Delta-Krisenexperten: Wie Unternehmen Ransomware-Verhandlungen führen sollten

Ransomware-Angriffe sind kein Problem mehr, das ausschließlich großen Konzernen mit tiefen Taschen und dedizierten Sicherheitsteams vorbehalten ist. Laut Michael Sjøberg und Peter Skovbo von Delta Crisis werden mittelständische Unternehmen, das Rückgrat vieler Volkswirtschaften, zunehmend von Angreifern lahmgelegt, die kritische Systeme verschlüsseln und Zahlungen fordern, um den Zugang wiederherzustellen. Ihre über Handelsblatt veröffentlichten Empfehlungen bieten einen seltenen Einblick darin, wie Unternehmen tatsächlich mit Cyber-Erpressern verhandeln und welche Schritte den Schaden bereits vor einem Angriff reduzieren können.

Warum mittelständische Unternehmen das neue Ziel sind

Jahrelang konzentrierten sich Ransomware-Schlagzeilen auf Krankenhäuser, Regierungsbehörden und multinationale Konzerne. Dieses Bild ändert sich. Angreifer haben erkannt, dass kleineren und mittleren Unternehmen oft die mehrschichtigen Verteidigungsmaßnahmen größerer Unternehmen fehlen, sie aber dennoch wertvolle Daten besitzen und sich längere Ausfallzeiten nicht leisten können. Dieser Wandel spiegelt einen breiteren Trend wider, der anderswo im Ransomware-Ökosystem dokumentiert ist, wo einige Gruppen sich dem bewegt haben, was Forscher Flächenunterdrückung von KMU-Netzwerken nennen, und dabei ganze Cluster kleinerer Organisationen ins Visier nehmen, anstatt mühsam einzelne hochwertige Opfer auszuwählen. Die Logik ist einfach: Masse ersetzt Präzision, und selbst bescheidene Lösegeldzahlungen summieren sich, wenn sie über Dutzende von Opfern multipliziert werden.

Die Erfahrung von Delta Crisis legt nahe, dass der Unterschied zwischen einem Unternehmen, das mit begrenztem Schaden wieder auf die Beine kommt, und einem, das dauerhaften Schaden erleidet, oft auf die Vorbereitung und die Art und Weise zurückzuführen ist, wie die Verhandlung selbst in den ersten Stunden und Tagen geführt wird.

Ein Blick in eine Ransomware-Verhandlung

Laut Sjøberg und Skovbo geht es bei Verhandlungen mit Cyber-Kriminellen nicht einfach darum, zu entscheiden, ob man zahlt. Es erfordert, das Geschäftsmodell des Angreifers zu verstehen, zu überprüfen, welche Daten tatsächlich gestohlen oder verschlüsselt wurden, und die Kommunikation so zu steuern, dass die Gruppe weder dazu provoziert wird, Daten zu vernichten, noch Verzweiflung signalisiert wird, die die Forderung in die Höhe treiben könnte. Dies ist heikle Arbeit, die zunehmend einer professionellen Dienstleistungsbranche auf beiden Seiten des Verhandlungstischs ähnelt. Diese Professionalisierung ist in der gesamten Ransomware-Landschaft sichtbar. Gruppen haben strukturierte Ransomware-as-a-Service-Modelle übernommen, ein Muster, das auch in Warnungen über die Expansion der Gunra-Ransomware zu einem RaaS-Betrieb zu sehen ist, bei denen Partner Angriffe mit Tools durchführen, die von einer Kerngruppe entwickelt wurden, im Austausch für einen Anteil am Erlös. Das Ergebnis ist ein skalierbarerer, wiederholbarerer Erpressungsprozess – genau deshalb ist die Verhandlungsstrategie für das Opfer so wichtig.

