„Ich habe mir einen Virus eingefangen“ ist zu einem allgemeinen Ausdruck für praktisch jedes Computerproblem geworden. Technisch ist ein Virus jedoch nur eine bestimmte Art von Schadsoftware.
Der Oberbegriff lautet Malware, zusammengesetzt aus „malicious software“. NIST verwendet den Begriff für Software beziehungsweise Firmware, die absichtlich schädliche oder nicht autorisierte Prozesse ausführt und dadurch Vertraulichkeit, Integrität oder Verfügbarkeit eines Systems beeinträchtigen kann. Dazu gehören unter anderem Viren, Würmer, Trojaner und Spyware. (NIST Computer Security Resource Center)
Das Verhältnis lässt sich deshalb so darstellen:
Malware
├── Virus
├── Wurm
├── Trojaner
├── Spyware
├── Keylogger
├── Infostealer
├── Backdoor
└── Ransomware
Ransomware ist damit keine Alternative zu Malware, sondern eine Form beziehungsweise Einsatzart von Malware.
Malware beschreibt nicht nur eine technische Bauart
Schadsoftware kann vollkommen unterschiedliche Aufgaben übernehmen. Manche Programme versuchen Zugangsdaten zu stehlen, andere ermöglichen einem Angreifer Fernzugriff. Wieder andere verbreiten sich selbstständig oder verschlüsseln Daten.
Deshalb sollte man nicht nur fragen:
Welche Malware ist das?
sondern vor allem:
Was kann sie tun?
Eine Schadsoftware kann gleichzeitig mehrere Funktionen besitzen. Ein einzelner Angriff kann etwa zunächst Zugangsdaten stehlen, anschließend weitere Systeme erreichen und erst am Ende Ransomware ausführen. Moderne Angriffe sind deshalb häufig eher Angriffsketten als isolierte Schadprogramme. NIST betrachtet Ransomware entsprechend im Zusammenhang mit Erkennung, Schutz, Reaktion und Wiederherstellung statt lediglich als einzelne Datei. (NIST Computer Security Resource Center)
Was ist ein Computervirus?
Ein Virus ist Schadcode, der sich in andere Programme beziehungsweise Dateien einfügt und sich bei deren Ausführung weiter replizieren kann. NIST grenzt ihn ausdrücklich von einem selbstständigen Wurm ab: Ein Virus benötigt einen Host beziehungsweise eine infizierte Datei, die ausgeführt wird. (NIST Computer Security Resource Center)
Vereinfacht:
saubere Datei
↓
Virus hängt sich an
↓
infizierte Datei
↓
Datei wird ausgeführt
↓
weitere Dateien können infiziert werden
Der Begriff „Virus“ beschreibt damit insbesondere den Mechanismus der Replikation und Infektion.
Nicht jede Malware verhält sich so.
Was ist ein Wurm?
Ein Wurm kann sich dagegen selbstständig über Netzwerke auf weitere Systeme verbreiten. Er benötigt nach der NIST-Definition kein anderes Hostprogramm und keine manuelle Benutzeraktion, um seine Replikation grundsätzlich durchzuführen. (NIST Computer Security Resource Center)
Das Prinzip:
System A infiziert
↓
Netzwerk
↓
System B
↓
System C
↓
System D
Ein Sicherheitsproblem kann dadurch besonders schnell zu einem Netzwerkproblem werden.
Ein Virus infiziert also typischerweise andere Dateien oder Programme. Ein Wurm besitzt seine eigene Verbreitungslogik.
Was ist ein Trojaner?
Ein Trojanisches Pferd tarnt seine eigentliche Funktion hinter etwas scheinbar Nützlichem beziehungsweise legitimem. NIST beschreibt einen Trojaner als Programm mit einer scheinbar nützlichen Funktion, das gleichzeitig eine versteckte potentiell schädliche Funktion enthält. (NIST Computer Security Resource Center)
Beispielsweise:
angebliches PDF-Werkzeug
↓
Nutzer installiert es freiwillig
↓
Programm funktioniert scheinbar
+
Schadfunktion läuft im Hintergrund
Der Name stammt aus derselben Idee wie das Trojanische Pferd der Mythologie: Der Angreifer wird nicht mit Gewalt hineingebracht, sondern unter falscher Identität eingelassen.
Trojaner müssen sich nicht selbst verbreiten
Das unterscheidet sie von Viren und Würmern.
Ein Trojaner kann beispielsweise durch:
eine Phishingmail,
einen manipulierten Download,
gefälschte Software,
einen kompromittierten Installer
zum Nutzer gelangen.
Der entscheidende Punkt ist die Täuschung beziehungsweise versteckte Funktion – nicht zwingend eine automatische Weiterverbreitung. (NIST Computer Security Resource Center)
Was ist Spyware?
Spyware konzentriert sich auf Informationsgewinnung. NIST definiert Spyware als Software, die heimlich installiert wird, um Informationen über Personen oder Organisationen ohne deren Wissen zu sammeln. (NIST Computer Security Resource Center)
Das können beispielsweise sein:
Nutzungsverhalten
Zugangsdaten
Browserinformationen
Systeminformationen
Dateien
Die interessanteste Schadsoftware ist für Angreifer deshalb nicht immer diejenige, die sich sofort sichtbar macht.
Ein Programm, das zwei Monate unbemerkt wertvolle Informationen sammelt, kann gefährlicher sein als Malware, die den Computer sofort zum Absturz bringt.
Was ist ein Keylogger?
Ein Keylogger zeichnet Tastatureingaben auf. NIST nennt als typischen Zweck ausdrücklich das Erlangen von Passwörtern beziehungsweise kryptografischen Geheimnissen; MITRE ATT&CK führt Keylogging als Technik zum Abfangen von Benutzereingaben und Credentials. (NIST Computer Security Resource Center)
Das Grundprinzip ist brutal einfach:
Nutzer tippt:
MeinSehrSicheresPasswort
↓
Keylogger zeichnet mit
↓
Angreifer erhält:
MeinSehrSicheresPasswort
Damit wird erneut sichtbar, warum ein starkes Passwort nur gegen bestimmte Angriffsklassen hilft.
Ein 40-stelliges Zufallspasswort ist hervorragend gegen Erraten.
