Ransomware bezahlen oder nicht? So meistern Sie das Dilemma

Ransomware-Angriffe beherrschen die Schlagzeilen und versetzen Führungskräfte in Angst und Schrecken, die mit lähmenden Betriebsausfällen und PR-Albträumen konfrontiert sind. Dennoch sind zu viele Führungskräfte bereit, ein Lösegeld zu zahlen, ohne andere Wege zur Wiederherstellung des Geschäftsbetriebs in Betracht zu ziehen, und vertrauen zu sehr auf den Versicherungsschutz und die Ehrlichkeit krimineller Kartelle. Lösegeldzahlungen führen nicht immer zur Wiederherstellung.

Die Frage lautet also: Vorausgesetzt, Sie können es sich leisten – sollten Sie das Lösegeld zahlen? Und vielleicht noch wichtiger: Können Sie diese Entscheidung gegenüber Ihrem Vorstand, Ihrer Versicherung und den Strafverfolgungsbehörden rechtfertigen?

Die Antwort lässt sich nicht bequem in ein Ja oder Nein pressen. Die treffendste Antwort lautet vielleicht: Es kommt darauf an. Entscheidend ist, dass die Lösegeldzahlung oft die einzige Möglichkeit darstellt – aber nicht die erste sein sollte.

Cyberversicherungen und Daten-Backups haben sich als Teillösung erwiesen. Doch die Mehrheit der Versicherungspolicen verursacht bei einer Auszahlung erhebliche Verluste für den Versicherer. Das bedeutet, dass die Prämien steigen, der Versicherungsschutz abnimmt und mehr Durchsetzungsmaßnahmen nach dem Muster einer „Schadenfreiheitsklasse“ greifen werden. Tatsächlich werden Versicherungsverlängerungen inzwischen in Monaten und nicht in Tagen bemessen.

Und Backups, die in den Tagen der Geschäftskontinuität konzipiert wurden, waren nicht darauf ausgelegt, vorsätzlicher Spionage standzuhalten – einer Standardtaktik von Ransomware-Gruppen. Sie brauchen mehr als einen „erst reparieren, dann weitermachen“-Ansatz.

Siehe auch: Der erfolgreiche CISO: So schaffen Sie Vertrauen bei Stakeholdern

Forderungen nach Ransomware-Zahlungen vermeiden

Auf die Frage, wie man die Zahlung eines Lösegelds am besten vermeiden kann, lautet die Antwort: Fangen Sie den Cyberangriff in seinen frühen Phasen ab. Kriminelle bedienen sich gängiger Taktiken, Techniken und Vorgehensweisen, die Sicherheitsexperten eine Spur liefern und durch schnelle Erkennung und Reaktion bereits in einem frühen Stadium entdeckt werden können.

Je schneller Sie die frühen Phasen des Angriffs erkennen (und es gibt zahlreiche Indikatoren), desto größer ist Ihre Chance, den Angreifer daran zu hindern, eine dauerhafte Verbindung aufzubauen, die schließlich eine flächendeckende Ransomware-Aktivierung ermöglicht.

Angenommen, Sie ertappen die Kriminellen nicht auf frischer Tat, dann ist  eine schnelle Wiederherstellung der Zahlung vorzuziehen. Mit belastbaren Maßnahmen zur Geschäftskontinuität und Notfallwiederherstellungsprogrammen können Sie Systeme wiederherstellen und gleichzeitig weitreichende Dienstausfälle abmildern. Das bedeutet nicht, dass die Kriminellen nicht zurückkehren werden, aber der erste Punkt geht an Sie. Und während Kriminelle Ihren Betrieb innerhalb weniger Minuten lahmlegen können, brauchen Sie möglicherweise Wochen oder Monate, bis Sie wieder zum normalen Geschäftsbetrieb zurückkehren.

Die Mehrheit der Unternehmen, die Lösegeld zahlen, glaubte, vorbereitet zu sein. Sie sahen sich nicht als Ziel. Sie spielten das Risiko herunter oder überschätzten ihre Fähigkeit, den Angriff abzuwehren. Lassen Sie das nicht zu.

Bevor Sie Ransomware bezahlen: Machen Sie Ihre Hausaufgaben

Die rechtliche Landschaft von Ransomware-Angriffen und Datenschutzverletzungen hat sich in den vergangenen Jahren erheblich verändert. Dokumente zur Reaktion auf Vorfälle, Entscheidungen von Führungskräften und potenziell schädliche Budgetausschlüsse, die einst durch das Anwaltsgeheimnis geschützt waren, können zu kostspieligen Klagen oder zur Ablehnung von Versicherungsansprüchen führen.

Und viele Regierungsbehörden propagieren eine „Nicht zahlen“-Haltung, die durch Einschränkungen und sogar Strafverfolgung untermauert wird, wenn Sie eine Zahlung an einen bekannten Terroristen oder eine bekannte Cyberkriminellengruppe leisten. Deshalb müssen Sie Ihre Hausaufgaben machen, bevor Sie sich für eine Zahlung entscheiden.

Wenn Sie vor dieser Entscheidung stehen, wird sie niemand für Sie treffen. Niemand wird Sie für Ihre Entscheidung schadlos halten oder die daraus entstehende Haftung abwenden – diese wird nur durch die Kreativität der Anwälte der Kläger begrenzt. Sie müssen Experten hinzuziehen, die Ihnen bei der Planung und Reaktion auf einen schwerwiegenden Vorfall wie einen Ransomware-Angriff helfen können. Kennen Sie Ihre Pflichten.

Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen

Vor der Ransomware-Zahlung: Schwierige Fragen

Ich sage oft: Sie brauchen konkrete Informationen, um fundierte Entscheidungen zu treffen, die darauf ausgerichtet sind, negative Auswirkungen zu minimieren.

Wenn Sie vor der unausweichlichen Entscheidung stehen, ein Lösegeld zu zahlen, stellen Sie sich vorher diese Fragen:

1. Können wir uns ohne Zahlung des Lösegelds wiederherstellen?
2. Wird die Zahlung des Lösegelds die Wiederherstellung beschleunigen?
3. Ist die Zahlung des Lösegelds die einzige praktikable Option?
4. Können wir das Lösegeld zahlen, ohne rechtliche Sanktionen zu riskieren?
5. Sollten wir die Strafverfolgungsbehörden kontaktieren, und wird das helfen, falls wir gegen eine Sanktion verstoßen?
6. Wird unsere Versicherung das Lösegeld abdecken?
7. Sollten wir unsere Kunden, Partner oder Mitarbeiter benachrichtigen?
8. Sind wir verpflichtet, Aufsichtsbehörden oder staatliche Stellen zu benachrichtigen?

Wenn Sie diese Fragen beantworten, ist das – ebenso wie die Frage der Lösegeldzahlung selbst – keine Ja-oder-Nein-Entscheidung. Denken Sie natürlich daran, dass Sie zu Ihren Antworten stehen und Ihre Entscheidungen möglicherweise vor Gericht verteidigen müssen.

Siehe auch: Die besten Website-Scanner 

Ransomware verhindern 

Bei einer Cybersicherheitsveranstaltung hatte ich das Vergnügen, Bruce Mathison kennenzulernen, der in den 1980er-Jahren Star-Quarterback der Buffalo Bills war. Als wir ein signiertes Exemplar meines Buches gegen ein signiertes Exemplar seiner Rookie-Karte tauschten, gab er mir den besten Ratschlag für den Umgang mit Vorfällen, die außerhalb der eigenen Kontrolle liegen.

Er sagte: „Man übt nicht, bis man es richtig macht. Man übt, bis man es nicht mehr falsch macht.“ Weise Worte von einem Veteranen des American Football.

Wie etabliert man also Kontrollen und Programme – Methoden zum Üben –, die einen Ransomware-Angriff erkennen und darauf reagieren? Grundlegende Sicherheitskontrollen verringern das Risiko eines geschäftsschädigenden Ransomware-Angriffs drastisch und ermöglichen eine schnelle Wiederherstellung, die nicht auf die Zahlung von Erpressungsgebühren für Entschlüsselungsschlüssel angewiesen ist (diese Schlüssel funktionieren nicht immer, aber das ist ein anderes Thema).

Hier sind grundlegende Kontrollen für Ihre beiden Hauptgruppen:

Für Mitarbeiter

1. Verlangen Sie Multi-Faktor-Authentifizierung für den Zugriff auf Geschäftssysteme.
2. Schützen Sie Remoteverbindungen mit einem Virtual Private Network (VPN) oder einem gleichwertigen Dienst.
3. Schreiben Sie Schulungen und Tests zur Sensibilisierung der Benutzer vor, die Folgendes abdecken:
4. • Aufgabenbezogene Phishing-Köder statt allgemeiner Beispiele.
   • Das Herunterladen von Dateien aus nicht vertrauenswürdigen Quellen.
   • Die Überprüfung von URLs und Dateierweiterungen, um sicherzustellen, dass die Inhalte legitim und beabsichtigt sind.
   • Das Verbot kostenloser Versionen von Anwendungen.
   • Anforderungen zur Einhaltung von Vorschriften.

Für die Administration

1. Setzen Sie für Mitarbeiter das Prinzip der geringsten Berechtigungen ein und entziehen Sie, wo möglich, administrative Rechte.
2. Deaktivieren Sie das Remote Desktop Protocol (RDP), wenn es nicht verwendet wird.
3. Segmentieren Sie Netzwerksysteme.
4. Führen Sie regelmäßig Patches für Systeme durch, basierend auf einer priorisierten Liste kritischer Systeme.
5. Sichern Sie alle kritischen Dateien und Systeme mithilfe segmentierter oder Offline-Strukturen und testen Sie regelmäßig Failover- und Wiederherstellungsdienste.
6. Beschränken Sie den administrativen Zugriff auf kritische Systeme mit Privileged Access Management (PAM) oder ähnlichen Systemen.
7. Stellen Sie Endpoint Detection and Response (EDR)-Agenten auf Domänencontrollern (DC), zentralisierten Protokollierungssystemen und Active Directories (AD) sowie anderen kritischen Systemen bereit, auf die Kriminelle häufig abzielen.

Auch wenn böswillige Akteure wahrscheinlich weiterhin neue Ransomware einsetzen werden, um Schwachstellen auszunutzen, können Sie einiges tun, um die Mauern Ihrer Festung zu verstärken. Und sollten diese Mauern durchbrochen werden, denken Sie daran, die nächsten Schritte wohlüberlegt anzugehen.

Auch wenn die Zahlung des Lösegelds wie der schnellste und einfachste Weg nach vorn erscheinen mag, steht zu viel auf dem Spiel, als dass Sie sich nicht zunächst einige wichtige Fragen stellen sollten.

Siehe auch: Technologieprognosen für 2022: Cloud, Daten, Cybersicherheit, KI und mehr

Über den Autor:

Mark Sangster, Vice President und Industry Security Strategist, eSentire