Ransomware

Warum es wichtig ist

Ransomware hat sich zur profitabelsten Kategorie von Cyberkriminalität entwickelt und verursacht jährlich Schäden in Milliardenhöhe. Angriffe haben Krankenhäuser lahmgelegt, Lieferketten unterbrochen und Städte zum Stillstand gebracht.

Die moderne Ransomware-Bedrohung geht weit über einfache Verschlüsselung hinaus. Angreifer exfiltrieren jetzt Daten vor der Verschlüsselung und drohen mit Veröffentlichung, was als "doppelte Erpressung" bezeichnet wird. Einige Gruppen fügen DDoS-Angriffe oder Belästigung von Kunden als "dreifache Erpressung" hinzu.

Das Ransomware-as-a-Service (RaaS)-Modell hat das Ökosystem demokratisiert. Ransomware-Entwickler lizenzieren ihre Tools an Affiliates, die Angriffe durchführen, was das Volumen und die Reichweite der Angriffe erhöht.

Für Sicherheitsexperten erfordert die Ransomware-Bedrohung sowohl präventive Kontrollen als auch robuste Incident-Response-Fähigkeiten. Die Frage ist nicht ob, sondern wann eine Organisation angegriffen wird.

Wie Ransomware funktioniert

Typischer Angriffsverlauf

Verschlüsselungsmechanismen

Bekannte Ransomware-Familien

Aktuelle Bedrohungen

• LockBit: Dominanter RaaS-Akteur, schnelle Verschlüsselung
• BlackCat/ALPHV: Rust-basiert, plattformübergreifend
• Cl0p: Bekannt für Massenausnutzung (MOVEit)
• Royal: Zielt auf kritische Infrastruktur

Historische Meilensteine

• WannaCry (2017): Globaler Wurm-Angriff mit EternalBlue
• NotPetya (2017): Destruktiver Wiper als Ransomware getarnt
• Ryuk: Großwildjagd auf Unternehmen
• REvil/Sodinokibi: Hochkarätige Angriffe auf Kaseya, JBS

Das RaaS-Ökosystem

Prävention

Technische Kontrollen

Perimeter-Sicherheit

• VPN und RDP sichern (MFA erforderlich)
• Öffentlich zugängliche Dienste minimieren
• Patch-Management priorisieren
• E-Mail-Gateway mit Malware-Erkennung

Endpoint-Schutz

• Modernes EDR mit Verhaltens-Erkennung
• Anwendungs-Whitelisting
• Makros standardmäßig deaktivieren
• Scripting-Sprachen einschränken (PowerShell Constrained Language)

Netzwerk-Segmentierung

• Kritische Systeme isolieren
• Least-Privilege-Zugriff
• Laterale Bewegung begrenzen

Backup und Recovery

• 3-2-1-Backup-Regel (3 Kopien, 2 Medien, 1 offsite)
• Air-gapped Backups
• Regelmäßige Wiederherstellungstests
• Unveränderliche Backups (Immutable)

Operationale Maßnahmen

• Security-Awareness-Training
• Phishing-Simulationen
• Incident-Response-Planung
• Tabletop-Übungen

Incident Response

Sofortmaßnahmen

Entscheidung: Zahlen oder nicht?

Gegen Zahlung:

• Finanziert kriminelle Operationen
• Keine Garantie für Entschlüsselung
• Macht Sie zum wiederholten Ziel
• Möglicherweise gegen Sanktionen verstoßend

Für Zahlung (in Extremfällen):

• Geschäftskontinuität kritisch
• Keine brauchbaren Backups
• Kosten der Ausfallzeit übersteigen Lösegeld

Karriereverbindung

Ransomware-Kenntnisse sind relevant für Incident Response, Threat Intelligence, Security Operations und Consulting-Rollen, die Organisationen bei Prävention und Reaktion unterstützen.