Ein Keylogger muss es nicht erraten.
Er liest es mit.
Was ist ein Infostealer?
Der Begriff Infostealer wird für Malware verwendet, deren Schwerpunkt auf dem automatisierten Diebstahl interessanter Informationen liegt. Besonders wertvoll können dabei nicht nur Passwörter, sondern auch bereits bestehende Authentifizierungsdaten des Browsers sein.
Ein moderner Browser kennt möglicherweise:
gespeicherte Zugangsdaten,
Session-Cookies,
Tokens,
Autofill-Daten
und Informationen über angemeldete Dienste.
MITRE dokumentiert ausdrücklich Malware- und Angriffstechniken zum Diebstahl von Web-Session-Cookies aus Browserdateien oder dem Arbeitsspeicher. Ein solcher Cookie kann eine bereits authentifizierte Sitzung repräsentieren und unter Umständen den Zugriff auf einen Dienst ermöglichen, ohne das ursprüngliche Passwort erneut einzugeben. (MITRE ATT&CK)
Das verändert das Angriffsziel:
früher gedacht:
Passwort stehlen
↓
einloggen
aber möglicherweise auch:
Session stehlen
↓
bestehende Anmeldung übernehmen
Deshalb ist MFA allein kein vollständiger Malware-Schutz
Zwei-Faktor-Authentifizierung schützt ausgezeichnet gegen viele Fälle, in denen lediglich das Passwort bekannt geworden ist.
Befindet sich Schadsoftware jedoch bereits auf einem entsperrten und angemeldeten Endgerät, entsteht ein anderes Problem. MITRE beschreibt Session-Cookies ausdrücklich als mögliche Zugangsdaten, deren Diebstahl bestimmte MFA-Hürden umgehen kann. (MITRE ATT&CK)
Das bedeutet nicht:
MFA ist nutzlos.
Sondern:
MFA
→ schützt Authentifizierung
Endpoint-Sicherheit
→ schützt das Gerät
beides notwendig
Was ist eine Backdoor?
Eine Backdoor schafft einen verborgenen beziehungsweise nicht vorgesehenen Zugang zu einem System.
Der Angreifer möchte damit beispielsweise später wieder zurückkehren.
Erstzugang
↓
Backdoor installieren
↓
ursprüngliches Einfallstor wird geschlossen
↓
Angreifer besitzt trotzdem weiteren Zugang
Das erklärt, warum eine erfolgreiche Schadsoftwarebereinigung nicht automatisch darin besteht, nur die offensichtlich gefundene Datei zu löschen.
Man muss gegebenenfalls verstehen:
Welche weiteren Veränderungen hat der Angreifer vorgenommen?
Remote Access kann legitim oder bösartig sein
Fernwartungssoftware ist ein gutes Beispiel dafür, dass nicht jedes gefährliche Werkzeug selbst Malware sein muss.
Unternehmen verwenden legitime Remote-Management-Programme für:
Support,
Administration,
Wartung.
Angreifer können dieselben Funktionen missbrauchen. CISA empfiehlt deshalb ausdrücklich, eingesetzte Remote-Monitoring- und Management-Werkzeuge zu inventarisieren, nicht autorisierte Nutzung zu erkennen und entsprechende Protokolle zu überwachen. (CISA)
Das Sicherheitsmodell lautet also nicht:
Programm X
=
immer böse
sondern häufig:
Wer benutzt es?
Mit welcher Berechtigung?
Zu welchem Zweck?
Ist die Nutzung erwartet?
Wie gelangt Malware auf ein System?
Es gibt keinen einzigen Infektionsweg.
CISA nennt im aktuellen #StopRansomware-Leitfaden unter anderem kompromittierte Zugangsdaten, Social Engineering, gefährdete Remote-Zugänge und ausnutzbare Schwachstellen als wichtige Eintrittswege, gegen die Organisationen Schutzmaßnahmen vorsehen sollen. (CISA)
Ein vereinfachtes Modell lautet:
Phishing
oder
gestohlene Zugangsdaten
oder
ungepatchte Schwachstelle
oder
unsicherer Remote-Zugang
↓
Erstzugang
↓
weitere Aktionen
Das zeigt, warum Sicherheit aus mehreren Ebenen bestehen muss.
Phishing ist nur ein möglicher Anfang
Im vorherigen Artikel haben wir Phishing ausführlich behandelt.
Ein Angreifer kann beispielsweise eine Datei senden:
Rechnung
↓
Nutzer öffnet sie
↓
Schadcode wird ausgeführt
Oder der Angreifer stiehlt nur Zugangsdaten:
Phishingseite
↓
Cloudkonto übernommen
↓
weitere Systeme erreichbar
Die eigentliche Schadsoftware kann also auch erst später folgen.
Schwachstellen können menschliche Mithilfe unnötig machen
Manche Angriffe benötigen keinen Klick.
Wenn eine über das Netzwerk erreichbare Software eine ausnutzbare Sicherheitslücke besitzt, kann ein Angreifer versuchen, diese direkt zu verwenden. CISA und FBI nennen ungepatchte Software und ausnutzbare Schwachstellen deshalb seit Jahren als wesentlichen Ransomware-Eintrittsweg und empfehlen konsequentes Patchen. (FBI)
Der Schutz beginnt daher nicht erst beim Virenscanner.
Sicherheitsupdate
↓
bekannte Schwachstelle geschlossen
↓
bestimmter Angriffsweg entfällt
Updates reduzieren Angriffsfläche
Ein Update bedeutet nicht automatisch:
neues Design
oder:
neue Funktion.
Gerade bei:
Betriebssystem,
Browser,
Server,
WordPress,
Plugins,
Netzwerkgeräten
schließen Aktualisierungen häufig Sicherheitslücken.
CISA empfiehlt im Ransomware-Kontext ausdrücklich, Betriebssysteme, Software und Firmware aktuell zu halten. (CISA)
Gestohlene Zugangsdaten können ebenfalls Erstzugang liefern
Ein Angreifer benötigt nicht zwingend Malware, um zunächst hineinzukommen.
Passwort gestohlen
↓
VPN / Cloud / Remote Access
↓
legitime Anmeldung
Von dort aus kann er versuchen, weitere Berechtigungen zu erhalten oder Malware nachzuladen.
