Ransomware-Angriffe: So erpressen Cyberkriminelle Unternehmen

Bei einer derartigen Exfiltration sind Betriebsgeheimnisse und geistiges Eigentum besonders attraktive Ziele. Äußerst wertvoll für Cyberkriminelle sind außerdem Daten, die für die Konkurrenz bzw. den Mitbewerb von Interesse sein könnten, wie etwa Finanzberichte, Forschungs- und Entwicklungsdaten oder strategische Planungen. Wenn die Cyberkriminellen Daten in großem Umfang exfiltrieren, sind für gewöhnlich auch personenbezogene Informationen wie Namen, Adressen, Lebensläufe oder Kreditkartendaten von Mitarbeitenden, Lieferant:innen oder Kund:innen enthalten.

Besonders im Kontext der DSGVO (Datenschutz-Grundverordnung, engl. GDPR) hat eine Datenexfiltration weitreichende Folgen. Werden etwa die personenbezogenen Daten von Kund:innen oder Mitarbeitenden entwendet, kann das Unternehmen mit hohen Bußgeldern belegt werden. Neben den finanziellen Einbußen drohen auch erhebliche Imageschäden und Vertrauensverlust.

In vielen Fällen verkaufen Cyberkriminelle gestohlene Daten im Darknet – einem verborgenen Teil des Internets, der nur über spezielle Software wie das Tor-Netzwerk zugänglich ist. Dort existieren illegale Marktplätze, auf denen Cyberkriminelle Kundendaten, Zugangsdaten und Unternehmensgeheimnisse zum Verkauf anbieten. Besonders begehrt sind Kreditkartendaten, Anmeldedaten für Online-Dienste oder vertrauliche Geschäftsunterlagen. Nähere Informationen zum Darknet und wofür es verwendet wird, finden Sie in unserem Artikel über Arten von Cyberangriffen.

Kryptographie: die Basis von Kryptowährungen, Verschlüsselung & Co.

Nach der Exfiltration von Daten folgt der nächste Schritt: die Verschlüsselung der Unternehmensdaten. Dabei werden die Unternehmensdaten so umgewandelt (also verschlüsselt), dass sie ohne den passenden Schlüssel nicht mehr lesbar sind. Nur die Cyberkriminellen besitzen den Schlüssel zur Wiederherstellung, wofür sie ein Lösegeld verlangen.

Was passiert bei der Verschlüsselung?

Stellen Sie sich vor, Sie schreiben einen Brief an eine Kollegin. Sofern die Kollegin den Brief erhält, kann sie ihn ganz normal lesen. Wird der Brief aber abgefangen, kann auch jeder andere den Brief lesen. Nutzen Sie jedoch eine abgestimmte Geheimschrift basierend auf einem geheimen Schlüssel, den nur Sie und Ihre Kollegin kennen, ist der Brief für andere nicht lesbar und sieht nur wie ein unleserlicher Wirrwarr aus.

Genau das passiert bei der digitalen Verschlüsselung. Ein spezieller Algorithmus verwandelt die Daten in eine nichtssagende Zeichenkette. Ohne den richtigen Schlüssel ist es nahezu unmöglich, den Originaltext wiederherzustellen. Cyberkriminelle nutzen dies aus, indem sie Daten verschlüsseln und dann eine Lösegeldzahlung fordern, um den Entschlüsselungsschlüssel bereitzustellen.

Technischer Einblick in die Verschlüsselung

Verschlüsselung ist ein Prozess, bei dem Daten mithilfe eines Algorithmus in eine zufällig erscheinende Zeichenkette umgewandelt werden. Diese Zeichenketten können nur mit dem zugehörigen Schlüssel wieder entschlüsselt und damit lesbar gemacht werden.

Schon in der Antike nutzten Menschen einfache Codes und Symbole, um Nachrichten zu verschlüsseln, sodass nur die beabsichtigte empfangende Stelle sie verstehen konnte. Ein bekanntes Beispiel ist die Caesar-Verschlüsselung, bei der Buchstaben im Alphabet um eine feste Anzahl von Stellen verschoben werden (es handelt sich also um eine sogenannte „Verschiebechiffre“). Die folgende Grafik veranschaulicht den Verschiebeprozess:

Verschiebechiffre

Diese Praktiken waren besonders wichtig in Zeiten von Kriegen und politischen Konflikten, da sie es ermöglichten, geheime Informationen zu übermitteln, ohne dass Feinde die abgefangenen Nachrichten lesen konnten. Ein besonders bekanntes Beispiel für eine historische Verschlüsselung in Kriegszeiten ist die Enigma-Maschine, die im Zweiten Weltkrieg von den deutschen Streitkräften verwendet wurde. Diese Maschine nutzte rotierende Walzen, um Nachrichten in scheinbar unlesbare Codes zu verwandeln. Die Entschlüsselung der Enigma-Maschine war entscheidend für den Verlauf des Krieges, da die Alliierten dadurch in der Lage waren, militärische Informationen zu entschlüsseln und strategische Vorteile zu erlangen.

Grundsätzlich wird zwischen zwei Arten von Verschlüsselung unterschieden, dem symmetrischen und dem asymmetrischen Verschlüsselungsverfahren.

