Was Ransomware ist
Ransomware (von englisch „ransom“, Lösegeld) ist laut BSI eine Art von Schadprogrammen, die den Zugriff auf Daten und Systeme einschränken oder unterbinden. Entweder sperrt sie das ganze System oder sie verschlüsselt bestimmte Nutzerdaten, für die Freigabe wird Lösegeld verlangt. Der alte Begriff „Erpressungstrojaner“ ist ungenau: Wie Schadsoftware-Typen sich unterscheiden, erklärt Malware-Arten verständlich erklärt. Besonders verbreitet ist Ransomware gegen Windows-Rechner, prinzipiell können aber alle Systeme betroffen sein.
Das Phänomen trifft nicht nur Konzerne. Das BSI nennt neben Großkonzernen mittelständische Unternehmen, Krankenhäuser und Kommunen, auch Privatpersonen können unmittelbar betroffen sein. Nach Ansicht des BSI besteht dabei kein „Maßnahmenmangel“, sondern ein „Umsetzungsmangel“: Die wirksamen Schutzmaßnahmen sind lange bekannt, werden aber zu selten umgesetzt.
Wie ein Angriff abläuft
- 1ZugangPhishing-Mail, gestohlene Zugangsdaten oder eine ungepatchte Schwachstelle
- 2AusbreitungRechte ausweiten, weitere Systeme und Backups suchen
- 3DatendiebstahlDaten werden kopiert, um zusätzlich mit Veröffentlichung zu drohen
- 4VerschlüsselungDateien und Systeme werden unbrauchbar gemacht
- 5ErpressungLösegeldforderung für Schlüssel und Schweigen
Das Schema ist vereinfacht, die Reihenfolge variiert. Die BSI-Übersicht zu Gegenmaßnahmen ordnet ihre Empfehlungen ebenfalls Phasen eines Angriffs zu. Typische Stationen:
- Zugang. Das BSI nennt als häufigen Weg das Ausnutzen einer bereits behobenen Schwachstelle in Software, das unbedachte Öffnen von E-Mail-Anhängen, den Aufruf kompromittierter Webseiten und kompromittierte Remote-Zugänge. Die Polizei nennt Anhänge in Spam-Mails als häufigen Verbreitungsweg.
- Ausbreitung. Nach dem ersten Zugriff versuchen Angreifer laut BSI häufig, den zentralen Authentisierungsdienst (Active Directory) zu übernehmen, um die Ransomware zentral zu verteilen. CISA nennt exponierte, schlecht gesicherte Remote-Dienste und die Nutzung der Windows-Fernwartung (RDP) zur Bewegung im Netzwerk.
- Datendiebstahl. Täter haben laut CISA zusätzlich Daten entwendet und drohen, sie zu veröffentlichen. Das Zusammenspiel beider Methoden heißt „Double Extortion“. In manchen Fällen verzichten sie sogar auf die Verschlüsselung und erpressen nur mit den Daten.
- Verschlüsselung. Danach werden die Daten verschlüsselt. Ab diesem Zeitpunkt treten laut BSI die Auswirkungen unmittelbar ein: Dienstleistungen und Geschäftsprozesse stehen still, die IT kommt zum Erliegen.
- Erpressung. Ein Erpresserschreiben stellt die Forderung. Das Lösegeld wird laut BSI meist in virtueller Währung wie Bitcoin verlangt.
Ransomware as a Service
Das BSI beschreibt eine starke Arbeitsteilung im Cybercrime-Umfeld. Dadurch sei die Einstiegshürde für Angriffe massiv gesunken, ein Angriff sei heute ohne nennenswerte Vorkenntnisse und ohne großen finanziellen Einsatz möglich. Als Beispiel nennt es LockBit, ein „Ransomware-as-a-Service“ mit Betreibern und Affiliates.
Schutz für Privatpersonen
Ein Privatnutzer hat vor allem zwei Aufgaben: den Einstieg erschweren und den Schaden begrenzen.
- Updates einspielen. Die Polizei empfiehlt regelmäßige Updates von Betriebssystem und Software.
