Ransomware-Banden stehlen jetzt Daten, bevor sie sie verschlüsseln

Wie sich Ransomware von Verschlüsselung zu Datendiebstahl und Erpressung entwickelt hat

Jahrelang folgte Ransomware einem einfachen Muster. Angreifer drangen in das Netzwerk eines Unternehmens ein, verschlüsselten dessen Dateien und forderten Zahlung für den Entschlüsselungsschlüssel. Wenn das Opfer über solide Backups verfügte, konnte es seine Systeme oft wiederherstellen und gehen, ohne zu zahlen. Dieses Sicherheitsnetz ist weitgehend verschwunden.

Die heutigen Ransomware-Gruppen haben sich dem zugewandt, was Sicherheitsforscher doppelte Erpressung nennen. Bevor sie irgendetwas sperren, kopieren Angreifer stillschweigend sensible Dateien, Kundendaten, Mitarbeiterdaten, Finanzdokumente und alles andere von Wert. Erst nachdem der Diebstahl abgeschlossen ist, lösen sie die Verschlüsselung aus. Das bedeutet, dass die Zahlung für einen Entschlüsselungsschlüssel das eigentliche Problem nicht mehr löst. Selbst wenn ein Unternehmen seine Systeme aus Backups wiederherstellt, sind die gestohlenen Daten immer noch da draußen, und Kriminelle drohen damit, sie zu veröffentlichen oder zu verkaufen, es sei denn, ein zweites Lösegeld wird gezahlt.

Diese Verschiebung ist wichtig, weil sie verändert, wer das eigentliche Opfer ist. Es ist nicht mehr nur die IT-Abteilung, die darum kämpft, Server wiederherzustellen. Es ist jeder Kunde, Patient oder Mitarbeiter, dessen persönliche Informationen in der Datenbank dieses Unternehmens lagen. Ransomware-Datenerpressungs- und Datenschutzbedenken reichen jetzt weit über das betroffene Unternehmen hinaus und erreichen jeden, dessen Daten ihm jemals anvertraut wurden.

Wer ist betroffen, wenn ein Unternehmen, dem Sie vertrauen, angegriffen wird

Wenn eine Ransomware-Gruppe ein Unternehmen angreift, endet die Gefährdung nicht bei der Gehaltsabrechnung oder den Geschäftsgeheimnissen des Unternehmens. Abhängig vom Ziel können gestohlene Daten Namen, Adressen, Sozialversicherungsnummern, medizinische Unterlagen, Anmeldedaten und Finanzkontodaten umfassen. Insbesondere Gesundheitsdienstleister sind häufige Ziele geworden, weil Patientendaten wertvoll sind und Organisationen oft unter Druck stehen, Vorfälle schnell zu lösen. Die Medusa-Ransomware-Anleitung für Gesundheitsorganisationen veranschaulicht genau, wie das abläuft, wobei Bundesbehörden detailliert beschreiben, wie die Gruppe in Netzwerke eindringt, sensible Daten abzieht und Opfer mit der Androhung öffentlicher Lecks unter Druck setzt.

Das Beunruhigende für Verbraucher ist, dass Sie selten Kontrolle darüber haben, welche Unternehmen Ihre Daten speichern oder wie gut sie sie schützen. Ein Einzelhändler, eine Versicherung, ein Krankenhaus oder sogar ein Schulbezirk kann angegriffen werden, und Ihre Informationen können Monate oder Jahre nach Ihrer Interaktion mit dieser Organisation auf einer Leak-Site landen. Möglicherweise erfahren Sie nicht einmal, dass Ihre Daten betroffen waren, bis eine Benachrichtigung über eine Datenschutzverletzung eintrifft – oder bis es zu spät ist.

Schritte, die Sie unternehmen sollten, wenn Ihre Daten in einem Ransomware-Leak auftauchen

Wenn Sie eine Benachrichtigung über eine Datenschutzverletzung erhalten oder entdecken, dass Ihre Informationen in einem Leak auftauchen, behandeln Sie dies als Signal zum Handeln, nicht zur Panik. Bestätigen Sie zunächst genau, welche Art von Daten offengelegt wurde. Finanzkontonummern, Sozialversicherungsnummern und medizinische Informationen erfordern andere Reaktionen als eine offengelegte E-Mail-Adresse allein.

