Wenn Ihr Sicherheitsteam im vergangenen Jahr ein wenig aufatmete, als die Ransomware-Schlagzeilen nachzulassen schienen, zeigt eine neue Studie, dass diese Erleichterung möglicherweise verfrüht war. Laut einem Bericht von ZDNET war der scheinbare Rückgang der Ransomware-Aktivitäten keineswegs ein Rückzug der Cyberkriminellen. Es handelte sich um eine Neuordnung: Die Angreifer änderten Ziele, Methoden und Monetarisierungsstrategien, anstatt sich zurückzuziehen. Für Unternehmen, die ihre Ransomware-Abwehrstrategien auf dem Bedrohungsbild des letzten Jahres aufbauen, ist das ein wichtiger Weckruf.

Warum der 'Rückgang' der Ransomware ein Trugbild war

Auf den ersten Blick sieht ein Rückgang der gemeldeten Ransomware-Vorfälle nach guten Nachrichten aus. Forscher weisen jedoch darauf hin, dass reine Vorfallzahlen irreführend sein können. Manche Ransomware-Gruppen benennen sich um, spalten sich auf oder tauchen ab, nur um unter neuen Namen wieder aufzutauchen. Andere wechseln von hochfrequenten Angriffen mit geringem Wert zu weniger, aber gezielteren Operationen gegen Organisationen, die höhere Lösegeldzahlungen leisten können. Wenn man den Erfolg allein an der Zahl der Schlagzeilen misst, übersieht man die zugrunde liegende Strategieänderung. Die Bedrohung ist nicht kleiner geworden, sie hat ihre Form verändert – und dieser Unterschied ist von enormer Bedeutung dafür, wie Unternehmen ihre Sicherheitsbudgets und ihre Aufmerksamkeit einsetzen.

Wie Ransomware-Gruppen ihre Taktiken neu mischen

Die Neuordnung zeigt sich auf verschiedene Weise. Angreifer kombinieren zunehmend Datendiebstahl mit Verschlüsselung, sodass selbst ein Unternehmen mit soliden Backups immer noch der Gefahr ausgesetzt ist, dass sensible Informationen durchsickern, wenn es sich weigert zu zahlen. Genau dieses Modell der doppelten Erpressung spielte sich ab, als Stadler Rail eine Lösegeldforderung von 12,3 Millionen Dollar ablehnte und darauf setzte, dass die eigene Widerstandsfähigkeit das Risiko offengelegter Daten überwiegt. Andere Gruppen werden auf technischer Ebene immer kreativer. Der GodDamn-Ransomware-Stamm, der einen signierten Treiber missbraucht, um Antiviren-Tools zu deaktivieren, zeigt, wie Angreifer Wege finden, um genau die Verteidigungsmaßnahmen zu umgehen, von denen Unternehmen annehmen, dass sie im Hintergrund funktionieren. Und Ransomware beschränkt sich nicht auf naheliegende Ziele wie Finanz- oder Gesundheitswesen. Der Angriff auf Cropwise, die Präzisionslandwirtschaftsplattform der Syngenta-Gruppe, beansprucht von einer Gruppe namens ShadowByt3$, ist eine Mahnung, dass jede Branche, die wertvolle Betriebsdaten besitzt, ein legitimes Ziel ist.

Die 4 grundlegenden Verteidigungsmaßnahmen, die Unternehmen jetzt brauchen

Angesichts dieser Neuordnung verweisen Sicherheitsforscher auf eine Handvoll grundlegender Verteidigungsmaßnahmen, die unabhängig von den Veränderungen der Bedrohungslandschaft essenziell bleiben. Erstens: belastbare, getestete Backups, die vom Hauptnetzwerk isoliert sind, damit eine Verschlüsselung der Produktivsysteme nicht auch Ihren Wiederherstellungspfad gefährdet. Zweitens: starke Identitäts- und Zugriffskontrollen, einschließlich Multi-Faktor-Authentifizierung, denn gestohlene oder schwache Zugangsdaten sind nach wie vor einer der häufigsten Einstiegspunkte für Angreifer. Drittens: zeitnahes Patchen und Schwachstellenmanagement, um jene Lücken zu schließen, die es Angreifern ermöglichen, unbemerkt einzudringen, bevor die Verteidiger überhaupt etwas davon bemerken. Viertens: Netzwerksegmentierung, die begrenzt, wie weit sich ein Angreifer nach einem Eindringen bewegen kann, sodass der Schaden eingedämmt wird, anstatt dass ein einziger Brückenkopf zu einer vollständigen Kompromittierung des Netzwerks führt.

