Ransomware
Wie stark ist die Industrial Security bedroht und wie wehren sich Unternehmen?
Neun von zehn Unternehmen sind von Cyberangriffen betroffen. Von diesen Angriffen erfolgt mehr als ein Drittel durch Ransomware. (Bitkom Research 2021 / X-Force Threat Intelligence Index, IBM, 2022)
Heute sind produzierende Unternehmen für Angreifer die interessantesten Opfer, denn sie sind ein sehr lukratives Ziel: Die Verfügbarkeit ist für diese Firmen das höchste Gut – je länger die Produktion stillsteht, umso höher die Umsatzeinbußen. Der hohe Leidensdruck birgt eine hohe Chance für Angreifer, schnell Lösegeld zu erhalten.
In diesem Blog möchten wir produzierende Unternehmen über das Thema Ransomware aufklären und Tipps geben, wie sie sich auf den Fall der Fälle, also einen Angriff, vorbereiten. Denn längst ist die Frage nicht mehr, OB ein Angriff stattfindet, sondern WANN es so weit ist.
Ransomware …
- bezeichnet Schadprogramme (Malware), die den Zugriff auf Daten und Systeme einschränken oder verhindern.
- beruht auf dem Prinzip, dass die Freigabe nur gegen Zahlung eines Lösegelds (Ransom) erfolgt.
- greift das Sicherheitsziel der Verfügbarkeit in Form einer Malware an, welche Daten verschlüsselt.
- ist eine Art von digitaler Erpressung.
- hat oft nicht nur eine Lösegeldforderung zur Folge, sondern auch die Drohung, sensible Daten zu veröffentlichen.
Wie erkenne ich Ransomware?
Um im Falle eines Angriffs sofort mit Gegenmaßnahmen reagieren zu können und damit den Schaden gering zu halten, ist es hilfreich, wenn Sie und Ihre Mitarbeiter*innen in der Lage sind, eine Attacke schnellstmöglich als eine solche zu erkennen. Dazu ist es wichtig, dass Sie und Ihr Team die Indikatoren für einen Angriff kennen.
Mit der untenstehenden Übung aus einem unserer Cybersecurity-Trainings können Sie spielerisch erlernen, welche Aktivitäten und Veränderungen von einem Ransomware-Angriff stammen können. Versuchen Sie zuzuordnen, wo die Indikatoren auftreten – bei Mitarbeiter*innen oder Administrator*innen:
Wie gehe ich im Fall eines Angriffs vor?
Sie oder Ihre Mitarbeiter*innen haben einen Angriff erkannt. Das ist gut. Aber was jetzt?
Der VDMA (Verein Deutscher Maschinen- und Anlagenbau) hat eine Notfallhilfe zu Ransomware-Angriffen veröffentlicht. Die darin enthaltenen Maßnahmen dienen drei Kernzielen, die Sie stets im Auge haben sollten:
- Schadensbegrenzung
- Finden und Schließen des Infektionsvektors
- Aufsetzen der Systeme und Wiederherstellung der Daten
Im Folgenden eine kurze Zusammenfassung der Maßnahmen, die Sie ergreifen sollten, sobald Sie einen Angriff bemerkt haben:
- 1. Treffen Sie erste Schnellmaßnahmen
- Bewahren Sie Ruhe und handeln Sie überlegt.
- Versehen Sie alle Aktivitäten mit Zeitstempel, Verantwortlichem und Ablauf.
- Fotografieren Sie die Lösegeldforderung ab, vermerken Sie das Gerät und die Uhrzeit.
- 2. Handeln Sie professionell und proaktiv
- Kommunizieren Sie offen und professionell, sowohl extern als auch intern.
- Richten Sie einen Krisenstab ein, der alle Aktivitäten koordiniert und deeskaliert.
- Entscheiden Sie, ob eine forensische Untersuchung von einem Experten durchgeführt werden soll.
- Erstatten Sie eine polizeiliche Strafanzeige, um den Täter zu identifizieren und zu verurteilen.
- 3. Leiten Sie Notfallschritte am Gerät ein
- Melden Sie sich nicht mit Admin-Rechten an, da Ihr Netzwerk überwacht werden könnte.
- Trennen Sie die Netzwerkverbindungen.
- Versetzen Sie das Gerät in den Ruhezustand, um den Arbeitsspeicher zu erhalten.
- 4. Leiten Sie Notfallschritte im Netzwerk ein
- Trennen Sie alle Netzwerkverbindungen und schalten Sie die Funknetze ab.
- Schalten Sie die Client-Remote-Zugänge ab.
- Trennen Sie die IT-Endgeräte vom Netzwerk.
- Nutzen Sie Logdateien und Metadaten, um betroffene Systeme zu identifizieren.
- 5. Gehen Sie vorsichtig mit Kernsystemen, Fileservern und Datenbanken um
- Schützen Sie Kernsysteme, indem Sie sie isolieren.
- Unterbinden oder schränken Sie den Nutzerzugriff auf geschäftskritische Systeme ein.
- Identifizieren Sie den Benutzer mit den meisten geöffneten Dateien.
- Sperren Sie den Schreibzugriff auf Dateien für alle Benutzer.
Womöglich denken Sie sich: Wozu der ganze Aufwand? Wer sagt mir, dass die Gegenmaßnahmen erfolgreich sind und die Produktion wieder laufen kann? Durch die Maßnahmen entstehen ohnehin Kosten, warum also nicht gleich das Lösegeld bezahlen?
Es gibt einige Punkte, die dagegensprechen, das Lösegeld zu bezahlen:
- Die Wahrscheinlichkeit eines erneuten Angriffs steigt, denn Ihr Unternehmen wird als leichte Beute angesehen werden.
- Sie finanzieren damit die Weiterentwicklung der Schadsoftware und fördern deren Verbreitung.
- Sie motivieren damit den Angreifer, weitere Unternehmen zu attackieren.
- Sie haben keinerlei Garantie, dass die Entschlüsselung funktioniert oder ausgeleitete Daten wirklich gelöscht werden.
Nun wissen Sie, wie Sie einen Angriff schnell erkennen und welche Maßnahmen Sie in weiterer Folge umsetzen sollten. Aber am besten ist es immer noch, wenn
- es gar nicht zu einem Angriff kommt oder
- Ihr Unternehmen und Ihre Mitarbeiter*innen so gut auf einen Angriff vorbereitet sind, dass Ihrer Produktion möglichst wenig Schaden zugefügt werden kann.
Was Sie dazu im Vorhinein machen können, haben wir in einem White Paper für Sie zusammengestellt.
White Paper
INDUSTRIAL SECURITY-BEDROHUNG RANSOMWARE
ODER Sie ergreifen jetzt die Initiative und bilden Ihre Mitarbeiter*innen in einem unternehmensspezifischen Training weiter, um Sie praxisnah auf das „What–if-Szenario“ vorzubereiten.