Arten von Verschlüsselung

• Symmetrische Verschlüsselung: Bei dieser Methode verwenden sowohl Sender:in als auch Empfänger:in denselben Schlüssel, um die Daten zu ver- und entschlüsseln. Ein Beispiel für diese Verschlüsselungsmethode ist der AES-Algorithmus (Advanced Encryption Standard), der in der Praxis häufig eingesetzt wird. Der Nachteil der symmetrischen Verschlüsselung liegt in der Schlüsselverwaltung: Wenn der Schlüssel in falsche Hände gerät, könnten Unbefugte auf die Daten zugreifen. Daher muss der Schlüssel sicher übertragen und gespeichert werden, was eine Herausforderung darstellen kann.

Funktionsweise symmetrischer Verschlüsselung

• Asymmetrische Verschlüsselung: Im Gegensatz zur symmetrischen Verschlüsselung kommen hier zwei verschiedene Schlüssel zum Einsatz – ein öffentlicher und ein privater. Der öffentliche Schlüssel wird verwendet, um Daten zu verschlüsseln, während der private Schlüssel dazu dient, sie wieder zu entschlüsseln. Nur der:die Empfänger:in, der:die im Besitz des privaten Schlüssels ist, kann die Daten entschlüsseln. Ein weit verbreitetes Beispiel hierfür ist der RSA-Algorithmus, der unter anderem bei der sicheren Kommunikation über HTTPS genutzt wird – einem Protokoll, das dafür sorgt, dass die Daten beim Surfen im Internet geschützt sind. Ein weiteres Beispiel für den Einsatz asymmetrischer Verschlüsselung sind digitale Signaturen: Dabei wird mit dem privaten Schlüssel eine Nachricht oder Datei signiert und mit dem zugehörigen öffentlichen Schlüssel verifiziert.

Sind durch Backups alle Probleme gelöst?

Viele Unternehmen setzen auf Backups als Schutz vor Datenverlust. Doch sind diese wirklich sicher und ist das Unternehmen dadurch vor Ransomware-Angriffen geschützt? Leider nicht immer. Cyberkriminelle wissen um die Bedeutung von Backups zur Datenwiederherstellung und greifen diese daher gezielt an. Cyberkriminelle können Backups ebenfalls verschlüsseln oder löschen, wenn sie Zugriff auf das IT-Netzwerk eines Unternehmens haben. Ein ungeschütztes und mit dem IT-Netzwerk verbundenes Backup ist also kein Allheilmittel.

Ein sicheres Backup sollte zumindest:

• Regelmäßig erstellt und getestet werden.
• Offline und/oder in einer isolierten Cloud-Umgebung mit zusätzlichen Sicherheitsmaßnahmen gespeichert sein, um einen direkten Zugriff darauf durch die Cyberkriminellen zu verhindern.
• Mit eigenen Schutzmechanismen, wie etwa Zugriffsbeschränkungen, versehen sein.

Wie schnell können Cyberkriminelle Daten verschlüsseln?

Die Zeit, die für die Verschlüsselung benötigt wird, variiert je nach Umfang der Daten und der eingesetzten Ransomware. Cyberkriminelle achten jedoch darauf, dass die Verschlüsselung möglichst unauffällig verläuft, sodass sie erst nach einer möglichst langen Zeit bemerkt wird. Manche Cyberkriminelle versuchen, den Verschlüsselungsprozess weiter zu beschleunigen, indem sie nur einen Teil oder ausgewählte Teile einer Datei verschlüsseln. Trotz dessen, dass ein Teil der Datei weiterhin lesbar bleibt, ist diese in den meisten Fällen nicht mehr wiederherstellbar und somit unbrauchbar.

Die Verschlüsselung wird oft zu Zeiten durchgeführt, in denen die IT-Abteilung des Unternehmens nicht oder nur im Notbetrieb besetzt ist – beispielsweise am Wochenende oder in der Nacht. Cyberkriminelle wissen, dass die Wahrscheinlichkeit, dass das Unternehmen sofort auf den Angriff reagiert, zu diesen Zeiten geringer ist. In vielen Fällen, in denen wir Unternehmen erst reaktiv bei der Aufklärung eines Cyberangriffs unterstützen, wurde die Verschlüsselung der Daten am Freitagabend oder samstags gestartet und erst am Montagmorgen bemerkt, wenn die Mitarbeitenden ins Büro kommen und diverse Systeme nicht mehr zugänglich sind.

Fazit

Die Exfiltration und anschließende Verschlüsselung sensibler Unternehmensdaten durch Ransomware-Angriffe stellt eine besonders kritische Phase im Verlauf eines Cyberangriffs dar. Mit der Drohung, gestohlene Daten zu veröffentlichen oder zu verkaufen, erhöhen Cyberkriminelle massiv den Druck auf betroffene Unternehmen. Gleichzeitig macht die Verschlüsselung wichtiger Systeme den Geschäftsbetrieb oft unmöglich. Um sich wirksam zu schützen, sind nicht nur technische Schutzmaßnahmen wie sichere Backups und Monitoring-Systeme nötig, sondern auch organisatorische Vorkehrungen und eine klar definierte Reaktionsstrategie. Proaktive Vorbereitung bleibt der wirksamste Schutz vor digitaler Erpressung.Im letzten Teil unserer Artikelserie lesen Sie, was nach einem Cyberangriff mit exfiltrierten und verschlüsselten Unternehmensdaten passiert und wie sich Unternehmen vor Cyberkriminalität schützen können.

FAQ – Häufige Fragen zu Ransomware-Angriffen