Lehren aus den Ransomware-Angriffen Einfach kurzen Prozess machen
12. November 2017
Ist es im Unternehmen erst einmal zu einem Ransomware-Einfall gekommen, raten Experten generell davon ab, Lösegeld zu zahlen. Denn zum einen ist ohnehin fraglich, ob die Betroffenen nach Zahlung des Lösegelds auch wirklich wieder an ihre gesamten Datensätze herankommen. Zum anderen bestätigt das Cyber-Kriminelle nur darin, dass ihr Geschäftsmodell funktioniert, und sie erhalten zusätzliche finanzielle Unterstützung. Vielmehr sollten Betroffene die Polizei einschalten. Diese Einschätzung stammt von Dominik Lehr, Gründer und Vorstand der auf Kommunikationslösungen spezialisierten Befine Solutions AG.
Zunahme prognostiziert
Laut Europol muss sich Europa auf eine starke Zunahme von Cyber-Angriffen vorbereiten. Wie aus deren Jahresbericht hervorgeht, hat die Bedrohung des organisierten Verbrechens über das Internet in den vergangenen zwölf Monaten ein „bisher beispielloses Ausmaß“ angenommen, vor allem Erpressungs-Software hat alle anderen Bedrohungen in den Schatten gestellt. Bisheriger „Höhepunkt“ war die „WannaCry“-Attacke im Mai, bei der mehr als 300.000 Rechner in rund 150 Ländern infiziert worden waren.
Getroffen hatte es Unternehmen in der Logistik, der Telekommunikation und dem Gesundheitswesen: In Großbritannien kam es beispielsweise zu erheblichen Störungen in der medizinischen Versorgung, während hierzulande Anzeigetafeln und Fahrkartenautomaten auf Bahnhöfen ausfielen. Drastischer hätte uns die Verwundbarkeit der digitalen Infrastruktur wohl kaum vor Augen geführt werden können: Es ist auffällig, dass sehr oft Systeme in so genannten „kritischen Infrastrukturen“ (KRITIS) infiziert wurden.
Doch gerade hier tun sich die Betroffenen schwer, die immer wieder erhobenen Forderungen nach dem sofortigen Aktualisieren von Software umzusetzen. Vielmehr ist ein Perspektivenwechsel nötig – weg von der IT hin zu den in vielen Unternehmen und Behörden vorherrschenden Kommunikationsprozessen.
Kurze Zeit nach „WannaCry“ hatte „Petya“ Unternehmen und Behörden weltweit lahmgelegt: Betroffen waren Banken, Energieversorger, Flughäfen, Eisenbahngesellschaften, Reedereien, Lebensmittelkonzerne, Medienunternehmen sowie das Atomkraftwerk Tschernobyl. Es handelte sich dabei um eine Version der bereits seit vergangenem Jahr bekannten Erpressungs-Software, die sich offenbar zumindest zum Teil über dieselbe Sicherheitslücke in älterer Windows-Software verbreitete, die auch „WannaCry“ genutzt hatte. Danach wurde auch der Landtag von Sachsen-Anhalt Opfer einer Erpressungs-Software, es mussten IT- und Kommunikationssysteme heruntergefahren und notwendige Dokumente den Abgeordneten in Papierform zur Verfügung gestellt werden.
Folgerungen und Forderungen werden in derartigen Fällen sehr schnell laut. Dazu zählt auch der Aufruf, umgehend Software und Programme zu aktualisieren. In der Tat gilt das Patchen von Sicherheitslücken allgemein als erste und probate Schutzmaßnahme. Der Einsatz passender Sicherheitslösungen – die Europäische Datenschutzgrundverordnung (EU-DSGVO), die im Mai 2018 endgültig in Kraft tritt, spricht von „angemessenem Schutz“ – sowie regelmäßige Backups sollten ohnehin selbstverständlich sein.
Warnsignale ernstnehmen
Aber noch immer sind viele Betriebssysteme oder Software-Programme bei Unternehmen und Behörden im Einsatz, obwohl sie bereits seit einiger Zeit von Herstellern nicht mehr unterstützt und daher nicht mehr mit Updates versehen werden. Der Patch zum „Stopfen“ der WannaCry-Lücke war sogar knapp zwei Monate verfügbar – in der Praxis benötigen Unternehmen teilweise aber sogar über 100 Tage, bis sie eine Gegenmedizin verabreichen. Was auf den ersten Blick fahrlässig wirken mag, hat in vielen Fällen handfeste Gründe. Anders ausgedrückt: Es ist nicht immer so einfach, wie es aussieht.
Es gibt viele Bereiche und Branchen, in denen Rechner nicht „mal eben schnell“ heruntergefahren werden können – darunter eben auch Unternehmen und Behörden, wie sie in diesen Fällen betroffen waren. Anwender, egal ob am Arbeitsplatz oder am heimischen Rechner, kennen das Problem ebenfalls: Updates kosten Arbeitszeit und manchmal auch Nerven, besonders wenn es nach dem Einspielen der Patches zu Problemen kommt. Was dazu geführt hat, dass IT-Verantwortliche dem Testen von Patches vor dem Einspielen große Bedeutung zumessen.
