Der Ransomware-Angriff auf die Richmond Public Schools hat jeden Winkel des Schulbezirks erreicht. Laut einem Bericht von Cybernews waren alle 53 Standorte betroffen, und Hacker hinterließen Erpresserschreiben auf den Laptops der Mitarbeiter, in denen sie drohten, gestohlene Daten innerhalb von 72 Stunden zu veröffentlichen.
Die bisher verfügbaren Details sind begrenzt, und die Untersuchung des Schulbezirks dauert an. Doch die Kombination aus einer bezirksweiten Störung und einem Countdown bis zur Datenveröffentlichung ist ein Lehrbuchbeispiel dafür, wie moderne Ransomware funktioniert, und sie hält Lehren für alle bereit, die mit einem Schulsystem verbunden sind.
Was bei den Richmond Public Schools geschah
Die Richmond Public Schools geben an, dass der Angriff alle 53 ihrer Standorte getroffen hat. Hacker zeigten Erpresserschreiben auf den Laptops der Mitarbeiter an – eine Taktik, die den Vorfall unmöglich ignorierbar machen und Entscheidungsträger schnell unter Druck setzen soll. Lokale Berichte haben zudem gemeldet, dass der Internetzugang des Schulbezirks nach dem Vorfall offline ging und dass Schüler aufgefordert wurden, sich von den Schulnetzwerken fernzuhalten.
Die Schreiben drohen Berichten zufolge damit, gestohlene Daten innerhalb von 72 Stunden zu veröffentlichen. Dieses Detail ist wichtig, denn es zeigt, dass die Angreifer behaupten, Informationen aus den Systemen des Schulbezirks kopiert zu haben und nicht nur Dateien gesperrt zu haben. Wir wissen noch nicht, welche konkreten Daten entwendet wurden, ob die Behauptung zutrifft oder welche Gruppe verantwortlich ist. Diese Fragen bleiben offen, und Leser sollten unbestätigte Behauptungen mit Vorsicht behandeln.
Das sichtbare Erpresserschreiben ist auch eine Erinnerung daran, dass der Moment, in dem Mitarbeiter eines sehen, selten der Beginn des Angriffs ist. Angreifer verbringen oft Zeit in einem Netzwerk, bevor sie die letzte Phase auslösen. Unser Beitrag darüber, wie man Ransomware frühzeitig erkennt, erklärt, warum die Anzeichen oft lange vor einem Schreiben auf dem Bildschirm auftauchen.
Was die 72-Stunden-Drohung für Mitarbeiter und Familien bedeutet
Eine 72-Stunden-Frist ist eine Drucktaktik. Sie soll die Zeit verkürzen, die eine Organisation hat, um nachzudenken, Anwälte zu konsultieren und sich mit den Strafverfolgungsbehörden abzustimmen. Für einen Schulbezirk mit 53 Standorten ist dieser Druck intensiv.
Für die Menschen, die mit dem Schulbezirk verbunden sind, gilt die eigentliche Sorge den Daten selbst. Schulsysteme halten in der Regel Aufzeichnungen über Mitarbeiter, Schüler und Familien. Wenn Teile dieses Materials kopiert und später veröffentlicht wurden, können sie für Phishing, Identitätsbetrug oder gezielte Betrugsmaschen genutzt werden. Wir wissen noch nicht, welche Aufzeichnungen, falls überhaupt, betroffen sind, daher ist der sicherste Ansatz, sich vorzubereiten, ohne vom Schlimmsten auszugehen.
Die Frage, ob gezahlt werden soll, ist davon getrennt und kompliziert. Wie unser Erklärartikel zu Ransomware-Zahlungsregeln und OFAC-Risiko anmerkt, gibt es kein Bundesgesetz, das die Zahlung eines Lösegelds kategorisch verbietet, aber rechtliche Risiken bestehen weiterhin. Lokale Berichte zum Vorfall in Richmond merken zudem an, dass das FBI Schulen rät, nicht zu zahlen und sich unverzüglich an das Bureau zu wenden. Eine Zahlung bietet auch keine Garantie dafür, dass gestohlene Daten gelöscht werden.
Warum Backups allein doppelte Erpressung nicht stoppen
Jahrelang lautete der Standardrat, gute Backups zu pflegen, damit Systeme ohne Zahlung wiederhergestellt werden können. Das funktioniert gegen Verschlüsselung, hilft aber nichts gegen gestohlene Daten. Bei einem Angriff mit doppelter Erpressung sperren Kriminelle sowohl Systeme als auch kopieren Dateien und drohen dann, diese zu veröffentlichen. Eine saubere Wiederherstellung bringt die Schulen wieder zum Laufen, doch die Drohung der Veröffentlichung bleibt bestehen.
