Die fast täglichen Schlagzeilen über immer neue Ransomware-Angriffe auf Großunternehmen, Krankenhäuser oder Universitäten sind deutliche Zeichen dafür, dass sich die Bedrohungslage in den letzten Jahren und Monaten geändert hat. Noch vor drei bis vier Jahren, zu Zeiten der Locky-Ransomware, waren die Angriffe breit gestreut. Durch die Zahlung relativ moderater Lösegeldsummen von 300 bis 500 Euro bekamen Opfer den Entschlüsselungscode, um wieder an die private Fotosammlung, aber auch an die Daten auf dem verschlüsselten Firmen-Dateiserver zu gelangen. Doch dann fingen die Cyberkriminellen vermehrt an, sich auf die wirklich lukrativen Ziele, auf Unternehmen und andere große Organisationen zu konzentrieren.
Eine von Sophos veröffentlichte Studie zum Thema Ransomware hat ergeben, dass über die Hälfte der in Deutschland befragten mittelständischen Unternehmen in den letzten zwölf Monaten Opfer von Ransomware waren und bei diesen Unternehmen im Durchschnitt über 400.000 Euro Schaden durch den Ausfall oder die Einschränkung des Geschäftsbetriebs entstand. Ein Cyberangriff ist also nicht mehr, wie in vergangenen Jahrzehnten, die Ausnahme. Er ist heute die Regel und betrifft Organisationen aller Größen.
Cyberkriminelle ändern ihre Taktik bei Ransomware
Zudem haben die Cyberkriminellen die Taktik geändert. Nach einer erfolgreichen Infektion werden nicht gleich Daten verschlüsselt. Stattdessen spähen die Eindringlinge Unternehmensnetze jetzt erst langsam und vorsichtig aus, um vielversprechende Geschäftsdaten zu identifizieren und sich innerhalb des Netzwerks auf möglichst vielen Systemen einzunisten. Und bevor die Hacker dann mit einer Ransomware tatsächlich Daten verschlüsseln, Backups unbrauchbar machen und das Unternehmen teilweise oder komplett lahmlegen, stehlen die Hacker zunächst Geschäftsgeheimnisse und personenbezogene Daten. Denn wenn die Hacker losschlagen und per Ransomware Rechner und Daten verschlüsseln, haben sie als weiteres Druckmittel die bereits gestohlenen Daten und drohen mit deren Veröffentlichung, falls das betroffene Unternehmen z.B. aufgrund eines guten Backup-Konzepts das Ransomware-Lösegeld nicht zahlen will. Denn mit der Veröffentlichung der gestohlenen Daten drohen dem Unternehmen Reputationsverlust, Schaden durch Preisgabe von Geschäftsgeheimnissen und nicht zuletzt Strafen im Rahmen der DSGVO, wenn personenbezogene Daten veröffentlicht wurden. Nicht umsonst nennt das Bundeskriminalamt in seinem im September 2020 erschienenen Cybercrime Bundeslagebild 2019 die Ransomware als „die primäre, existentielle Bedrohung für Unternehmen“.
Traditionelle Maßnahmen bieten keinen Schutz mehr
Es stellt sich die Frage, was Organisationen und Unternehmen tun können (und müssen), um nicht das nächste Opfer zu werden. Außer Frage steht, dass die traditionellen Schutzmaßnahmen wie Firewall und Anti-Virus heute keinen ausreichenden Schutz mehr gegen professionelle Angreifer bieten. Der Bundesverband IT-Sicherheit e.V. (TeleTrusT), der u.a. maßgeblich auf die Einschätzungen der Cyberrisikoversicherungen einwirkt, definiert als „Stand der Technik“ im Jahr 2020 Endpoint Detection & Response – abgekürzt EDR. EDR ist ein ganzheitlicher Ansatz am Endpoint und Server, der neben modernen Schutztechnologien wie Exploit- und Ransomware-Schutz auch die unternehmensweite Erkennung von Hackeraktivität und die Eindämmung von Bedrohungen beinhaltet. Mit EDR können bereits Vorstufen von Angriffen und Hackeraktivitäten in der Phase erkannt werden, in der sich ein Angreifer im Netzwerk umsieht und ausbreitet. Um EDR jedoch effektiv zu bedienen, wird spezialisiertes Personal benötigt - und zwar rund um die Uhr, am Wochenende wie an Feiertagen. Aus diesem Grund bieten immer mehr Hersteller und Dienstleister Managed Detection and Response (MDR)-Dienstleistungen an, die im Auftrag der zu schützenden Unternehmen deren Netzwerke kontinuierlich auf Bedrohungen überwachen. Diese Dienstleistung ist in den meisten Fällen kostengünstiger und effektiver, als wenn Unternehmen ein eigenes Security Operations Center (SOC) für diesen Zweck aufbauen und mit eigenen Spezialisten besetzen.
