Wie Sie sich wirksam gegen Ransomware schützen

Wenn Sie die in diesem Artikel beschriebenen Empfehlungen genau befolgen, werden Sie niemals Lösegeld zahlen, erhalten Ihre Daten immer zurück und minimieren Ausfallzeiten auf ein für Sie akzeptables Maß.

 

Einige interessante Fakten

•  Jeden Tag werden in der Tschechischen Republik 20 Straftaten im Zusammenhang mit Cyberangriffen gemeldet.
•  In den letzten 3 Jahren hat sich die Anzahl der Angriffe verdoppelt.
•  Jedes Jahr wird für einen Angriff durchschnittlich 25 % mehr Lösegeld gezahlt.
•  Nur einige Organisationen bereiten sich im Voraus auf einen Angriff vor. Die anderen warten.
•  Die Frage ist nicht, ob ein Angriff kommt, sondern wann er kommt.

Was ist Ransomware?

Ransomware ist Schadcode (Malware), der mit dem Ziel entwickelt wurde, den Angreifer zu bereichern. Sie funktioniert nach dem Prinzip der Erpressung von Nutzern. Geschädigte Nutzer werden gezwungen, für die Freigabe (Entschlüsselung ihrer eigenen Daten) zu zahlen.

Wie Ransomware funktioniert

Sobald Ransomware in einen Computer oder ein Computernetzwerk eindringt, verschlüsselt sie sämtliche Daten auf lokalen Festplatten, externen Datenträgern, Netzwerkspeichern, NAS-Systemen sowie Daten auf anderen Rechnern. Aufgrund unsicherer Protokolle (in der Regel über nicht aktualisierte Systeme) kann Ransomware auch Bereiche im Netzwerk und Geräte erreichen, die ansonsten sehr gut abgesichert und normalerweise nicht zugänglich sind. Besonders heimtückisch ist auch, dass die Verschlüsselung nicht unmittelbar nach der Infektion beginnen muss, sondern erst zeitversetzt. Sobald alle Daten verschlüsselt sind, fordert der Angreifer Lösegeld. In der Regel erscheint auf den Bildschirmen der betroffenen Rechner eine Aufforderung, innerhalb einer bestimmten Frist einen bestimmten Betrag zu zahlen, während ein Countdown läuft (beispielsweise: Zahlen Sie 5 Bitcoin innerhalb von 72 Stunden auf ein bestimmtes Bitcoin-Konto). Wenn Sie Opfer eines Ransomware-Angriffs werden und alle Daten, Systeme und Backups verlieren, bleibt Ihnen nichts anderes übrig, als das Lösegeld zu zahlen. Nach Zahlung des Lösegelds sollten die Angreifer einen Entschlüsselungsschlüssel senden. Nach dessen Eingabe sollte die Entschlüsselung Ihrer Daten und damit ihre Wiederherstellung in den ursprünglichen Zustand erfolgen.

Warum gibt es jetzt so viel Ransomware und warum hört man überall davon?

Ganz einfach, weil es funktioniert und eine sehr einfache Möglichkeit ist, auf unlautere Weise Geld zu verdienen. Während erfolgreiche Ransomware-Angreifer früher sehr gute Programmierer waren, die einen ausreichend verdorbenen Charakter hatten, um sich auf diese Weise zu bereichern, reicht heute schon allein der verdorbene Charakter. Denn Ransomware kann gekauft oder sogar gemietet werden. Wenn also fast jeder ein erfolgreicher Angreifer werden kann, nimmt die Zahl der Angriffe logischerweise zu.

Senden die Angreifer nach der Zahlung tatsächlich funktionierende Entschlüsselungsschlüssel?

Darauf gibt es keine allgemeingültige Antwort. Die Erfahrungen unserer Kunden und Partner sind widersprüchlich. Während einige sogar mehrfach bezahlt und die Daten anschließend erfolgreich entschlüsselt haben, erhielten andere nie einen Schlüssel. Es hängt vom jeweiligen Angriff ab. Es gibt sogar bekannte Fälle von offensichtlich „misslungener Ransomware“, bei denen die Verschlüsselung erfolgte, aber die Verbindung für Zahlungen und Kommunikation nicht funktionierte, sodass keine Entschlüsselung möglich war.

