Ransomware-Angriff: die ersten Entscheidungen, bevor jemand zahlt

Wen ihr wann einbindet

Die Polizei ist der erste Weg nach außen. Die Zentralen Ansprechstellen Cybercrime der Länder sind der polizeiliche Kontaktpunkt für Wirtschaftsunternehmen, Institutionen, Verbände und Forschungseinrichtungen in akuten Fällen und zur Beratung; Betreiber Kritischer Infrastrukturen und Bundesbehörden wenden sich an die Zentrale Ansprechstelle des Bundeskriminalamts. Die Ansprechstellen bieten eine erste Einschätzung, Beratung und die Einleitung der Strafverfolgung, und die Kontaktdaten aller 16 Länder und des BKA stehen auf einer Seite der Polizei. Das BSI empfiehlt die Anzeige in jedem Fall.

Die Datenschutzaufsicht ist der zweite Weg, sobald personenbezogene Daten betroffen sein können, und das ist bei einem Fileserver fast immer der Fall. Artikel 33 DSGVO verlangt die Meldung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern voraussichtlich ein Risiko für Betroffene besteht. Das BSI weist in seinem Maßnahmenkatalog darauf hin, dass Aufsichtsbehörden eine unmittelbare Prüfung der technischen und organisatorischen Maßnahmen in Betracht ziehen können, und rät, Unterlagen ausgedruckt vorzuhalten und mit Datenschutzthemen vertraute Beschäftigte als Ansprechpartner bereitzuhalten.

Der dritte Weg gilt für wichtige und besonders wichtige Einrichtungen nach dem BSI-Gesetz. Nach § 32 BSIG ist bei einem erheblichen Sicherheitsvorfall eine Erstmeldung an das BSI spätestens 24 Stunden nach Kenntnis fällig, eine Meldung nach 72 Stunden und eine Abschlussmeldung nach einem Monat. Ein Ransomware-Angriff mit Stillstand erfüllt die Schwelle fast immer. Für alle anderen stellt das BSI Checklisten für Organisation und Technik und die Erste Hilfe bei einem schweren IT-Sicherheitsvorfall bereit.

Warum die Lösegeldfrage zuletzt kommt

Die Zahlung eines Lösegelds ist in Deutschland für das Opfer nicht als solche strafbar; das Opfer einer Erpressung ist Geschädigter, nicht Täter. Das Risiko liegt woanders: Zahlungen an Akteure, die auf Sanktionslisten der EU oder der Vereinigten Staaten stehen, sind verboten, und wer zahlt, ohne geprüft zu haben, an wen, riskiert ein Strafverfahren. Hinzu kommen Fragen der Geschäftsführerhaftung, wenn eine Zahlung ohne Lagebild, ohne Versicherung und ohne Rechtsprüfung aus dem Gesellschaftsvermögen erfolgt. Diese Prüfung gehört zu Juristen, nicht zur IT.

Die Empfehlung der Behörden ist eindeutig. Das Projekt No More Ransom von Europol, der niederländischen Polizei und Partnern aus der Industrie empfiehlt, kein Lösegeld zu zahlen, weil eine Zahlung den Kriminellen nur bestätigt, dass die Ransomware funktioniert, und weil es keine Garantie auf einen Entschlüsselungscode gibt. Dasselbe Projekt stellt mit dem Crypto Sheriff ein Werkzeug bereit, das aus einer verschlüsselten Datei und der Forderung die Familie bestimmt und prüft, ob ein kostenloses Entschlüsselungswerkzeug existiert. Das ist der erste Blick, bevor überhaupt jemand rechnet.

Und selbst wenn ein Schlüssel kommt, löst er nur die Hälfte des Problems. Das BSI stellt fest, dass die meisten Ransomware-Angriffe neben der Verschlüsselung mit Datenabfluss und Drohung der Veröffentlichung einhergehen, und dass Backups naturgemäß nicht davor schützen. Die Meldepflichten, die Information der Betroffenen und der Schaden durch veröffentlichte Daten bleiben. Deshalb steht die Lösegeldfrage am Ende der Reihenfolge, nicht am Anfang.

Was ein Wiederanlauf wirklich braucht

Der Wiederanlauf beginnt nicht mit dem ersten Server, sondern mit einer Liste. Das BSI verlangt, dass Geschäftsführung, Informationssicherheitsbeauftragter und Fachleute vorab festlegen, welche Geschäftsprozesse kritisch sind und welche Systeme dafür zwingend notwendig sind. Diese Liste bestimmt die Reihenfolge: Verzeichnisdienst, Namensauflösung, Zeit, dann die Systeme der kritischen Prozesse, dann der Rest.

Der zweite Punkt ist die Trennung zwischen altem und neuem Netz. Wiederhergestellt wird in ein frisch aufgebautes Segment, in das nur Systeme kommen, die neu aufgesetzt oder aus einem geprüften Backup stammen. Das alte Netz bleibt für die Forensik erhalten. Das BSI empfiehlt, auch diesen Teil zu üben: wie virtuelle Umgebungen und physische Server neu aufgebaut werden, ob neue Systeme nötig sind und ob die üblichen Lieferanten schnell genug liefern oder eigene Vorhaltung nötig ist.

Der dritte Punkt ist die Frage, die am Ende jeder Wiederherstellung steht: Welche Lektionen fließen in den Plan zurück? Das BSI rät, den Reaktionsplan nach einem Vorfall zu überarbeiten und besonders darauf zu achten, wie gleiche oder ähnliche Fälle künftig verhindert werden, und die Erkenntnisse in Erfahrungskreisen wie der Allianz für Cyber-Sicherheit zu teilen. Wer das auslässt, hat denselben Vorfall in zwei Jahren noch einmal, mit derselben Lücke.

Was eine Übung zeigt, bevor der Ernstfall es zeigt

Das BSI bezeichnet schon einfache Planbesprechungen am grünen Tisch als wirksam, weil sie zeigen, wie eine Institution mit einem Vorfall umgehen würde, und weil sie die Anforderungen des Notfallmanagements nach BSI-Standard 200-4 erfüllen helfen. Durchgespielt werden sollen unterschiedliche Ausmaße: einzelne Systeme, einzelne Standorte und schlicht alle Systeme. Jede dieser Übungen beantwortet dieselben Fragen, die oben in den Fällen stehen, nur ohne Druck.

Wer Business Continuity nach BSI-Standard 200-4 aufbaut, bekommt diese Übungen als festen Bestandteil mitgeliefert. Für alle anderen gilt: Eine Planbesprechung von zwei Stunden mit Geschäftsführung, IT, Datenschutz und Kommunikation, einmal im Jahr, mit den sechs Fällen dieser Seite als Drehbuch, ist die wirksamste Einzelmaßnahme, die nichts kostet außer Zeit.