Bei der Auswahl einer EDR Lösung sollten Unternehmen Wert darauf legen, dass die Lösung Angriffe nicht nur im Nachhinein erkennt, sondern diese bereits im Ansatz durch umfangreiche NextGen-Endpoint-Schutzfunktionen verhindert. Und wenn ein Unternehmen sich für MDR entscheidet, dann sollte der MDR-Anbieter nicht nur in der Lage sein, einen Angriff zu erkennen, sondern diesen nach Absprache mit dem betroffenen Unternehmen auch eigenständig zu stoppen.
State-of-the-Art IT-Security ermöglicht das Überleben von Unternehmen
Zusammengefasst müssen Unternehmen heute viel mehr Aufwand im Bereich der IT-Sicherheit betreiben, um sich vor hochprofessionellen Angreifern zu schützen. Die traditionellen Schutzmechanismen alleine greifen nicht mehr – da diese Konstellation aber in vielen Unternehmen noch anzutreffen ist, sind moderne Cyberattacken aktuell so erfolgreich und finden täglich neue Opfer. DSGVO und Cyberrisikoversicherungen verlangen den „Stand der Technik“, der heute durch Endpoint Detection and Response-Lösungen inklusive fachgerechter Bedienung definiert ist. Deshalb brauchen Unternehmen de facto Managed Detection and Response-Dienstleistungen, damit Geschäftsführung und IT den Ansprüchen gerecht werden können. Denn es geht bei IT-Security heute nicht mehr darum, dass diese wie in der Vergangenheit als Kostenfaktor gesehen wird – sie ermöglicht heute nichts weniger als das Überleben von Unternehmen, die in irgendeiner Form IT-Systeme einsetzen.
Autor: Michael Veit, Technology Evangelist bei Sophos
Eine von Sophos veröffentlichte Studie zum Thema Ransomware hat ergeben, dass über die Hälfte der in Deutschland befragten mittelständischen Unternehmen in den letzten zwölf Monaten Opfer von Ransomware waren und bei diesen Unternehmen im Durchschnitt über 400.000 Euro Schaden durch den Ausfall oder die Einschränkung des Geschäftsbetriebs entstand. Ein Cyberangriff ist also nicht mehr, wie in vergangenen Jahrzehnten, die Ausnahme. Er ist heute die Regel und betrifft Organisationen aller Größen.
Cyberkriminelle ändern ihre Taktik bei Ransomware
Zudem haben die Cyberkriminellen die Taktik geändert. Nach einer erfolgreichen Infektion werden nicht gleich Daten verschlüsselt. Stattdessen spähen die Eindringlinge Unternehmensnetze jetzt erst langsam und vorsichtig aus, um vielversprechende Geschäftsdaten zu identifizieren und sich innerhalb des Netzwerks auf möglichst vielen Systemen einzunisten. Und bevor die Hacker dann mit einer Ransomware tatsächlich Daten verschlüsseln, Backups unbrauchbar machen und das Unternehmen teilweise oder komplett lahmlegen, stehlen die Hacker zunächst Geschäftsgeheimnisse und personenbezogene Daten. Denn wenn die Hacker losschlagen und per Ransomware Rechner und Daten verschlüsseln, haben sie als weiteres Druckmittel die bereits gestohlenen Daten und drohen mit deren Veröffentlichung, falls das betroffene Unternehmen z.B. aufgrund eines guten Backup-Konzepts das Ransomware-Lösegeld nicht zahlen will. Denn mit der Veröffentlichung der gestohlenen Daten drohen dem Unternehmen Reputationsverlust, Schaden durch Preisgabe von Geschäftsgeheimnissen und nicht zuletzt Strafen im Rahmen der DSGVO, wenn personenbezogene Daten veröffentlicht wurden. Nicht umsonst nennt das Bundeskriminalamt in seinem im September 2020 erschienenen Cybercrime Bundeslagebild 2019 die Ransomware als „die primäre, existentielle Bedrohung für Unternehmen“.
