Wie viel Prozent der Zielpersonen in der analysierten Ransomware-Kampagne waren Führungskräfte?

Fast zwei Drittel, etwa 67 %, hatten laut der ZDNET-Analyse Führungspositionen oder höhere Positionen inne.

Warum werden Führungskräfte gezielt von Ransomware-Angreifern ins Visier genommen?

Führungskräfte haben oft umfassenden Zugriff auf Betriebsdaten, Finanzfreigaben und administrative Systeme, und sie erhalten eine hohe Anzahl von E-Mails sowohl von Untergebenen als auch von der Führungsebene, was Phishing äußerst plausibel macht.

Welche Datenschutzrisiken entstehen durch diese Angriffe für Mitarbeiter, die nicht direkt ins Visier genommen werden?

Kompromittierte Konten von Führungskräften können sensible Mitarbeiterdaten wie Leistungsbeurteilungen, Gehaltsinformationen und Gesundheitsdaten offenlegen und so einen Datenschutzvorfall verursachen, der viele Mitarbeiter betrifft, die selbst nie auf einen bösartigen Link geklickt haben.

Welche spezifischen Führungsrollen sind bei dieser Kampagne am stärksten gefährdet?

Mittlere Führungskräfte in den Bereichen IT, Betrieb oder Finanzen sind Hauptziele, da sie die praktischen Schlüssel zu kritischen Systemen besitzen, ohne dass ihnen die gleichen dedizierten Sicherheitsressourcen zur Verfügung stehen wie Führungskräften der C-Ebene.

Ransomware-Kampagne zielt in zwei Dritteln der Fälle auf Führungskräfte ab

Q: Wie hat sich die Zielstrategie von Ransomware im Vergleich zu früheren Kampagnen verändert?

Die Angreifer haben sich von der Jagd nach der größten Beute durch Angriffe auf Führungskräfte der C-Ebene abgewandt und konzentrieren sich nun auf mittlere Führungskräfte, insbesondere in den Bereichen IT, Betrieb oder Finanzen, die praktischen Zugang zu kritischen Systemen besitzen und dabei einer geringeren Sicherheitsüberprüfung unterliegen.

Führungskräfte sind jetzt der bevorzugte Einstiegspunkt für Ransomware

Eine neue Analyse einer einzelnen Ransomware-Kampagne hat ergeben, dass fast zwei Drittel der angegriffenen Personen Führungspositionen oder höhere Positionen innehatten. Diese von ZDNET gemeldete Statistik markiert eine deutliche Verschiebung in der Art und Weise, wie Ransomware-Betreiber ihre Opfer auswählen. Anstatt ein weites Netz über die gesamte Belegschaft zu werfen, scheinen Angreifer gezielt Personen mit erhöhten Zugriffsrechten, Entscheidungsbefugnissen oder beidem ins Visier zu nehmen.

Das ist nicht nur eine Kuriosität für Sicherheitsteams. Es hat reale Auswirkungen auf die Privatsphäre der Mitarbeiter, die Sensibilität der Daten, die diese Führungskräfte kontrollieren, und die Art und Weise, wie Unternehmen darüber nachdenken, wer eigentlich am dringendsten geschult und geschützt werden muss.

Warum Führungskräfte zu Hauptzielen geworden sind

Die Logik hinter dieser Verschiebung wird klar, wenn man bedenkt, worauf eine Führungskraft typischerweise Zugriff hat. Führungskräfte sitzen oft an der Schnittstelle von Betriebsdaten, Personalakten, Finanzfreigaben und administrativen Berechtigungen über mehrere Systeme hinweg. Die Kompromittierung eines einzigen Kontos kann einem Angreifer einen viel breiteren Zugang verschaffen als die Kompromittierung des Kontos eines einfachen Mitarbeiters.

Dies spiegelt ein Muster wider, das Sicherheitsforscher bereits an anderer Stelle beobachtet haben. Wie in einem verwandten Bericht darüber, dass Ransomware-Banden zielen jetzt auf IT-Manager statt auf CEOs ab, haben Angreifer die Annahme aufgegeben, dass die größte Beute durch Angriffe auf die oberste Führungsebene erzielt wird. Stattdessen besitzen mittlere Führungskräfte, insbesondere in den Bereichen IT, Betrieb oder Finanzen, oft die praktischen Schlüssel zu kritischen Systemen, ohne dass sie der gleichen Prüfung oder den gleichen Sicherheitsressourcen unterliegen, die normalerweise Führungskräften der C-Ebene vorbehalten sind.

Führungskräfte sind auch deshalb attraktiv, weil sie sich in einer kommunikativen Komfortzone befinden. Sie erhalten eine hohe Anzahl von E-Mails sowohl von Untergebenen als auch von der Geschäftsleitung, was Phishing-Versuche, die eine der beiden Richtungen vortäuschen, plausibel macht. Eine Nachricht, die so aussieht, als käme sie von einem direkten Mitarbeiter mit der Bitte um Freigabe, oder von einer Führungskraft mit der Aufforderung zu einer dringenden Handlung, ist genau die Art von Social Engineering, die den Arbeitsalltag einer Führungskraft ausnutzt.

