Effektiver Schutz vor Ransomware und Datenverlust

Die Anzahl an erfolgreichen Cyberangriffen und die Bedrohung, die sich dadurch ergibt, hat in den letzten beiden Jahren deutlich zugenommen. Dafür gibt es verschiedene Gründe:

Lukratives Business Modell: 
Angreifer fordern von Unternehmen hohe Beträge, damit diese wieder den Zugriff auf zuvor verschlüsselte Daten erhalten. Inzwischen wird auch mit der Veröffentlichung von Daten gedroht, wird in einer bestimmten Frist kein Lösegeld bezahlt. Es gibt keine exakte Zahl, die angibt, wie viel Geld Angreifer durch Cyberangriffe in den letzten Jahren verdient haben. Aber laut Schätzungen von Experten lag die Gesamtsumme allein in Deutschland in 2020 bei über 200 Milliarden Euro. Dabei ist die durchschnittliche Größe der erzielten Lösegelder eines Ransomware-Angriffs weltweit inzwischen auf über 800.000 US Dollar gestiegen (Quelle: The State of Ransomware 2022, Sophos)

Cyberangriff als professionelle Dienstleistung:
Die neuesten Entwicklungen zeigen ein weiteres Geschäftsmodell: „Ransomware-as-a-Service“. Dabei spezialisieren sich Gruppen von Angreifern auf einen bestimmten Bereich der Angriffskette, was laut BSI zu einer Verschärfung bzw. Potenzierung der Gefahren führt. Der eigentliche Auftraggeber benötigt damit weder technisches Wissen, noch geht er ein besonderes Risiko ein. Die spezialisierten Gruppen erhalten nach erfolgreicher Durchführung ihrer Dienstleistung einen Fixbetrag, normalerweise in Form von digitaler Währung.

Angriffstechnologien werden fortschrittlicher: 
Angreifer nutzen immer fortschrittlichere Technologien, um ihre Angriffe durchzuführen, und es wird immer schwieriger, sie aufzuspüren und zu verhindern. Dabei kommen immer häufiger KI-gestützte Werkzeuge und Methoden zum Einsatz. Die zuvor genannte Spezialisierung unterstützt diese Entwicklung.

IT-Sicherheitsteams sind überlastet: 
Die IT-Sicherheitsteams sind oft überlastet und haben Schwierigkeiten, mit der ständig wachsenden Bedrohungslage Schritt zu halten. Der Fachkräftemangel verstärkt dieses Problem und Unternehmen finden kein Personal mit dem notwendigen Fachwissen.

Es herrscht ein Mangel an Cybersicherheitsbewusstsein: 
Viele Unternehmen und Einzelpersonen haben ein mangelndes Bewusstsein für Cybersicherheit und sind sich nicht bewusst, wie sie sich schützen können. Dabei sind gerade die Mitarbeiterinnen und Mitarbeiter ein wichtiger Faktor, um die Erfolgschancen von Cyberangriffen deutlich zu reduzieren.

Geopolitische Situation:
Die weltweite Zunahme von staatlichen Auseinandersetzungen führt zu einem Anstieg von Cyberangriffen auf kritische Infrastrukturen, Behörden und andere staatliche oder bedeutende Einrichtungen. Dabei zielen die Angreifer darauf ab, die Verfügbarkeit der IT-Systeme zu stören und IT-Infrastrukturen lahmzulegen.

Sehen wir uns die inzwischen fast wöchentlich veröffentlichten Cyberattacken genauer an, wird schnell deutlich, dass Angreifer regelmäßig die gleichen Strategien verwenden, um ihre Ziele zu erreichen:

Social-Engineering: 
Dabei werden psychologische Tricks verwendet, um Benutzer dazu zu bringen, vertrauliche Informationen wie zum Beispiel Passwörter direkt oder andere Daten preiszugeben, mit denen die eigentlichen Zugangsdaten erlangt werden können. Aber auch die Neugier oder Hilfsbereitschaft wird ausgenutzt, um zu erreichen, dass zum Beispiel manipulierte USB-Sticks an einen Arbeitsplatzrechner angeschlossen werden.

Phishing: 
Phishing umfasst die Verwendung von gefälschten E-Mails, Websites und anderen Online-Methoden, um Benutzer dazu zu bringen, vertrauliche Informationen preiszugeben oder unerwünschte Software (Ransomware oder Malware) zur Ausführung zu bringen. Auch hier wird auf Psychologie und Social-Engineering Methoden zurückgegriffen. Inzwischen werden täuschend echte Phishing E-Mails mit Hilfe Künstlicher Intelligenz schnell und auf die Zielperson angepasst erstellt.  

Drive-By Infektionen mittels Exploit-Kits:
Exploit-Kits gehören seit mehreren Jahren ebenfalls zu den Infektionsvektoren für Schadsoftware. Gern werden in der ersten Angriffsphase Phishing E-Mails verwendet, um das Opfer auf eine manipulierte Webseite zu führen. Neue Exploits für Schwachstellen in weit verbreiteten Programmen werden in Exploit-Kits integriert und zur Verteilung von Ransomware oder anderen Schadprogramm-Typen verwendet. Auch andere Schwachstellen in nicht aktueller Software wie dem Browser oder dem Flash Player werden ausgenutzt. 

