Warum sich Ransomware-Angriffe jetzt auf Datendiebstahl statt auf Verschlüsselung konzentrieren

Jahrelang war das Standard-Vorgehen bei Ransomware einfach: eindringen, Dateien verschlüsseln, Lösegeld für den Entschlüsselungsschlüssel fordern. Backups waren die Lösung. Systeme wiederherstellen, die Lösegeldforderung ignorieren, weitermachen. Dieses Vorgehen ist weitgehend überholt.

Die heutigen Ransomware-Gruppen haben sich an die Tatsache angepasst, dass viele Organisationen problemlos von einer Verschlüsselung wiederhergestellt werden können. Deshalb haben sie das Druckmittel verlagert. Bevor sie irgendetwas sperren, kopieren Angreifer jetzt heimlich sensible Dateien, Finanzunterlagen, Mitarbeiterdaten und Kundeninformationen aus dem Netzwerk. Die Verschlüsselung ist fast zweitrangig geworden und wird manchmal ganz weggelassen. Die eigentliche Bedrohung ist eine öffentliche Leak-Seite, auf der gestohlene Daten veröffentlicht werden, wenn nicht gezahlt wird. Das ist die Bedrohung durch Datenerpressung bei Ransomware, die Sicherheitsforscher genau verfolgen, und sie verändert, was „vorbereitet sein“ für Organisationen jeder Größe tatsächlich bedeutet.

Das Muster ist nicht auf eine Region oder Branche beschränkt. Berichte über Ransomware-Vorfälle in Indien ergaben beispielsweise, dass die Mehrheit der Angriffe nun Datendiebstahl und nicht reine Verschlüsselung beinhaltet, so Proofpoints Analyse der dortigen Ransomware-Aktivitäten. Dieselbe Dynamik spielt sich auch näher an unserem Zuhause ab, einschließlich im Großraum St. Louis.

Was über die Vorfälle in der Region St. Louis bekannt ist

Laut Berichten von CHR Solutions, einem in St. Louis ansässigen IT- und Cybersicherheitsunternehmen, hat Ransomware in den letzten Monaten Schulsysteme, städtische Netzwerke und lokale Unternehmen im Großraum getroffen. Das Unternehmen, das direkt mit regionalen Organisationen zusammenarbeitet, um Sicherheitslücken zu schließen, stellt dies eher als ein lokales und wiederkehrendes Problem dar denn als eine weit entfernte Schlagzeile. Konkrete Details zu einzelnen Vorfällen sind in den verfügbaren Berichten begrenzt, aber das beschriebene Muster spiegelt das wider, was landesweit geschieht: Netzwerke des öffentlichen Sektors sowie kleine und mittlere Unternehmen sind häufige Ziele, oft weil sie über weniger dedizierte Sicherheitsressourcen verfügen als Großunternehmen.

Schulbezirke und kommunale Netzwerke sind besonders attraktive Ziele für erpressungsbasierte Angriffe. Sie verfügen über große Mengen personenbezogener Daten, einschließlich Aufzeichnungen über Schüler, Mitarbeiter und Einwohner, und sie stehen oft unter öffentlichem Druck, Unterbrechungen zu vermeiden, was sie verhandlungsbereiter machen kann. Wenn Angreifer wissen, dass das Druckmittel nicht nur „Können Sie ohne Ihre Dateien funktionieren?“, sondern „Können Sie es sich leisten, dass diese Daten veröffentlicht werden?“ lautet, steigt der Druck zu zahlen erheblich.

Wie doppelte Erpressung die Kalkulation für kleine und mittlere Unternehmen verändert

Doppelte Erpressung – Systeme verschlüsseln und gleichzeitig drohen, gestohlene Daten zu veröffentlichen – verändert die Risikogleichung für kleinere Organisationen grundlegend. Ein Unternehmen mit soliden, getesteten Backups hatte früher einen klaren Weg zur Wiederherstellung: wiederherstellen und neu aufbauen. Aber Backups hindern eine Leak-Seite nicht daran, Kundenverträge, Sozialversicherungsnummern von Mitarbeitern oder proprietäre Geschäftsdaten zu veröffentlichen.

