Was geschah: Der Verhandlungsführer, der für beide Seiten arbeitete

Wenn ein Unternehmen von Ransomware getroffen wird, ist einer der ersten Anrufe an einen Verhandlungsführer: einen Spezialisten, dem man vertraut, zwischen einem panischen Opfer und einer kriminellen Bande zu vermitteln, die Lösegeldforderung zu drücken oder Zeit für die Wiederherstellung zu gewinnen. Diese Beziehung beruht vollständig auf Vertrauen. Wie Malwarebytes berichtet, brach ein solcher Verhandlungsführer dieses Vertrauen auf die denkbar schädlichste Weise. Anstatt den Opfern zu helfen, sich gegen die BlackCat-Ransomware-Bande zur Wehr zu setzen, gab er den Kriminellen heimlich Informationen aus den Verhandlungen, die er doch im Namen der Opfer führen sollte.

Das Ergebnis war ein Szenario einer Insider-Bedrohung durch einen Ransomware-Verhandlungsführer, das die Opfer Millionen kostete. Anstatt als Firewall zwischen einem Unternehmen und seinem Angreifer zu fungieren, wurde der Verhandlungsführer quasi zu einem zweiten Angreifer – mit privilegiertem Zugang zu den finanziellen Grenzen, der Rechtsstrategie und der Zahlungsbereitschaft eines Opfers. Das ist ungefähr das Schlimmste, was bei der Incident Response schiefgehen kann, denn es macht genau den Schutz, für den Unternehmen bezahlen, zu einer Belastung.

Wie Ransomware-as-a-Service-Gruppen vertrauenswürdige Vermittler rekrutieren

BlackCat, auch bekannt als ALPHV, operiert als Ransomware-as-a-Service (RaaS)-Gruppe, d. h. sie lizenziert ihre Malware und Infrastruktur an Affiliates, die Angriffe durchführen und die Gewinne teilen. Dieses Geschäftsmodell stützt sich seit jeher darauf, Netzwerke von Personen aufzubauen, die bereit sind, für einen Anteil am Erlös zu kooperieren – von Initial-Access-Brokern, die gestohlene Zugangsdaten verkaufen, bis zu Affiliates, die die eigentliche Verschlüsselungs-Nutzlast ausbringen. Ein kompromittierter oder mitschuldiger Verhandlungsführer ist lediglich die nächste logische Erweiterung dieses Netzwerks: jemand, der in das legitime Incident-Response-Ökosystem eingebettet ist und Geheimdienstinformationen liefern kann, die die Bande selbst nie erlangen könnte.

Genau deshalb ist dieser Fall über BlackCat hinaus von Bedeutung. Ransomware-Banden verstehen zunehmend, dass das schwächste Glied in der Reaktion auf eine Sicherheitsverletzung nicht immer eine Firewall oder ein ungepatchter Server ist. Es kann ein Mensch sein, und zwar genau der Mensch, den das Opfer im stressigsten Moment eines Sicherheitsvorfalls zu vertrauen beschlossen hat. Dasselbe Prinzip, Vertrauen und Zugang auszunutzen, zeigt sich im gesamten Ransomware- und Datenerpressungs-Umfeld, so auch bei Vorfällen wie dem ShinyHunters-Datenleck bei den HR-Systemen des Europarats, bei dem die Angreifer erneut demonstrierten, wie effektiv kriminelle Gruppen internen Zugang nutzen können, sobald sie einen Weg hineingefunden haben.

Warum dies die Angriffsfläche für Opfer von Sicherheitsverletzungen vergrößert

Die meisten Unternehmen denken bei Ransomware-Risiken an ihr eigenes Netzwerk: Endpunkte, Server, Backups, Mitarbeiterschulungen. Weitaus weniger denken an das Risiko, das durch die Anbieter und Berater entsteht, die sie nach Beginn eines Angriffs hinzuziehen. Doch ein Verhandlungsführer hat – ebenso wie ein forensischer Ermittler oder ein Breach Coach – in einer Krise oft Zugang zu einigen der sensibelsten Informationen eines Unternehmens: der Lösegeldsumme, die das Opfer zu zahlen bereit ist, welche Daten tatsächlich gestohlen wurden und wie verzweifelt die Organisation eine öffentliche Offenlegung vermeiden will.