Supply Chain Angriff:
Ein Softwarehersteller liefert über seine Lieferkette Software an Wiederverkäufer, Partner und Endkunden aus. Wurde die Original-Software bereits beim Hersteller manipuliert und Schadcode eingebracht, wird diese Schwachstelle an alle nachgelagerten Unternehmen weitergegeben, welche die Software einsetzen. Auch hier besteht der erste Angriffsschritt oft darin, Personen im Unternehmen mit Phishing-E-Mails oder Social-Engineering zu überlisten, damit diese Zugangsdaten preisgeben. Im Idealfall findet der Angreifer dann ein besonders privilegiertes aber schlecht geschütztes Konto mit weitreichenden Befugnissen. Wahrscheinlicher ist es jedoch, dass er mehrere Wochen mit sehr vorsichtigen Einzelschritten zubringt, um sein Ziel unentdeckt zu erreichen. Dabei kommen fortschrittliche Angriffswerkzeuge und speziell an das Ziel angepasste Tools zum Einsatz.

Die folgenden Beispiele zeigen deutlich, wie erfolgreich die zuvor beschriebenen Strategien genutzt werden. Dabei sind in den überwiegenden Fällen die gleichen Angriffsmuster und Ursachen zu finden: Es gelingt den Angreifern, Schadsoftware auszuführen oder unbefugt Zugriff auf vertrauliche Informationen zu erhalten.

+++ Hackerangriff auf die IHK: Cyberkriminellen gelang es im August 2022 die IT-Systeme der IHK-GfI, dem bundesweiten IT-Dienstleister für die IHK, zu infiltrieren. Nicht nur im Ruhrgebiet hatten dann seitdem einige Online-Dienste oder die Telefonleitungen und E-Mails regionaler IHK-Standorte nicht mehr funktioniert. Deutschlandweit waren mehrere Industrie- und Handelskammern außer Gefecht gesetzt, erst nach und nach wurden ihre IT-Systeme schrittweise und kontrolliert wieder hochgefahren. Dabei handelt es sich nach Angaben des zuständigen Staatsanwaltes um einen extrem professionell durchgeführten Angriff.

+++ SolarWinds: Im Dezember 2020 wurde bekannt, dass durch eine Sicherheitslücke in der Netzwerkmanagement-Software von SolarWinds mehrere Regierungsbehörden und Unternehmen angegriffen wurden. Der Angriff war auch deshalb so erfolgreich, weil die Angreifer fast keine traditionellen Indikatoren für eine Kompromittierung hinterlassen haben. 

+++ CCleaner-Angriff: Im Jahr 2017 wurde bekannt, dass eine beliebte Systemoptimierungssoftware namens CCleaner von Hackern modifiziert wurde, um Schadcode auf den Computern von Millionen von Benutzern zu verbreiten.  

Behörden werden immer häufiger ein beliebtes Angriffsziel von Cyber-Kriminellen (Quelle: Behördenspiegel). Die Übeltäter erlangen dabei in den meisten Fällen Zugriff auf sensible Daten, indem sie ahnungslose Behördenmitarbeiter gezielt täuschen: Neun von zehn Cyberangriffen starten mit einer personalisierten Phishing-Mail an Mitarbeiter. Die Angreifer verschlüsseln daraufhin wichtige Behördendaten und verlangen enorme Lösegelder für die Entschlüsselung.

+++ Weitere Uni im Ruhrgebiet von Hackerangriff betroffen: Am 1. Februar 2023 ist die Hochschule Ruhr West in Bottrop und Mülheim Opfer eines Hackerangriffs geworden. Aus Sicherheitsgründen wurden am Mittag alle Systeme vom Netz getrennt. Studierende können deswegen beispielsweise nicht mehr auf die Kursmaterialien auf der Online-Plattform zugreifen.

+++ Angriffe auf Universitäten: Im Januar 2023 werden sowohl die Uni Duisburg-Essen als auch die Hochschule in Hamburg von Cyberkriminellen angegriffen. Dabei werden vertrauliche Daten erbeutet, die inzwischen teilweise im Darknet veröffentlicht wurden.

+++ Cyberkriminelle attackieren die Gemeindeverwaltung Kammeltal: Im Mai 2021 waren sämtliche Rechner im Rathaus von einem Trojaner infiziert, Dokumente wurden verschlüsselt. Nur gegen Bezahlung von Lösegeld gaben Erpresser die vollständigen Daten heraus.

+++ Hacker greifen das Rathaus an: Die Stadtverwaltung Langenhagen wurde im Mai 2020 Ziel eines Hackerangriffs. Die Angreifer hatten eine E-Mail an Mitarbeiter geschickt. Diese wurden so zum Herunterladen von schädlichen Computercodes, die beispielsweise Betriebssysteme befallen oder Computersysteme beschädigen können, bewegt.

