DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE Ransomware-Angriff auf eine Universität Sachverhalt Am 23. Dezember 2019 wurde eine Universität Opfer eines Ransomware-Angriffs. Unmittelbar nach der Feststellung des Angriffs erfolgte durch die Universität eine präventive Abschaltung aller Computersysteme, um die Ausbreitung der Schadsoftware im Netzwerk zu verhindern. Zur Analyse und Wiederherstellung der Systeme wurden anschließend die zuständigen Behörden und ein IT-Sicherheitsdienstleister hinzugezogen. Aufgrund der unmittelbaren Auswirkungen auf die Forschung und Lehre informierte die Universität über ihre Webseite zeitweise täglich über neue Entwicklungen, Handlungsempfehlungen und Kontaktmöglichkeiten. Anfang Februar 2020 gab die Hochschule Details zum Angriff und aus der Bewältigung gezogene Rückschlüsse bekannt. Demnach drangen die Angreifer bereits im Oktober 2019 über E-Mails mit einem Schadprogramm in das Netzwerk der Universität ein. Bis zur Ausführung der Ransomware Clop im Dezember 2019 breiteten sie sich innerhalb des Netzwerks aus. Mithilfe weiterer Schadsoftware und unter Ausnutzung von Schwachstellen erlangten sie dabei einen umfassenden Zugriff, sodass durch den Angriff 1.647 Server sowie rund 7.307 Arbeitsplatz-Rechner eingeschränkt oder direkt betroffen waren. Dabei gelang es den Angreifern auch, die Backup-Server zu verschlüsseln. Reaktion Die Universität bestätigte später öffentlich, sich für die Zahlung des Lösegelds entschieden zu haben. Maßgebliche Faktoren bei der Entscheidung waren die ethischen Gesichtspunkte einer Zahlung als öffentliche Institution und die möglichen Auswirkungen auf die Wiederaufnahme der universitären Aufgaben und Pflichten. Weil auch kritische Systeme und ihre Backups durch die Angreifer verschlüsselt worden waren und davon auszugehen war, dass zum Beispiel Forschungsergebnisse unwiederbringlich verloren gehen würden, wurde ein Lösegeld gezahlt in Höhe von 30 Bitcoin, was zum damaligen Zeitpunkt ca. 200.000 Euro entsprach. Die forensische Analyse erbrachte keine Hinweise darauf, dass während des Angriffs Forschungsergebnisse oder anderweitige Datenbestände aus den Netzen der Universität abgeflossen sind. Diese Möglichkeit wird von Seiten der Universität und des IT-Dienstleisters jedoch nicht gänzlich ausgeschlossen und weiter untersucht. Empfehlung Regelmäßige Backups sind die wichtigste Vorsorgemaßnahme, um nach einem Ransomware-Angriff schnell wieder handlungsfähig zu werden. Damit Backups im Fall eines Angriffs nicht mitverschlüsselt werden, müssen sie getrennt von den übrigen Systemen offline gesichert werden. Zudem sollte regelmäßig geprüft werden, ob sie sich im Notfall schnell wiederherstellen lassen. Das BSI empfiehlt grundsätzlich, kein Lösegeld zu zahlen, um das „Geschäftsmodell“ Ransomware nicht zu unterstützen und nicht noch weitere Angriffe auf andere Ziele zu motivieren. 1.1.4 Spam und Malware-Spam Allgemein werden unerwünscht zugesandte E-Mails als Spam bezeichnet. Neben Werbe-E-Mails kann es sich dabei auch um Cyber-Angriffe handeln, wie Malware-Spam oder Phishing-E-Mails. Der Spamversand erfolgt zum Beispiel über kompromittierte oder kommerziell angemietete Serverkapazitäten, über von Angreifern gestohlene legitime E-Mail-Accounts, deren Zugangsdaten zuvor ausgespäht wurden, oder über infizierte Systeme, die zu Botnetzen zusammengeschlossen und sodann für Spam-Dienstleistungen zur Verfügung gestellt werden (vgl. Kapitel Botnetze, Seite 16). Der Versand unerwünschter Werbe-E-Mails ist auch im aktuellen Berichtszeitraum weiter zurückgegangen (vgl. Quellenverzeichnis 2: www.bsi.bund.de). Ursache für den rückläufigen Trend dürfte insbesondere die weiter steigende Qualität vieler Spam-Filter sein. Ihre hohe Trefferquote macht Werbe-Spams als Geschäftsmodell zunehmend unattraktiv, da viele Werbe-E-Mails die Empfänger nicht mehr erreichen. Zudem existiert mittlerweile mit dem sogenannten Targeting eine effizientere Form des Online-Marketings. Beim Targeting wird das Nutzerver- 15