Funktion, Verbreitung, Arten
Wie funktioniert Ransomware, wie verbreitet sie sich und welche Arten gibt es? Die wichtigsten Antworten und wie Sie Ihr Unternehmen erfolgreich schützen.
Aktualisiert – 2. April 2024: Ransomware-Angriffe können jeden treffen. Zudem sind die Folgen einer Attacke oftmals drastisch. In der Nacht vom 29. auf den 30. Oktober 2023 etwa gelang es Angreifern, die Systeme der Südwestfalen IT zu kompromittieren. Da der IT-Dienstleister ein weitflächiges Service-Angebot besitzt, waren die Auswirkungen dieser Attacke deutlich zu spüren. Mehr als 100 Stadt-, Kreis- und Gemeindeverwaltungen waren betroffen, zahlreiche Dienststellen mussten vorübergehend geschlossen werden. Bürger konnten in diesem Zeitraum etwa kein Auto anmelden oder Bürgergeld beantragen – viele weitere Einschränkungen waren hinzunehmen.
Diese Attacke zeigt: Nicht nur Konzerne oder internationale Organisationen sind potenzielle Ziele für Hacker. Cyberangriffe mit Ransomware nehmen mittlerweile alle möglichen lukrativen Opfer ins Visier und dazu gehören selbstverständlich auch mittelständische Unternehmen. Deutschland ist dabei eines der Hauptziele von Ransomware-Banden. Innerhalb der EU liegt Deutschland laut eines Malwarebytes-Reports an der Spitze, während im weltweiten Vergleich deutsche Institutionen am vierthäufigsten angegriffen werden. Mittelstand Heute gibt einen ersten Überblick über Ransomware. Konkrete Strategien, wie Sie sich schützen können, finden Sie in einem weiterführenden Artikel hier.
Inhalt (per Klick auf die Links gelangen Sie direkt zum jeweiligen Kapitel):
- Was ist Ransomware?
- Wie funktioniert Ransomware-Erpressung?
- Verbreitung – so gelangt Ransomware auf Ihre Systeme
- Daten weg, Ruf weg? – die Folgen von Ransomware-Angriffen
- Warum nehmen Ransomware-Angriffe aktuell so stark zu?
- Ransomware-Schutz richtig umgesetzt
- 5 Beispiele für Ransomware-Angriffe
Was ist Ransomware?
Ransomware, auch Erpressungstrojaner, Kryptotrojaner, oder Verschlüsselungstrojaner genannt, ist eine Unterart von Malware (Schadsoftware). Bei einem Ransomware-Angriff verschlüsseln Hacker meistens Dateien auf einem System und fordern für ihre Entschlüsselung Lösegeld (engl. ransom). Zeitgleich wird immer öfter mit der Veröffentlichung von abgeflossenen Daten gedroht (Double Extortion). Um Entdeckung durch Ermittlungsbehörden zu erschweren, verlangen die Hacker das Lösegeld normalerweise in Form von Kryptowährungen. Diese sind nicht verfolgbar und ermöglichen anonyme Transfers.
Bei Ransomware lassen sich zwei Unterkategorien unterscheiden:
Screen-Locker:
Beim Screen-Locker werden keine Dateien verschlüsselt, sondern der Desktop gesperrt. Dem Nutzer wird ein Sperrbildschirm mit einer Lösegeldforderung und Zahlungsinformationen angezeigt. Die Malware löscht oder verschlüsselt die Daten auf dem Computer nicht. Sie sind lediglich nicht mehr einsehbar, bis sie durch den Angreifer freigegeben werden. Ein Neustart des Systems ist meist keine Lösung, denn die Schadsoftware verändert häufig auch die Boot-Einstellungen.File-Encrypter:
Bei der File-Encryption werden Daten auf einem Gerät oder einem Server verschlüsselt, sodass sie für Programme und Nutzer nicht mehr lesbar sind. Dadurch werden viele Prozesse im Unternehmen faktisch unbrauchbar. Um ihrer Lösegeldforderung Nachdruck zu verleihen, veröffentlichen die Angreifer manchmal Teile der erbeuteten Daten online, um zu beweisen, dass sie sie wirklich besitzen. Um das Opfer unter Druck zu setzen, löschen einige Ransomware-Varianten nach festgelegten Intervallen automatisch gewisse Datenmengen. Auf eine ähnliche Funktion zielt das Löschen von Datenpaketen durch Ransomware bei jedem Neustart.