Traditionelle Maßnahmen bieten keinen Schutz mehr
Es stellt sich die Frage, was Organisationen und Unternehmen tun können (und müssen), um nicht das nächste Opfer zu werden. Außer Frage steht, dass die traditionellen Schutzmaßnahmen wie Firewall und Anti-Virus heute keinen ausreichenden Schutz mehr gegen professionelle Angreifer bieten. Der Bundesverband IT-Sicherheit e.V. (TeleTrusT), der u.a. maßgeblich auf die Einschätzungen der Cyberrisikoversicherungen einwirkt, definiert als „Stand der Technik“ im Jahr 2020 Endpoint Detection & Response – abgekürzt EDR. EDR ist ein ganzheitlicher Ansatz am Endpoint und Server, der neben modernen Schutztechnologien wie Exploit- und Ransomware-Schutz auch die unternehmensweite Erkennung von Hackeraktivität und die Eindämmung von Bedrohungen beinhaltet. Mit EDR können bereits Vorstufen von Angriffen und Hackeraktivitäten in der Phase erkannt werden, in der sich ein Angreifer im Netzwerk umsieht und ausbreitet. Um EDR jedoch effektiv zu bedienen, wird spezialisiertes Personal benötigt - und zwar rund um die Uhr, am Wochenende wie an Feiertagen. Aus diesem Grund bieten immer mehr Hersteller und Dienstleister Managed Detection and Response (MDR)-Dienstleistungen an, die im Auftrag der zu schützenden Unternehmen deren Netzwerke kontinuierlich auf Bedrohungen überwachen. Diese Dienstleistung ist in den meisten Fällen kostengünstiger und effektiver, als wenn Unternehmen ein eigenes Security Operations Center (SOC) für diesen Zweck aufbauen und mit eigenen Spezialisten besetzen.
Bei der Auswahl einer EDR Lösung sollten Unternehmen Wert darauf legen, dass die Lösung Angriffe nicht nur im Nachhinein erkennt, sondern diese bereits im Ansatz durch umfangreiche NextGen-Endpoint-Schutzfunktionen verhindert. Und wenn ein Unternehmen sich für MDR entscheidet, dann sollte der MDR-Anbieter nicht nur in der Lage sein, einen Angriff zu erkennen, sondern diesen nach Absprache mit dem betroffenen Unternehmen auch eigenständig zu stoppen.
State-of-the-Art IT-Security ermöglicht das Überleben von Unternehmen
Zusammengefasst müssen Unternehmen heute viel mehr Aufwand im Bereich der IT-Sicherheit betreiben, um sich vor hochprofessionellen Angreifern zu schützen. Die traditionellen Schutzmechanismen alleine greifen nicht mehr – da diese Konstellation aber in vielen Unternehmen noch anzutreffen ist, sind moderne Cyberattacken aktuell so erfolgreich und finden täglich neue Opfer. DSGVO und Cyberrisikoversicherungen verlangen den „Stand der Technik“, der heute durch Endpoint Detection and Response-Lösungen inklusive fachgerechter Bedienung definiert ist. Deshalb brauchen Unternehmen de facto Managed Detection and Response-Dienstleistungen, damit Geschäftsführung und IT den Ansprüchen gerecht werden können. Denn es geht bei IT-Security heute nicht mehr darum, dass diese wie in der Vergangenheit als Kostenfaktor gesehen wird – sie ermöglicht heute nichts weniger als das Überleben von Unternehmen, die in irgendeiner Form IT-Systeme einsetzen.
Autor: Michael Veit, Technology Evangelist bei Sophos