Ein Rat: Versuchen Sie, den Angreifer vorab zu kontaktieren, und bitten Sie ihn um einen Beweis, dass er tatsächlich Kontrolle über Ihre Daten hat. Bitten Sie den Angreifer, einen Teil der Daten zu entschlüsseln oder Ihnen einen Teil der beschädigten Daten bereitzustellen, beispielsweise einige Dateien. Daraus ergibt sich sowohl, ob der Angreifer erreichbar ist, als auch, ob er Ihnen überhaupt helfen kann. Wenn ein geringer Betrag gefordert wird – etwa 100 bis 500 Dollar (in der Regel ein Massenangriff auf viele Nutzer) –, muss sich der Angreifer nicht melden, und dennoch können Entschlüsselungsschlüssel gesendet werden, da der Vorgang automatisiert ist. Wenn Sie jedoch eine große oder wirtschaftlich erfolgreiche Organisation sind, die gezielt angegriffen wurde, und der geforderte Betrag mehrere Tausend Dollar beträgt, wird der Angreifer wahrscheinlich in seinem eigenen Interesse mit Ihnen kommunizieren. Dann bleibt nur zu zahlen, zu hoffen, zu entschlüsseln, daraus zu lernen und sich vor dem nächsten Angriff zu schützen.

Kann Ransomware auch uns angreifen?

Ja. Und wenn es noch nicht geschehen ist, wird es mit hoher Wahrscheinlichkeit sehr bald passieren. Einer der aktuellen Trends im Bereich Ransomware ist die gezielte Ausrichtung auf lokale Nutzer und Organisationen. Dadurch erhöhen Angreifer ihre Erfolgschancen. Auf E-Mails in schlechtem Englisch, die zum Öffnen eines verdächtigen Anhangs auffordern, fällt heute kaum noch jemand herein. Wenn jedoch ein Geschäftsführer eine E-Mail von einer renommierten Anwaltskanzlei erhält (die E-Mail-Adresse ist natürlich gefälscht), die in gutem juristischem Tschechisch verfasst ist und darauf hinweist, dass wegen einer unbezahlten Rechnung in den kommenden Tagen Klage gegen das Unternehmen erhoben wird, öffnet der Geschäftsführer mit hoher Wahrscheinlichkeit den infizierten Anhang, in dem sich angeblich die unbezahlte Rechnung befindet. Und da die oberste Führungsebene in vielen Unternehmen über vollständige, also administrative Rechte verfügt, kann die Verschlüsselung beginnen. Eine weitere häufige Methode sind beispielsweise Angriffe über das RDP-Protokoll, bei denen der Angreifer versucht, per Brute Force den Zugriff auf den Remote-Desktop zu knacken. Gelingt dies, steht der Ausführung der Ransomware nichts mehr im Weg.

10 + 1 Regeln für eine wirksame Abwehr von Ransomware

1) Der häufigste Infektionsweg führt über E-Mails und infizierte Anhänge oder Links in E-Mails, die zu infizierten Inhalten führen. Das Mindeste, was Sie tun können, ist eine strengere E-Mail-Filterung einzurichten.

2) Das größte Risiko sind die Nutzer. Es ist nicht schwierig, einen ungeschulten Nutzer unter einem Vorwand zum Öffnen eines Anhangs zu bewegen. Ein solcher Anhang kann beispielsweise eine angeblich nicht bezahlte Rechnung sein, die an die Buchhaltung gesendet wurde, ein angeblicher Lebenslauf an die Personalabteilung, eine angebliche Bestellung an die Vertriebsabteilung oder eine angebliche Bestätigung über die Zustellung einer Sendung. Geben Sie daher Nutzern, die keine Administratorrechte benötigen, keine Administratorrechte.

3) Schulen Sie die Nutzer und führen Sie wiederholt Schulungen zum sicheren Verhalten durch. Insbesondere für Nutzer mit erweiterten Rechten.

4) Aktualisieren Sie. Ein aktuelles System bedeutet in der Regel ein gepatchtes System mit weniger Sicherheitslücken (natürlich nicht immer). Bei regelmäßig aktualisierten Systemen besteht stets ein geringeres Risiko, dass das System von Ransomware angegriffen und diese weiterverbreitet wird.

