Eine Frage der Cyber-Immunität Ransomware-Attacken im Schatten der DSGVO

Anbieter zum Thema

FTAPI Software GmbH

Mimecast Germany GmbH

Seit dem COVID-Lockdown ziehen Cybertäter unverschämt ganz neue Saiten auf; unter Androhung einer Datenschutzkatastrophe greift das eine oder andere Opfer schon mal in die Krypto-Wallet und das Geld ist futsch. Gegen Ransomware ist niemand immun. Doch Prävention wirkt Wunder.

Ransomware spült jährlich erhebliche Summen in die Kassen organisierter Cyber-Kriminalität hinein. Zu Beginn des Lockdowns hat die durchschnittliche Forderung 111.605 USD erreicht (ein hundert elf tausend Dollar und ein paar Gequetschte), ein Anstieg um 33 Prozent in nur rund drei Monaten (laut Coveware rund 84.116 USD im vierten Quartal des vergangenen Jahres). Die Corona-Krise hat die Täter noch weiter ermutigt: die durchschnittliche Lösegeldforderung explodierte im Lockdown um weitere 60 Prozent auf 178.254 USD.

Die Gesamtkosten für die Wirtschaft und Gesellschaft sind noch um Einiges höher; sie belaufen sich schätzungsweise im globalen Maßstab bereits auf knapp 20 Milliarden USD pro Jahr. Auch Angriffe auf deutsche Unternehmen spitzen sich zu.

Spam ist nach wie vor ein beliebtes Distributionsvehikel für Ransomware. Nur die Betrugsmaschen haben sich geändert.

Schnell mal eben: ein Klick mehr oder weniger

Ist das denn wirklich eine E-Mail von der Deutschen Bundesregierung oder noch so ein Malware-Köder getarnt als eine offizielle Mitteilung? „Auf Grund der COVID-19-Pandemie müssen sie Ihre gewerbliche Tätigkeit mit sofort Wirkung einstellen,“ heißt es in gebrochenem Deutsch unter Androhung von Strafen. Ohne die paar Grammatik- und Rechtschreibungs-Schnitzer hätte niemand so leicht Verdacht geschöpft. Denn das Logo ist ja da, selbst die Adresse scheint zu stimmen.

Ein Klick mehr oder weniger bedeutet jetzt den Unterschied zwischen einem produktiven Arbeitstag und dem ganzen Netzwerk in Geiselhaft mit Ausblick auf DSGVO-Strafen für eine drohende Datenschutzverletzung. Denn die Täter können ja unternehmenskritische Datenbestände nicht „nur“ verschlüsseln und vernichten, sondern vielmehr personenbezogene Informationen Dritter entwenden und dann veröffentlichen. Da hilft auch ein Backup nichts.

Was dann passieren kann, macht bereits der Titel des Art. 83 der DSGVO deutlich: „Allgemeine Bedingungen für die Verhängung von Geldbußen“. Art. 25, „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“, definiert einen solchen Verstoß unter anderem im Absatz 2 mit den Worten: „Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen (...). Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.“ Die Veröffentlichung personenbezogener Daten von Kunden oder Mitarbeitern durch Cyber-Täter nach Verstreichen der Zahlungsfrist fällt sicherlich in diese Kategorie und qualifiziert sich für das Bestrafen des Opfers. Das wird für viele noch teurer als das Lösegeld.

Rein formal kann die zuständige Behörde de facto sowohl eine Strafe verhängen als auch gleichzeitig die Auszahlung der Lösegeldforderungen veranlassen, indem sie „die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation“ gemäß Art. 58 Absatz 2 Buchstabe j anordnet, sofern sie dies als „wirksam, verhältnismäßig und abschreckend“ einstuft.

Einen Präzedenzfall gab es in Nordrhein-Westfallen. Der Landesbeauftragte für NRW soll eine Strafe gegen das Opfer einer Hacker-Attacke verhängt haben. Die Täter sollen aus dem Webshop des Unternehmens Kundendaten entwendet haben und kamen dennoch ungeschoren davon. Hier ist der Knaller: Den betroffenen, namentlich bekannten Webshop-Kunden steht von dem gezahlten Bußgeld kein Schadensersatz zu.

Im Übrigen ist ein Mausklick als ein „mechanischer Zünder“ zum Auslösen einer Malware gar nicht erforderlich. Mit Drive-by-Hacking in einem Webbrowser können sich die Täter auch wirksam herum mogeln und so eine lauernde Ransomware-Attacke lostreten. JavaScript lässt grüßen.