- Aktuellen Virenschutz nutzen. Unter Windows ist die Windows-Sicherheit aktiv zu halten. Microsoft rät außerdem, den kontrollierten Ordnerzugriff einzuschalten, um wichtige lokale Ordner vor nicht autorisierten Programmen wie Ransomware zu schützen.
- Anhänge und Links prüfen. Die Polizei rät, keine Anhänge unbekannter Absender zu öffnen und auch bei bekannten Absendern nicht ungeprüft. Frage im Zweifel nach, aber nicht über die Antwortfunktion der Mail. Typische Täuschungen zeigt Phishing erkennen.
- Mit eingeschränkten Rechten arbeiten. Das BSI empfiehlt Benutzerkonten mit reduzierten Rechten, damit Schadprogramme keine Administratorrechte erhalten.
- Backups auf getrennten Speichermedien. Die Polizei rät, Daten regelmäßig vom Netzwerk auf getrennte Speichermedien wie externe Festplatten zu sichern. Das BSI nennt Backups eine wirksame Prävention, weil sich Datenbestände ohne Lösegeldzahlung rekonstruieren lassen. Der Aufbau ist Thema von Backup-Strategie.
- Zweiter Faktor für Konten. Er hilft nicht gegen Ransomware selbst, aber gegen gestohlene Zugangsdaten als Einstieg. Siehe Multi-Faktor-Authentifizierung.
Schutz für kleine Unternehmen
In einer Firma geht es nicht um ein Gerät, sondern um das Netz. Das BSI hat zehn Maßnahmen gegen Ransomware zusammengestellt, aus denen sich für kleine Betriebe folgende Reihenfolge ableiten lässt. Fachleute oder ein IT-Dienstleister sollten die technischen Punkte umsetzen.
| Bereich | Was das BSI empfiehlt (Kurzfassung) |
|---|---|
| Patches | Updates unverzüglich einspielen, besonders bei exponierter Software wie Firewalls und Webservern |
| Remote-Zugänge | Von außen nur über VPN mit Zwei-Faktor-Authentisierung |
| E-Mail und Makros | Mails möglichst als reinen Text anzeigen, aktive Inhalte unterdrücken, Makros einschränken, Mitarbeitende praxisnah schulen |
| Programme | Nur freigegebene Programme zulassen („Application Whitelisting“), mindestens Ausführung nur aus nicht vom Nutzer beschreibbaren Verzeichnissen |
| Virenschutz | Die Module für Angriffserkennung und Cloud-Dienste der Software nutzen, da neue Varianten selten sofort über Signaturen erkannt werden |
| Administratorkonten | Privilegierte Konten nur für Administratortätigkeiten, nie für E-Mail und Surfen, mit Zwei-Faktor-Absicherung |
| Netzwerk | Segmentieren, damit Ransomware nur Systeme in der Nachbarschaft erreicht |
| Backups | Offline-Backup, getrennt vom Netz, mit geplanter und geübter Rücksicherung |
| Notfallplan | Kritische Systeme vorab bestimmen, Ablauf üben, alternative Kommunikationswege und wichtige Telefonnummern auf Papier bereithalten |
Die Polizei ergänzt für Unternehmen: Netzwerkinfrastruktur abschotten und Netze trennen, Zugriffsrechte beschränken, festlegen, welche Software auf Firmenrechnern installiert werden darf, und Mitarbeitende regelmäßig sensibilisieren. CISA empfiehlt in seinem Leitfaden phishing-resistente Mehrfaktor-Authentifizierung für alle Dienste, besonders für E-Mail, VPN und Konten mit Zugriff auf kritische Systeme. Das BSI nennt außerdem Schulung der Mitarbeitenden als einfachste, aber nicht alleine ausreichende Maßnahme.
Zwei Punkte sind besonders wichtig. Erstens müssen Backups offline liegen: Das BSI schreibt, dass Daten im Offline-Backup gesichert werden müssen, das nach dem Vorgang von den anderen Systemen getrennt wird. CISA begründet das damit, dass viele Ransomware-Varianten versuchen, erreichbare Backups zu löschen oder zu verschlüsseln. Zweitens sollte die Rücksicherung in der Praxis geübt werden, bevor es ernst wird.