5) Nutzen Sie aktive Schutzmechanismen gegen Ransomware, beispielsweise Antivirenprogramme und Sicherheitssoftware. Oder nutzen Sie den aktiven Schutz vor Ransomware, der in allen Backup-Lösungen von Acronis enthalten ist. Der Vorteil des aktiven Schutzes von Acronis besteht darin, dass er direkt auf Ransomware spezialisiert ist. Der aktive Schutz kann die Verschlüsselung und Verbreitung von Ransomware erkennen und stoppen oder zumindest den verursachten Schaden mindern. Darüber hinaus kann der aktive Schutz von Acronis bereits verschlüsselte Dateien automatisch aus dem Cache des Dateisystems wiederherstellen. Installieren Sie auf Rechnern, auf denen Sie keine kostenpflichtige Backup-Lösung von Acronis verwenden, zumindest den kostenlosen aktiven Schutz vor Ransomware – Acronis Ransomware Protection (Der kostenlose aktive Schutz in Acronis Ransowmare Protection ist nur für die Betriebssysteme Windows 7, 8 und 10 bestimmt. Der aktive Schutz in kostenpflichtigen Backup-Lösungen von Acronis schützt auch Serverbetriebssysteme und virtuelle Infrastrukturen).

6) Nutzen Sie passiven Schutz – durch Backups. Kein aktiver Schutz gewährleistet eine 100%ige Abwehr gegen Ransomware. Es ist immer ein Wettlauf zwischen den Entwicklern aktiver Schutzmechanismen und den Erstellern von Ransomware. Aktiver Schutz erhöht daher lediglich die Chance, einem Angriff zu widerstehen. Erstellen Sie deshalb Backups und speichern Sie sie an einem sicheren Ort. Im Ernstfall können Sie Daten und Systeme aus Backups wiederherstellen. Voraussetzung ist, dass die Backups „sicher“ gespeichert sind, siehe die folgenden Punkte 7 und 8.

7) Schützen Sie Backups. Wenn Ransomware Zugriff auf Backups erhält (intelligentere Ransomware versucht dies zuerst), verschlüsselt sie diese ebenfalls ohne Gnade. Wenn Sie eine Backup-Lösung von Acronis verwenden, steht Ihnen zusätzlich ein aktiver Schutz gegen Ransomware zur Verfügung. Dieser verhindert unter anderem, dass Backups, die mit Acronis erstellt wurden, von infizierten Rechnern verschlüsselt werden (das sogenannte Acronis Self-Defense-System).

8) Verbergen Sie Backups. Sie müssen Backups nicht aktiv schützen, wenn Ransomware sie nicht erreichen kann. Speichern Sie Backups daher nicht in Speichern, auf die alle Zugriff haben. Das Schlimmste, was Sie tun können, ist, Backups frei direkt neben den Daten der Nutzer zu speichern. Es muss ein separater Bereich für Backups eingerichtet und isoliert werden. Die Berechtigungen müssen genau festgelegt werden. Wenn Sie Backups mit Software von Acronis erstellen, legen Sie fest, dass nur Acronis Zugriff auf den betreffenden Speicher hat und dass eine durch ein Passwort geschützte Anmeldung erforderlich ist. Verwenden Sie dieses Passwort und damit den Backup-Speicher für keine anderen Zwecke.

9) Speichern Sie Kopien der Backups an einem Ort, an dem Ransomware ihnen nicht schaden kann. Der ideale Ort ist der Cloud-Speicher von Acronis – Acronis Cloud Storage. Warum? Weil die Kommunikation zwischen Client-Geräten und Cloud-Speicher über einen proprietären Mechanismus erfolgt, der unter anderem gültige Zertifikate zur Authentifizierung verwendet. Somit besteht keine Möglichkeit, dass Ransomware Backups in der Cloud beschädigt oder verschlüsselt. Das bedeutet, dass selbst dann, wenn eine Organisation gerade angegriffen wird und ein infiziertes Backup an den Cloud-Speicher von Acronis gesendet wird, die anderen in der Cloud gespeicherten Backups in Ordnung bleiben. Das letzte, infizierte Backup kann nicht zur Wiederherstellung verwendet werden. Es kann jedoch jedes andere, zuvor erstellte Backup verwendet werden, dessen Inhalt noch nicht verschlüsselt ist.

