Auf die Virenmail folgt die Online-Erpressung
Ransomware-Attacken auf Unternehmen nehmen zu, meldet Kroll Ontrack. Weitere Anbieter aus dem Bereich IT-Sicherheit teilen diese Einschätzung. Die Besonderheit von Ransomware ist, dass sie mit Daten genau das macht, was an sich sinnvoll ist: Sie verschlüsselt die Daten – allerdings gegen den Willen der Opfer, und die Erpresser behalten den digitalen Schlüssel für sich. Die Freigabe erfolgt nur gegen Zahlung eines Lösegeldes – wenn überhaupt.
Die steigende Gefahr durch Erpresserviren sollte Unternehmen mehrfach wachrütteln. Zum einen ist bei den betroffenen Unternehmen die Abwehr gegen Schadsoftware offenbar unzureichend. Denn eine aktuelle Antivirensoftware, die Malware mit verschiedenen Methoden sucht und erkennt, kann durchaus auch Ransomware feststellen. Aber es gibt weitere Punkte, die bei beim Mittelstand dringend besser werden müssen.
Wertvoll ist, was verfügbar sein muss
Wenn es Erpresserviren gelingt, Daten zu verschlüsseln, sodass Internet-Kriminelle Geld für die Entschlüsselung verlangen können, so unterstreicht dies, dass die Daten unzureichend geschützt waren, obwohl sie durchaus einen Wert für das angegriffene Unternehmen haben. Hätten sie keinen Wert, könnte man den Erpressern ja abwinken, die ungewollt verschlüsselten Daten links liegen lassen oder sie sogar einfach löschen.
Die Frage ist also: Warum schützen Unternehmen ihre wertvollen Daten nicht? Die Antwort: Als wertvoll sieht man Daten meist nur bei hoher Vertraulichkeit. Baupläne von Flugzeugkomponenten, Forschungsunterlagen – solche Sachen. Man vergisst darüber, dass Daten auch dann einen Wert haben, wenn sie keine Betriebsgeheimnisse darstellen, sondern wenn sie einfach nur verfügbar sein müssen, weil das Unternehmen damit arbeiten muss. Namentlich Kundenlisten sind im Mittelstand ein regelmäßig unterschätztes Gut, das notorisch fahrlässig gesichert ist.
Sicherheitskonzept gegen Ransomware
Die Meldungen über die steigende Anzahl von Ransomware-Attacken sind eine deutliche Warnung, dass Unternehmen ihre IT-Sicherheit nach dem Wert der Daten ausrichten müssen. Der Wert der Daten hängt direkt mit dem Schutzbedarf zusammen und ist nicht nur eine Frage der Vertraulichkeit, sondern auch der Verfügbarkeit und der Integrität. Entscheidend ist nicht nur die Frage, was Datendiebe damit anstellen könnten, sondern ob ich die Informationen für mein Geschäft brauche.
Praktischer Tipp: Datenwert und Lösegeld
Die sieben am meisten verbreiteten Fehleinschätzungen zur Sicherheit der Daten im eigenen Unternehmen hat Bogdan Botezatu in der Huffington Post zusammengestellt. Nr. 1 ist der Irrtum, man selbst sei doch nicht wichtig genug, um zur Zielscheibe zu werden.
Dabei ist eine Datenwertanalyse im Prinzip nicht schwer. Sie sichtet die Bestände und antwortet auf die Verfügbarkeitsfrage, welche Daten das Unternehmen sofort/jederzeit/oft/weniger oft/eigentlich nie braucht. Anders formuliert: Mit welchen Daten könnte ein Erpresser reich werden? Für viele Privatleute ist das schlicht der ganze Kram auf dem PC oder Smartphone, für Gamer sind das z.B. die Spielstände, Unternehmen trifft momentan die Ransomware-Sperrung von virtuellen Laufwerken und Datenbanken besonders hart und selbst eine Polizeiwache in den USA zahlte der Chicago Tribune zufolge 606 US$ in Bitcoins, um ihre Dienstunterlagen wieder freizubekommen.
Generell ist – wie bei allen Fällen von Erpressung – dazu zu raten, nicht auf die Forderungen der Kriminellen einzugehen. Andernfalls entwickelt sich die Masche zu einem massenhaften und in der Summe millionenschweren Untergrundmarkt. Der sinnvollste Schritt ist der Gang zur Polizei. Da tut es gut zu hören, dass im Herbst 2015 sechs mit Ransomware angegriffene Unternehmen in Schleswig-Holstein die Lösegeldzahlung verweigert und Anzeige erstattet haben. (red)
Die Zunahme an Erpresserviren zeigt, dass es um die Datensicherung in Unternehmen schlecht bestellt ist – und bei der Malware-Abwehr ebenso. Wäre dies nicht der Fall, würden digitale Erpresser nicht das große Geschäft wittern. Unternehmen brauchen
- einen professionellen und aktuellen Malware-Schutz,
- ein wert- und schutzbedarfsabhängiges IT-Sicherheitskonzept sowie
- eine Datensicherung, die auch all die Daten umfasst, die für die tagtägliche Datenverarbeitung benötigt werden.
Fazit: Verschlüsseln und gegensichern
Der Bedarf an Verschlüsselung hängt davon ab, wie vertraulich Daten sind. Hier geht es darum, dass kein Unbefugter Zugriff auf die Informationen haben soll. Bei Ransomware sind die Verbrecher daran aber in der Regel gar nicht interessiert. Darum brauchen Unternehmen zweitens eine Datensicherung per Backup, die die Verfügbarkeit gewährleisten kann.
Wenn die Datensicherung nicht stimmt, verschlüsseln am Ende andere die eigenen Daten. Die Folge ist nicht nur die digitale Erpressbarkeit, sondern auch massive Probleme im Unternehmensalltag, wenn der Zugriff auf die Daten nicht mehr so möglich ist, wie es für das Unternehmen erforderlich wäre.
Oliver Schonschek bewertet als News Analyst auf MittelstandsWiki.de aktuelle Vorfälle und Entwicklungen. Der Fokus liegt auf den wirtschaftlichen Aspekten von Datenschutz und IT-Sicherheit aus dem Blickwinkel des Mittelstands. Er ist Herausgeber und Fachautor zahlreicher Fachpublikationen, insbesondere in seinem Spezialgebiet Datenschutz und Datensicherheit.
Oliver Schonschek, Tel.: 02603-936116, www.schonschek.de
