In Episode 3 unserer Podcast-Reihe zur kontinuierlichen Einhaltung von Vorschriften, The Ethics of Paying Up: Compliance vs. Konsequenzen beleuchten Darren Thompson, Field CTO von Commvault für EMEA, und Jakub Lewandowski, Associate General Counsel für EMEA, zusammen mit Chief Trust Officer Danielle Sheer das kritische Thema Ransomware.
Eine interessante Diskussion über die ethischen, rechtlichen und praktischen Fragen im Zusammenhang mit Ransomware-Zahlungen und die Bedeutung einer starken Cyber-Resilienz-Strategie; lesen Sie weiter, um eine Zusammenfassung der Diskussion zu erhalten.
Die Ransomware-Attacke von Oracle: Ein Weckruf
Danielle erwähnte den Ransomware-Einbruch bei Oracle zu Beginn dieses Jahres. Zum Zeitpunkt der Podcast-Aufnahme war noch nicht klar, wie viele Daten betroffen waren, aber Oracle hatte sich noch nicht bereit erklärt, ein Lösegeld zu zahlen.
Als Danielle nach dieser Entscheidung fragte, sagte Darren: “Der Rat, den ich den Leuten gebe, ist, dass man einen ausreichend guten Plan haben sollte, [damit] man niemals Lösegeld zahlen muss.”
Ein solider Wiederherstellungsplan kann das nötige Vertrauen schaffen, um den Betrieb wiederherzustellen, ohne den Forderungen von Cyber-Kriminellen nachzugeben. Mit einem gut vorbereiteten und getesteten Plan für die Cyber-Resilienz wäre die Entscheidung sicherlich einfacher.
Ethische Erwägungen bei der Bezahlung von Ransomware
Die Zahlung von Lösegeld ist ein umstrittenes Thema, und im Podcast wurden die ethischen Implikationen dieser Entscheidung untersucht. Auch wenn es wie eine schnelle Lösung aussieht, garantiert die Zahlung eines Lösegelds oft nicht die Wiederherstellung von Daten und kann weitere Angriffe begünstigen.
Jakub wies darauf hin, dass die Zahlung eines Lösegelds nicht den gesetzlichen Verpflichtungen entspricht und zu zusätzlichen rechtlichen und Reputationsrisiken führen kann. Die Redner betonten, dass Unternehmen sich auf die Erstellung und Prüfung von Wiederherstellungsplänen konzentrieren sollten, um ihre Abläufe schnell wiederherzustellen und ihre Daten zu schützen.
Multidisziplinärer Ansatz gegen Ransomware
Ransomware-Angriffe erfordern einen multidisziplinären Ansatz, um ihnen wirksam zu begegnen. Unsere Referenten erörterten einige Überlegungen, die im Falle einer Lösegeldforderung anzustellen sind:
- Technisch: Unternehmen müssen über solide Fähigkeiten im Bereich der Cyber-Resilienz verfügen, einschließlich der Fähigkeit, Daten wiederherzustellen und sich von Angriffen zu erholen.
- Rechtlich: Entscheidungsprozesse sollten gut dokumentiert werden, um als Beweismittel für Aufsichtsbehörden und mögliche Rechtsstreitigkeiten zu dienen. Die Einhaltung von Gesetzen wie Geldwäschebekämpfung, Sanktionsregelungen und Exportbestimmungen ist von entscheidender Bedeutung.
- Wirtschaftlich: Die finanziellen Auswirkungen der Lösegeldzahlung müssen im Vergleich zu den Kosten für die Aufrechterhaltung des Geschäftsbetriebs und die Wiederherstellung bewertet werden.
- Rufschädigung: Die potenzielle Schädigung des Rufs eines Unternehmens und die Auswirkungen auf das Vertrauen der Kunden, insbesondere wenn sensible Daten bedroht sind, stellen ein großes Problem dar.
Vorschlag der britischen Regierung zum Verbot von Ransomware-Zahlungen
Der Podcast befasste sich auch mit dem Vorschlag der britischen Regierung, das Verbot von Ransomware-Zahlungen auf den gesamten öffentlichen Sektor und Betreiber kritischer nationaler Infrastrukturen auszuweiten. Dieser Vorschlag gilt als weltweit führender Ansatz zur Abschreckung von Ransomware-Angriffen, indem der Zahlungsfluss an Kriminelle unterbrochen wird.
Unsere Redner wiesen jedoch auf einige mögliche unbeabsichtigte Folgen eines solchen Verbots hin, darunter die optische Bestrafung von Opfern und das Fehlen robuster Pläne zur Cyber-Resilienz im öffentlichen Sektor. Wenn das Verbot umgesetzt wird, müssen sich die Unternehmen auf ihre Notfallpläne und Cyber-Resilienzkapazitäten verlassen, um sich zu erholen, anstatt das Lösegeld zu zahlen.
Eine kürzlich von Censuswide im Auftrag von Commvault durchgeführte Umfrage ergab, dass 94 % der Befragten ein Verbot im öffentlichen Sektor und 99 % ein Verbot im privaten Sektor befürworten. Allerdings gaben 75 % der Befragten zu, dass sie auch dann Lösegeld zahlen würden, wenn sie damit ihr Unternehmen retten könnten.
Aufbau einer umfassenden Cyber-Resilienz-Strategie
Um zu vermeiden, dass Lösegeld gezahlt werden muss, kommen wir immer wieder auf dieselbe Idee zurück: Seien Sie mit einer umfassenden Strategie für die Cyber-Resilienz vorbereitet. Hier sind ein paar Tipps unserer Referenten:
- Verstehen Sie Ihre Daten: Sie wissen, welche Daten für Ihr Unternehmen wichtig sind und wie Sie diese schützen können.
- Definition der Mindestlebensfähigkeit: Ermitteln und verstehen Sie die Daten und Systeme, die für die Geschäftskontinuität wichtig sind.
- Testen Sie Wiederherstellungspläne: Testen und überprüfen Sie Wiederherstellungspläne regelmäßig, damit Sie sicher sein können, dass sie in einer realen Situation effektiv funktionieren.
- Datenverschlüsselung: Implementieren Sie eine starke Datenverschlüsselung, um die Sicherheit zu erhöhen.
- Klare Verfahren für die Reaktion auf Vorfälle: Definieren und dokumentieren Sie klare Verfahren für die Reaktion auf Ransomware-Angriffe.
Zahlen oder nicht zahlen, das ist hier die Frage. Ransomware-Angriffe sind eine erhebliche und wachsende Bedrohung, und die Entscheidung, ein Lösegeld zu zahlen, ist mit ethischen, rechtlichen und praktischen Herausforderungen verbunden.
Wir hoffen, dass Sie nie in die Situation kommen, ein Lösegeld zu zahlen, aber falls doch, wird Ihnen dieser Podcast helfen, die zu berücksichtigenden Faktoren besser zu verstehen. Hören Sie noch heute zu, wie unsere Experten die neuesten Trends diskutieren und den ersten Schritt zur Sicherung der Zukunft Ihres Unternehmens machen.