Die Auswirkungen auf die Privatsphäre, über die niemand spricht

Was in der Berichterstattung über Ransomware oft untergeht, ist die Gefährdung der persönlichen Privatsphäre, die mit diesen Angriffen verbunden ist. Führungskräfte haben häufig Zugriff auf sensible Mitarbeiterinformationen: Leistungsbeurteilungen, Gehaltsdaten, Disziplinarakten und manchmal auch Gesundheits- oder Familieninformationen, die in Einzelgesprächen geteilt werden. Wenn das Konto oder das Gerät einer Führungskraft kompromittiert wird, sind auch diese persönlichen Daten der Teammitglieder gefährdet, nicht nur geistiges Eigentum oder Finanzdaten des Unternehmens.

Dies erzeugt einen Dominoeffekt. Ein Angriff, der als Ransomware-Vorfall gegen eine Führungskraft beginnt, kann sich unbemerkt zu einem Datenschutzvorfall entwickeln, der Dutzende von Mitarbeitern betrifft, die selbst nie auf einen bösartigen Link geklickt haben. Unternehmen, die ihre Ransomware-Abwehrmaßnahmen abwägen, müssen diese sekundäre Gefährdungsebene berücksichtigen, insbesondere im Hinblick auf Datenschutzbestimmungen, die Unternehmen für den Schutz von Mitarbeiterdaten unabhängig vom Zustandekommen einer Verletzung haftbar machen.

Sechs praktische Schritte zur Risikominderung

Basierend auf den Mustern dieser Kampagne stechen einige konkrete Maßnahmen als wirklich nützlich hervor, im Gegensatz zu allgemeinen Ratschlägen:

Das Prinzip der geringsten Rechte auf Managementkonten anwenden. Führungskräfte sollten nur auf die Systeme und Daten Zugriff haben, die sie für ihre Rolle tatsächlich benötigen, nicht auf pauschalen Zugriff, der mit einem Titel einhergeht.
Getrennte Anmeldeinformationen für administrative Aufgaben verwenden. Wenn eine Führungskraft gelegentlich erhöhte Zugriffsrechte benötigt, sollte dieser Zugriff eine separate Anmeldung erfordern, nicht ihr alltägliches E-Mail-Konto.
Phishing-Simulationstrainings speziell für Führungsebenen priorisieren. Allgemeine Mitarbeiterschulungen sind sinnvoll, aber Führungskräfte sind gezielteren und überzeugenderen Ködern ausgesetzt, und ihr Training sollte dies widerspiegeln.
Multi-Faktor-Authentifizierung überall durchsetzen, ohne Ausnahmen aus Bequemlichkeit. Angreifer, die auf Führungskräfte abzielen, setzen auf schnellere Freigaben und weniger Reibungsverluste; MFA schließt diese Lücke.
Netzwerke segmentieren, damit ein einziges kompromittiertes Konto nicht alles erreichen kann. Die Begrenzung von Lateral Movement reduziert den Schaden, den eine gestohlene Zugangsberechtigung anrichten kann.
Getestete, offline gesicherte Backups kritischer Daten pflegen. Selbst wenn ein Angriff erfolgreich ist, reduziert ein solider Wiederherstellungsplan den Druck, den Ransomware-Betreiber bei Verhandlungen haben.

Was dies für Sie bedeutet

Wenn Sie eine Führungskraft sind, ist dieser Bericht ein direktes Signal, dass Ihr Posteingang und Ihre Konten einem höheren Risiko ausgesetzt sind, als Sie vielleicht angenommen haben. Es lohnt sich, Ihr IT- oder Sicherheitsteam zu fragen, ob Ihre Zugriffsrechte dem entsprechen, was Sie tagtäglich tatsächlich nutzen, und ob Sie Schulungen erhalten, die auf die Art von gezielten Phishing-Versuchen zugeschnitten sind, mit denen Führungskräfte speziell konfrontiert werden.

Wenn Sie für die Sicherheitsrichtlinie verantwortlich sind, ist dies ein Grund zu überdenken, wer am intensivsten geschult wird und wie die Kontoberechtigungen in der Führungsebene Ihres Unternehmens verteilt sind. Die Daten deuten darauf hin, dass Ransomware Führungskräfte nicht zufällig angreift, sondern aufgrund dessen, worauf ihnen ihre Rolle Zugriff gewährt.

Das Fazit

Die Tatsache, dass Ransomware jetzt so unverhältnismäßig häufig auf Führungskräfte abzielt, sollte die Art und Weise verändern, wie Unternehmen Sicherheitsschulungen und Zugriffskontrollen priorisieren. Es geht nicht darum anzunehmen, dass jede Führungskraft ein schwaches Glied ist, sondern darum zu erkennen, dass ihre Position im Organigramm sie unabhängig von Absicht oder Bewusstsein zu einem hochwertigen Ziel macht. Die Überprüfung von Zugriffsrechten, die Verschärfung von Authentifizierungsanforderungen und die Bereitstellung rollenspezifischer Schulungen sind praktische Schritte, die jedes Unternehmen ab sofort umsetzen kann, ohne auf einen Vorfall warten zu müssen, der das Problem erzwingt.