Eine Einführung in den Schutz vor Ransomware

Was ist Ransomware? Wie kann man sich davor schützen und die Folgen beheben?

Bei einem Ransomware-Angriff läuft die Zeit immer schneller

Ein Ransomware-Angriff ist ein klassisches Beispiel für eine tickende Uhr. Ihre geschäftskritischen Daten wurden plötzlich als Geiseln genommen. Hacker haben sie mithilfe fortschrittlicher Verschlüsselung unzugänglich gemacht – und fordern nun Geld für ihre Entschlüsselung. Wie werden Sie reagieren? Können Sie die Sicherheit Ihrer Daten gewährleisten, wenn Sie sich weigern zu zahlen – oder selbst wenn Sie zahlen? Während Sie Ihre Optionen abwägen, bleibt Ihr Unternehmen gelähmt. Mit jeder Minute, die verstreicht, wächst der Druck, die richtige Entscheidung zu treffen.

Dieses Szenario hat bereits Unternehmen aller Größenordnungen und aus allen Branchen weltweit getroffen. Ihr Unternehmen könnte das nächste sein. Sind Sie bereit?

In diesem Blog werden wir uns mit folgenden Themen befassen: 

Was ist Ransomware-Schutz?

Bei Cyberbedrohungen, einschließlich Ransomware, geht es mittlerweile nicht mehr um die Frage „ob“, sondern um die Frage „wann“. Um sicherzustellen, dass Sie Ihre Daten wiederherstellen können, benötigen Sie die richtige Lösung mit der besten Technologie, den richtigen Mitarbeitern und den richtigen Prozessen.

Es wird erwartet, dass bis zum Jahr 2031 alle 2 Sekunden Ransomware-Angriffe auf Unternehmen stattfinden werden – gegenüber alle 11 Sekunden im Jahr 2021.¹

Unternehmen benötigen Instrumente (wie beispielsweise Maßnahmen zur Erkennung von Anomalien, unveränderliche Backups, Air-Gap-Lösungen und Multi-Faktor-Authentifizierung (MFA)), um ihre Readiness für die Recovery kontinuierlich zu messen und sicherzustellen. Damit wollen sie Probleme aufdecken und beheben, die Wiederherstellbarkeit ihrer Daten und Geschäftsanwendungen überprüfen sowie ihre Sicherheit verbessern, um ihr Risikoprofil zu senken. Im Falle eines erfolgreichen Angriffs sind schnelle Wiederherstellungen erforderlich, um den Geschäftsbetrieb zügig wieder aufzunehmen.

Eine Recovery-Lösung ist nur dann praktikabel, wenn sie gegenüber verschiedenen Ausfallarten widerstandsfähig ist. Ein Szenario könnte eine Recovery-Maßnahme sein, bei der der Zustand vor der Beschädigung wiederhergestellt wird. Gleichzeitig kann ein anderes Szenario die vollständige Recovery der Geschäftsanwendungen an einem neuen Standort erfordern. Die Konzeption einer umgebungsübergreifenden Recovery-Readiness sowie die Bereitstellung einer vereinfachten Automatisierung zum Testen und Validieren jedes Szenarios tragen dazu bei, die Recovery-Readiness aufzubauen. Das Wissen, dass die geschäftskritischen Daten und Anwendungen bereits durch einen automatisierten Prozess auf ihre Recovery-Readiness geprüft wurden, rundet das erforderliche Maß an Sicherheit, Compliance und Vertrauen ab. Erfahren Sie mehr in diesem E-Book: Ransomware 101.

Was ist ein Ransomware-Angriff? 

Gartner definiert Ransomware als „Cyber-Erpressung, bei der bösartige Software in Computersysteme eindringt, Daten verschlüsselt und diese so lange als Geiseln hält, bis das Opfer ein Lösegeld zahlt.“²   

Es gibt einen Grund, warum Ransomware Schlagzeilen macht. Es ist die Art von Angriff, die Aufmerksamkeit erregt – sie erfolgt plötzlich, ist brutal und hinterlässt beim Opfer ein Gefühl der Hilflosigkeit. In den letzten Jahren hat der rasante Anstieg von Ransomware einen Schatten der Angst über Unternehmen geworfen. Beunruhigte Unternehmens-, IT- und Sicherheitsverantwortliche sind nicht einfach nur paranoid. Im dritten Quartal 2021 gab es einen Anstieg der Ransomware-Angriffe um 36,8 %.³

Welche Arten von Ransomware gibt es?