Darum bilden:
auch einen Teil der Malwareabwehr.
Der erste kompromittierte Rechner ist nicht immer das eigentliche Ziel
Besonders bei Unternehmen interessiert sich ein Angreifer möglicherweise kaum für den einzelnen Laptop.
Er dient nur als Ausgangspunkt.
Laptop
↓
interne Zugangsdaten
↓
Server
↓
Backup-System
↓
Cloud
↓
weitere Accounts
CISA empfiehlt deshalb Netzwerksegmentierung ausdrücklich als Maßnahme, um die Auswirkungen einer Intrusion einzudämmen und laterale Bewegung zu erschweren. (CISA)
Was bedeutet laterale Bewegung?
Der Angreifer ist bereits irgendwo im Netzwerk.
Nun versucht er, sich seitwärts zu weiteren Systemen zu bewegen.
Arbeitsplatz 1
↓
Dateiserver
↓
Administratorserver
↓
Backupserver
Je flacher ein Netzwerk aufgebaut ist und je mehr ein kompromittiertes Konto überall darf, desto größer kann der erreichbare Schaden werden.
Deshalb ist Least Privilege so wichtig
Least Privilege bedeutet:
Ein Nutzer oder Dienst erhält nur die Rechte, die tatsächlich für seine Aufgabe notwendig sind.
Mitarbeiter braucht:
Dokumente lesen
Dann benötigt er nicht automatisch:
Domain-Administrator
CISA empfiehlt das Prinzip der geringsten notwendigen Berechtigung ausdrücklich in seiner Ransomware-Härtungsleitlinie. (CISA)
Das begrenzt den Schaden eines kompromittierten Kontos.
Administratorrechte sind für Malware besonders wertvoll
Ein Prozess, der nur die Rechte eines normalen Benutzers besitzt, kann typischerweise weniger verändern als ein hoch privilegierter Prozess.
Der Angreifer versucht deshalb häufig:
Erstzugang
↓
Berechtigung erhöhen
↓
mehr Systeme / Daten erreichen
Die Sicherheitsfrage lautet also nicht nur:
Kann Malware laufen?
sondern auch:
Was darf sie anschließend?
Dauerhaft als Administrator zu arbeiten erhöht das Schadenspotential
Wenn eine Aufgabe keine Administratorrechte benötigt, sollten diese auch nicht ständig verfügbar sein.
Das Prinzip entspricht einer Brandschutztür:
Sie verhindert nicht jedes Feuer.
Aber sie kann verhindern, dass ein lokales Problem sofort das ganze Gebäude erfasst.
Was ist Ransomware?
Ransomware ist Malware, die Daten oder Systeme unbrauchbar macht und anschließend eine Lösegeldforderung stellt. NIST beschreibt Ransomware in seiner aktuellen IR 8374 Rev. 1 insbesondere als Angriff, bei dem Daten verschlüsselt und Zahlungen für die Wiederherstellung verlangt werden. Moderne Angreifer können zusätzlich Daten stehlen und mit deren Veröffentlichung drohen. (NIST Computer Security Resource Center)
Der klassische Ablauf:
Dateien
↓
Ransomware
↓
verschlüsselte Dateien
↓
Lösegeldforderung
Aber dieses einfache Bild beschreibt moderne Ransomware nur teilweise.
Ransomware ist häufig das Ende eines längeren Angriffs
Der spektakuläre Moment ist:
Dateien verschlüsselt
Der eigentliche Angriff kann aber schon wesentlich früher begonnen haben.
Ein konzeptionelles Modell:
Erstzugang
↓
Persistenz
↓
Zugangsdaten sammeln
↓
Berechtigungen erweitern
↓
weitere Systeme erreichen
↓
Daten stehlen
↓
Backups / Recovery angreifen
↓
Ransomware ausführen
↓
Erpressung
CISA behandelt Ransomware deshalb nicht nur als Malwareproblem, sondern gibt Empfehlungen gegen verschiedene Initial-Access-Wege, laterale Bewegung, Backup-Manipulation sowie für Incident Response und Recovery. (CISA)
Der Verschlüsselungsmoment kann sehr spät kommen
Ein Angreifer möchte unter Umständen zuerst herausfinden:
Welche Daten sind wertvoll?
Wo befinden sich Backups?
Welche Systeme sind kritisch?
Welche Benutzer besitzen Administratorrechte?
Erst danach wird die sichtbare Ransomware ausgelöst.
Das erklärt eine wichtige Konsequenz:
Ransomware-Meldung
≠
Beginn des Angriffs
Sie kann lediglich der Zeitpunkt sein, an dem ein bereits länger bestehender Angriff sichtbar wird.
Was ist Double Extortion?
Früher lautete die Erpressung vereinfacht:
Bezahle, sonst bekommst du deine verschlüsselten Dateien nicht zurück.
Moderne Angreifer können zusätzlich Daten kopieren.
Dann lautet die Drohung:
Bezahle, sonst veröffentlichen wir die gestohlenen Daten.
NIST IR 8374 Rev. 1 berücksichtigt ausdrücklich sowohl Verschlüsselung als auch Informationsdiebstahl mit zusätzlicher Erpressung. CISA bezeichnet die Kombination aus Verschlüsselung und Veröffentlichungdrohung als Double Extortion. (NIST Computer Security Resource Center)
Erpressung 1:
Dateien unzugänglich
plus:
Erpressung 2:
Datenveröffentlichung angedroht
Deshalb lösen Backups nicht das gesamte Ransomwareproblem
Ein perfektes Backup kann das Problem:
Unsere Dateien wurden verschlüsselt.
wesentlich entschärfen.
Es löst aber nicht automatisch:
Unsere Kundendaten wurden gestohlen.
Ein Ransomware-Sicherheitskonzept muss deshalb mindestens zwei Fragen beantworten:
Wie stellen wir Daten wieder her?
und:
Wie verhindern beziehungsweise erkennen wir Datenabfluss?
