50+ Ransomware-Angriffe enthüllen ein neues Playbook für Datendiebstahl

Ein Katalog von über 50 Ransomware-Angriffen zeigt, dass sich das Modell verändert

Eine neue Zusammenstellung von Ransomware-Angriffsbeispielen aus Dutzenden großer Sicherheitsverletzungen und ihren finanziellen Kosten zeigt etwas, das jenseits der reinen Zahlen Beachtung verdient: Die Mechanik dieser Angriffe entwickelt sich auf eine Weise weiter, die persönliche Daten einem größeren Risiko aussetzt, als es reine Verschlüsselung jemals getan hat.

Die klassische Variante von Ransomware, oft als Krypto-Ransomware bezeichnet, funktioniert genau so, wie die meisten es sich vorstellen. Schadcode schleicht sich in ein Netzwerk ein und verschlüsselt Dateien mit starken Algorithmen, typischerweise AES-256, um die Daten selbst zu sperren, und RSA-2048, um den Verschlüsselungsschlüssel zu schützen. Sobald dieser Vorgang abgeschlossen ist, sind die Dateien ohne den privaten Schlüssel des Angreifers praktisch nicht wiederherstellbar. Den Opfern wird dann eine Lösegeldforderung angezeigt, die Zahlung zumeist in Bitcoin oder Monero verlangt, oft verbunden mit einem Countdown-Timer und der Drohung, den Schlüssel zu vernichten, falls die Frist verstreicht.

Dieses Modell hat den Ruf begründet, den Ransomware heute hat: ein lahmgelegtes Krankenhaus, eine handlungsunfähige Stadtverwaltung, ein Hersteller, der keine Produkte ausliefern kann. Der Beispielkatalog deutet jedoch auf eine zweite, leisere Taktik hin, die parallel dazu an Boden gewinnt – eine, die überhaupt nicht auf Verschlüsselung angewiesen ist.

Erpressung durch Datendiebstahl muss keine einzige Datei sperren

Statt Dateien unlesbar zu machen, kopieren manche Angreifer sensible Daten einfach unbemerkt aus einem Netzwerk und drohen anschließend mit der Veröffentlichung oder dem Verkauf, sollte keine Zahlung erfolgen. Keine Countdown-Uhr tickt auf einem eingefrorenen Desktop, keine IT-Abteilung fiebert der Wiederherstellung aus Backups entgegen. Das Druckmittel ist nicht die Betriebsunterbrechung, sondern die Bloßstellung.

Dieser Unterschied ist für alle von Bedeutung, die über ihre eigene Privatsphäre nachdenken, nicht nur für Organisationen, die Sicherheitsbudgets verwalten. Verschlüsselungsbasierte Ransomware ist im Kern ein Verfügbarkeitsproblem: Ihre Daten existieren noch, Sie können nur nicht darauf zugreifen, bis sie wiederhergestellt oder das Lösegeld gezahlt ist. Erpressung durch Datendiebstahl ist ein Vertraulichkeitsproblem: Die Informationen sind bereits weg, liegen bereits auf dem Server eines Angreifers, und keine Lösegeldzahlung kann das rückgängig machen. Selbst Organisationen mit soliden Backups und schnellen Wiederherstellungsplänen haben keine wirkliche Antwort auf eine Bedrohung, die vollständig auf Bloßstellung setzt. Gruppen, die Ransomware-as-a-Service betreiben, wie sie in der Berichterstattung über LockBit 5.0 und seine Operationen nach der Operation Cronos beschrieben werden, setzen genau auf diesen doppelten Druck: Verschlüsseln, was man kann, stehlen, was man nicht kann, und auf beiden Wegen erpressen.

