Am Freitag vor dem Wochenende traf es Hunderte Unternehmen auf einen Schlag: Angreifer haben eine weit verbreitete Software zur Fernwartung missbraucht, mit der IT-Dienstleister die Systeme ihrer Kunden verwalten. Über diesen Weg wurde Erpressungssoftware verteilt. In Schweden musste eine Supermarktkette einen Großteil ihrer Filialen schließen, weil die Kassen nicht mehr funktionierten. Der Vorfall zeigt, dass ein guter Ransomware-Schutz im Mittelstand keine Kür mehr ist. Wir erklären, wie solche Angriffe ablaufen und was Sie konkret tun können.
Was ist Ransomware?
Ransomware, auf Deutsch Erpressungstrojaner, verschlüsselt die Daten auf Rechnern und Servern. Für den Schlüssel verlangen die Täter ein Lösegeld, meist in Kryptowährung. Seit einiger Zeit setzen die Angreifer zusätzlich auf „doppelte Erpressung“: Sie kopieren vor der Verschlüsselung sensible Daten und drohen, sie zu veröffentlichen. Damit hilft selbst ein gutes Backup nur noch gegen einen Teil des Schadens.
Wie ein Angriff typischerweise abläuft
- Einstieg: über eine präparierte E-Mail mit Anhang, ein gestohlenes Passwort, einen schlecht gesicherten Fernzugang oder eine ungepatchte Sicherheitslücke, wie im März bei Exchange.
- Festsetzen: Die Angreifer richten sich Hintertüren ein, oft unbemerkt über Tage oder Wochen.
- Ausbreiten: Sie verschaffen sich Administratorrechte und erkunden das Netzwerk: Wo liegen die Server, wo die Backups?
- Daten abziehen: Vertrauliche Daten werden kopiert, um später zusätzlich Druck auszuüben.
- Backups zerstören: Erreichbare Sicherungen werden gelöscht oder mitverschlüsselt.
- Verschlüsseln: Meist nachts oder am Wochenende, wenn niemand eingreift. Am Morgen danach geht nichts mehr.
Wichtig zu verstehen: Zwischen Einstieg und Verschlüsselung vergeht oft viel Zeit. Wer Auffälligkeiten früh erkennt, kann den Angriff stoppen, bevor der große Schaden entsteht.
Warum der Mittelstand im Visier ist
- Viele Angriffe laufen automatisiert, die Täter nehmen jedes verwundbare Ziel.
- Mittelständler haben oft weniger Sicherheitspersonal als Konzerne, aber genug Umsatz, um zu zahlen.
- Ein Produktionsstillstand von wenigen Tagen kann existenzbedrohend sein, das erhöht die Zahlungsbereitschaft.
- Über Dienstleister und Lieferketten kann es auch Betriebe treffen, die selbst gut aufgestellt sind, wie der aktuelle Fall zeigt.
Ransomware-Schutz im Mittelstand: Die wichtigsten Maßnahmen
| Maßnahme | Wirkung | Priorität |
|---|---|---|
| Offline- oder unveränderbare Backups | Daten lassen sich wiederherstellen, auch wenn das Netz kompromittiert ist | sehr hoch |
| Zeitnahes Patchen | schließt bekannte Einfallstore | sehr hoch |
| Zwei-Faktor-Anmeldung für Fernzugänge und E-Mail | gestohlene Passwörter allein reichen nicht | sehr hoch |
| Keine offenen Remote-Desktop-Zugänge | beliebter Einstiegspunkt wird geschlossen | hoch |
| Admin-Rechte begrenzen | erschwert die Ausbreitung | hoch |
| E-Mail-Filter und Makros blockieren | verhindert viele Infektionen per Anhang | hoch |
| Netzwerk segmentieren | Schaden bleibt auf einen Bereich begrenzt | mittel |
| Mitarbeiter schulen | verdächtige E-Mails werden erkannt und gemeldet | hoch |
| Notfallplan | im Ernstfall wird schnell und richtig gehandelt | hoch |
Das Backup ist Ihre Lebensversicherung
Nach einem Ransomware-Angriff entscheidet am Ende meist eine Frage über Tage oder Wochen Stillstand: Gibt es ein Backup, das die Angreifer nicht erreichen konnten? Ein Backup auf einem Netzlaufwerk, das dauerhaft verbunden ist, wird mitverschlüsselt. Mindestens eine Kopie muss offline oder unveränderbar sein, etwa auf Bändern oder Festplatten, die nach der Sicherung getrennt werden, oder in einem Speicher, in dem Daten für eine bestimmte Zeit nicht gelöscht werden können. Und: Testen Sie die Wiederherstellung. Wie lange dauert es, den kompletten Server zurückzuspielen? Stunden oder Tage?
Und wenn es doch passiert?
- Betroffene Geräte vom Netz trennen, aber nicht ausschalten, damit Spuren erhalten bleiben.
- Den Notfallplan aktivieren und IT-Dienstleister sowie Geschäftsführung informieren.
- Polizei einschalten; die Landeskriminalämter haben spezialisierte Ansprechstellen für Cybercrime.
- Datenschutz prüfen: Sind personenbezogene Daten betroffen, ist eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig.
- Versicherung informieren, falls eine Cyberversicherung besteht.
- Nicht vorschnell zahlen: Das BSI rät grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass gestohlene Daten nicht doch veröffentlicht werden.
Die Rolle der Mitarbeiter
Technik allein reicht nicht. Viele Angriffe beginnen mit einer E-Mail, die täuschend echt aussieht: eine Rechnung, eine Lieferbenachrichtigung, eine Bewerbung mit Anhang. Mitarbeiter, die wissen, worauf sie achten müssen, sind eine wichtige Verteidigungslinie. Noch wichtiger ist eine Fehlerkultur, in der niemand Angst haben muss, einen falschen Klick zu melden. Je schneller die IT davon erfährt, desto größer die Chance, einen Angriff zu stoppen, bevor die Verschlüsselung beginnt. Kurze, regelmäßige Schulungen mit Beispielen aus dem Alltag wirken besser als ein einmaliger Vortrag im Jahr.
Auch Ihr IT-Dienstleister gehört auf den Prüfstand
Der aktuelle Fall zeigt eine unangenehme Wahrheit: Wer Fernwartungszugriff auf Ihre Systeme hat, ist Teil Ihrer Sicherheitskette. Fragen Sie Ihren Dienstleister, wie er seine eigenen Werkzeuge absichert, ob Zwei-Faktor-Anmeldung Pflicht ist und wie schnell er bei Sicherheitswarnungen reagiert. Ein seriöser Partner beantwortet diese Fragen gern.
Umgekehrt gilt: Wenn Ihr Dienstleister Software eines Herstellers einsetzt, der gerade von einer Sicherheitswarnung betroffen ist, sollten Sie aktiv nachfragen, ob und wie Ihre Systeme betroffen sind. Warten Sie nicht darauf, dass sich jemand bei Ihnen meldet.
Wir helfen Ihnen gerne
Sie möchten wissen, wie gut Ihr Unternehmen gegen Ransomware gewappnet ist? Das IT-Team der Mittelstandsoptimierer prüft Backups, Zugänge und Patch-Stand, erstellt mit Ihnen einen Notfallplan und schult Ihre Mitarbeiter. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
