Ransomware-Gangs schreiben ihre Zielliste neu

Jahrelang war die gängige Auffassung zu Ransomware einfach: Angreifer nehmen IT-Administratoren ins Visier, die Personen mit den Schlüsseln zum Netzwerk. Neue Erkenntnisse legen nahe, dass diese Annahme überholt ist. Laut einer aktuellen Studie bekleiden 62 % der Ransomware-Opfer mittlerweile Positionen auf Management-Ebene oder höher – ein Zeichen dafür, dass Angreifer gezielt in der Organisationshierarchie aufsteigen, anstatt sich auf technisches Personal zu konzentrieren.

Diese Verlagerung ist bedeutsam, denn sie ändert, wer sich mit dem Ransomware-Risiko auseinandersetzen muss. Es ist nicht länger nur ein Problem des Sicherheitsteams oder des Helpdesks. Wer ein Team leitet, Budgets genehmigt oder im Rahmen seiner Tätigkeit Zugriff auf sensible Dateien hat, steht jetzt unmittelbar im Fadenkreuz.

Warum Manager jetzt Hauptziele sind

Die Logik hinter dieser Verlagerung wird klar, sobald man bedenkt, wie Ransomware-Operationen tatsächlich funktionieren. Angreifer versuchen nicht nur, in Systeme einzudringen; sie wollen eine Zahlung erzwingen. Manager und leitende Angestellte haben in der Regel breiteren Zugriff auf Finanzdaten, Kundeninformationen, Personalakten und interne Kommunikation als ein typischer technischer Administrator, der ein einzelnes System verwaltet. Dieser Zugriff macht ihre Konten im Falle einer Kompromittierung wertvoller und sie außerdem zu wirksameren Druckpunkten bei Verhandlungen.

Hinzu kommt ein menschlicher Faktor. Leitende Angestellte sind oft diejenigen, die Unternehmen – sowohl aus Reputations- als auch aus rechtlichen Gründen – am dringlichsten schützen wollen. Ein Angreifer, der den Zugriff auf das Postfach oder die Dateien eines Managers nachweisen kann, verfügt über Druckmittel, die über eine einfache Systemsperre hinausgehen. Das wird zu einer Bedrohung für den Ruf, Kundenbeziehungen und in manchen Fällen für die Einhaltung gesetzlicher Vorschriften.

Diese Zielverschiebung spiegelt auch wider, wie professionell Ransomware-Gruppen geworden sind. Viele agieren heute weniger wie Einzeltäter und mehr wie organisierte Unternehmen – inklusive Recherche darüber, wer im Zielunternehmen am ehesten wertvolle Zugänge hat und am ehesten unter Druck gesetzt werden kann, eine Zahlung zu ermöglichen. Der Aufstieg von Ransomware-as-a-Service hat dies noch beschleunigt, da nun auch weniger technisch versierte kriminelle Gruppen auf Werkzeuge und Taktiken zurückgreifen können, die einst spezialisierten Hacking-Crews vorbehalten waren. Erwähnenswert ist, dass vieles von dem, was in Dark-Web-Foren als „Schutz“ oder Insider-Zugang vermarktet wird, selbst unzuverlässig und ausbeuterisch ist – ein Muster, das in Dark-Web-„Sicherheits“-Verkäufe sind der eigentliche Betrug näher beleuchtet wird.

Die Datenschutz-Folgen für Mitarbeiter und Unternehmen

Wenn das Konto oder Gerät eines Managers kompromittiert wird, reichen die Folgen für den Datenschutz weit über die Einzelperson hinaus. Manager haben häufig Zugriff auf personenbezogene Daten von Mitarbeitern, Kundenverträge, Finanzunterlagen und – je nach Branche – mitunter auf Gesundheits- oder Rechtsinformationen. Ein einziges kompromittiertes Konto kann sensible Daten im Umfang einer gesamten Organisation offenlegen, nicht nur das Postfach einer einzelnen Person.

Das ist kein hypothetisches Risiko. Großflächige Sicherheitsverletzungen mit gestohlenen Unternehmensdaten haben wiederholt gezeigt, wie verheerend es sein kann, wenn Angreifer interne Aufzeichnungen in die Hände bekommen, wie etwa der Novo-Nordisk-Datenleck mit 1,3 TB gestohlener klinischer Studiendaten zeigt. Sobald solche Daten abgeflossen sind, beschränkt sich der Schaden nicht auf eine Lösegeldzahlung; er kann die dauerhafte Preisgabe vertraulicher Informationen, behördliche Prüfungen und langfristige Reputationsschäden für die betroffene Organisation bedeuten.

Strafverfolgungsbehörden gehen zunehmend gegen Ransomware-Betreiber vor, und es kommt tatsächlich zu Verurteilungen, wie das Urteil im Fall TfL-Hacker Jubair und Flowers zu fünf Jahren Haft für 29-Millionen-Pfund-Hack verurteilt zeigt. Doch die Strafverfolgung erfolgt erst, wenn der Schaden bereits eingetreten ist. Prävention bleibt weitaus wirksamer als jede rechtliche Reaktion im Nachhinein.

Was das für Sie bedeutet

Wenn Sie eine Management- oder Aufsichtsfunktion innehaben, sollte dieser Trend dazu anregen, Ihre persönlichen Sicherheitsgewohnheiten zu überdenken – nicht nur die IT-Richtlinien Ihres Unternehmens. Die Angreifer setzen darauf, dass leitende Angestellte weniger dazu neigen, strikte Sicherheitsprotokolle zu befolgen als IT-Fachkräfte, und eher einen breiten, unüberwachten Zugriff auf sensible Systeme haben.

Praktische Maßnahmen sind hier entscheidend. Verwenden Sie eindeutige, starke Passwörter für Arbeitskonten, aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, und seien Sie vorsichtig bei unerwarteten Anhängen oder Links – selbst wenn sie scheinbar von Kollegen oder Anbietern stammen. Manager sollten außerdem auf regelmäßige Schulungen zur Phishing-Sensibilisierung in ihren Teams drängen und sicherstellen, dass ihr Unternehmen über einen klaren, getesteten Incident-Response-Plan verfügt, der nicht allein vom IT-Personal ausgeführt werden muss.

Dem Wandel einen Schritt voraus

Dass Ransomware sich zunehmend gegen Manager statt gegen technisches Personal richtet, zeigt, wie kalkuliert diese Operationen geworden sind. Die Angreifer folgen den Zugriffsmöglichkeiten, nicht der Berufsbezeichnung auf dem Papier. Für Mitarbeiter aller Ebenen, insbesondere aber für solche in Führungspositionen, bedeutet das, Cybersicherheitsbewusstsein als Teil der eigenen Aufgabe zu betrachten und nicht als Verantwortung anderer. Die Unternehmen, die sich am schnellsten auf diese Veränderung einstellen – indem sie Führungskräfte ebenso wie IT-Mitarbeiter schulen und überflüssigen Zugriff auf sensible Daten einschränken –, werden am ehesten vermeiden können, zur nächsten Zahl in diesem wachsenden Trend zu werden.