Nichts davon ist neu, aber die Neuordnung der Ransomware-Taktiken ist eine Erinnerung daran, dass das Auslassen einer dieser Maßnahmen eine Lücke schafft, die Angreifer aktiv auszunutzen suchen.

Wo VPNs und verschlüsselter Zugang in die Ransomware-Resilienz passen

Sicherer Fernzugriff spielt eine stille, aber entscheidende Rolle in diesem Verteidigungsstapel. VPNs und andere verschlüsselte Verbindungstools tragen dazu bei, dass Daten, die zwischen entfernten Mitarbeitern, Zweigstellen und Kernsystemen fließen, nicht abgefangen werden können, und sie lassen sich so konfigurieren, dass sie eine segmentierte Zugriffskontrolle erzwingen, die laterale Bewegungen einschränkt, falls Zugangsdaten kompromittiert werden. Die Kombination eines VPN mit strengen Zugriffsrichtlinien bedeutet, dass ein Angreifer selbst dann nicht automatisch eine Karte Ihres gesamten Netzwerks erhält, wenn er einen Fuß in die Tür bekommt. Dies ist besonders relevant, da Ransomware-Gruppen zunehmend kleinere Organisationen und Behörden ins Visier nehmen, die möglicherweise keine eigenen Sicherheitsteams haben, wie der Fall einer US-Behörde zeigt, die etwa 1 Million Dollar an eine Gruppe namens Kairos zahlte, nachdem 2 TB an Daten gestohlen worden waren. Verschlüsselter, segmentierter Zugriff wird nicht jeden Angriff stoppen, aber er erhöht die Kosten und die Komplexität für die Angreifer, und das reicht oft aus, damit sie sich einem leichteren Ziel zuwenden.

Was das für Sie bedeutet

Wenn Sie die IT oder Sicherheit für ein kleines oder mittelständisches Unternehmen verantworten, lautet die wichtigste Erkenntnis nicht Panik, sondern Neukalibrierung. Gehen Sie nicht davon aus, dass die geringere Zahl an Schlagzeilen im letzten Jahr bedeutet, dass die Bedrohung vorbei ist. Ransomware-Gruppen sind selbst anpassungsfähige Unternehmen und reagieren auf das, was funktioniert. Das bedeutet, dass Ihre Verteidigung ebenso anpassungsfähig sein muss – regelmäßig überprüft und nicht als einmalige Checkliste betrachtet.

Umsetzbare Erkenntnisse

Überprüfen Sie Ihre Backup-Strategie und stellen Sie sicher, dass Backups isoliert sind und regelmäßig auf Wiederherstellbarkeit getestet werden, nicht nur auf Erstellung. Überprüfen Sie, wer auf was Zugriff hat, und verschärfen Sie die Multi-Faktor-Authentifizierung für alle Remote- und privilegierten Konten. Halten Sie das Patching aktuell, insbesondere für internetseitig erreichbare Systeme und die VPN-Infrastruktur selbst. Bewerten Sie schließlich, ob Ihre Netzwerksegmentierung und Ihr sicherer Fernzugriff tatsächlich einen Angreifer aufhalten könnten, der die erste Verteidigungslinie überwunden hat – anstatt anzunehmen, dass dies nie auf die Probe gestellt wird. Unternehmen, die Ransomware-Abwehrstrategien unternehmensweit als fortlaufende Disziplin und nicht als abgeschlossenes Projekt behandeln, sind am besten aufgestellt, um jeder künftigen Bedrohungsform standzuhalten.