DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE Emotet als Türöffner: Ransomware-Angriff auf die Stadtverwaltung einer mittelgroßen deutschen Stadt Sachverhalt Am 6. September 2019 entdeckte die IT-Abteilung der Stadtverwaltung einer mittelgroßen deutschen Stadt, dass die örtlichen Systeme kompromittiert worden waren. Um eine weitere Ausbreitung der Infektion zu verhindern, setzten die Zuständigen die Server vorerst außer Betrieb. Bereits vorher waren jedoch große Teile der Datenbanken und Dokumente der Stadtverwaltung, einschließlich der Backups, verschlüsselt worden. Anschließend wurde ein Lösegeld gefordert. Der Türöffner für den Ransomware-Angriff war Emotet. Vermutlich im Anhang einer durch Social-Engineering-Methoden authentisch wirkenden E-Mail hatte Emotet die Stadtverwaltung erreicht und infiziert. Virenscanner konnten die Infektionen nicht verhindern. Es gelang den Angreifern, die Ransomware Ryuk auf den infizierten Systemen auszurollen und rund 550.000 Dateien zu verschlüsseln, darunter Elterngeldanträge, Baupläne und vieles mehr. Die Verwaltungsgeschäfte kamen nahezu vollständig zum Erliegen. Es dauerte mehr als eine Woche, bis erste Systeme wieder in Betrieb genommen werden konnten. Einzelne Dienstleistungen konnten bis ins erste Quartal 2020 hinein nicht angeboten werden. Reaktion Da Emotet nicht nur Schadsoftware nachlädt, sondern auch die E-Mail-Kommunikation ausliest, um diese in weiteren Angriffen verwenden zu können, wurden externe Partner der Stadtverwaltung telefonisch aufgeklärt, keine E-Mails zu öffnen, die vermeintlich von der Stadtverwaltung stammten. Für die Bereinigung der Systeme konnte ein sauberes, noch unverschlüsseltes Backup der Buchhaltungsdaten wieder eingespielt werden. Andere Dateien mussten neu erstellt werden; darunter die Planung eines Neubaugebiets. Auf Empfehlung des BSI wurden rund 300 Rechner neu aufgesetzt. Es fielen geschätzte Mehrausgaben für den IT-Neuaufbau von etwa 500 Euro je Rechner an. Darüber hinaus wurden strengere Regeln für E-Mail-Anhänge eingeführt, sodass mehr Anhänge automatisch abgelehnt werden. Zudem wurde das Netzwerk stärker segmentiert, um die Ausbreitung von Schadsoftware bei einem eventuellen zukünftigen Angriff zu erschweren. Auch Bandsicherungen (Offline-Backups), die in Tresoren gelagert werden, wurden wieder eingeführt. Empfehlung Regelmäßige Backups sind die wichtigste Vorsorgemaßnahme, um nach einem Ransomware-Angriff schnell wieder handlungsfähig zu werden. Damit Backups im Fall eines Angriffs nicht mitverschlüsselt werden, müssen sie getrennt von den übrigen Systemen offline gesichert werden. Zudem sollte regelmäßig geprüft werden, ob sie sich im Notfall schnell wieder einspielen lassen. verschlüsselten Daten gedroht (vgl. Kapitel Diebstahl und Missbrauch von Identitätsdaten, Seite 18). Die Lösegeldzahlungen werden üblicherweise in digitalen (virtuellen) Währungen (z. B. Bitcoin) abgewickelt, um die Strafverfolgung zu erschweren. Neben der echten Lösegelderpressung wurden aber auch Angriffe beobachtet, die den Anschein eines Ransomware-Angriffs erwecken, tatsächlich aber der Ablenkung von anderen Angriffen oder auch als reine Sabotageakte dienen. Ransomware wird über die bei Schadprogrammen üblichen Angriffsvektoren als E-Mail-Anhang oder als Link 12 verbreitet, der auf eine infizierte Webseite führt (vgl. Kapitel Schadprogramme, Seite 9). Einen Angriffsvektor, der speziell für Unternehmen und andere Einrichtungen mit größerer IT-Infrastruktur gefährlich ist, stellen Schwachstellen in Fernwartungs- und VPN-Zugängen dar. Sie werden verwendet, um auf die zu wartenden Systeme zuzugreifen und/oder aus der Ferne auf ihnen zu arbeiten. Ihre Kompromittierung führt oft bereits im ersten Schritt dazu, dass der Angreifer anschließend mit weitgehenden Rechten ausgestattet ist. Weiterführende Informationen finden sich unter www.bsi.bund.de/ransomware (vgl. Quellenverzeichnis1: www.bsi.bund.de).