Ransomware
Ransomware ist Schadsoftware, die Daten auf einem Rechner oder im ganzen Netz verschlüsselt und anschließend Lösegeld (englisch ransom) für den Schlüssel verlangt. Auf Deutsch heißt sie auch Erpressungstrojaner oder Verschlüsselungstrojaner. Gezahlt werden soll meist in Kryptowährung, damit sich die Empfänger schwer verfolgen lassen.
Ransomware ist kein eigener technischer Typ wie Virus oder Trojaner, sondern beschreibt, was die Schadsoftware tut. Sie kann sich als Anhang einschleichen, über eine Schwachstelle eindringen oder von einem Angreifer gezielt im Netz ausgerollt werden.
Wie ein Angriff abläuft
Angriffe auf Unternehmen laufen heute meist in mehreren Stufen und über Tage oder Wochen:
| Phase | Was passiert |
|---|---|
| Zugang | über Phishing, gestohlene Zugangsdaten, eine ungepatchte Schwachstelle in einem VPN-Gateway oder Fernzugang |
| Ausbreitung | Angreifer erkunden das Netz, verschaffen sich Administratorrechte, übernehmen den Verzeichnisdienst |
| Vorbereitung | Datensicherungen werden gesucht und gelöscht oder verschlüsselt, Sicherheitssoftware wird abgeschaltet |
| Datenabfluss | sensible Daten werden kopiert, bevor verschlüsselt wird |
| Verschlüsselung | auf möglichst vielen Systemen gleichzeitig, oft nachts oder am Wochenende |
| Erpressung | Lösegeldforderung, häufig mit Drohung, die Daten zu veröffentlichen |
Die Phase vor der Verschlüsselung ist der Grund, warum viele Opfer nicht einfach aus der Datensicherung zurückspielen können: Die Angreifer haben sie vorher gezielt zerstört.
Doppelte Erpressung
Viele Gruppen verschlüsseln nicht nur, sondern kopieren die Daten vorher. Wer die Systeme aus der Sicherung wiederherstellt und nicht zahlt, wird mit der Veröffentlichung erpresst. Dazu kommen teils Überlastungsangriffe (DDoS) oder Anrufe bei Kunden des Opfers.
Ransomware as a Service
Hinter vielen Angriffen steht ein Geschäftsmodell: Eine Gruppe entwickelt die Schadsoftware und betreibt die Infrastruktur für Erpressung und Zahlung, sogenannte Affiliates führen die Angriffe durch und teilen den Erlös. Das senkt die Hürde für Angreifer deutlich.
WannaCry
Der bekannteste Fall ist WannaCry im Mai 2017. Die Schadsoftware verbreitete sich als Wurm über eine Lücke im Dateifreigabeprotokoll SMB, für die schon im März 2017 ein Sicherheitsupdate erschienen war (MS17-010). Binnen eines Wochenendes waren nach damaligen Angaben rund 200.000 Rechner in 150 Ländern betroffen. In Deutschland fielen Anzeigetafeln und Fahrkartenautomaten der Deutschen Bahn aus, in Großbritannien mussten Krankenhäuser Patienten abweisen. Gefordert wurden 300 Dollar in Bitcoin je Rechner.
WannaCry zeigte, was ein einziges fehlendes Update auf vernetzten Rechnern anrichten kann. Die heutigen Angriffe sind anders: gezielt, langsam vorbereitet, mit Forderungen in Millionenhöhe.
Schutz
Kein einzelnes Mittel verhindert Ransomware. Wirksam ist die Kombination:
| Maßnahme | Wirkung |
|---|---|
| Updates zeitnah einspielen, vor allem für Systeme mit Zugang aus dem Internet | schließt den häufigsten Einfallsweg |
| Multi-Faktor-Authentifizierung für Fernzugänge und Administratoren | gestohlene Passwörter allein reichen nicht |
| Getrennte Administratorkonten, wenig Rechte im Alltag | erschwert die Ausbreitung |
| Netzsegmentierung | begrenzt, wie viele Systeme ein Angriff erreicht |
| Unveränderliche oder getrennte Datensicherung | Wiederherstellung bleibt möglich, auch wenn der Angreifer Administratorrechte hat |
| Wiederherstellung üben | zeigt, ob die Sicherung im Ernstfall reicht und wie lange es dauert |
| Erkennung und Protokollierung | fällt die Vorbereitungsphase auf, lässt sich der Angriff stoppen |
Die wichtigste Maßnahme ist die Backup-Strategie. Eine Sicherung, die ein Angreifer mit Administratorrechten löschen kann, schützt nicht vor Ransomware.
Lösegeld zahlen
Das BSI und die Polizei raten davon ab. Eine Zahlung garantiert weder einen funktionierenden Schlüssel noch, dass kopierte Daten gelöscht werden. Sie finanziert weitere Angriffe und macht das Opfer als zahlungsbereit bekannt. Selbst mit Schlüssel dauert die Entschlüsselung großer Datenmengen oft Tage.
Unabhängig davon, ob gezahlt wird: Ein Angriff ist meist meldepflichtig — an die Datenschutzaufsicht, wenn personenbezogene Daten betroffen sind, und bei Unternehmen unter NIS2 oder DORA an BSI oder BaFin. Anzeige bei der Polizei ist in jedem Fall sinnvoll; die Landeskriminalämter haben dafür Zentrale Ansprechstellen Cybercrime.
Im Rechenzentrum
Ein Rechenzentrum schützt vor Ransomware nur so weit, wie es die Systeme der Kunden selbst betreibt. Ein Colocation-Anbieter liefert Strom, Kühlung und Zutrittsschutz; gegen Ransomware auf den Servern des Kunden hilft das nicht. Relevant wird das Rechenzentrum für den Wiederanlauf: Ein zweiter Standort mit getrennter Sicherung und eigenen Zugangsdaten ist eine der wenigen Maßnahmen, die auch dann noch tragen, wenn der Angreifer das Hauptnetz vollständig übernommen hat.