Ransomware ist für KMU die folgenreichste Form von Cyberangriffen. Ein einziger erfolgreicher Angriff kann den Betrieb für Tage oder Wochen stilllegen, und er trifft Unternehmen jeder Grösse.
Wie ein Angriff abläuft
Der Einstieg erfolgt meist über gestohlene Zugangsdaten, eine ungepatchte, aus dem Internet erreichbare Software oder eine Phishing-E-Mail. Danach bewegen sich die Angreifer oft tagelang unbemerkt im Netz, verschaffen sich Administratorrechte, suchen Sicherungen und kopieren Daten. Erst am Ende verschlüsseln sie die Systeme und hinterlassen eine Lösegeldforderung, kombiniert mit der Drohung, die gestohlenen Daten zu veröffentlichen.
Was schützt
Die wirksamsten Massnahmen sind unspektakulär: Mehrfaktor-Authentifizierung für alle Zugänge, zeitnahe Updates der aus dem Internet erreichbaren Systeme, eingeschränkte Administratorrechte, eine Übersicht über die eigene Angriffsfläche und vor allem Sicherungen nach der 3-2-1-Regel mit einer Kopie, die der Angreifer nicht erreichen oder löschen kann.
Im Ernstfall
Betroffene Systeme vom Netz trennen, aber nicht ausschalten, damit Spuren erhalten bleiben. Den Incident-Response-Plan aktivieren, Fachleute für Forensik und gegebenenfalls die Versicherung beiziehen. Meldepflichten prüfen: die ISG-Meldepflicht für kritische Infrastrukturen innert 24 Stunden und die Datenschutzmeldung, wenn Personendaten betroffen sind. Das BACS rät davon ab, Lösegeld zu bezahlen, und empfiehlt, Strafanzeige zu erstatten. Die ersten Stunden beschreibt unser Beitrag Ransomware im KMU.