In Folge 3 unserer Podcast-Reihe zur kontinuierlichen Einhaltung von Vorschriften, „Die Ethik der Lösegeldzahlung: Compliance vs. Konsequenzen“, beleuchten Darren Thompson, Field CTO von Commvault für EMEA, und Jakub Lewandowski, Associate General Counsel für EMEA, gemeinsam mit Chief Trust Officer Danielle Sheer das kritische Thema Ransomware.
Eine interessante Diskussion über die ethischen, rechtlichen und praktischen Fragen im Zusammenhang mit Ransomware-Zahlungen und die Bedeutung einer starken Cyber-Resilienz-Strategie; lesen Sie weiter, um eine Zusammenfassung der Diskussion zu erhalten.
Der Ransomware-Angriff auf Oracle: Ein Weckruf
Danielle erwähnte den Ransomware-Angriff auf Oracle zu Beginn dieses Jahres. Zum Zeitpunkt der Podcast-Aufnahme war noch nicht klar, wie viele Daten betroffen waren, aber Oracle hatte sich noch nicht bereit erklärt, ein Lösegeld zu zahlen.
Als Danielle nach dieser Entscheidung fragte, sagte Darren: „Mein Rat an die Leute lautet, dass man einen ausreichend guten Plan haben sollte, [damit] man niemals Lösegeld zahlen muss.“
Ein solider Wiederherstellungsplan kann das nötige Vertrauen schaffen, um den Betrieb wiederherzustellen, ohne den Forderungen von Cyberkriminellen nachzugeben. Mit einem gut vorbereiteten und getesteten Plan für die Cyber-Resilienz wäre die Entscheidung sicherlich einfacher.
Ethische Überlegungen zur Zahlung von Lösegeld bei Ransomware
Die Zahlung von Lösegeld ist ein umstrittenes Thema, und im Podcast wurden die ethischen Implikationen dieser Entscheidung beleuchtet. Auch wenn es wie eine schnelle Lösung aussieht, garantiert die Zahlung von Lösegeld oft nicht die Wiederherstellung der Daten und kann weitere Angriffe begünstigen.
Jakub wies darauf hin, dass die Zahlung von Lösegeld nicht den gesetzlichen Verpflichtungen entspricht und zu zusätzlichen rechtlichen sowie Reputationsrisiken führen kann. Die Referenten betonten, dass sich Unternehmen auf die Erstellung und Überprüfung von Wiederherstellungsplänen konzentrieren sollten, um ihre Abläufe schnell wiederherzustellen und ihre Daten zu schützen.
Multidisziplinärer Ansatz gegen Ransomware
Ransomware-Angriffe erfordern einen multidisziplinären Ansatz, um ihnen wirksam entgegenzuwirken. Unsere Referenten erörterten einige Überlegungen, die im Falle einer Lösegeldforderung anzustellen sind:
- Technisch: Unternehmen müssen über fundierte Kompetenzen im Bereich der Cyber-Resilienz verfügen, einschließlich der Fähigkeit, Daten wiederherzustellen und sich von Angriffen zu erholen.
- Rechtlich: Entscheidungsprozesse sollten gut dokumentiert werden, um als Beweismittel für Aufsichtsbehörden und mögliche Rechtsstreitigkeiten zu dienen. Die Einhaltung von Gesetzen wie der Geldwäschebekämpfung, Sanktionsregelungen und Exportbestimmungen ist von entscheidender Bedeutung.
- Wirtschaftlich: Die finanziellen Auswirkungen der Lösegeldzahlung müssen im Vergleich zu den Kosten für die Aufrechterhaltung des Geschäftsbetriebs und die Wiederherstellung bewertet werden.
- Rufschädigung: Die potenzielle Schädigung des Rufs eines Unternehmens und die Auswirkungen auf das Vertrauen der Kunden, insbesondere wenn sensible Daten bedroht sind, stellen ein großes Problem dar.
Vorschlag der britischen Regierung zum Verbot von Lösegeldzahlungen
Der Podcast befasste sich auch mit dem Vorschlag der britischen Regierung, das Verbot von Lösegeldzahlungen auf den gesamten öffentlichen Sektor und Betreiber kritischer nationaler Infrastrukturen auszuweiten. Dieser Vorschlag gilt als weltweit führender Ansatz zur Abschreckung von Ransomware-Angriffen, indem der Geldfluss an Kriminelle unterbrochen wird.
Unsere Referenten wiesen jedoch auf einige mögliche unbeabsichtigte Folgen eines solchen Verbots hin, darunter die optische Bestrafung der Opfer und das Fehlen robuster Pläne zur Cyber-Resilienz im öffentlichen Sektor. Wenn das Verbot umgesetzt wird, müssen sich die Unternehmen auf ihre Notfallpläne und Cyber-Resilienz-Kapazitäten verlassen, um sich wieder zu erholen, anstatt das Lösegeld zu zahlen.
Eine kürzlich von Censuswide im Auftrag von Commvault durchgeführte Umfrage ergab, dass 94 % der Befragten ein Verbot im öffentlichen Sektor und 99 % ein Verbot im privaten Sektor befürworten. Allerdings gaben 75 % der Befragten zu, dass sie auch dann Lösegeld zahlen würden, wenn sie damit ihr Unternehmen retten könnten.
Aufbau einer umfassenden Strategie zur Cyber-Resilienz
Um zu vermeiden, dass Lösegeld gezahlt werden muss, kommen wir immer wieder auf denselben Gedanken zurück: Seien Sie mit einer umfassenden Strategie für Cyber-Resilienz vorbereitet. Hier sind ein paar Tipps unserer Referenten:
- Verstehen Sie Ihre Daten: Sie wissen, welche Daten für Ihr Unternehmen wichtig sind und wie Sie diese schützen können.
- Definition der Mindestlebensfähigkeit: Ermitteln und verstehen Sie die Daten und Systeme, die für die Geschäftskontinuität wichtig sind.
- Testen Sie Wiederherstellungspläne: Testen und überprüfen Sie Wiederherstellungspläne regelmäßig, damit Sie sicher sein können, dass sie in einer realen Situation effektiv funktionieren.
- Datenverschlüsselung: Implementieren Sie eine starke Datenverschlüsselung, um die Sicherheit zu erhöhen.
- Klare Verfahren zur Reaktion auf Vorfälle: Definieren und dokumentieren Sie klare Verfahren für die Reaktion auf Ransomware-Angriffe.
Zahlen oder nicht zahlen, das ist hier die Frage. Ransomware-Angriffe stellen eine erhebliche und wachsende Bedrohung dar, und die Entscheidung, ein Lösegeld zu zahlen, ist mit ethischen, rechtlichen und praktischen Herausforderungen verbunden.
Wir hoffen, dass Sie nie in die Situation geraten, ein Lösegeld zahlen zu müssen, aber falls doch, wird Ihnen dieser Podcast helfen, die zu berücksichtigenden Faktoren besser zu verstehen. Hören Sie noch heute zu, wie unsere Experten die neuesten Trends diskutieren, und machen Sie den ersten Schritt zur Sicherung der Zukunft Ihres Unternehmens.
