Ransomware beschränkt sich nicht mehr darauf, Netzwerke zu verschlüsseln und ein Lösegeld zu fordern. Laut EscudoDigital nimmt die Zahl der Forscher und Mitarbeiter von von Ransomware betroffenen Unternehmen zu, die einschüchternde Pakete an der Tür ihrer Wohnung erhalten. Die physischen Bedrohungen für Mitarbeiter durch Ransomware verlagern den Druck vom Server ins Wohnzimmer und verwandeln etwas so Alltägliches wie eine Postanschrift in ein sensibles Datum.

Der Originalartikel ist kurz und beschreibt weder den Inhalt der Pakete noch, welche Gruppen dahinterstecken. Deshalb konzentrieren wir uns hier auf das, was bekannt ist, und auf die praktischen Maßnahmen, die jeder ergreifen kann, ob er nun in der Cybersicherheit arbeitet oder nicht.

Wie die Erpressung durch Ransomware bis an die Haustür gelangt

Die Logik der Erpressung ist einfach: Je mehr Druck ein Opfer erfährt, desto wahrscheinlicher zahlt es. Jahrelang war dieser Druck digital: verschlüsselte Dateien, Drohungen, Daten zu veröffentlichen, Anrufe bei Kunden. Der Versand einschüchternder Pakete fügt eine andere Ebene hinzu, denn er zielt darauf ab, konkrete Personen einzuschüchtern und nicht nur eine Organisation.

Den veröffentlichten Informationen zufolge umfassen die Empfänger sowohl Forscher, die diese Gruppen verfolgen, als auch Mitarbeiter von Unternehmen, die einen Angriff erlitten haben. Das bedeutet, dass man kein Bedrohungsexperte sein muss, um ins Visier zu geraten: Es genügt, zur falschen Zeit im falschen Unternehmen zu arbeiten.

Das Ziel dieser Taktiken ist in der Regel die Einschüchterung. Eine Nachricht, die an die Wohnung gelangt, vermittelt, dass der Angreifer weiß, wo du wohnst, und dieses Gefühl ist Teil des Drucks.

Wie Angreifer eine Wohnadresse finden

Die Quelle erklärt nicht, wie sie die Adressen erhalten, daher sollte man in allgemeinen Begriffen sprechen. Eine persönliche Adresse ist selten ein gut gehütetes Geheimnis. Sie kann an verschiedenen Stellen auftauchen:

  • Profile von Datenhändlern (Data Brokers), die Profile mit Name, Adresse und Telefonnummer sammeln und verkaufen.
  • Öffentliche Register, etwa für Immobilien oder Firmengründungen, je nach Land.
  • Soziale und berufliche Profile, mit Stadt, Arbeitgeber, Fotos aus dem Viertel oder geolokalisierten Beiträgen.
  • Frühere Datenlecks, in denen personenbezogene Daten aus anderen Vorfällen weiterhin kursieren.
  • Interne Daten des angegriffenen Unternehmens, wenn die Eindringlinge Zugriff auf Personalakten hatten.

Der letzte Punkt ist relevant. Wenn Angreifer längere Zeit in einem Netzwerk verbringen, können sie viel mehr sehen als nur die Systeme. Im Fall eines mexikanischen KMU, das drei Monate lang Angreifer in seinem Netz versteckt hatte, bevor es es bemerkte, wird deutlich, wie viel Spielraum zwischen dem Eindringen und dem Beginn der Erpressung liegen kann.

