Stellen Sie sich Folgendes vor: Ein Mitarbeiter Ihres Unternehmens loggt sich früh ein, um einen Vorsprung bei der Erstellung der Finanzberichte zum Monatsende zu haben. Er greift auf den Dateispeicher des Unternehmens zu, um die Rechnungen des vergangenen Monats einzusehen, als plötzlich ein altmodisch aussehendes Popup-Fenster in bedrohlicher Schrift die Nachricht verkündet: „Ihre Dateien sind alle verschlüsselt und von einem neuen Stamm von Ransomware gesperrt“!
Noch bevor sie den Ernst der Lage begreifen, erhalten sie auf Slack eine Nachricht von einem Kollegen. Sie haben die gleiche ahnungsvolle Popup-Nachricht erhalten. Das gesamte Unternehmen ist einem Ransomware-Angriff zum Opfer gefallen.
Heutzutage ist dies ein allzu häufiges Vorkommnis: 47 % der Unternehmen hatten im vergangenen Jahr mit Ransomware zu tun. Ransomware wird in der Regel durch Social-Engineering-Taktiken wie Phishing-Betrug eingeschleust, um Mitarbeiter zum Herunterladen von Malware zu verleiten. Während wir im Allgemeinen wissen, was Ransomware ist und wie sie eingeschleust wird, ist es für jeden in einem Unternehmen wichtig, den typischen Wiederherstellungsprozess nach einem Ransomware-Angriff zu verstehen.
Schritt #1: Eingrenzung
Sobald Sie die Ransomware entdeckt haben, müssen Sie sicherstellen, dass sie sich nicht weiter ausbreitet. Dies erreichen Sie, indem Sie Ihr Netzwerk herunterfahren und alle VPN-Verbindungen beenden. Sie sollten auch alle externen Speichergeräte wie z.B. Backup-Laufwerke abschalten.
Eine häufig übersehene Strategie zur Eindämmung von Ransomware ist die Deaktivierung aller automatisierten Wartungsaufgaben, wie z.B. die Aufbewahrung alter Dateien, das Leeren von Papierkörben, die Archivierung von E-Mails oder das Patchen des Systems.
Dies wird sicherlich die Arbeit zum Stillstand bringen, aber je schneller Sie die Dinge abschalten und die Ausbreitung eindämmen, desto schneller können Sie alles reparieren und den Betrieb wieder aufnehmen.
Schritt #2: Aufzeichnung und Bericht
Denken Sie daran, dass Ransomware eine kriminelle Handlung ist. Abhängig von Ihrem Unternehmen und eventuellen gesetzlichen Vorschriften sind Sie möglicherweise gesetzlich verpflichtet, den Vorfall den Behörden zu melden. Es empfiehlt sich, ein Protokoll der detaillierten Maßnahmen Ihres IT-Teams während und nach dem Ransomware-Angriff zu erstellen, die Ransomware-Nachricht zu fotografieren und eine Bestandsaufnahme aller betroffenen Systeme zu erstellen. Sie können immer mit Ihrer örtlichen Polizei beginnen, aber je nach Branche müssen Sie vielleicht auch die Bundesbehörden kontaktieren.
Schritt #3: Mehr Eingrenzung
Wenn Sie von Ransomware betroffen sind, ist es sehr wahrscheinlich, dass dies nicht das einzige Problem ist. Kriminelle starten einen Ransomware-Angriff oft als Teil eines mehrgleisigen Angriffs, der mit dem unbefugten Zugriff auf Ihre Systeme beginnt. Um zusätzlichen Schaden zu verhindern, ändern Sie alle (und wir meinen alle) Administrator-Passwörter und deaktivieren Sie alle VPN-Konten mit Netzwerkzugang.
Schritt #4: Entscheidungszeit…zahlen oder nicht zahlen
Jetzt kommt die herausfordernde und schwierige Entscheidung… zahlen Sie das Lösegeld? Die herkömmliche Weisheit sagt nein. Diese Personen, die diese böswillige Tat begangen haben, verdienen sicherlich keine Belohnung. Aber Ihr Unternehmen blutet derzeit. Je nach den Auswirkungen des Angriffs werden Sie wahrscheinlich Tausende oder sogar Millionen von Dollar verlieren. Außerdem sind die Auswirkungen auf Ihren Ruf nicht zu übersehen. Der Drang, zu zahlen und mit dem Leben weiterzumachen, ist schwer zu bekämpfen.
Bevor Sie dem Drang nachgeben, sollten Sie ein paar Faktoren berücksichtigen. Erstens garantiert die Zahlung des Lösegelds nicht den sofortigen Zugriff auf Ihre gesperrten Dateien. Nach der Zahlung erhalten Sie von den Cyber-Kriminellen einen Entschlüsselungsschlüssel. Die Entschlüsselung von gesperrten Ransomware-Dateien ist ein notorisch langsamer Prozess. Im Fall von Colonial Pipeline zum Beispiel hat das Unternehmen das Lösegeld bezahlt, um dann festzustellen, dass die Entschlüsselung der Dateien so schmerzhaft langsam war, dass es sinnvoller war, sich auf die Pläne zur Geschäftskontinuität und Notfallwiederherstellung zu verlassen.
Zweitens: Wenn Sie ein Cyber-Lösegeld zahlen, setzen Sie sofort ein riesiges Bullseye über Ihr Unternehmen, das besagt: “ Verschlüssel mich, ich zahle“. In einer kürzlich von Barracuda Networks durchgeführten Studie gaben 38% der Befragten an, wiederholt Opfer eines Ransomware-Angriffs geworden zu sein. Die Zahlung eines Lösegelds ist ein todsicherer Weg, um ein erneutes Ziel für Ransomware-Banden zu werden.
Schritt #5 Dateien aus dem Backup wiederherstellen
Angenommen, Sie zahlen nicht, dann ist es an der Zeit, die betroffenen Dateien auszusondern und zu archivieren und sie von einem Backup wiederherzustellen. Dies ist erfolgreich, vorausgesetzt, dass Ihre Backups nicht während des ursprünglichen Angriffs beeinträchtigt wurden, da Cyberkriminelle oft versuchen, sie zu deaktivieren.
Wenn Ihre Backups mit einer aktuellen und intakten Kopie funktionieren, ist dies Ihre beste Chance, den Betrieb wieder aufzunehmen. Ein Wort der Vorsicht: Prüfen Sie Ihre Backups sorgfältig, denn es ist möglich, dass auch Ihre letzten Kopien oder sogar alle Kopien verschlüsselt sind.
Schritt #6 Zukunftsvorsorge
Nachdem Sie von einem Ransomware-Angriff betroffen waren und Ihre Systeme und Daten erfolgreich wiederhergestellt haben, ist es wichtig, dass Sie zukünftigen Präventionsmaßnahmen Priorität einräumen. Ergreifen Sie proaktive Schritte, um die folgenden Maßnahmen in Ihrem Unternehmen zu stärken oder zu implementieren:
- Phishing-Simulationstest
- Scannen des dunklen Webs
- Sicherheitsinformationen und Ereignisüberwachung (SIEM)
- Endpunkt-Erkennung und -Reaktion (EDR)
- Erweiterte Antivirus-Lösungen
- Erkennung von Bedrohungen
- Sichere, Cloud-basierte Backups
- Erweiterte Archivierungslösungen
Detaillierter Inhalt nur in englischer Sprache verfügbar.