Risiken für industrielle Produktions- und Kontrollsysteme (ICS) resultieren aus Bedrohungen, die aufgrund existierender Schwachstellen dem ICS und damit einem Unternehmen Schaden zufügen können. Die kritischen und am häufigsten auftretenden Bedrohungen für ICS stellt das BSI jährlich zusammen: Auf Platz 1 rangiert das Einschleusen von Schadsoftware über Wechseldatenträger und externe Hardware (z. B. Bad-USB).

Prominentestes Beispiel: Der sogenannte Stuxnet-Angriff erfolgte über einen Wechseldatenträger (USB-Drop Attack). Er war so invasiv, da er durch Weitergabe über USB-Sticks industrielle Systeme infiltrierte und dabei wiederum dort angesteckte USB-Sticks befallen wurden. Da diese an anderen Systemen wieder benutzt wurden, konnte sich die Schadsoftware großflächig ausbreiten. 

+++ T-Mobile, USA: Hacker haben im Januar 2023 in den Vereinigten Staaten die Daten von 37 Millionen Nutzern des Mobilfunkanbieters T-Mobile erbeutet. Offenbar begann der Hackerangriff bereits Ende November. Die Ermittlungen zu der Cyberattacke dauern noch an. Der zum Deutschen Telekom-Konzern gehörende US-Mobilfunkanbieter schloss aber nicht aus, dass durch den Vorfall hohe Kosten entstehen könnten. Es war nicht der erste erfolgreiche Angriff auf das Unternehmen.

+++ Hackerangriff auf Thyssen-Krupp: Nach eigenen Angaben ist die Werkstoffsparte sowie die Konzernleitung im Dezember 2022 Ziel eines Hackerangriffs geworden.

+++ Regionaler Energieversorger Enercity: Einer von Deutschlands größten Energieversorgern hat im November 2022 mit den Folgen eines Cyberangriffs zu kämpfen. Davon betroffen waren auch der Mail- und Telefonverkehr der Firma aus Hannover. Der Hackerangriff hat weiterhin die Verbindung zum Zahlungssystem gekappt und damit wichtige Operationen im Unternehmen eingeschränkt.

+++ Essensdienst Apetito: Die IT-Systeme der Apetito AG, eines großen Essenslieferanten für Seniorenheime, Schulen und Kitas, wurden im Juni 2022 durch einen Cyberangriff lahmgelegt.

+++ Produktion bei Fendt lahmgelegt: Ein Ransomware Cyberangriff legt im Mai 2022 die komplette Produktion beim Traktorenhersteller Fendt lahm. Am Fendt-Stammsitz in Marktoberdorf standen die Bänder nach einer Cyberattacke still.

+++ Medibank, Australien: Im November 2022 sind nach einem Hackerangriff auf den größten australischen Krankenversicherer Patientendaten im Darknet gefunden worden. Die Kriminellen veröffentlichten Teilinformationen über Abtreibungen und Behandlungen gegen Drogensucht. Die Hacker erpressten die betroffene Krankenversicherung und verlangten nach Angaben des Geschädigten 9,7 Millionen australische Dollar (rund 6,2 Millionen Euro). Die Versicherung lehnte die Zahlung eines Lösegelds für die Rückgabe der gestohlenen Daten aber ab.

+++ Caritasverband der Erzdiözese München und Freising: Im September 2022 erfolgte ein Ransomware Angriff auf die zentralen IT-Systeme des größten oberbayerischen Sozialverbandes, verbunden mit einer Lösegeldforderung in unveröffentlichter Höhe. Der Verband entschloss sich, nicht auf diese Forderung einzugehen und eine alternative Infrastruktur aufzubauen.

+++ Internationales Rotes Kreuz: Bei einem Cyberangriff auf die Organisation haben Hacker mehr als 500.000 Datensätze mit Informationen über besonders schutzbedürftige Personen erbeutet. Die Hacker hatten es auf ein externes Unternehmen in der Schweiz abgesehen, welches im Auftrag des IKRK Daten speicherte. Diese stammen von rund 60 nationalen Dienststellen des Roten Kreuzes und des Roten Halbmondes.

+++ Die Urologische Klinik in Planegg: Die Klinik ist im Januar 2021 Ziel eines Hacker-Angriffs geworden. Die Täter haben dabei offenbar Einblicke in sensible medizinische Patientendaten bekommen. Die Angreifer nutzten Ransomware. Die Schadprogramme verschlüsselten einige IT-Systeme der Klinik, eine Entschlüsselung sollte nur gegen Zahlung einer unbekannten Summe erfolgen.

+++ Ransomware Angriff auf die Uni-Klinik Düsseldorf: Im September 2020 wurde die Universitätsklinik Düsseldorf Opfer einer Hackerattacke – wohl aus Versehen, aber mit weitreichenden Folgen: Operationen waren nicht mehr möglich, die Notaufnahme musste schließen, möglicherweise kostete der Angriff sogar einem Menschen das Leben. Der Regelbetrieb war wochenlang gestört. Die Hacker übergaben später ohne Lösegeldzahlung den Wiederherstellungsschlüssel.