Aktuell | Kommentar: Ransomware | c't

Was wir aus den aktuellen Ransomware-Vorfällen lernen können

Jürgen Schmidt (Leiter von heise Security)

Oft fehlt es bei den Betroffenen von Ransomware-Vorfällen schon an den absoluten Basics – und da sind Ämter, Behörden und Verwaltung ganz vorne mit dabei. Deren IT besteht oft aus einer überalterten Monokultur auf Windows-Basis, bekommt Security-Updates wenn überhaupt dann erst nach Monaten und die IT-Verantwortlichen sind so damit beschäftigt, das alles überhaupt irgendwie am Laufen zu halten, dass für IT-Security keine Zeit bleibt.

Da genügt dann ein falscher Klick, ein gestohlenes Passwort oder ein erfolgreicher Scan auf ein bekanntes Sicherheitsloch und es knallt. Dann fällt wie in Bitterfeld oder Geisenheim die komplette IT auf Wochen oder gar Monate aus. Dabei ließe sich ein Großteil dieser Ransomware-Vorfälle vermeiden, wenn man wenige grundlegende Security-Regeln befolgt: Sicherheits-Updates zügig einspielen, konsequent nur minimale Rechte einsetzen, für hoch priorisierte Accounts und Remote-Zugänge Zwei-Faktor-Authentifizierung einführen. Und natürlich dürfen gute und funktionierende Backups nicht fehlen. Das wäre dann schon mehr als nur die halbe Miete.

Dass diese Basisanforderungen eine Selbstverständlichkeit werden wie Sicherheitsgurte und funktionierende Bremsen, ist auch Aufgabe der Politik. Die muss Rahmenbedingungen vorgeben, die das nicht nur ermöglichen, sondern konsequent herbeiführen.

Doch wie die Hackerbande REvil mit den aktuellen Attacken eindrucksvoll gezeigt hat, ist es damit noch nicht getan. Denn angesichts von breit gestreuten Zero-Day- und Supply-Chain-Angriffen müssen wir auch unsere Vorstellung von möglichst guter Sicherheit ändern. Bisher ging es da vor allem darum, wirklich alle Angriffe zu verhindern. Das wird aber in Zukunft nicht mehr zu hundert Prozent möglich sein.

Egal wie viel Aufwand wir investieren, es wird erfolgreiche Angriffe geben. Deshalb müssen wir an einen Punkt kommen, an dem auch zunächst erfolgreiche Angriffe nicht mehr sofort „Game Over“ bedeuten, sondern zu ernsten, aber beherrschbaren Vorfällen werden. Dazu müssen wir vor allem für zwei Dinge sorgen: dass wir

a) eine bessere Chance haben, diese erfolgreichen Angriffe frühzeitig zu erkennen und

b) solche Angriffe eingrenzen und handhaben können, ohne dass es zu kritischen Verlusten kommt.

Besseres Monitoring und mehr Resilienz sind deshalb die zwei Themen, die meiner Ansicht nach aktuell den Schwerpunkt des konsequenten Ausbaus der IT-Security bilden sollten. Selbstverständlich gilt das erst, nachdem man die Basics im Griff hat, ohne die es weiterhin nicht geht. Wer keine Backups macht, ungepatchte Software einsetzt, schwache Passwörter benutzt und kritische Dienste weitgehend ungeschützt ins Internet exponiert, braucht sich über Zero Days und Lieferkettenangriffe keine Gedanken zu machen. Den wird es treffen – und zwar eher früher als später. (wid@ct.de)