Ein Unternehmen für Ransomware-Wiederherstellung verspricht hochentwickelte Technologie, die Ihre verschlüsselten Dateien retten kann, ohne die Kriminellen zu bezahlen. Es klingt fast wie Jedi-Level-Expertise. Laut einem aktuellen Bericht von Security Boulevard behaupten Bundesstaatsanwälte, dass MonsterClouds geheime Waffe überhaupt keine fortschrittliche Entschlüsselungstechnologie war. Der Fall ist ein nützlicher Anlass für alle, die sich gefragt haben, wie man ein legitimes Unternehmen für Ransomware-Wiederherstellung von einem unterscheidet, das zu viel verspricht.

Ein Hinweis zur Quellenlage: Der von uns geprüfte Bericht ist kurz, und die folgenden Details beschränken sich auf das, was darin steht. Dies sind Anschuldigungen, keine Schuldfeststellungen. Uns liegen weder Gericht, Einreichungsdatum noch Aktenzeichen aus dem Quellmaterial vor, daher sollten Leser, die die Primärquelle einsehen möchten, den ursprünglichen Artikel von Security Boulevard und das Bundesgerichtsdocket direkt konsultieren.

Was Staatsanwälte behaupten, was MonsterCloud tatsächlich getan hat

Der Security-Boulevard-Artikel mit dem Titel „These Aren't the Decryption Keys You're Looking For“ besagt, dass Bundesstaatsanwälte behaupten, MonsterClouds geheime Waffe sei keine fortschrittliche Entschlüsselungstechnologie gewesen. Das Unternehmen hatte sich damit vermarktet, verschlüsselte Dateien wiederherstellen zu können, ohne dass Opfer die Angreifer bezahlen.

Der uns vorliegende Quellenauszug endet, bevor er erklärt, was Staatsanwälte stattdessen behaupten, was das Unternehmen getan hat, daher werden wir nicht über den Mechanismus spekulieren. Was der Bericht jedoch belegt, ist die Lücke, auf die Staatsanwälte hinweisen: eine vermarktete Fähigkeit auf der einen Seite und die Behauptung, dass die tatsächliche Methode etwas anderes war, auf der anderen.

MonsterCloud hat das Recht, diese Ansprüche anzufechten, und Leser sollten den Fall als ungeklärt betrachten, bis die Gerichte anders entscheiden.

Warum „Kein-Lösegeld“-Wiederherstellungsbehauptungen schwer zu überprüfen sind

Opfer von Ransomware sind selten in der Lage, die technischen Behauptungen eines Anbieters zu überprüfen. Sie sind normalerweise von kritischen Systemen ausgesperrt, stehen unter Zeitdruck und haben es mit Menschen zu tun, die sie noch nie getroffen haben. Diese Kombination macht Marketing-Sprache sehr überzeugend.

Mehrere Dinge erschweren die Überprüfung:

  • Entschlüsselung ist undurchsichtig. Wenn Dateien zurückkommen, kann ein Opfer normalerweise nicht sagen, wie. Ein Anbieter kann eine proprietäre Methode beschreiben, und der Kunde hat keine Möglichkeit, sie zu überprüfen.
  • Ergebnisse sehen von außen identisch aus. Wiederhergestellte Daten sehen gleich aus, egal ob sie von einer technischen Lösung, einem wiederhergestellten Backup oder einem anderen Weg stammen.
  • Dringlichkeit unterdrückt Prüfung. Ausfallzeiten kosten jede Stunde Geld, daher kann das Stellen detaillierter Fragen wie ein Luxus erscheinen.
  • Geheimhaltung ist Teil des Verkaufsarguments. „Proprietäre“ Technologie ist ein vernünftig klingender Grund, nichts zu erklären.

Nichts davon bedeutet, dass jedes Wiederherstellungsunternehmen verdächtig ist. Es bedeutet, dass die Behauptung „wir können Ihre Dateien zurückholen, ohne zu bezahlen“ dieselbe Skepsis verdient wie das Versprechen des Angreifers selbst, einen funktionierenden Schlüssel herauszugeben.

