Bei Ransomware geht es nicht mehr nur um Verschlüsselung

Jahrelang drehte sich der Standardrat zur Bekämpfung von Ransomware um eine Sache: Sichern Sie Ihre Daten, damit Sie nie Lösegeld zahlen müssen. Dieser Rat ist weiterhin wichtig, aber laut einer aktuellen Analyse des Sicherheitsbewusstseins-Trainingsunternehmens KnowBe4 erfasst er nicht mehr das vollständige Bild davon, wie moderne Ransomware-Operationen tatsächlich funktionieren.

Ransomware hat sich zu dem entwickelt, was KnowBe4 als Geschäftsstörungsmodell beschreibt – eines, das weniger auf brutaler Malware basiert und mehr auf gestohlenen Identitäten und Social Engineering. Statt einfach Dateien zu sperren und Zahlung für einen Entschlüsselungsschlüssel zu verlangen, konzentrieren sich Angreifer zunehmend darauf, mithilfe legitimer, gestohlener Zugangsdaten in eine Organisation einzudringen und diesen vertrauenswürdigen Zugang dann zu nutzen, um maximalen operativen Schaden anzurichten, bevor es jemand bemerkt.

Diese Verschiebung ist für den Datenschutz genauso wichtig wie für die IT-Sicherheit. Wenn Ransomware-Gruppen Identitäten stehlen, um einzudringen, werden die personenbezogenen Daten, die mit diesen Identitäten verbunden sind – Mitarbeiteranmeldungen, Kundendaten, interne Kommunikation – Teil der Angriffsfläche. Ein Ransomware-Vorfall ist heute selten nur ein Verschlüsselungsereignis; er ist oft auch ein Datenoffenlegungsereignis.

Warum gestohlene Identitäten der neue Einstiegspunkt sind

Das traditionelle Bild eines Ransomware-Angriffs umfasst einen bösartigen E-Mail-Anhang oder einen verwundbaren, ungepatchten Server. Diese Vektoren sind nicht verschwunden, aber sie werden zunehmend durch einfachere Taktiken ergänzt oder ersetzt: Phishing nach Zugangsdaten, Austricksen von Helpdesks beim Zurücksetzen von Passwörtern oder Ausnutzen schwacher Multi-Faktor-Authentifizierungs-Setups, um als vertrauenswürdiger Benutzer Zugang zu erhalten.

Einmal drinnen, müssen Angreifer nichts im traditionellen Sinne "hacken". Sie melden sich an wie jeder andere Mitarbeiter, bewegen sich leise durch das Netzwerk und identifizieren die Systeme und Daten, deren Störung den meisten Schmerz und damit den meisten Einfluss für eine Lösegeldforderung verursacht. Das meint KnowBe4 damit, Ransomware als Geschäftsstörungsmodell zu beschreiben: Das Ziel ist nicht nur, Daten zu verschlüsseln, sondern den Betrieb einer Organisation zum Stillstand zu bringen, bis Zahlung geleistet wird.

Dieser Ansatz spiegelt wider, was im Ökosystem von Ransomware-as-a-Service allgemein beobachtet wurde. Gruppen wie die Operation, die in unserer Berichterstattung über LockBit 5.0 und das Leben nach Operation Cronos detailliert beschrieben wird, zeigen, wie Ransomware-Partner ihre Operationen professionalisiert haben und jeden Angriff weniger wie einen Überfall und mehr wie eine kalkulierte Geschäftsverhandlung behandeln, komplett mit Drucktaktiken und Reputationsbedrohungen.

Ransomware-Abwehr für eine identitätsorientierte Bedrohung neu denken

Wenn Identitätsdiebstahl und Social Engineering jetzt der primäre Weg sind, wie Ransomware Fuß fasst, dann gehen Verteidigungsmaßnahmen, die ausschließlich auf Netzwerk-Perimetersicherheit und Antiviren-Tools basieren, das Problem von gestern an. KnowBe4s Rahmenwerk legt nahe, dass Organisationen Identitätsverifizierung und menschliches Verhalten als Kernbestandteile der Ransomware-Abwehr behandeln müssen, nicht als Nebensache.