NIST behandelt Ransomware entsprechend über die gesamten CSF-Funktionen Govern, Identify, Protect, Detect, Respond und Recover. (NIST)
Es gibt sogar Erpressung ohne Verschlüsselung
CISA weist darauf hin, dass Angreifer Daten teilweise ausschließlich stehlen und anschließend mit deren Veröffentlichung drohen, ohne klassische Dateiverschlüsselung einzusetzen. (CISA)
Dann sieht der Angriff so aus:
System kompromittieren
↓
Daten exfiltrieren
↓
„Bezahle, sonst veröffentlichen wir.“
Kein Verschlüsselungsprogramm notwendig.
Trotzdem handelt es sich um Cybererpressung.
Warum greifen Angreifer Backups an?
Ein Unternehmen mit funktionierenden Backups kann verschlüsselte Systeme möglicherweise wiederherstellen.
Damit sinkt der Druck, Lösegeld zu zahlen.
Aus Angreifersicht sind Backups deshalb ein Hindernis.
CISA warnt ausdrücklich, dass viele Ransomware-Varianten versuchen, erreichbare Backups zu löschen oder ebenfalls zu verschlüsseln, und empfiehlt deshalb offline gespeicherte, verschlüsselte sowie regelmäßig getestete Sicherungen. (CISA)
Ein ständig verbundenes Backup kann mitbetroffen sein
Beispiel:
Server
↓
Netzlaufwerk
↓
Backup
Wenn Ransomware beziehungsweise ein Angreifer mit ausreichenden Rechten sowohl Server als auch Backupziel erreicht:
Produktivdaten
→ verschlüsselt
Backup
→ ebenfalls beschädigt
Dann existieren zwar formal zwei Kopien, aber kein ausreichender unabhängiger Recovery-Pfad.
Backup und Synchronisierung erneut unterscheiden
Diese Unterscheidung aus Backup-Grundlagen ist bei Ransomware besonders wichtig.
Synchronisierung:
Datei geändert
↓
Änderung wird übertragen
Backup:
früherer Zustand
↓
bleibt wiederherstellbar
Wenn verschlüsselte Dateien einfach synchronisiert werden:
Original verschlüsselt
↓
Cloud synchronisiert
↓
Cloudkopie ebenfalls geändert
kann Versionierung beziehungsweise ein unabhängiges Backup entscheidend sein.
Offline, getrennt oder unveränderbar
CISA empfiehlt insbesondere offline gehaltene Backups. Für Cloudumgebungen nennt der Leitfaden zusätzlich Schutzmechanismen wie Delete Protection, Object Lock beziehungsweise unveränderbare Speicheroptionen und Versionierung, soweit diese korrekt zur Umgebung passen. (CISA)
Das zugrunde liegende Prinzip lautet:
Angreifer kontrolliert Produktivsystem
↓
soll Backup trotzdem
nicht einfach löschen können
Backup-Zugang sollte nicht identisch mit jedem Produktionszugang sein
Ein Administratoraccount, der gleichzeitig:
Produktivserver,
Backupserver,
Cloudbackup
kontrolliert, kann zum besonders wertvollen Angriffsziel werden.
Besser ist eine Architektur mit bewusst getrennten Berechtigungen und Schutzebenen.
Produktivsystem kompromittiert
↓
Backup bleibt separat geschützt
CISA empfiehlt Least Privilege und eine bewusste Trennung kritischer Ressourcen gerade auch zur Begrenzung solcher Auswirkungen. (CISA)
Ein Backup ist erst dann wertvoll, wenn es restauriert werden kann
„Backup läuft jeden Abend“ ist keine vollständige Aussage.
Die wichtigere Frage lautet:
Wann haben wir zuletzt
eine echte Wiederherstellung getestet?
CISA empfiehlt regelmäßige Tests von Verfügbarkeit und Integrität der Backups ausdrücklich; auch die aktuelle NIST-Ransomware-Guidance behandelt Recovery als festen Bestandteil der Vorbereitung. (CISA)
Recovery-Zeit gehört zur Planung
Ein Unternehmen besitzt:
10 Terabyte Backup.
Sehr gut.
Aber:
Wie lange dauert die Wiederherstellung?
Eine Stunde?
Zwei Tage?
Zwei Wochen?
Bei kritischen Systemen muss deshalb nicht nur gefragt werden:
Haben wir die Daten?
sondern:
Wie schnell bekommen wir
den Betrieb wieder zum Laufen?
NISTs aktuelles Ransomware-Profil zielt ausdrücklich auf die Vorbereitung auf Folgen, Reaktion und Wiederherstellung und nicht nur auf die Verhinderung der Infektion. (NIST Computer Security Resource Center)
Golden Images können Wiederaufbau beschleunigen
CISA empfiehlt für kritische Systeme zusätzlich sogenannte Golden Images – vorbereitete saubere Systemvorlagen, mit denen Server beziehungsweise virtuelle Maschinen kontrolliert neu aufgebaut werden können. (CISA)
Das ist etwas anderes als ein reines Datenbackup.
Datenbackup
→ Inhalte
Golden Image
→ definierter Systemzustand
Beides kann zusammen Recovery beschleunigen.
Warum Neuaufbau manchmal besser ist als „Virus entfernen“
Angenommen, ein Angreifer hatte Administratorrechte.
Man findet:
eine Malwaredatei.
Man löscht sie.
Nun lautet die entscheidende Frage:
War das alles?
Vielleicht wurden zusätzlich:
Accounts erstellt,
Dienste verändert,
Scheduled Tasks eingerichtet,
Backdoors hinterlegt,
Zugangsdaten gestohlen.
Je größer die Kontrolle des Angreifers war, desto schwieriger wird es, einem lediglich „bereinigten“ System wieder vollständig zu vertrauen.