Man könnte leicht annehmen, dass alle Ransomware-Varianten ähnlich sind, und es ist nicht ungewöhnlich zu glauben, dass es in Bezug auf Prävention und Vorbereitung eine Einheitslösung gibt. Da jedoch jede Ransomware-Variante in der Regel entwickelt wird, um unterschiedliche, spezifische Netzwerke anzugreifen, können sie sich in ihrer Funktionsweise stark voneinander unterscheiden. Es ist unerlässlich, die verschiedenen derzeit verwendeten Varianten zu verstehen (wobei zu beachten ist, dass es auch möglich ist, mehrere Ransomware-Varianten zu kombinieren). Angenommen, Ihr Unternehmen wird angegriffen, und Sie verfügen über keinen Plan zur Abwehr der verschiedenen Ransomware-Typen. In diesem Fall ist es sehr wahrscheinlich, dass der Angriff erhebliche Auswirkungen auf Ihr Unternehmen haben wird.

Hier sind sechs Arten von Ransomware: 

• CryptoWall – ist für einen Großteil der Ransomware-Angriffe verantwortlich. In der Regel greift CryptoWall seine Ziele über Phishing-E-Mails an. Der Ransomware-Virus „WannaCry“ ist ein Ableger der Crypto-Familie und stand im Mittelpunkt der größten Cyberangriffe, die jemals verübt wurden. Leider bringen die Entwickler von CryptoWall weiterhin neue Versionen heraus, die darauf ausgelegt sind, Sicherheitsmaßnahmen zu umgehen.
• Locky – wie der Name schon sagt, tut genau das, was er verspricht (er sperrt den Zugriff auf Dateien und ersetzt diese durch Dateien mit der Endung .lockey). Der Name lässt jedoch den schädlichsten Aspekt dieser Art von Ransomware außer Acht – ihre Geschwindigkeit. Locky zeichnet sich dadurch aus, dass er sich schneller als andere Ransomware-Varianten im gesamten Netzwerk auf andere Dateien ausbreitet.
• Crysis – hebt Datenangriffe auf eine neue Ebene, indem es Ihre Daten regelrecht entführt und an einen neuen virtuellen Standort verschiebt. Die Tragweite dieses Aspekts des Angriffs besteht darin, dass er als Datenschutzverletzung gilt, wenn Ihr Unternehmen mit personenbezogenen Daten arbeitet; Organisationen müssen jeden kontaktieren, der möglicherweise Informationen über Ihr Netzwerk besitzt, um die lokalen, Landes- und Bundesrichtlinien einzuhalten.
• Samsan – greift ungepatchte WildFly-Anwendungsserver im internetseitigen Teil Ihres Netzwerks an. Sobald die Ransomware in das Netzwerk eingedrungen ist, sucht sie nach weiteren Systemen, die sie angreifen kann. 
• Cerber – greift die Prozesse des Datenbankservers an, um sich Zugriff zu verschaffen, anstatt direkt auf die Dateien abzuzielen. Seine Entwickler verkaufen die Ransomware-Software an Kriminelle gegen einen Anteil an den eingenommenen Lösegeldzahlungen, d. h. im Rahmen eines „Ransomware-as-a-Service“-Modells.
• Maze – ist eine Ransomware-Variante, die den Trend der sogenannten „Leakware“ repräsentiert. Nachdem die Daten verschlüsselt wurden, drohen die Angreifer damit, die als Lösegeld geforderten privaten Daten im Dark Web zu veröffentlichen, sofern das Lösegeld nicht gezahlt wird.

Die Prävention von Ransomware und das entsprechende Fachwissen müssen im Mittelpunkt der Sicherheitsmaßnahmen von Unternehmen stehen. Da Hacker bei der Verschlüsselung von Daten und der Entwicklung neuer Ransomware immer raffinierter vorgehen, müssen Sie diese Entwicklungen leider kontinuierlich im Auge behalten.