Warum die Lösegeldforderung nur ein Teil der Geschichte ist

Die Medienberichterstattung über Ransomware-Angriffe fixiert sich gern auf die Lösegeldsumme selbst, und es ist leicht zu verstehen, warum: Ein konkreter Dollarbetrag ist eine griffige Schlagzeile. Aber die finanziellen Kosten eines Angriffs spiegeln oft nur die Reaktionsseite der Bilanz wider: Incident Response, Ausfallzeiten, Anwaltskosten, behördliche Strafen und gegebenenfalls die Lösegeldzahlung. Was diese Zahl nicht erfasst, sind die späteren Folgen für die Privatsphäre der Menschen, deren Daten in diesem System lagen: Patienten, deren Krankenakten offengelegt wurden, Kunden, deren Zahlungsdetails kopiert wurden, Mitarbeiter, deren persönliche Informationen in einer exfiltrierten HR-Datenbank gespeichert waren.

Das ist die eigentliche Implikation für den Datenschutz, die in diesen Listen von Sicherheitsverletzungen verborgen liegt. Ein Unternehmen kann seine Systeme wiederherstellen, seine Strafen zahlen und weitermachen. Der Einzelne, dessen Daten gestohlen wurden, bekommt keine so saubere Wiederherstellung. Seine Informationen können unbegrenzt im Umlauf sein, nachdem sie das ursprüngliche Netzwerk verlassen haben, tauchen in Listen für Credential Stuffing, Phishing-Kampagnen oder Identitätsdiebstahlversuchen auf, lange nachdem der ursprüngliche Angriff aus den Nachrichten verschwunden ist.

Was das für Sie bedeutet

Wenn Sie ein Verbraucher sind, lautet die Erkenntnis nicht, dass Sie sich persönlich gegen Ransomware verteidigen müssen – das ist ein organisatorisches Problem für die Unternehmen, die Ihre Daten speichern. Aber die Verlagerung hin zur Erpressung durch Datendiebstahl bedeutet, dass Benachrichtigungen über Sicherheitsverletzungen mehr Aufmerksamkeit verdienen, als sie normalerweise erhalten, selbst wenn ein Unternehmen mitteilt, es sei kein Lösegeld gezahlt oder die Systeme seien nicht gestört worden. „Es wurde nichts verschlüsselt“ bedeutet nicht mehr „es wurde nichts gestohlen“.

Wenn Sie in der IT oder im Security-Bereich arbeiten, lautet die Lehre aus diesen über 50 Beispielen, dass eine Backup-Strategie allein nicht mehr ausreicht. Die Wiederherstellungsplanung muss die Bloßstellung von Daten berücksichtigen, nicht nur Ausfallzeiten. Das bedeutet, sensible Daten im Ruhezustand zu verschlüsseln, den Zugriff jedes einzelnen kompromittierten Kontos einzuschränken und die Erkennung von Datenabflüssen ebenso ernst zu nehmen wie die Ransomware-Erkennung selbst.

Praktische Schritte, die sich lohnen

Ein paar Gewohnheiten bringen viel, unabhängig davon, auf welcher Seite einer Sicherheitsverletzung Sie stehen. Einzelpersonen sollten auf Benachrichtigungen über Datenschutzverletzungen bei von ihnen genutzten Diensten achten, überall dort, wo angeboten, Multi-Faktor-Authentifizierung aktivieren und unaufgeforderte Nachrichten, die sich auf Kontodetails beziehen, mit Skepsis behandeln, da gestohlene Daten häufig nachfolgende Phishing-Angriffe befeuern. Organisationen sollten davon ausgehen, dass jede erfolgreiche Infiltration einen Datendiebstahl beinhalten kann, selbst wenn keine sichtbare Lösegeldforderung erscheint, und Reaktionspläne entwickeln, die die Offenlegung und den Kundenschutz berücksichtigen, nicht nur die Systemwiederherstellung.

Die Entwicklung von Ransomware von einer reinen Verschlüsselungsbedrohung zu einer breiteren Erpressungsökonomie ist eine Erinnerung daran, dass der Kampf nicht nur darum geht, Systeme am Laufen zu halten. Es geht darum, Informationen von vornherein privat zu halten, und das ist eine Verantwortung, die weit über den Moment hinausreicht, in dem eine Lösegeldforderung auf dem Bildschirm erscheint.