Was ist Ransomware?
Ransomware ist Schadsoftware, die Daten verschlüsselt, um von den Betroffenen ein Lösegeld für die Entschlüsselung zu erpressen.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite5 Abschnitte
Einfach erklärt
Ransomware ist Schadsoftware, die Ihre Daten verschlüsselt und damit unbrauchbar macht. Für den Schlüssel verlangen die Täter ein Lösegeld, auf Englisch „ransom“. Im Deutschen heißt sie auch Verschlüsselungstrojaner. Immer öfter kopieren die Täter vorher Daten und drohen zusätzlich damit, sie zu veröffentlichen.
Wie Angreifer hineinkommen
Typische Wege sind Anhänge und Links in E-Mails, Fernzugänge ohne zweiten Faktor und Sicherheitslücken in Geräten, die aus dem Internet erreichbar sind, etwa Firewalls oder VPN-Zugänge. Ein Konto mit Administratorrechten macht es den Tätern leicht, sich vom ersten Rechner aus weiter auszubreiten.
Was Sie vorher tun können
Die wichtigste Vorsorge ist ein Backup, von dem eine Kopie getrennt vom Netz liegt. Dazu kommen Updates, Zwei-Faktor-Anmeldung für Fernzugänge und E-Mail sowie getrennte Administratorkonten. Und ein Notfallplan auf Papier mit Telefonnummern, denn im Ernstfall sind Rechner und digitales Adressbuch womöglich nicht nutzbar. Die Selbstauskunft im IT-Sicherheitscheck fragt diese Punkte ab.
Was Sie im Ernstfall tun
- Betroffene Geräte vom Netz trennen, also Netzwerkkabel ziehen und WLAN abschalten. Nicht herunterfahren, wenn der Vorfall untersucht werden soll.
- Ihren IT-Dienstleister und bei Bedarf Fachleute für Sicherheitsvorfälle hinzuziehen.
- Anzeige bei der Polizei erstatten. Für Unternehmen ist die Zentrale Ansprechstelle Cybercrime des Bundeslands zuständig, in dem der Firmensitz liegt.
- Können personenbezogene Daten betroffen sein, sieht die DSGVO in Art. 33 eine Meldung an die Datenschutzaufsicht möglichst binnen 72 Stunden vor. Ob das in Ihrem Fall nötig ist, klären Sie mit Ihrem Datenschutzbeauftragten oder Anwalt.
Einordnung: Eine Zahlung bietet nach Einschätzung des BSI keinerlei Gewähr, dass die Daten wieder freigegeben werden. Das BSI empfiehlt stattdessen die sofortige Anzeige bei der Polizei.
Was ein Backup allein nicht löst
Ein Backup holt die Daten zurück, nicht die gestohlenen Kopien. Gegen die Drohung mit einer Veröffentlichung hilft nur, dass die Täter gar nicht erst so weit kommen.
Ablauf eines Angriffs
Das BSI beschreibt in seiner Lagedarstellung zu Ransomware eine Kette aus mehreren Schritten:
- Erstzugang: Anhänge mit Makros oder Skripten, Drive-by-Infektionen, Schwachstellen in erreichbaren Servern wie VPN-Software oder Exchange, Brute Force auf offene Fernzugänge wie RDP.
- Ausbreitung: Ausspähen von Zugangsdaten und laterale Bewegung im Netz. Deshalb gehören getrennte Administratorkonten und die Härtung des Active Directory zu den BSI-Maßnahmen.
- Ausleiten von Daten für die zweite Erpressungsstufe, die Drohung mit Veröffentlichung.
- Verschlüsselung der lokalen Daten, erreichbarer Netzlaufwerke und eingebundener Cloud-Speicher, damit auch aller Backups, die dort liegen.
Die Täter arbeiten arbeitsteilig. Erstzugänge werden häufig bei anderen Gruppen eingekauft, die Schadsoftware wird als Ransomware-as-a-Service vermietet.
Maßnahmen nach BSI
Das BSI nennt zehn Maßnahmen: Patches zeitnah einspielen, Fernzugänge in der Regel nur über VPN mit Zwei-Faktor-Authentisierung, E-Mails und Makros einschränken, Programme nur aus Verzeichnissen ausführen, in die Benutzer nicht schreiben können, Virenschutz mit Cloud- und IPS-Funktionen, getrennte Administratorkonten mit Zwei-Faktor-Schutz, Netzsegmentierung, Offline-Backups mit praktisch getestetem Wiederanlauf, Härtung des Active Directory und ein geübter Notfallplan.
Für die Reaktion rät die BSI-Checkliste Technik unter anderem: betroffene Systeme vom Netz trennen, bei geplanter Analyse nicht ausschalten, gegebenenfalls eine forensische Sicherung samt Speicherabbild anlegen, bevor Virenscanner laufen. Alle auf betroffenen Systemen gespeicherten oder danach eingegebenen Zugangsdaten gelten als kompromittiert. Infizierte Systeme werden in der Regel neu installiert.
Typische Fehler
- Backup im selben Netz mit denselben Zugangsdaten. Wer Domänen-Administrator ist, löscht auch das Backup.
- Wiederherstellung nie geprobt. Wie lange eine vollständige Rücksicherung dauert, weiß dann niemand.
- RDP direkt aus dem Internet erreichbar.
- Notfallplan nur digital. Er liegt auf dem verschlüsselten Server.
- Wiederaufbau ohne Ursachenklärung. Ist der Zugangsweg noch offen, kommen die Täter mit denselben Zugangsdaten zurück.
Prüfen
Von außen prüfen, welche Dienste die öffentliche Adresse anbietet:
nmap -Pn -p 22,443,445,3389 ihre-oeffentliche-ip
Offene Ports 3389 (RDP) oder 445 (SMB) zum Internet sind ein dringender Befund. Für manche Ransomware-Varianten gibt es Entschlüsselungswerkzeuge beim Projekt No More Ransom.