Bei schweren Vorfällen kann deshalb ein kontrollierter Neuaufbau aus vertrauenswürdiger Basis sinnvoller sein als das blinde Entfernen sichtbarer Symptome. CISA beschreibt den Wiederaufbau und die Wiederherstellung aus sauberen, offline gehaltenen Backups ausdrücklich als Teil des Ransomware-Response-Prozesses. (CISA)
Virenscanner und Endpoint-Schutz
Antivirus- beziehungsweise Anti-Malware-Software soll Schadsoftware erkennen, verhindern oder eindämmen. NIST definiert Antivirus-Software entsprechend als Werkzeug, das wichtige Malwaretypen erkennen und Malwarevorfälle verhindern beziehungsweise enthalten soll. (NIST Computer Security Resource Center)
Das klassische Prinzip verwendet unter anderem Signaturen:
bekanntes Malwaremuster
↓
Datei untersuchen
↓
Muster gefunden
↓
Alarm
NIST beschreibt Malware-Signaturen als charakteristische Merkmale bekannter Schadsoftware, anhand derer bekannte Malware und manche Varianten erkannt werden können. (NIST Computer Security Resource Center)
Signaturen allein reichen nicht
Ein Problem liegt auf der Hand:
Malware völlig neu
↓
noch keine bekannte Signatur
Moderne Schutzsysteme betrachten deshalb zusätzlich Verhalten und Kontext.
Zum Beispiel:
Ein normales Textprogramm beginnt plötzlich:
zahlreiche Dateien zu verändern,
Anmeldedaten auszulesen,
Sicherheitsfunktionen zu deaktivieren,
Verbindungen zu unbekannten Systemen aufzubauen.
Dann kann das Verhalten verdächtig sein, auch wenn die konkrete Datei noch nicht lange bekannt ist.
Antivirus ist deshalb eine Ebene, nicht die gesamte Verteidigung
Ein sinnvolles Modell:
Updates
+
sichere Konfiguration
+
MFA
+
Least Privilege
+
Endpoint-Schutz
+
Backups
+
Monitoring
CISA empfiehlt im Ransomware-Kontext entsprechend eine Kombination aus aktualisierter Software, MFA, Backup, Least Privilege, Segmentierung und Incident-Response-Vorbereitung. (CISA)
Monitoring macht unsichtbare Angriffe sichtbarer
Wenn ein Angreifer keine sichtbare Ransomware startet, kann ein kompromittiertes System lange normal wirken.
Deshalb sind Protokolle und Warnungen wichtig.
CISA empfiehlt für Cloudressourcen beispielsweise Logging und Alerts bei ungewöhnlicher Nutzung sowie die Überwachung von Remote-Management-Werkzeugen. (CISA)
Typische Fragen können sein:
Warum meldet sich dieser Benutzer
nachts aus einem neuen Land an?
Warum liest dieser Prozess
Browser-Credential-Dateien?
Warum werden plötzlich
tausende Dateien umbenannt?
Warum versucht dieser Client
sehr viele andere Server zu erreichen?
Eine einzelne Anomalie muss noch kein Angriff sein
Ein Administrator kann nachts arbeiten.
Ein Backup kann tausende Dateien lesen.
Ein legitimes Deployment kann viele Systeme kontaktieren.
Deshalb besteht Detection nicht darin:
ungewöhnlich
=
böse
sondern:
ungewöhnlich
↓
Kontext prüfen
↓
Risiko bewerten
Was sind Indicators of Compromise?
Während beziehungsweise nach einem Angriff können bestimmte Spuren darauf hindeuten, dass Systeme kompromittiert wurden.
Zum Beispiel:
ungewöhnliche Prozesse,
verdächtige Netzwerkverbindungen,
neu angelegte Accounts,
bekannte schädliche Dateihashes,
ungewöhnliche Loginaktivität.
CISA empfiehlt bei Ransomwarevorfällen ausdrücklich Threat Hunting und die Untersuchung betroffener Systeme, statt ausschließlich die sichtbare Lösegeldforderung zu behandeln. (CISA)
Ransomware darf nicht nur als Verschlüsselungsproblem untersucht werden
Wenn ein Unternehmen lediglich:
Backup zurückspielt
und:
weiterarbeitet,
ohne zu verstehen, wie der Angreifer hereinkam, kann derselbe Zugang weiterhin bestehen.
Restore
↓
Angreifer besitzt noch Zugang
↓
zweiter Angriff
Darum müssen drei Aufgaben getrennt werden.
Aufgabe 1: Eindämmen
Wie stoppen wir
den laufenden Schaden?
Aufgabe 2: Wiederherstellen
Wie bekommen wir
saubere Systeme und Daten zurück?
Aufgabe 3: Ursache beseitigen
Wie kam der Angreifer hinein
und welche Zugänge bestehen noch?
NIST SP 800-61 Rev. 3 behandelt Incident Response genau als Bestandteil des gesamten Cybersecurity-Risikomanagements und verbindet Vorbereitung, Erkennung, Reaktion und Recovery miteinander. (NIST Computer Security Resource Center)
Was tun bei einem konkreten Ransomwareverdacht?
Bei einem geschäftlichen Netzwerk ist ein tatsächlicher Vorfall kein geeigneter Moment für improvisierte Experimente. CISA empfiehlt zunächst, betroffene Systeme zu bestimmen und umgehend zu isolieren, um die weitere Ausbreitung einzudämmen. Wenn mehrere Systeme betroffen sind, kann eine koordinierte Netzwerkisolierung notwendig werden. (CISA)
Das grundlegende Ziel:
betroffenes System
X
Netzwerk
statt:
betroffenes System
↔
weitere Systeme
Netzwerk trennen ist nicht dasselbe wie sofort ausschalten
CISA weist auf eine wichtige forensische Feinheit hin: Ein Ausschalten kann flüchtige Informationen im Arbeitsspeicher zerstören, die für die spätere Untersuchung nützlich wären. Deshalb empfiehlt der Ransomware-Leitfaden zunächst Netzwerkisolation; ein Ausschalten soll insbesondere erwogen werden, wenn eine Isolation anders nicht möglich ist. (CISA)
Für Unternehmen bedeutet das:
Incident-Response-Plan
+
geschulte Verantwortliche
sind besser als spontane Aktionen mitten im Vorfall.
Nicht einfach weiterarbeiten
Ein Verdacht auf aktive Schadsoftware ist kein normales Softwareproblem.
Nicht:
Fehlermeldung schließen
↓
weiterarbeiten
Sondern:
möglichen Vorfall erkennen
↓
eindämmen
↓
untersuchen
Besonders sollten nicht unnötig weitere Zugangsdaten auf einem möglicherweise kompromittierten Rechner eingegeben werden.
