Proofpoint: Ransomware-Zahler werden oft erneut getroffen

Was die neuen Daten zu Ransomware-Zahlungen zeigen

Ein neuer Bericht des Sicherheitsunternehmens Proofpoint vom Mittwoch liefert eine unbequeme Bestätigung für alle, die jemals erwogen haben, eine Ransomware-Bande zu bezahlen, um ein Problem loszuwerden: Ein erheblicher Teil der Opfer, die zahlen, sieht sich einer zweiten Erpressungsforderung gegenüber. Der Bericht untermauert, worauf Sicherheitsforscher und Incident Responder seit Jahren hinweisen: Ransomware-Verhandlungen werden nicht nach Treu und Glauben geführt, und eine Zahlung garantiert nicht, dass ein Angreifer tatsächlich verschwindet.

Die Daten von Proofpoint versorgen ein Muster mit harten Zahlen, das Verteidiger bislang vor allem anekdotisch vermuteten. Organisationen, die einer Lösegeldforderung nachkommen, erkaufen sich damit keinen Abschluss. Sie erkaufen sich oft eine zweite Runde Druckmittel für denselben Angreifer – oder für eine ganz andere Gruppe –, um erneut mehr zu fordern.

Warum die Zahlung eines Lösegelds einen zweiten Angriff provoziert

Die Logik hinter wiederholter Erpressung ist einfach, sobald man sie aus der Perspektive des Angreifers betrachtet. Das gesamte Geschäftsmodell einer Ransomware-Gruppe hängt davon ab, dass die Opfer glauben, die Zahlung beende die Krise. Aber es gibt keinen rechtsgültigen Vertrag, keinen Durchsetzungsmechanismus und kein ausreichend hohes Reputationsrisiko, das das Wort eines Angreifers garantiert, sobald das Geld geflossen ist. Wenn ein Opfer bereits seine Zahlungsbereitschaft und -fähigkeit bewiesen hat, wird es zu einem attraktiveren Ziel – nicht zu einem abgeschlossenen Konto.

Genau deshalb beschreiben Sicherheitsforscher Ransomware-Verhandlungen als grundlegend anders als ein normales Geschäftsabkommen. Es gibt für die Gegenseite keinerlei Anreiz, tatsächlich zu verschwinden. Eine kriminelle Gruppe, die einmal erfolgreich eine Zahlung erpresst hat, hat jeden Grund zu testen, ob dieselbe Organisation erneut zahlt – sei es durch erneute Verschlüsselung von Systemen, die Drohung, bereits gestohlene Daten ein zweites Mal zu veröffentlichen, oder einfach durch eine neue Forderung im Zusammenhang mit dem ursprünglichen Vorfall.

Diese Dynamik hängt eng mit dem zusammen, was die Branche als Double Extortion oder Multi Extortion bezeichnet: Angreifer verschlüsseln nicht nur Dateien, sondern stehlen vorab auch Daten und haben so mehrere Druckpunkte, um ein Opfer selbst nach einer Zahlung weiter zu erpressen. Die Ergebnisse von Proofpoint deuten darauf hin, dass die Quelle selbst nach einer erfolgreichen ersten Druckkampagne nicht unbedingt versiegt.

Wie unentdeckte Verstöße die erneute Erpressung erleichtern

Wiederholte Erpressung funktioniert für Angreifer auch deshalb so gut, weil viele Opfer den Umfang eines Vorfalls noch gar nicht vollständig verstehen, wenn sie sich zur Zahlung entscheiden. Entdeckt eine Organisation verschlüsselte Dateien und verhandelt ein Lösegeld, ohne vorher genau zu klären, auf welche Daten zugegriffen, welche kopiert oder als Hintertür hinterlassen wurden, hat sie praktisch einen Preis vereinbart, ohne zu wissen, was sie wirklich zurückkauft.

Diese Lücke zwischen Erkennung und Reaktion ist ein wiederkehrendes Thema in der Ransomware-Forschung. Wie in einem verwandten Bericht über Erkennungsfehler bei Ransomware dargelegt, verlieren fast die Hälfte aller Ransomware-Opfer Daten, noch bevor sie überhaupt bemerken, dass ein Angriff läuft. Diese Verzögerung wiegt hier enorm schwer: Weiß ein Opfer nicht, dass ein Angreifer Wochen vor dem Ransomware-Einsatz Daten abgezogen hat, dann bewirkt die Zahlung für die Entschlüsselung der Dateien nichts gegen die gestohlenen Informationen auf einem kriminellen Server. Diese können durch eine zweite Forderung erneut zu Geld gemacht, separat verkauft oder später für eine frische Leak-Drohung genutzt werden.

Abwehrmaßnahmen: Backups, Überwachung und Incident-Response-Planung

Die praktische Schlussfolgerung aus dem Proofpoint-Bericht lautet nicht, dass Lösegeldzahlungen unter keinen Umständen stattfinden sollten. Sie lautet, dass eine Zahlung niemals als garantierte Lösung betrachtet werden darf. Organisationen – und ebenso Personen, die kleinere Netzwerke oder Unternehmen verwalten – fahren besser, wenn sie vorab in Prävention und Erkennung investieren, statt nachträglich in Verhandlungen.

Das bedeutet: regelmäßige, getestete, offline gesicherte Backups, damit verschlüsselte Dateien wiederhergestellt werden können, ohne jemanden zu bezahlen. Es bedeutet Investitionen in Überwachungswerkzeuge, die unbefugte Datenzugriffe erkennen, bevor Angreifer Zeit haben, große Mengen sensibler Informationen abzuziehen. Und es bedeutet, einen Incident-Response-Plan in der Schublade zu haben, bevor ein Angriff passiert – einen Plan, der eine forensische Untersuchung vorsieht, um genau zu ermitteln, worauf zugegriffen wurde, und nicht nur, ob Dateien verschlüsselt wurden.

Was das für Sie bedeutet

Für Inhaber kleiner Unternehmen und für Privatpersonen ist die Botschaft aus dieser Forschung eindeutig: Gehen Sie nicht davon aus, dass die Zahlung eines Lösegelds die schnelle, saubere Lösung ist, als die sie im Moment erscheint. Angreifer, die bereits gezeigt haben, dass sie bereit sind, Sie zu erpressen, haben sowohl die Mittel als auch das Motiv, es erneut zu tun. Die echte Verteidigung gegen wiederholte Erpressungsangriffe mit Ransomware ist keine bessere Verhandlungsstrategie, sondern die Verringerung der Wahrscheinlichkeit, überhaupt in diese Lage zu geraten – durch starke Backups, schnellere Erkennung und einen klaren Reaktionsplan.

Umsetzbare Erkenntnisse

• Behandeln Sie Lösegeldzahlungen als letztes Mittel, nicht als garantierten Fix, denn die Daten von Proofpoint zeigen, dass Angreifer häufig mit neuen Forderungen zurückkehren.
• Priorisieren Sie offline gesicherte, getestete Backups, damit Verschlüsselung allein keine Zahlungsentscheidung erzwingen kann.
• Investieren Sie in Erkennungswerkzeuge, die eine frühzeitige Erkennung von Datenabflüssen ermöglichen, denn eine verzögerte Erkennung gibt Angreifern mehr Hebel für wiederholte Erpressung.
• Erstellen Sie einen Incident-Response-Plan, bevor ein Angriff eintritt, inklusive forensischer Schritte, um das vollständige Ausmaß eines Vorfalls zu ermitteln.
• Gehen Sie davon aus, dass alle vor einer Lösegeldzahlung gestohlenen Daten ein künftiges Risiko bleiben – unabhängig von den Versprechungen der Angreifer.