Deshalb ist das 72-Stunden-Schreiben so bedeutsam. Selbst wenn die Richmond Public Schools ihre Systeme wiederherstellen können, signalisieren die Angreifer, dass sie etwas besitzen, das sie veröffentlichen können. Unser Leitfaden dazu, warum Backups gegen doppelte Erpressung nicht ausreichen, erläutert diese Verschiebung im Detail.
Das sichtbare Schreiben ist auch Teil der Taktik. Andere Gruppen haben ungewöhnliche Zustellmethoden genutzt, um die Störung zu maximieren, wie bei INC-Ransomware, die Erpresserschreiben auf Krankenhausdruckern druckte. Das Ziel ist dasselbe: eine schnelle, stressige Entscheidung erzwingen.
Was das für Sie bedeutet
Wenn Sie für die Richmond Public Schools arbeiten, dort zur Schule gehen oder Kinder dort haben, besteht kein Grund zur Panik, aber Vorsicht ist sinnvoll. Offizielle Updates des Schulbezirks sind die zuverlässigste Quelle. Seien Sie skeptisch gegenüber jeder Nachricht, die vorgibt, vom Schulbezirk, einem Anbieter oder den Angreifern zu stammen und Sie auffordert, auf einen Link zu klicken, sich anzumelden oder Geld zu senden.
Wenn Sie mit einem anderen Schulbezirk oder einer anderen Organisation verbunden sind, die personenbezogene Daten hält, ist dieser Vorfall ein Anlass, Ihre eigene Bereitschaft zu überprüfen. Datendiebstahl ist inzwischen ein Standardbestandteil von Ransomware, daher ist der Schutz von Informationen ebenso wichtig wie der Schutz der Verfügbarkeit.
Schritte, die Mitarbeiter und Eltern jetzt ergreifen können
- Setzen Sie Passwörter zurück für alle kontobezogenen Accounts des Schulbezirks und für alle anderen Konten, bei denen Sie dasselbe Passwort wiederverwendet haben.
- Aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, insbesondere für E-Mail- und Finanzkonten.
- Achten Sie auf Phishing per E-Mail, Textnachricht oder Telefon. Nachrichten, die den Vorfall erwähnen oder zu schnellem Handeln drängen, sind Warnsignale.
- Überprüfen Sie, bevor Sie handeln. Kontaktieren Sie den Schulbezirk über offizielle Kanäle, anstatt auf unerwartete Nachrichten zu antworten.
- Überwachen Sie Ihre Konten auf ungewöhnliche Aktivitäten, und erwägen Sie eine Kreditsperre, wenn Ihnen mitgeteilt wird, dass sensible Informationen offengelegt wurden.
- Halten Sie Geräte aktuell und vermeiden Sie die Nutzung von vom Schulbezirk ausgegebenen Laptops für persönliche Anmeldungen, bis der Schulbezirk Entwarnung gibt.
Wichtige Erkenntnisse
Der Ransomware-Angriff auf die Richmond Public Schools zeigt, wie schnell sich ein einzelner Vorfall über einen gesamten Schulbezirk ausbreiten kann und wie eine 72-Stunden-Drohung der Veröffentlichung das Risiko von Ausfallzeiten auf Datenexposition verlagert. Vieles bleibt unbestätigt, daher sollten Sie sich auf offizielle Updates verlassen.
Wenn Sie mit einem betroffenen Schulbezirk verbunden sind oder irgendwo personenbezogene Daten verwalten, setzen Sie Ihre Zugangsdaten zurück, aktivieren Sie Multi-Faktor-Authentifizierung und bleiben Sie wachsam gegenüber Phishing. Für tieferen Kontext dazu, warum die Wiederherstellung aus Backups die Bedrohung nicht beendet, lesen Sie unseren Erklärartikel zur doppelten Erpressung.
 beschreiben. Eine Firma, die viele sensible Kunden betreut, hat starke Gründe, ein öffentliches Leck zu vermeiden, und das wissen die Angreifer. Die Nennung eines prominenten Ziels auf einer Leak-Site erregt zudem Aufmerksamkeit – unabhängig davon, ob die Behauptung standhält.
## Was Kunden und Einzelpersonen jetzt prüfen sollten
Es gibt keine bestätigte Sicherheitsverletzung, auf die reagiert werden müsste, daher ist das Ziel ruhige Vorbereitung, nicht Panik. Einige praktische Schritte sind es wert, unternommen zu werden:
- **Achten Sie auf offizielle Mitteilungen.** Wenn PwC oder einer Ihrer eigenen Berater einen Vorfall bestätigt, kommen Benachrichtigungen in der Regel per E-Mail oder Post. Lesen Sie sie sorgfältig und bewahren Sie eine Kopie auf.