Das ist für kleine und mittlere Unternehmen, die möglicherweise davon ausgehen, dass Backups allein eine Ransomware-Abwehr darstellen, enorm wichtig. Ein aktuelles Beispiel dafür, wie sich diese Leak-Drohungen in der Praxis auswirken, ist der von der Play-Ransomware-Gruppe behauptete Angriff auf Kreysler & Associates, bei dem die Gruppe ihrem typischen Vorgehen folgte und mit der Veröffentlichung gestohlener Daten drohte, anstatt sich allein auf Verschlüsselung zu verlassen, um eine Zahlung zu erzwingen. Fälle wie dieser zeigen, dass das Verhandlungs-Druckmittel der Angreifer sich von „Wir haben Ihre Systeme gesperrt“ zu „Wir haben Ihre Daten und werden sie öffentlich machen“ verlagert hat. Das ist ein Reputations-, Rechts- und Regulierungsrisiko, das eine Backup-Wiederherstellung schlicht nicht beheben kann.

Für kleinere Organisationen ohne dedizierte Sicherheitsteams bedeutet dieser Wandel, dass die Planung der Incident Response auch Datenschutzverletzungsszenarien berücksichtigen muss, nicht nur Systemausfallzeiten.

Praktische Härtungsmaßnahmen, die dem Erpressungsrisiko begegnen

Backups bleiben unerlässlich, sind aber allein nicht mehr ausreichend. Organisationen, die das Erpressungsrisiko ernsthaft reduzieren wollen, sollten sich auf einige Bereiche konzentrieren, die über die traditionelle Notfallwiederherstellung hinausgehen:

  • Begrenzen Sie, was Angreifer stehlen können. Reduzieren Sie die Datenaufbewahrung, wo möglich, und segmentieren Sie Netzwerke, sodass ein einziges kompromittiertes Konto keinen Zugriff auf alles bietet.
  • Überwachen Sie auf Exfiltration, nicht nur auf Verschlüsselung. Erkennungstools, die ungewöhnliche ausgehende Datenübertragungen melden, können einen Angriff abfangen, bevor Dateien das Netzwerk verlassen, was oft früher ist, als es eine auf Verschlüsselung fokussierte Überwachung erfassen würde.
  • Stärken Sie die Identitätskontrollen. Multifaktor-Authentifizierung und streng verwaltete privilegierte Konten bleiben eine der wirksamsten Barrieren gegen den initialen Zugang, den Angreifer benötigen, um überhaupt Daten zu stehlen.
  • Erstellen Sie einen Incident-Response-Plan, der Leak-Bedrohungen adressiert. Rechtliche, kommunikative und regulatorische Benachrichtigungsschritte sollten vor einem Angriff festgelegt werden, nicht während eines Angriffs.

Was das für Sie bedeutet

Wenn der Ransomware-Plan Ihrer Organisation immer noch hauptsächlich auf Backup- und Wiederherstellungsverfahren ausgerichtet ist, geht er die Bedrohung von gestern an. Die Bedrohung durch Datenerpressung bei Ransomware bedeutet, dass das eigentliche Risiko oft das ist, was Angreifer bereits kopiert haben, bevor Sie überhaupt ein Problem bemerkt haben. Das gilt unabhängig davon, ob Sie ein Schulbezirk, ein kommunales Büro oder ein kleines Unternehmen sind, das Kundendaten verarbeitet. Zu glauben, man sei zu klein, um ein Ziel zu sein, ist keine sichere Wette mehr; kleinere Organisationen werden häufig gerade deshalb ausgewählt, weil sie weniger Verteidigungsmaßnahmen haben.

Wichtige Erkenntnisse

  • Ransomware-Angriffe priorisieren zunehmend Datendiebstahl und Leak-Drohungen gegenüber reiner Verschlüsselung, ein Muster, das sowohl regional als auch international zu beobachten ist.
  • Die Wiederherstellung nach einer Verschlüsselung mithilfe von Backups beseitigt nicht das Risiko, dass gestohlene Daten veröffentlicht werden.
  • Kleine und mittlere Organisationen, einschließlich Schulen und kommunaler Netzwerke, bleiben aufgrund begrenzter Sicherheitsressourcen häufige Ziele.
  • Effektive Verteidigung erfordert jetzt die Überwachung auf Datenexfiltration, die Verschärfung von Zugriffskontrollen und die Planung der Incident Response im Hinblick auf die Möglichkeit eines öffentlichen Lecks, nicht nur auf Systemausfallzeiten.