Wenn ein großer Logistikbetreiber von einem Cyberangriff getroffen wird, dreht sich die erste Frage meist um Lieferketten. Ein aktueller Kommentar stellte die Frage, ob der Cyberangriff auf DP World Australiens Handel gefährdet hat, und die Antwort lautete: wahrscheinlich nicht, diesmal. Diese Schlagzeile ist beruhigend in wirtschaftlicher Hinsicht. Sie lässt jedoch eine zweite Frage offen, die für normale Menschen wichtig ist: Was geschieht mit Daten, wenn Angreifer in eine große Organisation eindringen? Dieser Leitfaden nutzt den DP-World-Vorfall als Fallstudie, um Ransomware-Doppelerpressung in einfachen Worten zu erklären.

Was beim DP-World-Angriff geschah

Der Quellkommentar ordnet den DP-World-Vorfall in einen breiteren Anstieg von Ransomware ein. Er verweist auf Angriffe, die mit produktiven Cyberkriminellen-Banden in Verbindung stehen, darunter REvil und, in jüngerer Zeit, LockBit. Seine zentrale Frage betrifft die nationale Handelsexposition, und seine Schlussfolgerung ist, dass das Risiko für Australiens Handel bei dieser Gelegenheit wahrscheinlich begrenzt war.

Der uns verfügbare Auszug legt keine technischen Details des Eindringens dar, daher werden wir nicht spekulieren, wie die Angreifer hineingelangten, was sie mitnahmen oder wer verantwortlich ist. Was der Kommentar jedoch bietet, ist eine klare Beschreibung, wie diese Art von Angriff üblicherweise abläuft. Diese Beschreibung ist der nützliche Teil für die Leser.

Ransomware-Doppelerpressung erklärt

Traditionelle Ransomware war einfach: Kriminelle verschlüsseln die Dateien einer Organisation und fordern eine Zahlung, um sie zu entsperren. Wenn das Opfer über gute Backups verfügte, konnte es oft Systeme wiederherstellen und die Zahlung verweigern.

Wie der Kommentar beschreibt, läuft ein moderner Angriff üblicherweise in zwei Phasen ab:

  1. Daten werden exfiltriert. Angreifer kopieren Daten aus den Systemen der Organisation heraus.
  2. Daten werden unzugänglich gemacht. Die Originaldateien werden dann typischerweise verschlüsselt, sodass Mitarbeiter und Kunden sie nicht nutzen können.

Die Organisation erhält dann eine Lösegeldforderung, um die Daten zu „entsperren", die oft in einer Kryptowährung zu zahlen ist.

Doppelerpressung ist der Trend, der die Rechnung verändert hat. Weil die Daten kopiert wurden, bevor sie gesperrt wurden, verfügen die Angreifer über eine zweite Druckquelle. Selbst wenn ein Opfer alles aus Backups wiederherstellt, können die Kriminellen immer noch drohen, das Erbeutete zu veröffentlichen oder zu verkaufen. Für Entschlüsselung zu zahlen und für Stille zu zahlen, werden zu zwei getrennten Druckmitteln gegenüber demselben Opfer.

Deshalb sind die DP-World-Handelsfrage und die persönliche Sicherheitsfrage unterschiedlich. Eine Organisation kann den Betrieb aufrechterhalten, und die Wirtschaft kann die Störung abtun, während die gestohlenen Daten weiterhin in kriminellen Händen liegen.

Für Kontext zu den Menschen hinter diesen Operationen zeigt unser Bericht über ein Schweizer Gericht, das einen ukrainischen Entwickler wegen Nefilim zu 13 Jahren verurteilte, dass Ransomware-Entwickler irgendwann tatsächlich reale Konsequenzen erfahren können, obwohl der Fall auf einen Angriff aus dem Jahr 2020 zurückgeht – eine Erinnerung daran, wie langsam die Justiz voranschreitet im Vergleich dazu, wie schnell sich der Schaden ausbreitet.

Was gestohlene Daten für Einzelpersonen bedeuten

Die meisten Menschen werden nie das direkte Ziel einer Ransomware-Bande sein. Aber große Organisationen halten Daten über Kunden, Mitarbeiter und Partner, und genau diese landen bei einem Doppelerpressungsangriff auf den Tisch.