Ändern Sie sofort Passwörter für alle Konten, die mit der betroffenen Organisation verbunden sind, und vermeiden Sie es, dasselbe Passwort anderswo wiederzuverwenden. Wenn Finanz- oder Identitätsinformationen betroffen waren, erwägen Sie, einen Betrugsalarm oder eine Kreditsperre bei den großen Kreditauskunfteien einzurichten. Überwachen Sie Ihre Kontoauszüge und Kreditkartenabrechnungen in den Wochen und Monaten nach dem Vorfall genau auf unbekannte Aktivitäten, da gestohlene Daten manchmal verkauft und lange nach dem ursprünglichen Vorfall verwendet werden.

Es lohnt sich auch, den Vorfall zu melden – sowohl dem betroffenen Unternehmen als auch, falls Identitätsdiebstahl auftritt, den relevanten Verbraucherschutzbehörden. Eine Dokumentation ist wichtig, wenn Sie später betrügerische Belastungen oder Konten anfechten müssen.

Reduzierung Ihrer Gefährdung: VPNs, Passwort-Hygiene und Meldung an Behörden

Während Sie nicht kontrollieren können, ob ein Unternehmen, mit dem Sie Geschäfte gemacht haben, angegriffen wird, können Sie reduzieren, wie viel Schaden ein Vorfall Ihnen persönlich zufügt. Die Verwendung einzigartiger, starker Passwörter für jedes Konto, gepaart mit einem Passwortmanager, begrenzt, wie weit ein einzelnes geleaktes Passwort reichen kann. Die Aktivierung der Multi-Faktor-Authentifizierung fügt eine weitere Hürde hinzu, selbst wenn ein Passwort offengelegt wird.

Angreifer verlassen sich zunehmend auf gestohlene oder wiederverwendete Anmeldedaten, um ersten Zugang zu Netzwerken zu erhalten, statt auf exotische Malware. Eine aktuelle Welle von Vorfällen zeigte, wie Angreifer Microsoft-365-Sitzungen durch Missbrauch von Remote-Management-Tools kaperten, anstatt eine Software-Schwachstelle auszunutzen – was unterstreicht, wie sehr moderne Angriffe von alltäglichen Zugangspunkten wie Anmeldungen und Support-Tools abhängen statt von ausgefeiltem Hacking. Ein VPN stoppt nicht den Angriff auf die Server eines Unternehmens, aber es hilft, Ihre eigene Verbindung vor dem Abfangen in öffentlichen Netzwerken zu schützen und kann die Menge an persönlichen Daten reduzieren, die beim Surfen offengelegt werden – was umso wichtiger wird, je mehr Ihre Informationen durch Angriffe außerhalb Ihrer Kontrolle an mehr Orten zirkulieren.

Wenn Sie den Verdacht haben, dass Ihre Identität kompromittiert wurde, schafft die Meldung an die relevante Cyberkriminalitäts- oder Verbraucherschutzbehörde Ihres Landes einen offiziellen Nachweis und kann bei umfassenderen Ermittlungen gegen die verantwortlichen kriminellen Gruppen helfen.

Was das für Sie bedeutet

Ransomware ist kein Problem mehr, das nur Unternehmen und ihre IT-Teams betrifft. Da Angreifer jetzt Daten stehlen, bevor sie sie verschlüsseln, werden normale Menschen zu Kollateralschäden, sobald ein Unternehmen, das ihre Informationen speichert, angegriffen wird. Ransomware-Datenerpressungs- und Datenschutzrisiken bedeuten, dass selbst Organisationen mit starken Backup-Systemen die Kunden und Patienten, deren Daten gestohlen wurden, nicht vollständig schützen können. Ihre beste Verteidigung ist anzunehmen, dass jedes Konto, das Sie jemals erstellt haben, irgendwann in einen Vorfall verwickelt sein könnte – und sich entsprechend vorzubereiten.

Umsetzbare Erkenntnisse

• Verwenden Sie einzigartige Passwörter und einen Passwortmanager, damit ein einziges geleaktes Passwort nicht mehrere Konten gefährdet.
• Aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird.
• Überwachen Sie Benachrichtigungen über Datenschutzverletzungen und Finanzberichte genau und handeln Sie schnell, wenn Ihre Daten in einem Leak auftauchen.
• Erwägen Sie eine Kreditsperre, wenn sensible Identitätsinformationen wie eine Sozialversicherungsnummer offengelegt wurden.
• Melden Sie vermuteten Identitätsdiebstahl oder Betrug den zuständigen Behörden, um einen dokumentierten Nachweis zu erstellen.

Zu verstehen, wie sich Ransomware von einer Unannehmlichkeit mit gesperrtem Bildschirm zu einer umfassenden Datenerpressungsbedrohung entwickelt hat, ist der erste Schritt, um sich in einer Welt zu schützen, in der Ihre persönlichen Informationen nur so sicher sind wie das schwächste Unternehmen, das sie speichert.