Daher ist es nötig, einen Perspektivenwechsel vorzunehmen – weg von der IT hin zu den in vielen Unternehmen und Behörden vorherrschenden Prozessen und Gepflogenheiten in Sachen Kommunikation. Sie sind offenbar ein Teil des Problems und machen bestimmte Bereiche so angreifbar.
In Sachsen-Anhalt beispielsweise hatte ein Landtagsmitarbeiter die Schad-Software aktiviert, als er den Anhang einer E-Mail öffnete; er hatte geglaubt, dass er sich die E-Mail selbst weitergeleitet habe – als Absender soll sein eigener Name angegeben gewesen sein. Der Gesundheitssektor wiederum, der wegen verschiedener Ransomware-Vorfälle schon mehrfach die Schlagzeilen bestimmte, hat beispielsweise Eigenheiten wie „Makros“ in Office-Programmen, die in Krankenhäusern in der Regel aktiviert sind. Und nun die gute Nachricht: Es ist nur eine kleine Stelle, an der die Prozesse in vielen Unternehmen und Behörden anders gehandhabt werden müssten, um Einfallstore zu schließen und das Schutzniveau zu erhöhen – damit eingehende E-Mails eben keinen Teufelskreis auslösen.
Es genügt eine einfache und schnell umzusetzende Maßnahme: die Umstellung der internen Workflows und der Einsatz entsprechender Lösungen, die dafür sorgen, dass vorab definierte Dateitypen erst gar nicht per E-Mail angenommen werden können. Wenn sie stattdessen beim Empfänger-Unternehmen über dessen eigene Web-Anwendung abrufbar sind, haben Robots aufgrund vorhandener Authentifizierungsmaßnahmen keine Chance, Schadcode zu verbreiten. Verschiedene Sicherheitsstufen machen so den Angreifern – die möglichst anonym möglichst viele Rechner angreifen möchten – das Leben schwerer.
Angriffsvektor „Chefmasche“
Aber auch die Angriffe mit der Chefmasche (auch „Business E-Mail Compromise“ genannt) sorgten in diesem Jahr für Aufsehen – und demonstrierten den weiter gestiegenen Bedarf an geeigneten Abwehrmaßnahmen. Wie Unternehmen und Behörden Informationen einfach und sicher austauschen können, hat Befine Solutions auf der diesjährigen it-sa gezeigt. So ermöglicht es die aktuelle Version des Cryptshare-Servers, alle ein- und ausgehenden E-Mail-Nachrichten und Dateien vollumfänglich an ein Archiv- oder Dokumentenmanagementsystem zu übergeben. Ebenfalls in Zusammenhang mit der DSGVO steht die Anfang 2017 vorgestellte Funktion zur E-Mail-Schutz-Klassifizierung, die nun weiter ausgebaut wird.
Aus Sicht der IT-Verantwortlichen ist das eine wichtige Hilfestellung: Gerade große digitale Datenmengen, die sich nicht per E-Mail versenden lassen, können Mitarbeiter dazu verleiten, andere Hilfsmittel für den Datenaustausch zu verwenden – wie USB-Sticks, File-Sharing-Lösungen oder Cloud-Dienste, die sie vor allem aus dem privaten Bereich kennen. Oft sind damit Kommunikationsvorgänge verbunden, die protokolliert und archiviert werden müssten, es ist aber kein Archivsystem angebunden. Und in manchen Fällen ist zwar die Archivierung der E-Mails möglich, nicht aber die großer Dateien.
Neu ist auch, dass im Server-Log und in den ans Archiv übergebenen Daten eindeutige Prüfsummen für alle Dateien und Nachrichten vergeben werden. So lässt sich nachprüfen, ob die vorliegende Datei bit-weise der übertragenen entspricht oder ob es sich um einen technischen Schaden oder um Manipulation handelt. Für mehr Eindeutigkeit und Nachvollziehbarkeit sorgt nun eine eindeutige ID pro Transfer zusätzlich zu jener pro Empfänger.
Das ist insbesondere im Hinblick auf gesetzliche Regelungen wie die EU-weit beschlossene und im Mai 2018 umgesetzte Datenschutzgrundverordnung relevant. Sobald sie endgültig in Kraft tritt, müssen betroffene Unternehmen Datenschutzverletzungen anzeigen. Das können beispielsweise die unbeabsichtigte Veröffentlichung von persönlichen Kundeninformationen durch eine Bank, die Offenlegung von Forschungsinformationen eines Pharma-Unternehmens oder der Verlust von Konstruktionszeichnungen eines Ingenieurbüros sein.
Einige Unternehmen und Einrichtungen beispielsweise aus dem Gesundheitswesen, der Verwaltung, aber auch Banken, Versicherungen oder Betreiber kritischer Infrastrukturen stehen hierbei unter besonders strenger Beobachtung von Regulierungsbehörden. Zumal den Betroffenen nicht nur wirtschaftlicher Schaden entsteht, wenn vertrauliche Informationen – versehentlich oder absichtlich – in die falschen Hände gelangen, auch der potenzielle Reputationsschaden sollte nicht unterschätzt werden. (rhh)