Wie funktioniert Ransomware-Erpressung?
Die Ransomware-Szene ist stetig im Wandel. Angriffsstrategien werden immer mehr verfeinert, um Unternehmen maximal unter Druck zu setzen. Im Laufe der Zeit haben sich drei Grundschemen herausgebildet, wie Cyberkriminelle vorgehen:
1. Double Extortion:
Heutzutage gilt Double Extortion als der übliche Modus Operandi bei einem Ransomware-Angriff. Diese Vorgehensweise kombiniert die Datenverschlüsselung mit der Drohung, die Daten zu veröffentlichen, sollte das Unternehmen nicht zahlen.
2. Triple Extortion:
Zusätzlich zur Datenverschlüsselung und -veröffentlichung erfolgen DDoS-Attacken beim Opfer. Ziel eines solchen „Distributed Denial of Service“-Angriffes ist es, eine Webseite durch eine Flut von Anfragen zum Absturz zu bringen.
3. Second Stage Extortion:
Im Rahmen von Second Stage Extortion werden auch die Kunden der eigentlichen Opfer damit erpresst, ihre Daten zu veröffentlichen, sollten diese nicht zahlen.
Verbreitung – So gelangt Ransomware auf Ihre Systeme
Ransomware gelangt, wie die meiste Schadsoftware, häufig über Spam Mails in ein System. Klickt ein Nutzer in einer Mail auf einen vermeintlichen Link zu einer Website, Dropbox oder einem Download, aktiviert er damit die Ransomware. Da die Arbeitsgeräte in Firmen über ein Netzwerk verbunden sind und meist auch Serverzugriff haben, kann sich die Schadsoftware über die Grenzen des infizierten Geräts ausbreiten.
Hacker verschaffen sich auch über gestohlene Anmeldeinformationen direkt Zugriff zu Systemen. Sie können Mitarbeiter beispielsweise mit Social-Engineering-Methoden dazu bringen, Passwörter und Logins preiszugeben. Zudem sind verifizierte Zugangsdaten im Darknet auf Handelsplattformen erhältlich. Manchmal nutzen die Angreifer Sicherheitslücken in Programmen oder Infrastrukturen, um in das Netzwerk einzudringen. Dort führen die Cyberkriminellen die Ransomware direkt auf PCs oder Servern aus.
Zum Thema
Schutz vor Cybercrime-Dienstleistung
IT-Security-Experte: So funktioniert Ransomware as a Service
Daten weg, Ruf weg? – Die Folgen von Ransomware-Angriffen
Sollte Ransomware kritische Systeme kompromittieren können, sind die Auswirkungen oft drastisch. Als erstes folgt ein enormer Datenverlust. Unternehmen sind durch die Verschlüsselung nicht mehr in der Lage, auf einen Teil oder sogar alle Daten zuzugreifen. Zudem lassen die Angreifer in der Regel wichtige Daten abfließen, sodass sie diese später im Rahmen von Double Extortion als Druckmittel einsetzen können. Weiterhin kann es im Rahmen von Betriebsunterbrechungen zu schwerwiegenden Wirtschaftsschäden kommen – die nicht nur auf das angegriffene Unternehmen begrenzt sein können. Wird etwa ein Zusteller attackiert, so sind dessen Partner ebenso negativ von dem Ransomware-Angriff betroffen. Auch die Lösegeldforderungen fallen in der Regel äußerst schmerzhaft ins Gewicht, vor allem da die Unternehmen keine Garantien haben, bei Bezahlung ihre Daten auch tatsächlich wieder zurückzubekommen.