Wer sind diese Übeltäter? 

Externe böswillige Akteure sind, vereinfacht gesagt, Bösewichte. Dabei handelt es sich um Hacker oder andere Personen, die versuchen, zu ihren ruchlosen Zwecken in Ihr Unternehmen einzudringen.

• Gier. Geld zu verdienen ist ein wesentlicher Motivationsfaktor. So hat sich beispielsweise Cryptojacking zu einer beliebten Methode entwickelt, um Rechenressourcen innerhalb eines Unternehmens für das Mining von Kryptowährungen zu missbrauchen.
• Politisch. Böswillige Akteure können aus politischen Gründen handeln, unter anderem um mit Ransomware den Terrorismus zu finanzieren.  
• Wettbewerbsbedingt. Einige böswillige Akteure könnten versuchen, Daten zu löschen, Daten zu veröffentlichen oder Geschäftsabläufe zu stören.

Unabhängig von ihrer Absicht nutzen sie häufig „Password-Spraying“-Techniken, um sich unbefugten Zugriff auf eine Organisation oder ein System zu verschaffen. Oder sie versuchen, Schwachstellen auszunutzen, Botnets und Rootkits einzuschleusen, um Daten zu stehlen und zu löschen oder die Funktionsfähigkeit einer Organisation zu beeinträchtigen.

Hier kommt Ransomware ins Spiel. Bei einem typischen Angriff verschlüsselt der Hacker Ihre Daten mithilfe von Schadsoftware (Malware), die häufig über einen infizierten Anhang oder einen Link in einer E-Mail verbreitet wird. Genau wie bei einer echten Lösegeldforderung verlangt der Hacker dann eine Zahlung – andernfalls werden Sie Ihre Daten nie wieder sehen! Ohne eine wirksame Recovery-Strategie könnten Sie glauben, dass Ihre einzige Möglichkeit darin besteht, das Lösegeld zu zahlen und auf das Beste zu hoffen.

Wie verbreitet sich Ransomware?

Ransomware wird häufig über Phishing-E-Mails verbreitet, die bösartige Links enthalten, oder durch sogenannte „Drive-by-Downloads“. Ein Drive-by-Download findet statt, wenn ein Nutzer unbeabsichtigt eine infizierte Website aufruft und dadurch Malware auf seinen Computer oder sein Mobilgerät heruntergeladen wird. Ein Drive-by-Download nutzt in der Regel eine Sicherheitslücke in einem veralteten Browser, einer veralteten Anwendung oder einem veralteten Betriebssystem aus. Die Ransomware nutzt diese Schwachstellen dann aus, um weitere Systeme zu finden, auf die sie sich ausbreiten kann.

10 Tipps zur Minimierung des Ransomware-Risikos 

Das Ziel besteht darin, Risiken zu verringern und die Auswirkungen von Ransomware zu minimieren. Die Abwehr von Ransomware erfordert eine Kombination aus bewährten Verfahren und ständiger Wachsamkeit sowie einen mehrschichtigen Sicherheitsansatz. Zu den Maßnahmen zur Minimierung von Ransomware gehören:

1. Planen, planen und noch mehr planen – zum Schutz vor Ransomware und zur Recovery: Planen Sie für den schlimmsten Fall und hoffen Sie, dass Sie den Plan niemals in die Tat umsetzen müssen. Es ist von größter Bedeutung, eine mehrschichtige Sicherheitsstrategie zu verfolgen und sich bewusst zu machen, dass die Readiness zur Recovery entscheidend ist. 
2. Mitarbeiter sind für eine wirksame Abwehr von entscheidender Bedeutung; führen Sie Sicherheitsschulungen für Mitarbeiter durch: Klären Sie die Mitarbeiter darüber auf, wie sie Ransomware vermeiden und Phishing-Kampagnen, verdächtige Websites sowie andere Betrugsversuche erkennen können. Trotz bester Absichten sind Mitarbeiter nach wie vor eine der Hauptursachen für Malware.
3. Stellen Sie sicher, dass Patches auf dem neuesten Stand sind und bleiben: Halten Sie Software, Firmware und Anwendungen auf dem neuesten Stand, um das Risiko zu verringern, dass Ransomware bekannte Sicherheitslücken ausnutzt. 
4. Installieren Sie einen Viren- und Malware-Schutz: Verwenden Sie eine Antivirensoftware mit aktiver Überwachung, die darauf ausgelegt ist, komplexe Malware-Angriffe abzuwehren.
5. Führen Sie eine Multi-Faktor-Authentifizierung ein: Der Authentifizierungsprozess erfordert, dass jeder Benutzer über eine einzigartige Kombination von Kriterien verfügt, um Zugriff zu erhalten. Durch die Aktivierung von Methoden der Multi-Faktor-Authentifizierung (MFA) wird es äußerst unwahrscheinlich, dass ein gültiges Benutzerkonto missbraucht werden kann.
6. Segmentieren Sie Ihre Netzwerke, um laterale Bewegungen zu verhindern: Sollte ein Cyberangriff erfolgreich sein, gewähren Sie den Angreifern keinen uneingeschränkten Zugriff auf Ihr Netzwerk. Unterteilen Sie Ihr Netzwerk in kleinere Segmente, um laterale Bewegungen zu verhindern und den Schaden einzudämmen. 
7. Kennen Sie Ihre Daten, um sie zu schützen: Identifizieren Sie geschäftskritische und sensible Daten in Ihrer gesamten Umgebung. Stellen Sie anschließend fest, ob diese Daten Sicherheitslücken ausgesetzt sind. Mithilfe von Datenanalysen können Sie diese Risiken effizient beseitigen, indem Sie die gefährdeten Daten entfernen, verschieben oder sichern, um das Risiko kostspieliger Datenschutzverletzungen und Ransomware-Angriffe zu verringern.
8. Führen Sie regelmäßige Backups durch: Setzen Sie eine Lösung für Backup and Recovery ein, die ein mehrschichtiges Konzept zum Schutz vor Bedrohungen, zur Überwachung und zur Recovery nach Bedrohungen bietet. Die Lösung muss eine 3-2-1-Backup-Strategie für eine schnelle Recovery sowie sichere Cloud-Kopien für zusätzlichen Schutz unterstützen. 3-2-1 bedeutet: 3 Kopien Ihrer Daten auf 2 verschiedenen Medientypen, wobei eine Kopie außerhalb des Standorts und vorzugsweise luftisoliert aufbewahrt wird. 
9. Testen, testen und nochmals testen: Sobald Sie Ihren Plan sowie die Verfahren und Technologien zu dessen Umsetzung festgelegt haben, stellen Sie sicher, dass alles wie vorgesehen funktioniert. Führen Sie regelmäßig Tests durch, um zu überprüfen, ob Sie die von Ihnen festgelegten SLAs für kritische Daten und Anwendungen sowie solche mit hoher Priorität einhalten können.
10. Aktivieren Sie das „Security Health Assessment Dashboard“ (sofern Sie Commvault-Kunde sind): Nutzen Sie das „Security Health Assessment Dashboard“, um Sicherheitskontrollen innerhalb der Commvault-Datensicherungsumgebung zu identifizieren, zu bewerten, zu minimieren und zu überwachen.

Der Schutz vor Ransomware muss nicht kompliziert sein. Mit der richtigen Vorbereitung – angefangen bei der Erstellung eines Plans über eine ständige Überwachung bis hin zu einer robusten Lösung für Backup and Recovery – können Sie das Risiko eines Ransomware-Angriffs mindern. 

Wie kann man Ransomware loswerden?  

Sollte es dennoch einmal zu einem Ransomware-Angriff kommen, besteht die beste Vorgehensweise darin, schnell eine validierte Kopie Ihrer Sicherungsdaten wiederherzustellen, um den Geschäftsbetrieb wieder aufzunehmen. Unternehmen benötigen einen mehrschichtigen Sicherheitsansatz, der verschiedene Sicherheitstools, Ressourcen, Kontrollmaßnahmen, bewährte Verfahren und Strategien für eine vertrauenswürdige und geschützte Kopie der Sicherungsdaten umfasst. Diese Sicherheitskontrollen werden innerhalb und rund um die Datensicherungsinfrastruktur angewendet, um sicherzustellen, dass die Sicherungsdaten geschützt und wiederherstellbar sind. Diese Maßnahmen geben Ihnen die Gewissheit, dass Ihre Sicherungsdaten im Falle eines Angriffs geschützt und einsatzbereit sind.