- **Prüfen Sie, bevor Sie klicken.** Behauptungen wie diese lösen oft Phishing aus, das eine Sicherheitsmeldung nachahmt. Gehen Sie direkt auf die offizielle Website der Organisation, anstatt Links in unerwarteten Nachrichten zu folgen.
- **Fragen Sie Ihre eigenen Ansprechpartner.** Wenn Ihr Unternehmen mit PwC zusammenarbeitet, fragen Sie Ihren Account-Kontakt oder Ihre Rechtsabteilung, ob sie über etwas informiert wurden und welche Daten geteilt wurden.
- **Überprüfen Sie, was Sie gesendet haben.** Erstellen Sie eine grobe Liste der personenbezogenen, finanziellen oder Mitarbeiterdaten, die Ihre Organisation an externe Berater weitergegeben hat. Sie können das Risiko nicht einschätzen, ohne zu wissen, was draußen ist.
- **Behalten Sie Ihre Konten im Auge.** Wenn Sie Mitarbeiter oder Kunde einer Firma sind, die große Berater nutzt, beobachten Sie Bank- und Kreditaktivitäten und seien Sie vorsichtig bei unaufgeforderten Anrufen oder E-Mails, die sich auf Ihren Job oder Ihre Finanzen beziehen.
## Wie Sie die Exposition begrenzen, wenn Berater Ihre Daten halten
Sie können nicht vollständig kontrollieren, wie ein Dritter Ihre Informationen sichert, aber Sie können reduzieren, was er hält und wie lange er es aufbewahrt.
**Teilen Sie das Minimum.** Senden Sie nur die Unterlagen, die ein Auftrag erfordert. Schwärzen oder entfernen Sie Felder, die nicht benötigt werden, wie vollständige Geburtsdaten oder amtliche Ausweisnummern.
**Legen Sie Aufbewahrungsfristen fest.** Verträge können festlegen, wie lange ein Berater Daten nach Projektende aufbewahrt, und die Löschung oder Rückgabe danach verlangen. Alte Dateien auf den Servern einer Firma sind eine Exposition ohne Nutzen.
**Fragen Sie nach Sicherheit und Benachrichtigung.** Organisationen können Details dazu anfordern, wie Berater Daten schützen und wie schnell sie Kunden über einen vermuteten Vorfall informieren müssen. Eine schnellere Benachrichtigung gibt allen mehr Zeit zu reagieren.
**Nutzen Sie starke Kontohygiene.** Wenn Sie ein Portal für den Dokumentenaustausch nutzen, verwenden Sie ein einzigartiges Passwort und Multi-Faktor-Authentifizierung. Das stoppt keinen Angriff auf die Systeme des Beraters selbst, aber es schützt die Konten, die Sie kontrollieren.
**Lernen Sie aus vergleichbaren Fällen.** Das Druckmuster ist nicht einzigartig für diese Listung. Im [ATB-Fall mit einer Gruppe namens DataSuckers](/en/atb-hit-by-datasuckers-400k-demand-7-9m-affected) wurde eine Lösegeldforderung mit der Behauptung einer großen Zahl betroffener Personen kombiniert. Zu lesen, wie sich solche Situationen entfalten, hilft Ihnen zu erkennen, wie eine glaubwürdige Benachrichtigung aussieht und wie eine unbestätigte Prahlerei aussieht.
## Was das für Sie bedeutet
Wenn Sie keine Verbindung zu PwC haben, erfordert nichts an dieser Behauptung heute Maßnahmen. Wenn Sie für die Firma arbeiten oder mit ihr zusammenarbeiten, oder wenn Ihr Arbeitgeber Daten mit großen Beratern teilt, ist die sinnvolle Reaktion, informiert zu bleiben, Annahmen in beide Richtungen zu vermeiden und auf offizielle Kommunikation zu achten. Die übergeordnete Lektion gilt für alle: Ihre Daten können bei Organisationen liegen, die Sie nie ausgewählt haben, und das Risiko hängt teilweise davon ab, wie wenig davon sie halten.
## Wichtige Erkenntnisse
Die Behauptung über die Everest-Ransomware-PwC-Datenoffenlegung bleibt unbestätigt, ohne öffentliche Proben oder unabhängige Bestätigung zum Zeitpunkt der Berichterstattung. Dennoch zeigt sie, warum Berater attraktive Ziele sind und warum Kunden wissen sollten, was sie geteilt haben. Verstehen Sie, wie Doppelerpressung funktioniert, achten Sie auf Sicherheitsmeldungen Ihrer Berater und behandeln Sie unerwartete Nachrichten über einen Vorfall mit Vorsicht. Unser Erklärartikel über Doppelerpressung und der ATB-Fall sind ein guter nächster Schritt, wenn Sie sehen möchten, wie solche Situationen sich typischerweise entwickeln.](/api/img?p=articles%2F8282%2Fimage-0.jpg&w=640)
