Zahlen oder nicht zahlen: DriveSavers äußert sich, nachdem das Unternehmen in der Financial Times zitiert wurde

Die britische Regierung treibt Pläne voran, Lösegeldzahlungen für Einrichtungen des öffentlichen Sektors und Betreiber kritischer nationaler Infrastrukturen – darunter der NHS, Kommunalverwaltungen und Schulen – vollständig zu verbieten. Das ist eine ernsthafte Antwort auf ein ernsthaftes Problem. Die meisten Ransomware-Opfer sind kleine und mittlere Unternehmen, keine Betreiber kritischer Infrastrukturen. Ein Verbot, das sich an Betreiber kritischer Infrastrukturen richtet, betrifft daher nur einen kleinen Teil aller Angriffe und dürfte allein wenig dazu beitragen, das Gesamtvolumen der Ransomware-Kriminalität zu senken.

Dafür gibt es bereits einen Testfall. North Carolina verbot Ransomware-Zahlungen für Regierungsbehörden im Jahr 2021, Florida folgte 2022. Keines der beiden Verbote scheint die kriminelle Aktivität in einem der beiden Bundesstaaten spürbar eingedämmt zu haben. Haydn Brooks, CEO von Risk Ledger, brachte in demselben Artikel einen verwandten Punkt zur Sprache: Können öffentliche Stellen nicht zahlen, dürften sich kriminelle Gruppen verstärkt weniger stark regulierten Zielen im Privatsektor zuwenden, während Versicherer möglicherweise reagieren, indem sie Ransomware-Auszahlungen ganz ausschließen und dadurch die Prämien in die Höhe treiben.

Anderswo sieht die Rechtslage anders aus. Großbritannien, Australien und andere Länder, in denen DriveSavers tätig ist, erwägen oder setzen bereits eigene Beschränkungen um. Organisationen außerhalb der USA sollten daher nicht davon ausgehen, dass die US-Regelungen auch für sie gelten.

Die Fälle, mit denen DriveSavers befasst ist, weisen eine Struktur auf, die vor einigen Jahren noch nicht so einheitlich war. Bevor Angreifer Systeme verschlüsseln, beschädigen oder löschen sie zunächst die Backup-Infrastruktur – Veeam-Backup-Repositorys, Hyper-V-Hosts und VMware-ESXi-Hosts sind dafür typische Beispiele. Bei etwa der Hälfte der Ransomware-Datenrettungsfälle, mit denen sich DriveSavers in den letzten zwei Jahren befasst hat, zielten die Angreifer gezielt zuerst auf Veeam-Backups, bevor sie die primären Server angriffen. Veeam ist mit weltweit rund 550.000 Kunden die führende Backup-Plattform für virtualisierte Umgebungen, und vielen IT-Teams ist nicht bewusst, dass gelöschte oder beschädigte Veeam-Backup-Dateien mithilfe der proprietären Wiederherstellungstools und -verfahren von DriveSavers oft trotzdem wiederhergestellt werden können.

Auch die von den Angreifern bereitgestellten Entschlüsselungstools sind unzuverlässig, insbesondere bei großen Dateien und Datenbanken. Organisationen, die das Lösegeld zahlen, um an ein Entschlüsselungstool zu kommen, benötigen anschließend häufig trotzdem eine professionelle Datenrettung, um einen vollständigen Satz nutzbarer Dateien wiederherzustellen, da der Entschlüsselungsvorgang selbst Daten beschädigt zurücklässt. Und unveränderliche (immutable) Backups sind, obwohl sie eine echte Investition wert sind, nicht unfehlbar. DriveSavers hat kritische Daten in Fällen wiederhergestellt, in denen ein als unveränderlich beworbener Backup-Server vollständig gelöscht wurde, weil die Software, die diese Unveränderlichkeit verwaltete, selbst kompromittiert worden war.

Bei einem aktuellen Fall half DriveSavers einem Versicherer, eine Lösegeldforderung im Millionenbereich abzuwenden, indem alle notwendigen betrieblichen Daten aus gelöschten Backups wiederhergestellt wurden. Die dafür erforderlichen Datenrettungsdienste kosteten nur einen Bruchteil dieser Summe. Das ist Teil eines umfassenderen Wandels: Versicherer fragen inzwischen routinemäßig, ob eine Datenrettung machbar ist, bevor sie eine Lösegeldzahlung genehmigen – eine Frage, die vor wenigen Jahren noch nicht zum Standard gehörte.

Die Zahlung eines Lösegelds garantiert weder, dass die Angreifer einen funktionierenden Entschlüsselungscode übergeben, noch dass die Daten unbeschädigt zurückkommen, noch dass gestohlene Daten nicht trotzdem irgendwann später auftauchen.

Die gegenteilige Behauptung erfordert ebenso viel Vorsicht, und es lohnt sich, zwischen zwei Konzepten zu unterscheiden:

Einige der anderen Personen, die neben Maus zitiert wurden, brachten einen Punkt zur Sprache, der mehr Aufmerksamkeit verdient als die Debatte über das Verbot selbst. Gavin Millard, VP of Product bei Tenable, brachte es klar auf den Punkt: Die eigentlich relevante Frage ist, wie man Ransomware von vornherein weniger profitabel macht. Die meisten Angriffe nutzen weiterhin bekannte Schwachstellen und exponierte Systeme aus, weshalb Exposure Management langfristig mehr bewirkt als jede Zahlungsrichtlinie. Spencer Young von Delinea brachte einen verwandten Punkt zu Zugriffskontrollen vor: Werden dauerhafte Berechtigungen eingeschränkt, sodass ein einzelnes gestohlenes Zugangsdatum sich nicht frei im Netzwerk bewegen kann, verringert das den Schaden, selbst wenn ein Angriff erfolgreich ist.

Was die Vorbereitung betrifft, so haben Organisationen, die sich am schnellsten erholen, in der Regel bereits im Voraus dokumentiert, wo ihre Backups gespeichert sind, welche Systeme kritisch sind und wen sie kontaktieren müssen – noch bevor ein Angriff überhaupt stattfindet. Diese Kontaktliste sollte getrennt von den primären Servern aufbewahrt werden, damit sie nicht zusammen mit allem anderen verschlüsselt wird, und sie sollte den Rechtsbeistand, den Cyberversicherer und einen Datenrettungsdienst umfassen.

Das Dilemma, ob man eine Ransomware-Forderung zahlen soll, lässt sich nie einfach lösen. Betrachten Sie es als eine Entscheidung mit mehreren Einflussfaktoren, nicht als eine einzelne moralische Wahl: wie sensibel die Daten sind, ob Backups erhalten geblieben sind, wer der konkrete Angreifer ist, wie die rechtliche Situation aussieht, und wie realistisch eine Datenrettung tatsächlich ist. Holen Sie sich frühzeitig externe Unterstützung, bevor eine Lösegeldfrist Ihnen die Entscheidung aufzwingt, damit Sie über mehr dieser Faktoren verfügen – nicht über weniger.

Lesen Sie den vollständigen Bericht der Financial Times: „Surge in ransomware hacks deepens divide over whether to pay“ (möglicherweise ist ein Abonnement erforderlich).