Die Cyber-Plage der Erpressung

Crypto-Währungen schützen die Anonymität der Täter besser als jede Gesichtsmaske. Das Ganze funktioniert oft nach dem Schneeballprinzip. Die wahren Drahtzieher schicken Mittelsmänner/-frauen in den Malware-„Vertrieb“ vor und ziehen sich selbst aus dem Geschehen zurück, um keinerlei Spuren zu hinterlassen. Wann immer ein Opfer der jeweiligen Lösegeldforderung nachkommen sollte, kassieren sie fröhlich eine Provision ab.

Die Folgen eines Ransomware-Befalls reichen für die Opfer von sehr unangenehm bis hin zu katastrophal. Selbst ein GAU ist nicht ausgeschlossen.

Wenn die IT im Koma liegt...

Ein Aluminium-Hersteller namens Norsk Hydro ASA fiel vergangenes Jahr einer Ransomware-Attacke mit der Malware LockerGoga zum Opfer. Automatisierte Fertigungslinien in den Werken wurden heruntergefahren, um eine Beschädigung der fernsteuerbaren Anlagen zu verhindern. Das Unternehmen wollte dann zeitweise auf manuell gesteuerte Fertigung umstellen. Einziges Problem: Ohne Zugriff auf Auftragsdaten, das geheime „Kochrezept“ und automatisierte Anlagen zur Qualitätskontrolle per Ultraschall war es mit dem Aluminium nicht so weit her. Die Effekte bekam unter anderem die deutsche Autoindustrie zu spüren.

Norsk Hydro hat sich auf die Zahlung von Lösegeld nicht eingelassen; das Unternehmen konnte auf Sicherheitsbackups zurückgreifen und habe die übrigen Systeme „desinfiziert“. Das Management beziffert den unmittelbaren wirtschaftlichen Schaden in den ersten zehn Tagen nach dem Vorfall auf rund 40 bis 45 Millionen Euro. Es hätte viel schlimmer kommen können.

Eine Frage der Cyber-Immunität

Die Corona-Krise scheint die Kreativität der Cyber-Täter beinahe zu beflügeln. Dennoch können bereits einfache Sicherheitsmaßnahmen das Risiko einer Ransomware-Attacke erheblich reduzieren. Gute „Cyber-Hygiene“ ist schon mal der erste Schritt.

Der Katalog der Schutzmaßnahmen beginnt mit Tipps aus der Kategorie „gesunder Menschenverstand“ und geht in hochentwickelte Datenschutzvorkehrungen zum Aufbau einer unternehmensweiten „Cyber-Immunität“ über:

• keine dubiosen Webseiten besuchen,

• keine dubiosen Links anklicken,

• fremde WiFi-Netze nicht benutzen,

• personenbezogene Daten stets unter Schloss und Riegel handhaben; niemals unverschlüsselt übertragen, niemals unverschlüsselt sichern, niemals unverschlüsselt archivieren und niemals an Unbefugte aus der Hand geben,

• alle Sicherheitsupdates nach Möglichkeit ohne Verzögerung einspielen,

• eine robuste Sicherheitssoftware zur System- und Netzwerküberwachung installieren und aktiv betreiben,

• regelmäßige Risikobewertungsprüfungen und Sicherheitsaudits durchführen,

• Best-Practices, also praxiserprobte Handlungsempfehlungen, nach dem neuesten Stand der Technik implementieren

• neue Möglichkeiten kontinuierlich evaluieren und die resultierenden Erkenntnisse verzögerungsfrei umsetzen.

Auf der Webseite NoMoreRansom.org haben sich Strafverfolgungsbehörden wie Europol und EC3 sowie IT-Security-Unternehmen wie Kaspersky und McAfee zu einer Allianz zusammengeschlossen, um mit gebündelten Kräften gegen die Plage der Cyber-Erpressung vorzugehen. Betroffene finden dort neben nützlichen Tipps zur Vorbeugung unter anderem nützliche Entschlüsselungswerkzeuge und Links zu den zuständigen Behörden.

Fazit

Gegen die Plage der Cyber-Erpressung hilft nur eins: Der Aufbau einer unternehmensweiten „Cyber-Immunität“, die selbstverständlich auch das Home-Office aller Betroffenen mit einbeziehen muss. Diese Initiative beginnt mit einer guten Cyber-Hygiene und bedarf einer kontinuierlichen Disziplin.

Über die Autoren: Anna Kobylinska und Filipe Pereira Martins arbeiten für McKinley Denali Inc. (USA).

(ID:47021221)