Vergleicht man dies mit üblichen Offsite-Speichern wie Public Cloud oder Private Cloud, die über allgemein verwendete Protokolle zugänglich sind, wird deutlich, dass durch das Öffnen einer Verbindung während eines laufenden Angriffs auch die Backups gefährdet werden, die in einem sekundären Speicher außerhalb der Organisation abgelegt sind. Außerdem kann Ransomware ebenso wie auf lokale Speicher Zugriff auf diese Speicher erhalten. Ransomware kann somit auch Backups verschlüsseln, die am anderen Ende der Welt gespeichert sind. Ein solcher sekundärer Speicher schützt eine Organisation dann nur vor Ausfällen des primären Backup-Speichers, reicht jedoch leider nicht als Schutz vor Ransomware aus.

10) Wenn Sie alle vorherigen Punkte erfüllen, können Sie beruhigt schlafen. Sie haben nämlich die 100%ige Gewissheit, dass Sie kein Lösegeld zahlen werden. Sie haben die Gewissheit, dass Sie keine Daten verlieren. Sie haben die Gewissheit, dass Sie die Systeme letztlich wieder in Betrieb nehmen können, selbst wenn Ransomware die Hälfte der Organisation verschlüsselt (natürlich wird dies Zeit kosten). Wenn Ihnen das nicht genügt, lesen Sie Punkt 11.

11) Ein Punkt für anspruchsvolle Nutzer – wenn Sie keine durch Ransomware oder andere Ursachen verursachten Ausfälle tolerieren können (Sie garantieren einen unterbrechungsfreien Betrieb, betreiben kritische Systeme oder jede Stunde Ausfall verursacht enorme Verluste), sehen Sie sich die Kombination aus der Unternehmens-Backup-Lösung Acronis Backup und Acronis Disaster Recovery an. Dieses System kann im Moment eines Ausfalls, der beispielsweise durch Ransomware verursacht wurde, kritische Rechner in der Cloud von Acronis starten und damit alle Dienste übernehmen, die betrieben werden müssen. Nach der Wiederinbetriebnahme der Produktionsumgebung schalten Sie nahezu ohne Ausfall (rechnen Sie mit 1–2 Minuten offline) zurück auf die Produktionsrechner in der Organisation. Im Hintergrund werden aktuelle Daten von den vorübergehend laufenden Cloud-Rechnern auf diese übertragen, anschließend erfolgt die Umschaltung.

Übersicht der Acronis-Lösungen zum Schutz vor Ransomware

Für wen die Lösung geeignet ist	Lösungen für Privathaushalte			Lösungen für Organisationen
Name der Lösung	Acronis True Image Standard	Acronis True Image Advanced	Acronis True Image Premium	Acronis Backup	Acronis Backup + Acronis Cloud Storage	Acronis Backup + Acronis Disaster Recovery
Kostenpflichtige Lösung
Zum Schutz von Computern, Arbeitsstationen und Notebooks
Zum Schutz von Servern, virtueller und Cloud-Infrastruktur
Schutz vor der Verschlüsselung von Daten und der Verbreitung von Ransomware
Erstellung und Speicherung von Backups in lokalen und Netzwerkspeichern
Schutz vor der Verschlüsselung von Acronis-Backups
Senden von Backups in einen separaten Cloud-Speicher von Acronis		250 GB	1 000 GB		Nach eigener Wahl	Nach eigener Wahl
Start einer identischen Kopie eines kritischen Rechners in der Cloud
Übertragung einer aktuellen Kopie des Rechners zurück in die Produktionsumgebung

Namen der Lösungen – im oberen Teil der Tabelle befinden sich Links (durch Anklicken gelangen Sie zur jeweiligen Lösung)

Benötigen Sie konkrete Beratung?

•  Benötigen Sie Beratung zum Schutz vor Ransomware?
•  Möchten Sie wissen, wie ein solcher Schutz bei Ihnen aussehen könnte?
•  Möchten Sie mit eigenen Augen sehen, wie wir unsere Systeme schützen?

Zögern Sie nicht, uns unter +420 596 912 961 zu kontaktieren oder schreiben Sie eine E-Mail an info@acronis.cz

Quelle: https://www.acronis.cz/ochrana-proti-ransomwaru/