Ransomware ist eine Schadsoftware, die den Zugriff auf Systeme und Daten durch Verschlüsselung blockiert, um anschließend ein Lösegeld für die Freigabe zu erpressen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft dies als Form der digitalen Erpressung ein.
Der Angriffsablauf
Ein Ransomware-Angriff ist kein plötzliches Ereignis, sondern eine Operation, die sich oft über Tage oder Wochen erstreckt.
- Einstieg: Die häufigsten Einfallstore sind Phishing-Mails, ungepatchte Schwachstellen und schlecht gesicherte Remote-Zugänge (wie RDP).
- Ausbreitung: Angreifer weiten ihre Rechte aus und bewegen sich unbemerkt durch das Netzwerk (Lateral Movement).
- Verschlüsselung: Bevor die Daten verschlüsselt werden, ziehen die Täter diese in der Regel ab. Erst ganz am Ende wird die Verschlüsselung aktiviert und das Lösegeld gefordert.
Doppelte Erpressung
Moderne Angreifer nutzen ein Modell der „doppelten Erpressung“. Sie fordern nicht nur Geld für die Entschlüsselung, sondern drohen zusätzlich mit der Veröffentlichung der vorab gestohlenen Daten. Die Täter agieren oft arbeitsteilig über „Ransomware-as-a-Service“ und haben es vor allem auf kleine und mittlere Unternehmen mit schwachen Schutzmaßnahmen abgesehen. Eine Lösegeldzahlung bietet dabei keine Garantie für die Datenrettung oder die Verhinderung eines Leaks.
Notwendige Schutzmaßnahmen
Um sich wirksam zu schützen, müssen Unternehmen bereits vor einer möglichen Verschlüsselung ansetzen:
- Backups: Sicherungen müssen strikt vom Hauptnetzwerk getrennt aufbewahrt und regelmäßig auf ihre Wiederherstellbarkeit geprüft werden.
- Zugangsschutz: Die Umsetzung von Multi-Faktor-Authentifizierung (MFA) erschwert den Tätern den Einstieg.
- Segmentierung: Eine Aufteilung des Netzwerks verhindert, dass sich die Angreifer ungehindert ausbreiten können.
Abgrenzung zu anderen Bedrohungen
Im Gegensatz zu Ransomware ist sogenannte Wiper-Malware rein auf die unwiderrufliche Zerstörung von Daten ausgelegt und sieht gar keine Lösegeldzahlung vor. Zudem wird oft übersehen, dass gut geschützte Backups zwar die Nutzbarkeit der Systeme wiederherstellen können, sie aber nicht davor schützen, dass gestohlene Daten von den Tätern veröffentlicht werden.