Ransomware: Angriffsvektoren und wirksame Schutzmaßnahmen

Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Entschlüsselung ein Lösegeld fordert. Für ein mittelständisches Unternehmen bedeutet ein erfolgreicher Angriff in aller Regel mehrere Tage bis Wochen eingeschränkten Betriebs. Der Schutz entsteht nicht durch ein einzelnes Produkt, sondern durch das konsequente Schließen weniger, immer wiederkehrender Einfallswege.

Wie Angreifer heute vorgehen

Der Verschlüsselungsvorgang steht am Ende, nicht am Anfang. Zwischen dem ersten Zugriff und der Verschlüsselung liegen häufig Tage oder Wochen, in denen die Angreifer das Netzwerk erkunden, Berechtigungen ausweiten, Sicherungssysteme suchen und Daten abziehen. Diese Datenabflüsse dienen der doppelten Erpressung: Selbst wenn Sie sauber wiederherstellen können, wird mit der Veröffentlichung der Informationen gedroht. Dieser Ablauf ist gleichzeitig eine Chance — wer die Zwischenphase erkennt, kann den Angriff stoppen, bevor er wirksam wird.

Die typischen Angriffsvektoren

Die Einstiegspunkte sind seit Jahren bemerkenswert konstant und lassen sich weitgehend organisatorisch adressieren.

• Kompromittierte Zugangsdaten: Abgegriffene oder wiederverwendete Passwörter für Fernzugänge, Cloud-Konten oder VPN. Ohne Mehrfaktor-Authentifizierung genügt ein einziges Passwort.
• Exponierte Fernzugriffe: Direkt aus dem Internet erreichbare Remote-Desktop-Dienste oder Verwaltungsoberflächen. Diese werden fortlaufend automatisiert gescannt.
• Ungepatchte Perimeter-Systeme: Firewalls, VPN-Gateways und Mailserver mit bekannten Schwachstellen. Nach Veröffentlichung einer Lücke erfolgen Ausnutzungsversuche binnen kurzer Zeit.
• Phishing und schadhafte Anhänge: Nach wie vor ein Hauptweg, häufig getarnt als Rechnung, Bewerbung oder Antwort auf eine echte Konversation.
• Dienstleister und Lieferkette: Zugänge von Partnern oder zentrale Verwaltungswerkzeuge, über die sich Schadsoftware an viele Systeme gleichzeitig verteilen lässt.

Schutzmaßnahmen mit tatsächlicher Wirkung

Priorisieren Sie Maßnahmen danach, wie viele Angriffspfade sie gleichzeitig schließen. Die wirksamsten sind selten die teuersten.

• Mehrfaktor-Authentifizierung für sämtliche extern erreichbaren Zugänge und für alle administrativen Konten, ohne Ausnahmen.
• Getrennte Administrationskonten: kein Arbeiten mit Domänen-Administratorrechten im Tagesgeschäft, keine E-Mail auf privilegierten Konten.
• Ein verbindlicher Patch-Prozess mit kurzer Frist für internetseitig erreichbare Systeme.
• Netzsegmentierung, damit ein kompromittierter Arbeitsplatz nicht direkt auf Server, Sicherungssysteme und Produktionsanlagen zugreifen kann.
• Endpoint Detection and Response mit ausgewerteten Alarmen — eine unbeobachtete Konsole schützt niemanden.
• Restriktive Dateifreigaben nach dem Prinzip der minimalen Rechte, damit ein einzelnes Benutzerkonto nicht sämtliche Unternehmensdaten verschlüsseln kann.

Backups als letzte Verteidigungslinie

Angreifer suchen gezielt nach Sicherungssystemen und löschen sie, bevor sie verschlüsseln. Ein Backup schützt daher nur, wenn es aus dem produktiven Netz heraus nicht veränderbar ist. Praktisch heißt das: mindestens ein Stand offline oder auf unveränderlichem Speicher, getrennte Anmeldedaten für die Sicherungsumgebung, kein Domänenkonto mit Vollzugriff auf das Backup-Ziel. Ebenso wichtig ist die Wiederherstellungsprobe. Prüfen Sie regelmäßig nicht nur, ob einzelne Dateien zurückkommen, sondern wie lange die Wiederherstellung eines vollständigen Servers tatsächlich dauert. Diese Zahl ist die realistische Grundlage Ihrer Notfallplanung.

Vorbereitung auf den Ernstfall

Halten Sie einen schriftlichen Notfallplan vor, der auch ohne funktionierende IT lesbar ist — auf Papier oder auf einem Gerät außerhalb des betroffenen Netzes. Er sollte festlegen, wer entscheidet, in welcher Reihenfolge Systeme vom Netz genommen werden, wie die Meldung an die Aufsichtsbehörde bei betroffenen personenbezogenen Daten erfolgt und welche Kontakte bei Versicherung, Dienstleister und Strafverfolgung anzusprechen sind. Eine Lösegeldzahlung ist keine verlässliche Lösung: Sie garantiert weder eine funktionierende Entschlüsselung noch die Löschung abgeflossener Daten.

Typische Fehler

Verbreitet sind Backups, die mit denselben Domänenrechten erreichbar sind wie die Produktivsysteme, Ausnahmen von der Mehrfaktor-Authentifizierung für Geschäftsführung oder Dienstkonten, alte Fernwartungszugänge ohne Eigentümer sowie Sicherheitswarnungen, die niemand auswertet. Ein weiterer Klassiker: Die Wiederherstellung wurde nie unter Zeitdruck geübt und dauert im Ernstfall ein Vielfaches der Erwartung.

• Ransomware ist das Ende einer längeren Angriffskette — dazwischen liegt Zeit zum Erkennen und Eingreifen.
• Mehrfaktor-Authentifizierung und getrennte Administrationskonten schließen die häufigsten Einfallswege.
• Internetseitig erreichbare Systeme benötigen einen verbindlichen, kurzfristigen Patch-Prozess.
• Nur ein unveränderliches oder offline gehaltenes Backup übersteht einen gezielten Angriff.
• Der Notfallplan und die geprobte Wiederherstellungszeit entscheiden über die Dauer des Betriebsausfalls.