Deine Exposition verringern: Data Broker, öffentliche Register und soziale Profile

Vollständige Anonymität gibt es nicht, aber man kann es jemandem erheblich erschweren, dich zu lokalisieren. Ein guter Ausgangspunkt:

  1. Suche deinen Namen. Probiere deinen Vor- und Nachnamen, deine Telefonnummer und deine Adresse in Suchmaschinen und Personenverzeichnissen aus. Notiere, wo deine Wohnadresse erscheint.
  2. Beantrage die Löschung bei den Datenhändlern. Viele bieten Opt-out-Formulare an. Es ist ein mühsamer Prozess, und die Daten können wieder auftauchen, daher sollte man ihn regelmäßig wiederholen.
  3. Überprüfe die öffentlichen Register. Wenn deine Adresse in einem davon aufgeführt ist, finde heraus, ob es die Möglichkeit gibt, eine alternative Adresse zu verwenden, etwa ein Postfach oder eine Geschäftsadresse.
  4. Bereinige deine Profile. Entferne Stadt, Viertel, Fotos mit erkennbaren Hinweisen auf dein Haus und Beiträge mit Echtzeit-Standort. Schränke ein, wer deine Beiträge sehen kann.
  5. Trenne Privates von Beruflichem. Verwende eine andere E-Mail-Adresse und Telefonnummer für Anmeldungen und Einkäufe und vermeide es, deine berufliche Identität mit deinem Privatleben zu verknüpfen.
  6. Frage dein Unternehmen. Wenn du in der Sicherheit oder in einer Organisation arbeitest, die einen Angriff erlitten hat, erkundige dich, welche deiner personenbezogenen Daten in internen Systemen liegen und wer Zugriff darauf hat.

Was tun, wenn du ein bedrohliches Paket erhältst

Wenn eine verdächtige oder einschüchternde Sendung eintrifft, hat deine Sicherheit Priorität:

  • Öffne es nicht, wenn du das Paket nicht erwartet hast oder es dir Zweifel bereitet, und halte es von anderen Personen fern, insbesondere von Kindern und Haustieren.
  • Verständige die Behörden und folge ihren Anweisungen. Eine physische Bedrohung ist eine polizeiliche Angelegenheit, nicht nur eine informatische.
  • Informiere dein Unternehmen, sein Sicherheitsteam und den Verantwortlichen für die Incident-Response, damit sie das Risiko für andere Kollegen einschätzen können.
  • Dokumentiere alles: Fotos des Pakets, des Absenders, des Etiketts und jeder zugehörigen Nachricht, ohne den Inhalt zu manipulieren.
  • Überprüfe dein digitales Umfeld: Ändere wichtige Passwörter, aktiviere die Zwei-Faktor-Authentifizierung und prüfe, ob deine Daten in neuen Listen aufgetaucht sind.
  • Sprich mit deiner Familie darüber, was bei seltsamen Sendungen oder unerwarteten Besuchen zu tun ist.

Was das für dich bedeutet

Wenn du in der Cybersicherheit arbeitest, ist deine Adresse Teil deiner Risikofläche, genau wie ein exponierter Server. Wenn du in einem anderen Unternehmen arbeitest, ist die Lehre ähnlich: Eine Sicherheitslücke im Unternehmen kann sich letztlich auf dein Privatleben auswirken. Die gute Nachricht ist, dass die meisten Maßnahmen kostenlos und für dich erreichbar sind: einschränken, was du veröffentlichst, die Löschung aus Verzeichnissen beantragen und im Voraus wissen, wen man anruft.

Fazit und nächste Schritte

Die physischen Bedrohungen für Mitarbeiter durch Ransomware zeigen, dass digitale Erpressung über den Bildschirm hinausgehen kann. Es gibt keinen Grund zur Panik, aber Anlass zur Vorbereitung. Nimm dir diese Woche eine halbe Stunde Zeit, um deine eigene Exposition zu prüfen: Suche deinen Namen, finde deine Adresse in Verzeichnissen und beantrage die Löschung, und überprüfe die Sichtbarkeit deiner öffentlichen Profile. Gehe danach den Fall des drei Monate lang angegriffenen mexikanischen KMU durch, um zu verstehen, wie lange Angreifer in einem Netzwerk bleiben können, bevor die Erpressung beginnt. Je weniger Daten von dir für jeden erreichbar sind, desto weniger nützlich sind sie für denjenigen, der versucht, dich einzuschüchtern.