In der Praxis bedeutet dies stärkere Identitätsverifizierungsprozesse für Passwortzurücksetzungen und Kontowiederherstellung, phishing-resistente Multi-Faktor-Authentifizierung statt leicht umgehbarer SMS-Codes und laufende Mitarbeiterschulungen, die Social Engineering als aktive, sich entwickelnde Bedrohung behandeln und nicht als einmalige Compliance-Übung. Backups und Netzwerksegmentierung bleiben unerlässlich, aber sie sind jetzt die zweite Verteidigungslinie statt der ersten.

Die Einsätze rund um diese Verschiebung ziehen auch auf politischer Ebene Aufmerksamkeit auf sich. Wie wir berichtet haben, wägen Regierungen ein Ransomware-Zahlungsverbot angesichts KI-gesteuerter Angriffe ab, ein Zeichen dafür, dass Regulierungsbehörden erkennen, dass das aktuelle Verteidigungsmodell – zahlen, um das Problem verschwinden zu lassen – nicht nachhaltig ist, wenn Angriffe schneller und überzeugender werden.

Was das für Sie bedeutet

Ob Sie eine IT-Entscheidungsperson sind oder einfach jemand, dessen Arbeitgeber Ihre persönlichen Daten speichert, diese Entwicklung der Ransomware-Taktiken hat reale Konsequenzen. Wenn Angreifer durch Identitätsdiebstahl statt durch Ausnutzung von Softwarefehlern eindringen, dann beeinflusst die Sicherheit Ihrer eigenen Anmeldedaten und wie sorgfältig Ihre Organisation Identität verifiziert, bevor sie Zugang gewährt, direkt, wie verwundbar diese Organisation gegenüber einer kostspieligen Störung ist.

Für Einzelpersonen verstärkt dies einen bekannten, aber zunehmend dringlichen Punkt: Wiederverwendete Passwörter, schwache MFA und nachlässige Reaktionen auf unerwartete Passwortzurücksetzungsanfragen sind nicht nur persönliche Risiken – sie sind potenzielle Einstiegspunkte für Angriffe, die sich ausweiten und die Daten Tausender Menschen betreffen können. Für Unternehmen bedeutet es, dass Ransomware-Abwehr als ein Identitäts- und menschliches Verhaltensproblem verstanden werden muss, genauso wie als technisches Problem.

Umsetzbare Erkenntnisse

  • Aktivieren Sie phishing-resistente Multi-Faktor-Authentifizierung, wo immer möglich, und verlassen Sie sich nicht ausschließlich auf SMS-basierte Codes.
  • Seien Sie skeptisch bei unerwarteten Passwortzurücksetzungs- oder Kontoverifizierungsanfragen, selbst wenn sie scheinbar von internen Helpdesks kommen.
  • Organisationen sollten prüfen, wie Identitätsverifizierung für die Kontowiederherstellung funktioniert, da dies ein zunehmend häufiger Ransomware-Einstiegspunkt ist.
  • Behandeln Sie regelmäßiges Sicherheitsbewusstseins-Training als laufende Notwendigkeit, nicht als einmaliges Ankreuzen, da sich Social-Engineering-Taktiken schnell weiterentwickeln.
  • Halten Sie offline, getestete Backups als zweite Verteidigungslinie bereit, im Verständnis, dass das Stoppen identitätsbasierter Eindringlinge genauso wichtig ist wie die Wiederherstellung nach Verschlüsselung.

Die Entwicklung von Ransomware zu einem identitätsgetriebenen Geschäftsstörungsmodell bedeutet nicht, dass der Kampf verloren ist. Es bedeutet, dass der Kampf sich verlagert hat. Verteidigungsmaßnahmen, die sich einst eng auf Malware und Backups konzentrierten, müssen jetzt berücksichtigen, wie leicht eine gestohlene Identität die Tür zu einem gesamten Netzwerk öffnen kann – und das beginnt damit, Identitätssicherheit als untrennbar von der Ransomware-Abwehr selbst zu behandeln.