Wie die nahezu täglichen Schlagzeilen über Ransomware-Angriffe auf Unternehmen und andere Organisationen zeigen, hat sich die Bedrohungslage deutlich verschärft.
Noch vor drei bis vier Jahren, zu Zeiten der Locky-Ransomware, waren die Angriffe breit gestreut. Gegen Zahlung relativ moderater Lösegeldsummen von 300 bis 500 Euro erhielten Opfer den Entschlüsselungscode, um wieder an die private Fotosammlung, aber auch an die Daten auf dem verschlüsselten Firmen-Dateiserver zu gelangen. Doch dann fingen die Cyberkriminellen vermehrt an, sich auf die wirklich lukrativen Ziele, auf Unternehmen und andere große Organisationen zu konzentrieren.
Eine von Sophos veröffentlichte Studie zum Thema Ransomware hat ergeben, dass über die Hälfte der in Deutschland befragten mittelständischen Unternehmen in den letzten zwölf Monaten Opfer von Ransomware waren und bei diesen Firmen im Durchschnitt über 400.000 Euro Schaden durch den Ausfall oder die Einschränkung des Geschäftsbetriebs entstand. Ein Cyberangriff ist also nicht mehr, wie in vergangenen Jahrzehnten, die Ausnahme. Er ist heute die Regel und betrifft Organisationen aller Größen.
Cyberkriminelle ändern ihre Taktik bei Ransomware
Zudem haben die Cyberkriminellen die Taktik geändert. Nach einer erfolgreichen Infektion werden nicht gleich Daten verschlüsselt. Stattdessen spähen die Eindringlinge Unternehmensnetze jetzt erst langsam und vorsichtig aus, um vielversprechende Geschäftsdaten zu identifizieren und sich innerhalb des Netzwerks auf möglichst vielen Systemen einzunisten. Und bevor die Hacker dann mit einer Ransomware tatsächlich Daten verschlüsseln, Backups unbrauchbar machen und das Unternehmen teilweise oder komplett lahmlegen, stehlen sie zunächst Geschäftsgeheimnisse und personenbezogene Daten. Auf diese Weise haben sie – wenn sie losschlagen und per Ransomware Rechner und Daten verschlüsseln – als weiteres Druckmittel die bereits gestohlenen Daten und drohen mit deren Veröffentlichung für den Fall, dass das betroffene Unternehmen z.B. aufgrund eines guten Backup-Konzepts das Ransomware-Lösegeld nicht zahlen will.
Mit der Veröffentlichung der gestohlenen Daten drohen dem Unternehmen Reputationsverlust, Schaden durch Preisgabe von Geschäftsgeheimnissen und nicht zuletzt Strafen im Rahmen der DSGVO, wenn personenbezogene Daten veröffentlicht wurden. Nicht umsonst bezeichnet das Bundeskriminalamt Ransomware in seinem im September 2020 erschienenen Cybercrime Bundeslagebild 2019 als „die primäre, existentielle Bedrohung für Unternehmen“.
Traditionelle Maßnahmen bieten keinen Schutz mehr
Es stellt sich die Frage, was Organisationen und Unternehmen tun können (und müssen), um nicht das nächste Opfer zu werden. Fest steht, dass die traditionellen Schutzmaßnahmen wie Firewall und Anti-Virus heute keinen ausreichenden Schutz mehr gegen professionelle Angreifer bieten. Der Bundesverband IT-Sicherheit e.V. (TeleTrusT), der u.a. maßgeblich auf die Einschätzungen der Cyberrisikoversicherungen einwirkt, definiert als „Stand der Technik“ im Jahr 2020 Endpoint Detection & Response – abgekürzt EDR.
EDR ist ein ganzheitlicher Ansatz am Endpoint und Server, der neben modernen Schutztechnologien wie Exploit- und Ransomware-Schutz auch die unternehmensweite Erkennung von Hackeraktivität und die Eindämmung von Bedrohungen umfasst. Mit EDR lassen sich bereits Vorstufen von Angriffen und Hackeraktivitäten in der Phase erkennen, in denen sich ein Angreifer im Netzwerk umsieht und ausbreitet. Um EDR jedoch effektiv zu bedienen, wird spezialisiertes Personal benötigt – und zwar rund um die Uhr, am Wochenende wie an Feiertagen. Aus diesem Grund bieten immer mehr Hersteller und Dienstleister Managed Detection and Response (MDR)-Dienstleistungen an, die im Auftrag der zu schützenden Unternehmen deren Netzwerke kontinuierlich auf Bedrohungen überwachen. Diese Dienstleistung ist in den meisten Fällen kostengünstiger und effektiver, als wenn Unternehmen ein eigenes Security Operations Center (SOC) für diesen Zweck aufbauen und mit eigenen Spezialisten besetzen.
Bei der Auswahl einer EDR-Lösung sollten Unternehmen darauf achten, dass die Lösung Angriffe nicht nur im Nachhinein erkennt, sondern bereits im Ansatz durch umfangreiche NextGen-Endpoint-Schutzfunktionen verhindert. Und wenn sich ein Unternehmen für MDR entscheidet, dann sollte der MDR-Anbieter nicht nur in der Lage sein, einen Angriff zu erkennen, sondern diesen nach Absprache mit dem betroffenen Unternehmen auch eigenständig zu stoppen.
State-of-the-Art IT-Security ermöglicht das Überleben von Unternehmen
Unternehmen müssen heute demnach viel mehr Aufwand im Bereich der IT-Sicherheit betreiben, um sich vor hochprofessionellen Angreifern zu schützen. Die traditionellen Schutzmechanismen allein greifen nicht mehr – da diese Konstellation aber in vielen Unternehmen noch Status Quo ist, sind moderne Cyberattacken aktuell so erfolgreich und finden täglich neue Opfer. DSGVO und Cyberrisikoversicherungen verlangen den „Stand der Technik“, der heute durch Endpoint Detection and Response-Lösungen inklusive fachgerechter Bedienung definiert ist. Deshalb brauchen Unternehmen de facto Managed Detection and Response-Dienstleistungen, damit Geschäftsführung und IT den Anforderungen gerecht werden können. IT-Security kann heute nicht mehr – wie in der Vergangenheit – als Kostenfaktor gesehen werden, sondern ermöglicht heute nichts weniger als das Überleben von Unternehmen, die in irgendeiner Form IT-Systeme einsetzen.