Das Risiko für Sie ist selten unmittelbar. Es baut sich tendenziell mit der Zeit auf:

  • Geleakte Datensätze werden wiederverwendet. Sobald persönliche Daten in kriminellen Foren kursieren, können sie mit anderen Leaks kombiniert werden, um ein vollständigeres Profil von Ihnen zu erstellen.
  • Phishing wird überzeugender. Eine Nachricht, die Ihren echten Namen, Arbeitgeber oder Kontodetails verwendet, ist weitaus schwerer als Fälschung zu erkennen.
  • Identitätsdokumente sind besonders sensibel. Anders als ein Passwort kann man einen gescannten Führerschein nicht einfach ändern. Ein behauptetes Angebot von 153 Millionen Führerschein-Scans im Zusammenhang mit IDScan.net ist ein gutes Beispiel dafür, wie geleakte persönliche Datensätze dauerhaftes Risiko schaffen können, selbst wenn die zugrunde liegende Behauptung noch geprüft wird.

Angriffe können auch Auswirkungen über Daten hinaus haben. Als eine Regierung nach einem Vorfall absichtlich Dutzende Systeme abschaltete, wie in unserem Beitrag über Moldau, das 82 öffentliche Dienste offline nimmt behandelt, zeigte sich, wie Störung und Datenexposition zusammen auftreten können.

Praktische Schritte zur Verringerung Ihrer Exposition

Sie können nicht verhindern, dass ein Unternehmen, mit dem Sie zu tun haben, kompromittiert wird. Sie können jedoch begrenzen, wie viel Schaden ein Leak Ihnen zufügt.

  • Verwenden Sie ein einzigartiges Passwort für jedes Konto. Ein Passwortmanager macht dies realistisch. Wenn ein Dienst leakt, bleiben die anderen sicher.
  • Aktivieren Sie Multi-Faktor-Authentifizierung, insbesondere für E-Mail, Banking und jedes Konto, das mit Ihrer Identität verknüpft ist.
  • Behandeln Sie unerwartete Nachrichten mit Misstrauen. Wenn eine E-Mail oder SMS eine aktuelle Datenpanne erwähnt, gehen Sie selbst zur offiziellen Website der Organisation, anstatt auf einen Link zu klicken.
  • Teilen Sie weniger. Geben Sie Organisationen nur die Daten, die sie wirklich benötigen, und löschen Sie alte Konten, die Sie nicht mehr nutzen.
  • Beobachten Sie Ihre Konten. Prüfen Sie regelmäßig Konto- und Kartenauszüge und erwägen Sie eine Kreditberichts-Sperre oder -Warnung, wo Ihr Land dies anbietet.
  • Gehen Sie nie davon aus, dass eine Datenschutzbenachrichtigung harmlos ist. Wenn Ihnen mitgeteilt wird, dass Ihre Daten betroffen waren, ändern Sie relevante Passwörter und bleiben Sie monatelang wachsam gegenüber gezielten Betrugsversuchen.

Was das für Sie bedeutet

Die Schlagzeilenfrage zu DP World war, ob der Handel gefährdet war, und die Antwort laut dem Kommentar war: wahrscheinlich diesmal nicht. Für Einzelpersonen ist die dauerhaftere Lehre eine über Daten. Bei Doppelerpressung macht die Wiederherstellung von Systemen einen Diebstahl nicht rückgängig. Ihre Informationen können noch lange im Umlauf bleiben, nachdem sich eine Organisation erholt hat und der Nachrichtenzyklus weitergezogen ist.

Das ist kein Grund zur Alarmierung. Es ist ein Grund anzunehmen, dass einige Ihrer Daten irgendwann irgendwo exponiert werden, und Ihre Konten so einzurichten, dass diese Exposition überlebbar ist.

Kernaussagen

Mit der Erklärung der Ransomware-Doppelerpressung ist das Muster klar: erst stehlen, dann verschlüsseln, dann das Opfer doppelt unter Druck setzen. Straffen Sie Ihre Gewohnheiten jetzt, statt nachdem eine Datenschutzbenachrichtigung eintrifft. Überprüfen Sie Ihre Passwörter, aktivieren Sie Multi-Faktor-Authentifizierung und seien Sie misstrauisch gegenüber Nachrichten, die zu viel über Sie zu wissen scheinen. Für einen genaueren Blick darauf, wie geleakte Datensätze fortbestehen, lesen Sie unsere Berichterstattung über die IDScan.net-Behauptung, und für Kontext zu den Akteuren hinter Ransomware sehen Sie unseren Bericht über die Nefilim-Verurteilung.