Fast alles, was für eine erfolgreiche Wiederherstellung nach einem Ransomware-Angriff entscheidend ist, muss Monate oder Wochen vor dem Angriff festgelegt werden. Das ist der Aspekt, den nach Meinung von HYCU die meisten Teams vernachlässigen.

Das Bezahlen scheint der schnellste Weg zurück zur Normalität zu sein. In der Praxis ist genau dies aber selten der Fall, und die Daten belegen dies. Von den Unternehmen, die die erste Lösegeldforderung bezahlen, erhalten 60 Prozent zunächst wieder Zugriff auf ihre Daten. 32 Prozent müssen weitere Lösegeldzahlungen leisten, bevor sie ihre Daten wiederherstellen können. 8 Prozent können ihre Daten überhaupt nicht wiederherstellen. Selbst wenn die Entschlüsselungsschlüssel eintreffen, dauert die Wiederherstellung der Systeme in der Regel Wochen.

Vier weitere Kostenfaktoren machen eine Zahlung schlimmer, als es auf den ersten Blick erscheint. Viele Cyberversicherungen schliessen den Versicherungsschutz aus, wenn Lösegeld gezahlt wird. Die Prämien in den USA sind im Durchschnitt um etwa 35 Prozent gestiegen – eine Zahlung kann also den Versicherungsschutz genau dann ungültig machen, wenn man ihn am dringendsten benötigt.

Das US-Finanzministerium hat gewarnt, dass Zahlungen an sanktionierte Einrichtungen unabhängig von der Absicht Strafen durch die OFAC nach sich ziehen können. Unternehmen, die zahlen, werden im kriminellen Ökosystem markiert und erneut ins Visier genommen, oft von derselben Gruppe. Jede Zahlung subventioniert zudem die nächste Kampagne.

Weltweit haben sich 84,5 Prozent der Unternehmen, die Ransomware-Angriffe erlebt haben, ohne Zahlung wieder erholt. Dieser Weg existiert, Unternehmen müssen aber vor dem Angriff vorsorgen.

Drei Voraussetzungen für jedes Backup, um Ransomware zu überstehen

Ein Backup, das nur eine der folgenden Voraussetzungen nicht erfüllt, kann zusammen mit allem anderen verschlüsselt werden.

Unveränderlicher Speicher: Backups müssen auf einem Speicher landen, auf dem Daten bis zum Ablauf der Aufbewahrungsfrist weder geändert noch gelöscht werden können, nicht einmal von einem Administrator. Das bedeutet WORM auf S3-kompatiblem Objektspeicher mit aktivierter Object Lock-Funktion. WORM-Speicher ist mathematisch nicht in der Lage, einem Löschbefehl vor Ablauf der Aufbewahrungsfrist nachzukommen. Ransomware, die sich Administratorrechte verschafft, kann unveränderliche Backups dennoch nicht antasten.
Isolierte Backups: Die Backup-Umgebung muss durch einen „Air Gap“ von der Produktionsumgebung getrennt sein. Dies bedeutet, getrennt durch Netzwerksegmentierung, ohne gemeinsam genutzte Anmeldedaten, ohne gemeinsam genutzte Dienste, ohne gegenseitiges Vertrauensverhältnis. Wenn die Produktionsumgebung kompromittiert wird, muss das Backup unerreichbar bleiben. Die virtuelle Appliance von HYCU ist standardmässig gehärtet mit einem sicherheitsgehärteten Linux-Basisimage, ohne Root-Zugriff und mit deaktiviertem SSH.
Eingeschränkter Zugriff: Selbst autorisierte Superadministratoren sollten Backups nicht manuell löschen können. Eine in AD und LDAP integrierte rollenbasierte Zugriffskontrolle, Mandantenfähigkeit und eine strikte Aufgabentrennung schützen Backups sowohl vor Malware als auch vor Insider-Bedrohungen. Bei HYCU ist das manuelle Löschen von Backups von vornherein deaktiviert. Dies war ein Kompromiss, der zur Entscheidung geführt hat, die Wiederherstellung der Flexibilität vorzuziehen.

