Neue Daten: Ransomware-Zahlungen verhindern selten Wiederholungsangriffe

Neue Daten bestätigen: Ransomware-Zahlungen erkaufen keine dauerhafte Sicherheit

Aktuelle Berichterstattung, hervorgehoben von The Register und in einer Kurzmeldung von SC Media behandelt, ergänzt die wachsende Beweislage, dass die Zahlung einer Ransomware-Forderung künftige Angriffe nicht zuverlässig verhindert. Organisationen, die zahlen, um Daten wiederherzustellen oder Erpressung zu beenden, werden häufig erneut ins Visier genommen – manchmal von derselben kriminellen Gruppe, manchmal von einer völlig anderen, die erfahren hat, dass das Opfer zahlungswillig ist. Dieses Muster zeigt sich selbst dann, wenn koordinierte Strafverfolgungsmaßnahmen wie die Operation Cronos daran arbeiten, große Ransomware-Operationen von innen heraus zu zerschlagen.

Die Kernaussage ist einfach, aber für viele Organisationen unbequem: Ransomware-Zahlungen und Wiederholungsangriffe hängen eng zusammen – nicht weil die Zahlung Sicherheit garantiert, sondern weil sie Angreifern häufig signalisiert, dass ein Ziel profitabel und unzureichend vorbereitet ist.

Warum das Zahlen ein falsches Sicherheitsgefühl erzeugt

Wenn ein Unternehmen von seinen Systemen ausgesperrt oder mit einer öffentlichen Datenveröffentlichung bedroht wird, kann die Zahlung einer Lösegeldsumme wie der schnellste Weg zurück zum Normalbetrieb erscheinen. Die neuen Daten untermauern jedoch, was Sicherheitsforscher seit Jahren sagen: Die Zahlung ist eine Transaktion, keine Garantie. Ransomware-Banden sind kriminelle Unternehmen, und es gibt keine durchsetzbare Vereinbarung, dass Daten gelöscht, Entschlüsselungsschlüssel tatsächlich funktionieren oder dieselben Schwachstellen nicht erneut ausgenutzt werden.

Organisationen, die zahlen, tun dies oft, weil es an ordnungsgemäßen Backups, Notfallplänen oder internem Fachwissen mangelt, um Systeme schnell wiederherzustellen. Genau diese zugrundeliegenden Schwächen bleiben nach der Zahlung in der Regel bestehen, sodass die Tür, die den Angreifern erstmals den Zugang ermöglichte, häufig immer noch offen steht. Die Zahlung adressiert die unmittelbare Krise, nicht die eigentliche Ursache.

Genau aus diesem Grund fand eine Proofpoint-Umfrage heraus, dass die Bezahlung von Ransomware-Banden oft nach hinten losgeht – weitaus häufiger, als Opfer erwarten. Die Umfrage untermauerte die Warnung mit konkreten Zahlen und zeigte, dass ein bedeutender Anteil der zahlenden Organisationen trotzdem Datenverluste, weitere Erpressungsversuche oder erneute Sicherheitsverletzungen erlebte.

Wie Ransomware-Banden frühere Zahler identifizieren und erneut angreifen

Ransomware-Operationen funktionieren zunehmend wie Unternehmen – mit Affiliate-Netzwerken, Kundendienst für Opfer und geteilten Informationen darüber, welche Ziele sich lohnen. Sobald eine Organisation zahlt, können diese Informationen in kriminellen Kreisen zirkulieren, sei es durch direkten Datenaustausch, den Verkauf von Netzwerkzugängen oder einfach über den Ruf in Untergrundforen.

Ein Opfer, das schnell und ohne nennenswerten Widerstand zahlt, wird zur bekannten Größe: ein leichtes Ziel mit nachgewiesener Zahlungsbereitschaft. Selbst wenn Strafverfolgungsaktionen wie die Operation Cronos bestimmte Ransomware-Infrastrukturen erfolgreich stören, bleiben das zugrundeliegende Ökosystem aus Zugangsvermittlern, gestohlenen Zugangsdaten und ungepatchten Schwachstellen, die den ursprünglichen Einbruch ermöglichten, häufig für andere Bedrohungsakteure verfügbar. Die Zerschlagung einer Bande schützt ein früheres Opfer nicht unbedingt davor, dass eine andere dieselben Schwachstellen ausnutzt.

Praktische Abwehrmaßnahmen: Backups, Segmentierung und VPN-Härtung

Die deutlichste Lehre aus diesen Daten ist, dass Prävention und Widerstandsfähigkeit wichtiger sind als Verhandlungen. Einige praktische Schritte machen einen messbaren Unterschied:

• Offline-Backups pflegen, die getestet sind. Vom Hauptnetzwerk getrennte und regelmäßig auf Wiederherstellbarkeit getestete Backups sind der wirksamste Weg, um eine Zahlung überhaupt vermeiden zu müssen.
• Netzwerke segmentieren. Begrenzen, wie weit ein Angreifer sich nach dem Eindringen bewegen kann, verringert den Explosionsradius eines einzelnen kompromittierten Kontos oder Geräts.
• Fernzugriff härten. VPNs und Remote-Desktop-Tools sind häufige Einstiegspunkte für Ransomware. Die Durchsetzung von Multi-Faktor-Authentifizierung, zeitnahes Patchen von VPN-Software und das Schließen ungenutzter Fernzugriffspunkte nehmen Angreifern eine einfache Möglichkeit.
• Einen Notfallplan erstellen, bevor ein Angriff stattfindet. Zu wissen, wen man anruft, wie man betroffene Systeme isoliert und wie man mit Stakeholdern kommuniziert, verringert den Druck, nur deshalb zu zahlen, um das Problem schnell verschwinden zu lassen.

Was das für Sie bedeutet

Ob Sie die IT für ein kleines Unternehmen verantworten oder einfach nur Ihre eigenen Geräte verwalten – die Botschaft dieser Daten ist dieselbe: Gehen Sie nicht davon aus, dass eine Zahlung ein Sicherheitsnetz ist. Sollte Ihre Organisation jemals mit einer Ransomware-Forderung konfrontiert werden, behandeln Sie den Vorfall als Signal für bestehende Sicherheitslücken, nicht als eine Verhandlung, die abgeschlossen und vergessen werden kann. Die Organisationen, die am besten in der Lage sind, sich schnell zu erholen und Wiederholungsopfer zu vermeiden, sind jene, die in Backups, Netzwerküberwachung und Zugriffskontrollen investiert haben, bevor ein Angriff erfolgt – und nicht jene, die erst danach hektisch reagieren.

Kernaussagen

• Neue Daten zeigen, dass Ransomware-Zahlungen und Wiederholungsangriffe häufig Hand in Hand gehen und die Annahme untergraben, dass eine Zahlung die Bedrohung beseitigt.
• Strafverfolgungsmaßnahmen gegen bestimmte Banden beseitigen nicht das breitere Ökosystem an Schwachstellen, das zum ursprünglichen Angriff führte.
• Offline-Backups, Netzwerksegmentierung und gehärteter Fernzugriff sind zuverlässigere Schutzmaßnahmen als jede Zahlungsverhandlung.
• Organisationen sollten jetzt Notfallpläne erstellen, anstatt während eines aktiven Angriffs zu entscheiden, wie sie reagieren.

Ransomware wird nicht verschwinden, aber die Entscheidung zu zahlen sollte nicht als schnelle Lösung betrachtet werden. Der Vorrang von Prävention, belastbaren Backups und sicherem Fernzugriff bleibt der wirksamste Weg, um Ihre Daten und Ihre Organisation aus dem Fadenkreuz von Angreifern herauszuhalten.