Welche Risiken birgt die Zahlung des Lösegelds? 

Die Zahlung von Lösegeld ist ein sehr umstrittenes Thema, und nur Sie können entscheiden, was für Ihr Unternehmen am besten ist. Zu berücksichtigende Faktoren:

• Viele staatliche Sicherheitsbehörden raten davon ab, das Lösegeld zu zahlen, und in einigen Ländern kann die Zahlung von Lösegeld sogar illegal sein. In den Vereinigten Staaten hat beispielsweise das US-Finanzministerium eine Empfehlung zu den Sanktionen herausgegeben, die mit der Zahlung von Lösegeld verbunden sind.⁴
• Die „Ransomware-as-a-Service“-Kits dienen häufig der Finanzierung der organisierten Kriminalität.
• Werden die Angreifer die Schlüssel bereitstellen, mit denen Sie Ihre Dateien zurückerhalten können? Werden sie Malware zurücklassen, um erneut zuzuschlagen? Man neigt leicht dazu anzunehmen, dass alle Ransomware-Varianten ähnlich sind, und es ist nicht ungewöhnlich zu glauben, dass es in Sachen Prävention und Vorbereitung eine Einheitslösung gibt.
• Handelt es sich um „Leak-Ware“, gilt dies gemäß der Datenschutz-Grundverordnung (DSGVO) als Datenpanne, sobald sie entdeckt wird, und Sie haben 72 Stunden Zeit, um einen Plan auszuarbeiten und die Vorfälle zu melden.
• Wird man aufgrund seiner Zahlungsbereitschaft zu einem zukünftigen Ziel?

Denken Sie daran: Selbst wenn Sie das Lösegeld zahlen, gibt es keine Garantie dafür, dass Sie alle Ihre Daten wiederherstellen können. 35 % der Daten bleiben auch nach Zahlung des Lösegelds verschlüsselt.⁵. Und selbst mit den Verschlüsselungsschlüsseln kann es mehrere Tage, Wochen oder sogar Monate dauern, bis alles wiederhergestellt ist. 

Wie Commvault Ransomware bekämpft

Die Datensicherung und -Recovery mit Commvault kann ein wertvoller Bestandteil Ihrer Anti-Ransomware-Strategie sein. Die mehrschichtige Sicherheit von Commvault basiert auf Zero-Trust-Prinzipien und orientiert sich am Cybersicherheits-Framework des National Institute of Standards and Technology (NIST), um Daten zu schützen und im Falle eines Ransomware-Angriffs eine schnelle Recovery zu gewährleisten. Commvault hilft dabei, Ihre Daten zu schützen und zu isolieren, bietet proaktive Überwachung und Warnmeldungen und ermöglicht schnelle Recoverys. Fortschrittliche Technologien auf Basis künstlicher Intelligenz und maschinellen Lernens, darunter Honeypots, ermöglichen es, potenzielle Angriffe in Echtzeit zu erkennen und zu melden, sodass Sie umgehend reagieren können. Indem Sie Ihre Backups vor Bedrohungen schützen und deren Wiederherstellung im Rahmen Ihrer Service Level Agreements sicherstellen, können Sie die Auswirkungen selbst eines erfolgreichen Ransomware-Angriffs minimieren und so den Geschäftsbetrieb umgehend wieder aufnehmen (und die Zahlung teurer Lösegeldforderungen vermeiden).