Bei einem privaten Einzelgerät
Wenn konkrete Malwareaktivität vermutet wird, ist die wichtigste erste Überlegung ebenfalls die Eindämmung:
Gerät vom Netzwerk trennen
↓
keine sensiblen Logins mehr
↓
mit vertrauenswürdigem System
weitere Kontosicherheit prüfen
Wie aggressiv danach vorgegangen werden muss, hängt davon ab, was tatsächlich passiert ist. Ein falsch positiver Virenscannerfund ist etwas anderes als ein bestätigter Infostealer mit gestohlenen Zugangsdaten.
Passwortwechsel erst im richtigen Kontext
Wenn ein Keylogger auf dem infizierten Rechner aktiv ist:
Passwort ändern
↓
Keylogger zeichnet neues Passwort auf
Deshalb sollte eine Kontosicherung bei ernsthaft kompromittiertem Endgerät möglichst über einen vertrauenswürdigen, sauberen Zugang erfolgen.
Das verbindet Malwareabwehr wieder direkt mit unseren Artikeln über Passwörter und MFA.
Bei Infostealer-Verdacht mehr als Passwörter prüfen
Wurden Browserdaten gestohlen, können zusätzlich betroffen sein:
Session-Cookies,
Tokens,
gespeicherte Credentials.
MITRE dokumentiert ausdrücklich den Diebstahl von Web-Session-Cookies aus Browserdateien und Speicher sowie deren mögliche Nutzung für bereits authentifizierte Sitzungen. (MITRE ATT&CK)
Deshalb kann die Reaktion umfassen:
Passwörter erneuern
+
Sitzungen widerrufen
+
Geräte prüfen
+
MFA-Konfiguration prüfen
Nicht nur:
Passwort geändert
→ fertig
Bei Unternehmen Beweise nicht unnötig zerstören
Wer:
Logs löscht,
Systeme sofort formatiert,
alles blind neu installiert,
kann wichtige Informationen für die Ursachenanalyse verlieren.
CISA weist im Ransomware-Response-Prozess ausdrücklich auf die Bedeutung der Analyse und – etwa bei Cloudsystemen – auf das Anfertigen von Snapshots für spätere forensische Untersuchungen hin. (CISA)
Das bedeutet nicht, kompromittierte Systeme weiterlaufen zu lassen.
Es bedeutet:
Eindämmung und Beweissicherung koordiniert planen.
Incident-Response-Plan vor dem Angriff
Der schlechteste Zeitpunkt, Zuständigkeiten festzulegen, ist:
wenn gerade alles verschlüsselt wird.
CISA empfiehlt deshalb ausdrücklich einen regelmäßig aktualisierten und geübten Incident-Response- und Kommunikationssplan. NIST SP 800-61 Rev. 3 ordnet Incident Response ebenfalls als fortlaufenden Bestandteil des Cybersecurity-Risikomanagements ein. (CISA)
Ein einfacher Plan sollte mindestens klären:
Wer entscheidet?
Wer isoliert Systeme?
Wer hat Zugriff auf Backups?
Wie kommunizieren wir?
Welche Systeme sind kritisch?
Welche externen Ansprechpartner gibt es?
Alternative Kommunikation kann wichtig werden
Wenn der Angreifer Zugriff auf Unternehmenssysteme besitzt, könnte er möglicherweise:
E-Mail,
Chat,
Monitoring
mitlesen.
CISA empfiehlt bei bestimmten Ransomwarevorfällen deshalb koordinierte Out-of-Band-Kommunikation, etwa über Telefon, damit Reaktionsmaßnahmen nicht unnötig über kompromittierte Kanäle angekündigt werden. (CISA)
Recovery darf Malware nicht wiederherstellen
Ein Backup ist alt genug.
Daten sind vollständig.
Nun wird es zurückgespielt.
Aber was, wenn sich bereits vor dem Sicherungszeitpunkt eine Backdoor auf dem System befand?
kompromittiertes System
↓
Backup erstellt
↓
Restore
↓
Backdoor wieder da
Deshalb empfiehlt CISA bei der Wiederherstellung ausdrücklich, saubere Systeme und Backups zu verwenden und eine erneute Infektion während des Recovery-Prozesses zu vermeiden. (CISA)
Der Wiederherstellungszeitpunkt muss vertrauenswürdig sein
Nicht einfach:
neueste Sicherung
=
beste Sicherung
Wenn der Angriff seit drei Wochen vorbereitet wurde, kann die letzte Nacht bereits kompromittierten Zustand enthalten.
Es kann notwendig sein, eine zeitliche Angriffslinie zu rekonstruieren:
Wann begann der Erstzugang?
Wann wurden Systeme verändert?
Welche Backups stammen
aus sicherem Zustand?
Soll man Lösegeld bezahlen?
Das ist für betroffene Organisationen eine reale Krisenentscheidung mit rechtlichen, wirtschaftlichen und operativen Dimensionen. Als Sicherheitsgrundsatz ist aber wichtig: Das FBI unterstützt die Zahlung von Lösegeld nicht und weist darauf hin, dass eine Zahlung keine Garantie für die Wiederherstellung von Daten darstellt. CISA und FBI warnen zusätzlich davor, dass Zahlungen weitere kriminelle Aktivitäten fördern können. (FBI)
Die technische Realität lautet:
bezahlt
≠
Daten garantiert zurück
und bei Double Extortion zusätzlich:
bezahlt
≠
gestohlene Daten garantiert gelöscht
Das FBI weist ausdrücklich auch darauf hin, dass eine Zahlung nicht garantiert, dass zuvor kopierte Daten tatsächlich vertraulich bleiben. (FBI)
Die bessere Strategie entsteht vor dem Angriff
Je besser:
Backup,
Segmentierung,
Incident Response,
Logging,
Berechtigungen,
MFA,
Patchmanagement
funktionieren, desto weniger existenziell wird die Lösegeldforderung.
NISTs aktuelle Ransomware-Richtlinie von 2026 verfolgt genau diesen Resilienzgedanken: Organisationen sollen ihre Fähigkeit zum Govern, Identify, Protect, Detect, Respond und Recover systematisch aufbauen. (NIST)
Ransomware-Schutz beginnt beim Inventar
Man kann nicht sinnvoll schützen oder priorisieren, was man nicht kennt.