Nicht zuletzt ist der enorme Reputationsschaden zu nennen. Unternehmen, die von Ransomware kompromittiert worden sind, müssen dies in der Regel gemäß gesetzlichen Bestimmungen den Behörden und ihren Kunden innerhalb eines gewissen Zeitraumes melden. Tun sie dies nicht, drohen empfindliche Strafen. Der Schaden an der Reputation bleibt aber in allen Fällen bestehen und lässt sich nur mühsam wieder reparieren. Unternehmen sollten also dringend auf Prävention setzen und es nicht einmal zu einem erfolgreichen Angriff kommen lassen. Dies ist dabei leichter gesagt als getan, immerhin steigt die Anzahl von Ransomware-Attacken seit Jahren stetig.
Warum nehmen Ransomware-Angriffe aktuell so stark zu?
Cyberattacken mit Ransomware nehmen stetig zu, da mittlerweile selbst technisch Unbedarfte auf vorhandene Ransomware-Tools zugreifen können. Zudem steigt die Zahl sowie Expertise von Ransomware-as-a-Service-Dienstleistern (RaaS). Diese Bedrohungsakteure agieren mittlerweile als professionelle Firmen und bieten ihren Kunden von technischem Support bis hin zur Unterstützung bei der Geldübergabe alle erdenklichen Dienstleistungen. So sinkt die Notwendigkeit von technischem Know-how weiter.
Zweitens nimmt die Komplexität von Ransomware-Angriffen stetig zu: Ransomware-Attacken werden immer ausgefeilter und können schwer zu erkennen und zu entfernen sein. Nicht zuletzt spielt auch die wachsende Bereitschaft von Opfern, Lösegeld zu zahlen eine Rolle: Leider sind einige Opfer bereit, das geforderte Lösegeld zu übergeben, um ihre Daten wiederherzustellen. Dadurch ermutigen sie aber Angreifer, weiterhin Ransomware-Angriffe durchzuführen. Da aus diesen Gründen Ransomware auch in Zukunft eine wachsende Bedrohung sein wird, sollten Unternehmen alles daransetzen, sich vor dieser Gefahr zu schützen.
Zum Thema
BSI-Lagebericht 2023
Cybersicherheit in Deutschland weiterhin kritisch (2023/24)!
Ransomware-Schutz richtig umgesetzt
Am besten kommt es gar nicht erst zu einer Infizierung der Systeme. Deshalb sollte der Fokus nicht nur auf Reaktion, sondern auch auf Vorbeugung liegen. Dazu gehören Best Practices wie regelmäßig Sicherheitsupdates zu installieren, Virenschutz und Endpoint Protection zu verwenden und vor allem die Aktivierung von Multifaktor-Authentifizierung. Zudem sollten die Sicherheitsverantwortlichen die Einführung eines Zero-Trust-Konzepts in Erwägung ziehen. Damit gilt kein Nutzer und keine Anfrage mehr als vertrauenswürdig, jede Interaktion mit dem System wird vorher überprüft.
Weiterhin ist es ratsam, Kommunikationskanäle abzudichten. So verlaufen viele Malware-Attacken über E-Mail-Kommunikationskanäle nach außen. Dritte Parteien können sich in solche Kommunikationsstränge leicht einklinken. Da der Mensch oftmals die größte Sicherheitsschwachstelle darstellt, ist es empfehlenswert, regelmäßig Schulungen zu diesem Thema anzusetzen. So werden die Mitarbeiter für dieses wichtige Thema sensibilisiert. Sollte es aber trotz aller Maßnahmen einer Ransomware gelingen, Daten zu verschlüsseln oder abzugreifen, ist schnelles Reagieren das oberste Gebot. Um eine richtige und reibungslose Reaktion im Ernstfall zu garantieren, braucht es wasserdichte Backups und einen verbindlichen Notfallplan. Regelmäßige Härtetests für Notfallpläne bereiten dabei am besten für einen tatsächlichen Angriff vor.
Quelle Aufmacherbild: ryanking999/stock.adobe.com