Wie man einen Anbieter für Ransomware-Wiederherstellung oder Incident Response prüft

Der beste Zeitpunkt, einen Anbieter zu bewerten, ist, bevor man einen braucht. Ein paar praktische Prüfungen:

  1. Fragen Sie genau, wie die Wiederherstellung funktioniert. Ein glaubwürdiges Unternehmen kann seinen Ansatz in klaren Worten erklären, einschließlich der Fälle, in denen eine Entschlüsselung nicht möglich ist.
  2. Lassen Sie den Umfang schriftlich festhalten. Der Vertrag sollte festlegen, was das Unternehmen tun wird, was es nicht tun wird und ob es jemals mit den Angreifern kommunizieren oder in Ihrem Namen bezahlen wird.
  3. Verlangen Sie Offenlegung jeglicher Zahlung. Wenn ein Dritter Verhandlungen oder Zahlungen abwickelt, sollten Sie davon wissen – und Ihr Rechtsbeistand und Ihr Versicherer ebenfalls.
  4. Prüfen Sie Referenzen und Erfolgsbilanz. Bitten Sie um Kunden, die Sie kontaktieren können, und suchen Sie nach unabhängiger Berichterstattung oder Rechtsgeschichte.
  5. Seien Sie vorsichtig bei Garantien. Niemand kann ehrlich die Wiederherstellung jeder Datei garantieren.
  6. Beziehen Sie Rechtsbeistand und Ihren Versicherer frühzeitig ein. Viele Policen und rechtliche Verpflichtungen bestimmen, wen Sie beauftragen können und wie Zahlungen abgewickelt werden.

Was das für Sie bedeutet

Wenn Sie ein Unternehmen führen, die IT verwalten oder einfach wichtige Daten auf Ihren Geräten aufbewahren, hebt dieser Fall eine zweite Risikoeebene hervor. Die erste ist der Angreifer. Die zweite ist die stressige, überstürzte Entscheidung darüber, wem man danach vertrauen kann.

Für Einzelpersonen und kleine Organisationen lautet die Lehre, einen Wiederherstellungsanbieter als Lieferanten mit hohem Vertrauen zu behandeln und entsprechende Sorgfalt walten zu lassen. Für größere Teams ist es eine Erinnerung daran, einen Incident-Response-Anbieter vorab auszuwählen und vertraglich zu binden, damit niemand mitten in einer Krise nach „Ransomware-Hilfe“ sucht.

Was das für Lösegeldzahlungen und Verteidigung bedeutet

Die übergeordnete Lehre ist, dass es keinen Abkürzungsweg um die Vorbereitung gibt. Offline- und getestete Backups bleiben unerlässlich, aber sie sind nicht die ganze Geschichte. Wie wir in unserer Betrachtung von Double-Extortion-Ransomware und warum Backups nicht ausreichen erklären, stehlen moderne Angreifer auch Daten und drohen, sie zu veröffentlichen, sodass die Wiederherstellung von Dateien den Vorfall nicht beendet.

Genau deshalb sind Entscheidungen unter Druck riskant. Wenn die Uhr läuft, ist ein selbstbewusstes Versprechen einer schmerzlosen Lösung verlockend. Ein schriftlicher Plan, im Voraus vereinbart, nimmt viel von diesem Druck.

Wichtige Erkenntnisse

  • Behandeln Sie Behauptungen über Wiederherstellung ohne Lösegeld mit gesunder Skepsis und fragen Sie, wie die Methode funktioniert.
  • Denken Sie daran, dass MonsterClouds behauptetes Verhalten nicht bewiesen ist; die Vorwürfe stammen von Bundesstaatsanwälten und das Unternehmen kann sie anfechten.
  • Prüfen Sie jedes Ransomware-Wiederherstellungsunternehmen im Voraus, schriftlich und unter Einbeziehung von Recht und Versicherung.
  • Halten Sie getestete Offline-Backups bereit und planen Sie sowohl Datendiebstahl als auch Verschlüsselung ein, wie in unserem Double-Extortion-Leitfaden behandelt.
  • Erstellen Sie Ihren Incident-Response-Plan und wählen Sie Ihre Anbieter vor einem Angriff, nicht während eines Angriffs.

Wenn Sie das nächste Mal ein kühnes Versprechen von einem Ransomware-Wiederherstellungsunternehmen lesen, fragen Sie zuerst nach den Details. Ein paar Stunden Vorbereitung jetzt können Ihnen später eine weitaus teurere Entscheidung ersparen.