Im Ernstfall
Ransomware-Vorfälle sind belastend. Das BSI rät, rasch und bedacht zu handeln. Ein Ablauf, der sich aus den Empfehlungen von BSI, Polizei und CISA ergibt:
Checkliste Erste Schritte nach einem Ransomware-Befall
- Vom Netz trennen. Betroffene Geräte isolieren: Netzwerkkabel ziehen oder das WLAN trennen. CISA empfiehlt bei mehreren betroffenen Systemen, das Netz auf Switch-Ebene vom Netz zu nehmen. Ausschalten nur, wenn das Trennen nicht möglich ist, da dabei Spuren im Arbeitsspeicher verloren gehen.
- Nichts löschen. Sind die Dateien verschlüsselt und gibt es kein Backup, bewahre die verschlüsselten Daten auf. Sie lassen sich unter Umständen später entschlüsseln.
- Kein Lösegeld zahlen. BSI und Polizei raten, nicht auf die Forderungen einzugehen. Ob die Daten nach Zahlung tatsächlich freigegeben werden, ist unsicher, außerdem können weitere Forderungen folgen.
- Anzeige erstatten. Das BSI empfiehlt, unverzüglich Anzeige bei der Polizei zu erstatten, bei Unternehmen zusätzlich beim Landeskriminalamt.
- Hilfe holen. Unternehmen sollten frühzeitig IT-Sicherheitsexperten hinzuziehen, den Vorfall dem Landes-CERT und der Landesbeauftragten für Datenschutz melden; das BSI nimmt Vorfallmeldungen entgegen.
- Entschlüsselungswerkzeug suchen. Auf No More Ransom gibt es ein Verzeichnis kostenloser Entschlüsselungswerkzeuge.
- Sauber wiederherstellen. Aus dem Offline-Backup zurückspielen, nachdem du das System bereinigt oder neu aufgesetzt hast.
Zu den Punkten im Einzelnen:
Kein Lösegeld. BSI und Polizei begründen das gleich: Eine Zahlung bietet keinerlei Garantie für die Freigabe. Auch No More Ransom schreibt, dass es keine Garantie auf einen Entschlüsselungscode gibt, und Microsoft rät ebenfalls, nicht zu zahlen. Wer bereits gezahlt hat, wendet sich laut Microsoft sofort an seine Bank und die Behörden.
No More Ransom. Das Projekt wird nach Angaben der Polizei von Europol-EC3 mit Partnern betrieben. Nicht jede Ransomware ist entschlüsselbar: No More Ransom weist darauf hin, dass es für nicht alle Arten eine Lösung gibt, und listet die Varianten auf, für die Entschlüsselungsprogramme vorliegen. Oft funktionieren diese Werkzeuge nur für bestimmte Versionen einer Ransomware-Familie. Prüfe also deine Ransomware-Variante und schau später erneut vorbei, falls es noch kein Werkzeug gibt.
Melden. Das BSI nennt auf seiner Ransomware-Seite für Unternehmen die Möglichkeit, dem BSI einen Vorfall zu melden, sowie „Ansprechpartner bei der Polizei (ZAC)“. Die verlinkte Polizei-Seite war bei unserer Prüfung nicht abrufbar. Die Anzeige bei der örtlichen Polizeidienststelle oder der Onlinewache bleibt der sichere Weg.
Wiederherstellen. Das BSI rät bei einem bestätigten Befall, das gesamte System neu aufzusetzen und danach bei allen Online-Zugängen die Passwörter zu ändern. Die Verbraucherzentrale weist auf Fälle hin, in denen Täter nach der Zahlung zwar entschlüsselten, aber versteckte Malware hinterließen und später erneut erpressten. CISA warnt Unternehmen: Vor dem Rückspielen aus Backups muss geklärt sein, ob Dropper-Schadsoftware auf den Systemen liegt, sonst setzt sich die Kompromittierung fort. Ohne Offline-Backup bleibt oft nur die Hoffnung auf ein Entschlüsselungswerkzeug. Deshalb entscheidet die Vorsorge.