Der Schutz und die Isolierung Ihrer Sicherungskopien sind für die Datenintegrität und -sicherheit von entscheidender Bedeutung. Aus diesem Grund verfolgt Commvault einen plattformunabhängigen Ansatz in Bezug auf Unveränderlichkeit. Mit Commvault benötigen Sie keine spezielle Hardware oder Cloud-Speicherkonten, um Sicherungsdaten vor Ransomware-Bedrohungen zu schützen. Sollten Sie über Hardware verfügen, die „Write-Once, Read Many“ (WORM), Objektsperren oder Snapshots unterstützt (was Commvault vollständig unterstützt), können Sie dennoch die integrierten Sperrfunktionen von Commvault nutzen, um bestehende Sicherheitskontrollen zu ergänzen und zu verstärken. Die Möglichkeit, Sicherheitskontrollen über verschiedene Infrastrukturtypen hinweg zu kombinieren, hebt die unveränderliche Lösung von Commvault von der Konkurrenz ab. Erfahren Sie mehr über Commvault Cloud Cyber Resilience.

Die Sicherheitsschichten von Commvault

Da jede Umgebung aus einer Mischung verschiedener Infrastrukturen besteht, kann es schwierig erscheinen, Backup-Daten vor zufälligen, unbefugten Änderungen zu schützen. Genau wie beim Schutz Ihres Hauses müssen Sie die Risiken identifizieren und Schutz- sowie Überwachungsfunktionen aktivieren, die Ihren Anforderungen entsprechen.

Viele Experten empfehlen eine mehrschichtige Strategie zum Schutz vor Malware und Ransomware. Commvault hat diese Sicherheitsfunktionen in seine Datensicherungssoftware und -richtlinien integriert, ohne dass dadurch zusätzlicher Verwaltungsaufwand entsteht. Die Datensicherungs- und Verwaltungsplattform von Commvault umfasst fünf Sicherheitsebenen:

• Risiken für Sicherungsdaten über eine einzige Benutzeroberfläche erkennen und mindern
• Schützen Sie sich durch die Anwendung von Sicherheitsmaßnahmen, die auf branchenführenden Standards basieren
• Überwachung auf Ransomware, Bedrohungen durch Insider und andere Bedrohungen
• Auf Bedrohungen reagieren, entsprechende Maßnahmen ergreifen und die Sicherungsdaten kontinuierlich überprüfen
• Daten schnell aus verschiedenen lokalen, Cloud- und Hybridumgebungen wiederherstellen

Die mehrschichtige Sicherheit von Commvault umfasst Features, Richtlinien und Best Practices zur Bewältigung von Cybersicherheitsrisiken und zur Gewährleistung der ständigen Verfügbarkeit von Daten. Es ist wichtig zu verstehen, dass diese Features Teil der Kernplattform von Commvault, Commvault Complete™ Data Protection, sind. Es sind keine speziellen Lizenzen, keine zusätzlichen Kosten und keine spezielle Hardware oder Software erforderlich. Die Tiefe der mehrschichtigen Sicherheit wird durch eine stärkere Integration mit Metallic™ und Commvault Grid für jene Kunden erweitert, die die Einfachheit von „Backup as a Service“ bzw. einer Datensicherungs-Appliance suchen.     

Chancen und Risiken – das ist die Realität, mit der Unternehmen und die für die Daten Verantwortlichen heute konfrontiert sind. Ein einziger Ransomware-Angriff kann den Gewinn gefährden oder über eine Karriere entscheiden. Wie können Sie sich also darauf vorbereiten? Indem Sie sicherstellen, dass Sie für die Recovery gerüstet sind. Erfahren Sie mehr unter https://www.commvault.com/use-cases/ransomware-and-cyber-defense.

Fußnoten

1 CYBERSECURITY VENTURES, Weltweite Schäden durch Ransomware sollen bis 2031 voraussichtlich 265 Milliarden US-Dollar übersteigen, David Braue, 3. Juni 2021.

2 Gartner, „6 Möglichkeiten, sich gegen einen Ransomware-Angriff zu schützen“, von Manasi Sakpal, 16. November 2020.

3 Digital Shadows, Überblick über Ransomware im 4. Quartal, Ivan Righi, 19. Januar 2022.

4 US-Finanzministerium, Hinweis zu potenziellen Sanktionsrisiken bei der Erleichterung von Lösegeldzahlungen, 1. Oktober 2020.https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20201001

5 SOPHOS, „The State of Ransomware 2021“, 19.04.2021.