Der Einstiegspunkt vieler dieser Angriffe verdient ebenfalls Aufmerksamkeit. Angreifer erhalten häufig Erstanfangszugang durch Social Engineering und nicht durch die Ausnutzung obskurer technischer Schwachstellen. Kampagnen, die Tools wie Microsoft Teams missbrauchen, um gefälschte IT-Support-Mitarbeiter zu imitieren, zeigen, wie ein einziger überzeugender Anruf oder eine Chat-Nachricht die Tür zu einer vollständigen Netzwerkkompromittierung öffnen kann – lange bevor eine Lösegeldforderung erscheint.

Die Risiken für Datenschutz und Datenoffenlegung

Bei Ransomware-Verhandlungen geht es nicht nur darum, den Zugang zu verschlüsselten Dateien wiederherzustellen. Moderne Ransomware-Gruppen stehlen in der Regel Daten, bevor sie sie verschlüsseln, und drohen dann, diese Informationen zu veröffentlichen oder zu verkaufen, wenn keine Zahlung erfolgt. Dieses Modell der doppelten Erpressung erhöht die Risiken für die Privatsphäre erheblich. Kundendatensätze, Mitarbeiterdaten und vertrauliche Geschäftsinformationen können unabhängig davon, ob ein Unternehmen zahlt, offengelegt werden. Angreifer sind zudem immer ausgefeilter darin geworden, während der Eindringphase der Erkennung zu entgehen, einschließlich Techniken, die Sicherheitstools direkt deaktivieren, wie in Berichten über GodDamn-Ransomware, die einen signierten Treiber missbraucht, um Antivirensoftware zu deaktivieren, zu sehen ist. Diese Art von Heimlichkeit bedeutet, dass ein Einbruch viel länger unbemerkt bleiben kann, sodass Angreifer mehr Zeit haben, sensible Daten zu exfiltrieren, bevor jemand merkt, dass etwas nicht stimmt.

Was das für Sie bedeutet

Wenn Sie ein mittelständisches Unternehmen leiten oder dort arbeiten, ist die Botschaft von Delta Crisis klar: Ransomware-Bereitschaft ist keine Option mehr und beginnt weit vor einem Angriff. Grundlegende Hygiene, Offline-Backups, getestete Incident-Response-Pläne und Mitarbeiterschulungen gegen Social Engineering bleiben die stärkste Verteidigung. Wenn ein Angriff tatsächlich passiert, sollte die Entscheidung, ob und wie verhandelt wird, niemals isoliert oder in Panik getroffen werden. Erfahrene Verhandlungsführer verstehen die Psychologie der Angreifer, überprüfen Behauptungen, bevor sie ihnen vertrauen, und wissen, wie man Zeit gewinnt, ohne die Bedrohung für gestohlene Daten zu eskalieren.

Für Einzelpersonen, deren Daten möglicherweise in den Systemen eines Unternehmens liegen, unterstreicht dies auch, warum Organisationen den Kunden Transparenz schulden, wenn eine Verletzung auftritt, da Ransomware-Verhandlungen direkt beeinflussen, ob persönliche Informationen privat bleiben oder durchsickern.

Wichtige Erkenntnisse

Unternehmen jeder Größe sollten Ransomware als ein „wann", nicht ein „ob" behandeln. Erstellen Sie einen Incident-Response-Plan vor einem Angriff, halten Sie getestete Offline-Backups bereit und legen Sie im Voraus fest, wer die Kommunikation übernimmt, falls Erpresser Kontakt aufnehmen. Schulen Sie Mitarbeiter darin, Social-Engineering-Versuche zu erkennen, insbesondere Identitätstäuschungen über alltägliche Kollaborationstools. Wenn Verhandlungen notwendig werden, beziehen Sie erfahrene Fachleute ein, anstatt zu improvisieren, da die Art und Weise, wie ein Unternehmen in den ersten Stunden reagiert, sowohl das finanzielle Ergebnis als auch das Ausmaß der letztendlich offengelegten persönlichen oder Unternehmensdaten prägen kann.