Wenn dieser Zugang missbraucht wird, vervielfacht sich der Schaden. Opfer verlieren nicht nur Geld durch das Lösegeld selbst, sondern auch jeglichen Hebel, den sie in den Verhandlungen hatten, weil die Bande schon vor Gesprächsbeginn deren Schmerzgrenze kennt. Dieser Fall erinnert daran, dass die Lieferkette der Incident Response dieselbe Überprüfung verdient wie jede andere Lieferantenbeziehung und dass Vertrauen in einer Krise niemals allein aufgrund der Berufsbezeichnung vorausgesetzt werden sollte.

Wie man Incident-Responder und Verhandlungsführer überprüft, bevor eine Krise eintritt

Der beste Zeitpunkt, einen Ransomware-Verhandlungsführer oder ein Incident-Response-Unternehmen zu überprüfen, ist vor einem Angriff, nicht während eines solchen, wenn Zeitdruck eine sorgfältige Due Diligence nahezu unmöglich macht. Unternehmen können mehrere konkrete Schritte unternehmen:

  • Die Erfolgsbilanz der Firma bestätigen und Referenzen früherer Kunden mit ähnlichen Vorfällen anfordern.
  • Nachfragen, wie die Firma ihre eigenen Mitarbeiter überprüft, einschließlich Hintergrundchecks und interner Kontrollen darüber, wer Zugang zu Verhandlungsdetails hat.
  • Auf dokumentierte, nachvollziehbare Kommunikationsprotokolle während jeder Verhandlung bestehen, anstatt sich nur auf eine einzige Kontaktperson zu verlassen.
  • Externen Rechtsbeistand oder einen zweiten Sicherheitsberater hinzuziehen, um wichtige Entscheidungen – etwa Lösegeldsummen oder Zahlungszeitpunkte – unabhängig zu verifizieren.
  • Diese Lieferantenbeziehungen und Verträge im Voraus als Teil eines Incident-Response-Retainers aufbauen, anstatt mitten in einer Sicherheitsverletzung hektisch Hilfe suchen zu müssen.

Was das für Sie bedeutet

Falls Ihr Unternehmen einen Ransomware-Notfallplan besitzt, ist dieser Fall ein guter Anlass, um zu überprüfen, wer tatsächlich auf diesem Plan steht und wie gut Sie diese Personen kennen. Eine Insider-Bedrohung durch einen Ransomware-Verhandlungsführer ist selten, aber die Konsequenzen sind so schwerwiegend, dass sich ein gewisser Aufwand an vorgelagerter Überprüfung lohnt. Dieselbe Logik gilt für jeden Dritten mit privilegiertem Zugang während einer Sicherheitsverletzung: Forensiker, Rechtsberater und PR-Agenturen verdienen dieselbe Prüfung, die Sie einem neuen Softwareanbieter zukommen lassen würden.

Kernaussagen

  • Incident-Response- und Verhandlungsfirmen vor einer Krise überprüfen, inklusive Hintergrundchecks der Mitarbeiter und Referenzen.
  • Auf dokumentierte, nachvollziehbare Protokolle aller Lösegeldverhandlungen bestehen, statt sich auf eine einzelne Vertrauensperson zu verlassen.
  • Drittanbieter-Responder als Teil Ihrer Angriffsfläche betrachten, nicht nur als Ihre Verteidigung.
  • Informiert bleiben, wie Ransomware- und Erpressergruppen in jeder Phase einer Sicherheitsverletzung Vertrauen ausnutzen – vom Erstzugang bis zur abschließenden Verhandlung.