CISA empfiehlt deshalb eine strukturierte Erfassung von:
Hardware,
Software,
Daten,
kritischen Abhängigkeiten.
Besonders sollte bekannt sein, welche Systeme für:
Geschäftsbetrieb,
Umsatz,
Sicherheit,
kritische Dienste
entscheidend sind. (CISA)
Ein kleines Unternehmen könnte beispielsweise feststellen:
Website
↓
kann 24 Stunden ausfallen
aber:
Warenwirtschaft
↓
ohne sie steht Betrieb
oder:
E-Mail
↓
Passwort-Resets und Kundenkommunikation
Solche Unterschiede bestimmen die Recovery-Reihenfolge.
Patchmanagement priorisieren
Nicht jedes Update besitzt denselben Zeitdruck.
Besonders kritisch sind:
öffentlich erreichbare Systeme,
bekannt ausnutzbare Schwachstellen,
Remote-Zugänge,
Identitätsdienste,
Browser,
Server.
CISA nennt die konsequente Aktualisierung von Betriebssystemen, Software und Firmware ausdrücklich als zentrale Ransomware-Prävention. (CISA)
MFA reduziert gestohlene-Credential-Angriffe
Wo Angreifer über gestohlene Zugangsdaten einsteigen, kann MFA den Angriff erheblich erschweren.
CISA empfiehlt MFA ausdrücklich in seiner aktuellen Ransomware-Härtung und in gemeinsamen Ransomware-Advisories. (CISA)
Für besonders kritische Konten sind phishing-resistente Verfahren wiederum stärker als einfache Einmalcodes.
Netzwerke segmentieren
Ein kompromittierter Arbeitsplatz sollte nicht automatisch freien Zugang zu:
Backup,
Domainverwaltung,
Produktion,
Buchhaltung
besitzen.
Segment A
X
Segment B
X
Segment C
statt:
alles
↔
alles
CISA empfiehlt Netzwerksegmentierung ausdrücklich, um laterale Bewegung und damit den maximalen Schaden einer Intrusion zu begrenzen. (CISA)
Backup separat absichern
Mindestens ein Recovery-Pfad sollte so gestaltet sein, dass ein Angreifer mit normalen Produktionsrechten ihn nicht einfach zerstören kann.
Produktivkonto kompromittiert
↓
Backup weiterhin vorhanden
CISA empfiehlt dafür insbesondere offline Backups und nennt für Cloudumgebungen unter anderem Unveränderbarkeit beziehungsweise Object-Lock- und Delete-Protection-Mechanismen. (CISA)
Backups testen
Nicht nur:
Backup erfolgreich
sondern:
Restore erfolgreich
Das ist der Unterschied zwischen einer Dateiablage und einer belastbaren Wiederherstellungsstrategie. CISA fordert entsprechende regelmäßige Recovery-Tests ausdrücklich. (CISA)
Sicherheitssoftware aktuell halten
Anti-Malware- beziehungsweise Endpoint-Systeme können nur Teil eines wirksamen Schutzes sein, wenn sie tatsächlich aktiv und aktuell sind. Auch das FBI nennt aktuelle Anti-Malware-Lösungen zusammen mit Softwareupdates und Backups als grundlegende Ransomware-Schutzmaßnahmen. (FBI)
Benutzer schulen – aber nicht als einzigen Schutz
Mitarbeiter sollten Phishing erkennen können.
Aber:
Mensch muss nie Fehler machen
ist kein gutes Sicherheitskonzept.
Besser:
Mensch
+
Mailfilter
+
MFA
+
Berechtigungen
+
Endpoint-Schutz
+
Backups
So kann ein einzelner Fehlklick abgefangen werden, bevor daraus ein Totalschaden entsteht.
Security Awareness sollte konkrete Prozesse lehren
Weniger hilfreich:
Seid vorsichtig.
Besser:
verdächtiger Anhang
→ nicht öffnen
→ Security melden
MFA-Anfrage unerwartet
→ ablehnen
→ melden
ungewöhnliche Zahlung
→ zweiten Kanal verwenden
Malwarealarm
→ Gerät nicht ignorieren
Menschen brauchen Handlungsmuster, nicht nur Angst vor Cyberkriminalität.
Website-Malware
Malware betrifft nicht nur Windows-PCs.
Auch ein Webserver beziehungsweise eine WordPress-Installation kann kompromittiert werden.
Ein Angreifer kann beispielsweise:
schädlichen PHP-Code,
eine Backdoor,
einen manipulierten Administrator,
Spamseiten,
Weiterleitungen
hinterlassen.
Der Grundgedanke ist derselbe:
Erstzugang
↓
Persistenz
↓
Missbrauch
Deshalb reichen bei einer kompromittierten Website oberflächliche Maßnahmen wie das Löschen einer sichtbaren Spamseite nicht zwingend aus.
WordPress-Backup schützt nur einen Teil des Problems
Ein WordPress-Backup kann Dateien und Datenbank wiederherstellen.
Aber nach einer Kompromittierung muss zusätzlich geklärt werden:
Wie kam der Angreifer hinein?
Vielleicht durch:
gestohlene Zugangsdaten,
veraltetes Plugin,
kompromittierten FTP-Zugang,
Serverproblem.
Wird nur das Backup zurückgespielt und das Einfallstor bleibt offen:
Restore
↓
gleiche Schwachstelle
↓
erneute Kompromittierung
Das allgemeine Incident-Response-Prinzip aus NIST SP 800-61 Rev. 3 gilt auch hier: Wiederherstellung und Ursachenbehebung gehören zusammen. (NIST Computer Security Resource Center)
Cloud-Malware und Ransomware
Auch Cloudumgebungen sind nicht automatisch geschützt, nur weil kein klassischer PC im Keller steht.
Ein kompromittiertes Cloudkonto kann möglicherweise:
Daten löschen,
Speicher verändern,
Snapshots entfernen,
Ressourcen manipulieren.
CISA empfiehlt für Cloudumgebungen deshalb unter anderem:
Logging,
Alerts für ungewöhnliche Nutzung,
Versionierung,
Delete Protection,
Object Lock
und ein Verständnis des Shared-Responsibility-Modells. (CISA)
Das vertiefen wir später in /wissen/cloud-sicherheit/.
