, so kann auch ein Anbieter für Incident-Response-Services beauftragt werden. Dieser Anbieter löst das Problem entweder eigenständig oder stellt das notwendige Know-how zur Verfügung.

Systeme isolieren und die Ausbreitung stoppen

Für die Isolierung und Verhinderung der Ausbreitung der Bedrohung stehen mehrere Technologien zur Verfügung. Dazu müssen CISOs die Reichweite des Angriffs identifizieren. Wenn der Vorfall sich bereits weit verbreitet hat, sind Blöcke auf Netzwerkebene (Isolieren des Verkehrs am Schalter oder der Firewall) zu implementieren. Eventuell kann die Internetverbindung vorübergehend geschlossen werden.

Wenn sich herausstellt, dass nur wenige Systeme infiziert sind, ist der Angreifer auf Geräteebene zu isolieren, indem gegebenenfalls das Ethernet abgetrennt wird. Falls verfügbar, Endpoint Detection and Response (EDR) einsetzen. EDR nutzt Echtzeitanalysen und KI-gestützte Automatisierungen, um Enduser, Endgeräte und IT-Ressourcen zu schützen. Die Technologie ist dazu in der Lage, den Ransomware-Angriff auf Prozessebene zu blockieren. Bei eher minimalen geschäftlichen Störungen wäre dies die beste unmittelbare Option.

The Global Cost of Ransomware

Erschreckende Zahlen zu Ransomware-Attacken weltweit

Ransomware-Variante identifizieren

Die meisten Taktiken, Techniken und Verfahren (TTPs) der Ransomware-Varianten sind öffentlich dokumentiert. Bei der Bestimmung des Typs der Belastung, erhalten CISOs Hinweise auf den Ort der Bedrohung und ihre Ausbreitung. Je nach Variante stehen möglicherweise bereits einige Entschlüsselungstools zur Verfügung, mit denen CISOs ihre Dateien entschlüsseln können.

Erstzugriff bestimmen

Lässt sich der anfängliche Zugangspunkt bestimmen, so kann das Sicherheitsleck identifiziert und geschlossen werden. Häufige Vektoren für den Erstzugriff sind Phishing-Exploits auf Edge-Diensten (Remotedesktop-Diensten) bzw. die unbefugte Verwendung von Anmeldeinformationen. Die Ermittlung des anfänglichen Zugangspunkts benötigt unter Umständen das Fachwissen digitaler Forensik-Teams.

Alle betroffenen Systeme und Konten detektieren

Aktive Malware erkennen, die noch mit dem Command-and-Control-Server kommunizieren. Zu den üblichen Persistenz-Techniken zählen das Erstellen neuer Prozesse, bei denen die böswilligen Programme gestartet werden, das Ausführen von Registrierungsschlüsseln oder das Erstellen neuer Aufgaben.

1. Halbjahr 2025

Die Top Malware in Deutschland

Datenexfiltrationen erkennen

Oftmals werden die Dateien bei einer Ransomeware-Attacke nicht nur verschlüsselt, sondern auch entwendet bzw. exfiltriert. Dadurch erhoffen sich Hacker, dass sich die Wahrscheinlichkeit einer Lösegeldzahlung erhöht, indem sie drohen, proprietäre oder äußerst sensible Daten online zu stellen. CISOs müssen daher auf ihren Edge-Geräten nach Anzeichen einer Datenexfiltration bzw. größeren Datenübertragungen suchen. Ferner sollten CISOs nach Mitteilungen von Servern fahnden, die zu Cloud-Speicheranwendungen wechseln.

Backups untersuchen

Bei einem Ransomware-Angriff versuchen Hacker, die Online-Backups und Volumenschattenkopien zu löschen, um die Möglichkeit einer Datenwiederherstellung zu vereiteln. Aus diesem Grunde müssen CISOs sicherstellen, dass diese Backups nicht von der Hacker-Attacke betroffen und weiterhin betriebsbereit sind.

Bei vielen Ransomware-Angriffen befinden sich die Angreifer bereits seit Tagen oder sogar Wochen in den Netzwerken des Opfers, bevor sie sich entscheiden, aktiv zu werden. Das heißt, dass es bereits infizierte Back-ups gibt, die nicht auf einem sauberen System wiederhergestellt werden sollte. Daher empfiehlt sich auch hierzu eine Überprüfung.

Semperis Ransomware Risk Report 2024

75 Prozent der Ransomware-Opfer in Deutschland zahlen Lösegeld

Systeme desinfizieren oder neue Builds erstellen

Für den Fall, dass sich das Incident-Response-Team absolut sicher ist, alle aktiven Malware- und Persistenzvorfälle erkannt zu haben, können diese nun einzeln behoben werden. Wenn nicht, ist es einfacher und vor allem sicherer, neue Systeme in einer sauberen Umgebung zu erstellen, in die dann migriert werden kann.

Vorfall melden

Nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) müssen Unternehmen innerhalb von 72 Stunden nach der Feststellung der Sicherheitsverletzung die zuständigen Behörden für Strafverfolgung zur weiteren Untersuchung informieren. Liegt eine abgeschlossene Cyber-Versicherung vor, muss der Vorfall so schnell wie möglich über die 24-Stunden-Hotline des Versicherers gemeldet werden.

Umgang mit Lösegeldforderungen

Die Strafverfolgung rät in der Regel davon ab, Lösegelder zu bezahlen. Wenn das Unternehmen anders verfahren möchte, sollten auf jeden Fall Experten mit speziellen Kenntnissen und Fähigkeiten involviert werden. Die Verantwortlichen müssen dabei bedenken, dass das Bezahlen von Lösegeld die von Angreifern ausgebeuteten Schwachstellen meist nicht beheben wird. Deshalb ist es immer noch wichtig sicherzustellen, dass die IT-Security den ersten Zugangspunkt identifiziert und die Schwachstelle gepatcht hat.

Ransomware

Fasana stellt Insolvenzantrag nach Cyberangriff

(ID:50502970)