Untersuchung von HYCU in Zusammenarbeit mit ActualTech

Gemeinsam mit ActualTech Media hat HYCU IT-Führungskräfte in Unternehmen zum Stand der Ransomware-Vorbereitung befragt. Die Zahlen erzählen eine Geschichte, die die meisten Vorstände noch nicht verinnerlicht haben.

65 Prozent haben kein volles Vertrauen in ihre veralteten Backup-Lösungen. Unter den Ransomware-Opfern erlitten 52 Prozent messbare Datenverluste und 63 Prozent Betriebsstörungen. Nur 41 Prozent speichern ihre Backups isoliert durch einen Air Gap. Nur 47 Prozent testen sie regelmässig. Nur 35 Prozent glauben, dass ihre aktuellen Tools für ihre Umgebung ausreichen.

Unterdessen beteiligen sich mittlerweile 77 Prozent der Unternehmensvorstände aktiv an Diskussionen zur Ransomware-Prävention. Das Interesse des Vorstands ist da. Die architektonischen Korrekturen fehlen jedoch grösstenteils. „Angesichts der mit Ransomware-Angriffen verbundenen Kosten in Millionenhöhe – ganz zu schweigen von den negativen Auswirkungen auf die Marke und die Mitarbeitermoral – können es sich Unternehmen nicht leisten, keinen Plan zu haben“, verdeutlicht Simon Taylor, Gründer und CEO von HYCU.

Das 5-Stufen-Handbuch

Die Wiederherstellung ist keine einzelne Massnahme. Es handelt sich um eine Abfolge von Schritten, und je schneller jede Stufe abläuft, desto geringer ist der Verlust.

Stufe 1: Erkennen. Sicherheitsteams müssen den laufenden Angriff identifizieren und auf ungewöhnliche Muster bei Dateiänderungen, unerwartete Verschlüsselungsereignisse und unregelmässiges Backup-Verhalten achten. Cybersicherheits-Tools melden einen Teil davon. Die Erkennung von Backup-Anomalien erfasst den Rest, oft sogar früher.
Stufe 2: Eindämmen. Die betroffenen Systeme gilt es sofort zu isolieren, kompromittierte Endgeräte vom Netzwerk zu trennen und die Replikation zu DR-Standorten zu stoppen. Wenn die Replikation noch läuft, lassen sich verschlüsselte Daten über die intakten Backups kopieren.
Stufe 3: Bewerten. Jetzt gilt es den Umfang zu bestimmen. Welche Systeme sind verschlüsselt? Welche Backups sind noch intakt? Was ist der letzte bekannte, fehlerfreie Wiederherstellungspunkt? Hier verändert die Visualisierung der Datenlandschaft die Wiederherstellungszeit. Was nicht sichtbar ist, lässt sich auch nicht wiederherstellen.
Stufe 4: Wiederherstellung. Die Wiederherstellung muss aus dem neuesten unbeschädigten Backup erfolgen – Anwendung für Anwendung, in der Reihenfolge der Abhängigkeiten. Administratoren müssen jede Wiederherstellung überprüfen, bevor sie zur nächsten übergehen.
Stufe 5: Absicherung. Zuletzt geht es darum, den Angriffsvektor zu schliessen durch das Patchen der ausgenutzten Schwachstellen, die Überprüfung der Zugriffsrichtlinien und die Durchführung einer Tabletop-Übung zu dem gerade Geschehenen. Der nützlichste Plan zur Reaktion auf Vorfälle ist derjenige, der nach dem tatsächlichen Vorfall überarbeitet wurde.

Wie sich die eigene Bereitschaft messen lässt

HYCU bietet mit R-Score eine kostenlose Bewertung, die unter getrscore.org verfügbar ist und die Bereitschaft zur Wiederherstellung nach einem Ransomware-Angriff nach einem Modell bewertet, das einer Bonitätsbewertung ähnelt. Es bewertet die Backup-Architektur, den Wiederherstellungsprozess, die Testhäufigkeit und die organisatorische Bereitschaft und gibt anschliessend konkrete Empfehlungen zur Verbesserung.

Die meisten Unternehmen schneiden schlechter ab, als sie erwarten. Diese Lücke zwischen der wahrgenommenen und der tatsächlichen Bereitschaft ist es, die Angriffe am Sonntagmorgen so verheerend macht.