DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE Im aktuellen Berichtszeitraum setzte sich der Trend zu gezielten Angriffen auf komplette Netzwerke von Unternehmen oder anderen Institutionen fort. Zudem zeigte sich ein Trend zu gezielten Angriffen auf finanzstarke Opfer. daten. Den Mitarbeiterinnen und Mitarbeitern von angegriffenen Einrichtungen drohen zudem teils drastische Folgen. Die durch Ransomware verursachten Schäden können existenzbedrohend sein. So wurden Automobilhersteller und ihre Zulieferer, verschiedene Flughäfen oder Fluggesellschaften, aber auch weniger bekannte Unternehmen mit hohen Umsätzen angegriffen. Auch kleinere Betriebe wurden angegriffen, die sich durch Alleinstellungsmerkmale wie zum Beispiel die Produktion spezieller Komponenten im Maschinenbau auszeichnen oder schlechte Schutzmechanismen aufwiesen. Der entstandene Gesamtschaden bei den betroffenen Unternehmen und Institutionen ist zudem in der Regel weitaus größer als ein gegebenenfalls gezahltes Lösegeld, da durch einen Ausfall der IT neben den teils beträchtlichen Kosten zur Bereinigung und Wiederherstellung von Systemen unterschiedliche weitere Kosten entstehen. Umsatzausfälle führen zu direkten Verlusten. Die Kosten steigen aber auch durch die Installation alternativer Geschäftsprozesse (wenn etwa zusätzliches Personal eingestellt werden muss) oder die Beauftragung von Fremdfirmen. Bei der Wiederherstellung der IT-Infrastruktur nach einem Angriff wird oft auch die Hardware ausgetauscht, um notwendige, erneuerte Sicherheitskonzepte umsetzen zu können. Auch diese Migration bewirkt Störungen und Verzögerungen im Betriebsablauf und hat zum Beispiel Schulungsbedarf zur Folge. Auch Einrichtungen der öffentlichen Verwaltung, insbesondere auf kommunaler Ebene, wurden zum Ziel von Angriffen durch Ransomware. Zudem waren auch Universitäten betroffen. Ebenso sind medizinische Einrichtungen, besonders Krankenhäuser, im Berichtszeitraum Opfer von Angriffen geworden. Neben diesen gezielten Angriffen gab es auch im aktuellen Berichtszeitraum weiterhin Ransomware, die breit gestreut wurde (z. B. Sodinokibi). Die Angreifer versuchen dabei, ihre Gewinne über eine hohe Anzahl von Opfern zu maximieren. Mit Hilfe von Social Engineering in Spam-EMails werden viele Nutzerinnen und Nutzer zu Klicks auf schädliche E-Mail-Anhänge oder Links verleitet. Dabei wird die persönliche Vertrautheit von Namen oder die Neugier auf Neuigkeiten bei aktuellen Themen genutzt. Geschickt werden auch berufliche Zwänge missbraucht, etwa der Zwang von Mitarbeiterinnen und Mitarbeitern einer Personalverwaltung, Bewerbungsschreiben zu öffnen und damit eventuell schädliche Makros auszulösen. Eine Ransomware dieser Art ist Sodinokibi (bzw. Sodin oder REvil), die der vermutete Vorgänger GandCrab in einer besonderen Art als „Dienstleistungsmodell“ (Ransomware-as-a-Service) vertrieben wurde. Der Ablauf bei dieser Art von Erpressung unterscheidet sich von dem bei netzwerkweiten Angriffen. In der Erpresserbotschaft werden die Opfer auf eine spezielle Webseite geleitet, welche im Tor-Netzwerk 3 betrieben wird. Die Angreifer stellen hier häufig eine Infrastruktur bereit, über die ihre Opfer die Zahlung des Lösegelds abwickeln und anschließend ein entsprechendes Entschlüsselungsprogramm herunterladen können. Bei manuell ausgerollter Ransomware wie Ryuk enthält die Erpresserbotschaft dagegen üblicherweise nur eine oder mehrere E-Mail-Adressen, unter denen die Opfer zur Verhandlung des Lösegelds Kontakt mit den Angreifern aufnehmen können. Die Schäden durch Lösegeldzahlungen und Wiederherstellungskosten steigen stetig, da ganze Netzwerke sabotiert und unter Umständen hunderttausende Menschen geschädigt werden, z. B. bei der Verschlüsselung von Patienten- 3 Netzwerk zur Anonymisierung von Verbindungsdaten Für viele Betroffene bedeutet ein Ransomware-Angriff zudem einen Reputationsverlust. Selbst bei großer Sorgfalt und vorhandenen Backups können Informationen verloren gehen (z. B. applikationsspezifische Zwischenspeicher). Güte und Häufigkeit der Backups entscheiden daher mit darüber, wieviel Aufwand oder Verlust diese verlorenen Daten verursachen. Die wichtigste Maßnahme gegen die Folgen von Ransomware-Angriffen besteht in funktionierenden Backups. Die Rekonstruierbarkeit dieser Backups muss regelmäßig geprüft werden. Sie dürfen nicht aus dem Netzwerk heraus änderbar sein oder gelöscht werden können (Offline-Backups). Da Angreifer inzwischen aber häufig Daten nicht nur verschlüsseln, sondern auch ausleiten und mit Veröffentlichung drohen, um der Lösegeldforderung Nachdruck zu verleihen, ist auch ein systematisches, regelgeleitetes Monitoring des Datentransfers erforderlich. So kann etwa der Abfluss ungewöhnlich hoher Datenmengen erkannt und frühzeitig unterbunden werden. Zur Minimierung der Angriffsfläche ist außerdem die Zahl und Variabilität der von außen zugänglichen Systeme gering zu halten und Updates der Betriebssysteme sowie der Server- und Anwendungssoftware regelmäßig und zeitnah durchzuführen. Eine sachgerechte interne Segmentierung der Netze hilft zusätzlich, das Ausmaß der Schäden bei erfolgreichen Angriffen zu begrenzen. Für Unternehmen und andere Institutionen sollte die umfassende und kontinuierliche Schulung aller Mitarbeiterinnen und Mitarbeiter zum Thema Informationssicherheit (Erhöhung der Aufmerksamkeit) und eine restriktive Auswahl der Personen mit (Remote-)Zugang zu den Systemen 13