Sicherheitskonzepte gegen Malware Was tun gegen Ransomware?

Mit WannaCry, NotPetya und BadRabbit gab es 2017 bereits drei große Angriffswellen mit Ransomware. Unternehmen brauchen zum Schutz vor Malware die richtigen organisatorischen Maßnahmen und technischen Hilfsmittel.

Anbieter zum Thema

FTAPI Software GmbH

Specops Software GmbH

AXIANS NK Networks & Services

In der Regel laufen Angriffe mit Ransomware nach folgendem Muster ab: Eine Schadsoftware verschlüsselt Daten auf dem System des Opfers. Der Betroffene erhält eine Lösegeldforderung, die meist in der Cyberwährung Bitcoin zu entrichten ist. Zahlt er, bekommt er den Schlüssel, um seine Daten zu befreien. So versprechen es zumindest die Erpresser. Nicht immer halten sich aber die Gauner daran. Sie haben erkannt, dass sie mit der Erpressermasche gutes Geld verdienen können, sowohl bei Privatanwendern als auch bei Unternehmen.

Es verwundert daher nicht, dass knapp ein Drittel (32 Prozent) der deutschen Unternehmen im vierten Quartal 2015 und ersten Quartal 2016 von Ransomware betroffen waren, zum Teil mit erheblichen Auswirkungen. Dies geht aus einer Umfrage des Bundesamts für Sicherheit in der Informationstechnik (BSI) hervor. 22 Prozent der infizierten Unternehmen verzeichneten einen erheblichen Ausfall von Teilen der IT-Infrastruktur, elf Prozent der Betroffenen haben wichtige Daten verloren.

So funktioniert eine Ransomware-Attacke

Um die Schadsoftware einzuschleusen, wählen die Angreifer vorwiegend zwei Wege: Phishing-E-Mails und Drive-by-Exploits. Letztere nutzen Schwachstellen im Webbrowser oder in Browser-Plug-ins aus, sodass sich das Opfer den Schädling unbemerkt einfängt, wenn es eine präparierte Webseite besucht. Das Haupteinfallstor sind aber Phishing-Mails, deren Qualität sich in den vergangenen Jahren deutlich erhöht hat. Während man sie früher leicht anhand von Grammatik- und Rechtschreibfehlern erkennen konnte, sind sie heute oft täuschend echt und sogar personalisiert. So wird es für den Anwender sehr schwierig zu unterscheiden, ob eine Nachricht tatsächlich von seiner Autowerkstatt kommt oder von einem Betrüger.

Ist ein System infiziert, können sich moderne Ransomware-Varianten wie ein Wurm im Netzwerk weiterverbreiten, ohne dass der Anwender dafür interagieren muss oder es merkt. So auch im Fall von WannaCry: Der Schädling nutzt eine Schwachstelle in dem Windows Netzwerkprotokoll Server Message Block (SMB), um unbemerkt von einem Rechner auf den nächsten zu gelangen.

Unternehmen brauchen eine umfassende Sicherheitsstrategie

Um Ransomware-Angriffe abzuwehren, reichen klassische Virenscanner alleine nicht aus, denn Attacken werden immer gewiefter, und Cyberkriminelle entwickeln laufend neue Varianten der erpresserischen Malware. Der Schlüssel ist ein umfassendes Sicherheitskonzept, das sowohl technische als auch organisatorische Maßnahmen mit einbezieht. Denn IT Security erfordert nicht nur geeignete Technik, sondern auch klar definierte Prozesse, die regeln, wie man sich richtig verhält, wer für welche Vorgänge zuständig ist und wie man bei einem Vorfall agiert. Dafür brauchen Unternehmen ein Information Security Management System (ISMS). Das ist keine Hardware, sondern vielmehr ein abgestimmtes Bündel aus Prozessen, Verfahren, Regeln und Verantwortlichkeiten, mit deren Hilfe die Informationssicherheit innerhalb eines Unternehmens dauerhaft verbessert wird. Security muss zu einem kontinuierlichen Prozess für das Unternehmen werden. Damit ist sie ein laufender Kostenfaktor, den Unternehmen einplanen müssen – ähnlich wie sie ihre Produktionsanlage kontinuierlich betreiben und instand halten.

Im Notfall richtig reagieren

Hat ein Kryptotrojaner trotz allem ein System verschlüsselt, ist es wichtig, richtig zu reagieren. Betroffene sollten das infizierte System schnell vom Internet und vom Netzwerk nehmen, damit sich die Schadsoftware nicht weiter verbreiten kann. Anschließend empfiehlt es sich, davon ein Backup auf einer neuen Platte zu machen. Denn selbst ein Backup von einem verschlüsselten oder defekten System kann später hilfreich sein. In vielen Fällen stellen Hersteller von AV-Software zu einem späteren Zeitpunkt Entschlüsselungssoftware zur Verfügung, sobald sie eine Schadsoftware analysiert haben.

Regelmäßige Backups ihrer Systeme bewahren Firmen davor, auf Lösegeldforderungen eingehen zu müssen. Diese sollten voneinander unabhängig sein und auf einem separaten System, getrennt vom Produktivnetzwerk, liegen. Andernfalls besteht die Gefahr, dass sie bei einem Befall mit verschlüsselt werden. Anhand der Backups können Opfer ihr System nach einem Angriff wiederherstellen. Dafür muss die interne IT-Abteilung auch wissen, wie sie diese Backups einsetzt, um die IT-Infrastruktur schnell wieder einsatzfähig zu machen. Es empfiehlt sich, wie die Feuerwehr regelmäßig den Ernstfall zu trainieren, um Fehler unter Druck zu vermeiden: Dazu gehört befallene Geräte erkennen, in Quarantäne verschieben, Malware vollständig löschen und Hardware neu aufsetzen oder bei Bedarf ersetzen und Backups einspielen.

Seit Juli 2016 gibt es außerdem die Initiative NoMoreRansom.org der niederländischen Polizei, von Europol und verschiedenen Security-Spezialisten. Sie unterstützt Opfer dabei, ihre Daten wieder zu entschlüsseln, und stellt dafür zahlreiche Entschlüsselungs-Tools zur Verfügung. Da Hacker jedoch laufend neue Malware-Familien mit neuen Schlüsseln entwickeln, hinken auch diese natürlich einen Schritt hinterher.

Einen Beitrag zur Kriminalitätsbekämpfung leisten

Das BSI empfiehlt Opfern von Ransomware-Angriffen unbedingt Anzeige zu erstatten. So kann die Polizei ermitteln und weitergehende Untersuchungen durchführen, um Täter zu identifizieren und zu verfolgen. Unternehmen können sich dafür an die zentralen Anlaufstellen für Cybercrime der Landeskriminalämter wenden. Diese unterstützen sie bei der Anzeige und stehen beratend zur Seite. Eine Liste der Anlaufstellen finden sie auf der Webseite der Allianz für Cybersicherheit. Privatpersonen können bei der nächsten lokalen Polizeidienststelle Anzeige erstatten.

Über den Autor: Alain De Pauw ist Geschäftsführer von Axians IT Security und Leiter der Division „Security“ bei Axians Deutschland.

(ID:45000563)