Häufige Irrtümer über Malware und Ransomware
„Malware und Virus bedeuten dasselbe“
Nein. Malware ist der Oberbegriff. Ein Virus ist eine spezielle Malwareform, die sich durch Infektion anderer Programme beziehungsweise Dateien repliziert. (NIST Computer Security Resource Center)
„Ein Wurm braucht immer einen Klick“
Nicht grundsätzlich. NIST definiert Würmer gerade als selbstständig replizierende Programme, die sich über Netzwerke verbreiten können, ohne für jede Replikation Benutzerinteraktion zu benötigen. (NIST Computer Security Resource Center)
„Trojaner sind einfach Computerviren“
Nein. Trojaner sind durch ihre scheinbar nützliche beziehungsweise versteckte schädliche Funktion charakterisiert; Selbstreplikation ist nicht ihr definierendes Merkmal. (NIST Computer Security Resource Center)
„Wenn mein Rechner normal läuft, ist er sauber“
Nicht zwingend. Spyware, Credential-Stealer oder Backdoors haben häufig gerade ein Interesse daran, nicht sofort aufzufallen. NIST definiert Spyware ausdrücklich als heimlich informationssammelnde Schadsoftware. (NIST Computer Security Resource Center)
„Ein starkes Passwort schützt vor Malware“
Nur gegen bestimmte Zugangsszenarien. Ein Keylogger kann Tastatureingaben mitlesen, während gestohlene Session-Cookies bereits authentifizierte Websitzungen repräsentieren können. (NIST Computer Security Resource Center)
„MFA schützt auch einen bereits kompromittierten Rechner vollständig“
Nein. MFA schützt die Anmeldung. Schadsoftware auf einem bereits angemeldeten Gerät kann andere Angriffsmöglichkeiten besitzen, etwa den Diebstahl von Sitzungstokens. (MITRE ATT&CK)
„Ransomware verschlüsselt einfach sofort alle Dateien“
Nicht zwingend. Moderne Ransomwarevorfälle können längere Angriffsketten mit Credential-Diebstahl, lateraler Bewegung, Datendiebstahl und Angriffen auf Recovery-Systeme umfassen. CISA behandelt genau diese verschiedenen Phasen und Eintrittswege in seinem Ransomware-Leitfaden. (CISA)
„Mit Backup ist Ransomware kein Problem“
Backups helfen bei der Wiederherstellung. Sie verhindern jedoch keine vorherige Datenexfiltration und können selbst Ziel des Angreifers sein. NIST und CISA berücksichtigen ausdrücklich beide Aspekte. (NIST Computer Security Resource Center)
„Cloudbackup kann nicht von Ransomware betroffen sein“
Nicht pauschal. Wenn ein kompromittierter Account Lösch- beziehungsweise Änderungsrechte besitzt, kann auch Cloudspeicher betroffen sein. CISA empfiehlt deshalb zusätzliche Schutzmechanismen wie Versionierung, Delete Protection und unveränderbare Speicheroptionen. (CISA)
„Virenscanner gefunden und gelöscht – damit ist der Angriff vorbei“
Nicht unbedingt. Bei einem tatsächlichen Eindringen können weitere Zugänge, Konten oder Veränderungen bestehen. Incident Response muss deshalb Eindämmung, Untersuchung, Recovery und Ursachenbehebung betrachten. (NIST Computer Security Resource Center)
„Ransom bezahlen bedeutet, dass die Dateien wiederkommen“
Nein. Das FBI unterstützt Ransomzahlungen nicht und weist ausdrücklich darauf hin, dass eine Zahlung keine Wiederherstellungsgarantie darstellt. (FBI)
„Nach dem Restore ist alles wieder sicher“
Nur wenn gleichzeitig verstanden und beseitigt wurde, wie die Kompromittierung zustande kam und ob der wiederhergestellte Zustand selbst sauber ist. CISA warnt ausdrücklich davor, während der Wiederherstellung saubere Systeme erneut zu infizieren. (CISA)
Ein Schutzmodell für Privatnutzer
Für einen normalen privaten Rechner lässt sich der Kern stark vereinfachen:
Software aktuell halten
↓
Downloads kritisch auswählen
↓
Phishing erkennen
↓
Passwortmanager
↓
MFA / Passkeys
↓
Endpoint-Schutz
↓
funktionierendes Backup
Keine einzelne Maßnahme verhindert sämtliche Angriffe. Gemeinsam schließen sie jedoch unterschiedliche Wege.
Ein Schutzmodell für kleine Unternehmen
Hier kommen weitere Ebenen hinzu:
Asset-Inventar
↓
Patchmanagement
↓
MFA
↓
Least Privilege
↓
Endpoint-Schutz
↓
Segmentierung
↓
Logging
↓
getrennte Backups
↓
Incident-Response-Plan
↓
Recovery-Tests
Diese Kombination entspricht dem Resilienzansatz der aktuellen NIST- und CISA-Ransomware-Guidance. (NIST Computer Security Resource Center)
Die wahrscheinlich wichtigste Ransomware-Regel
Plane nicht ausschließlich dafür:
Wie verhindern wir
jede Infektion?
Sondern auch:
Was passiert,
wenn eine Infektion trotzdem gelingt?
Kein realistisches Sicherheitskonzept kann garantieren, dass niemals:
ein Mitarbeiter klickt,
ein Passwort gestohlen,
eine neue Schwachstelle ausgenutzt
oder eine Sicherheitssoftware umgangen wird.
Deshalb gehört Resilienz zur Sicherheit.
Prävention und Recovery gehören zusammen
Prävention
→ Wahrscheinlichkeit reduzieren
Detection
→ Angriff schneller erkennen
Response
→ Ausbreitung begrenzen
Recovery
→ Betrieb wiederherstellen
Genau deshalb bildet NIST IR 8374 Rev. 1 das Ransomware-Risiko inzwischen entlang des gesamten Cybersecurity Framework 2.0 ab. (NIST)
Ein praktischer Vorbereitungsplan
Erstens: wichtige Systeme kennen
Nicht erst während des Ausfalls herausfinden, wovon:
Mail,
Website,
Buchhaltung,
Produktion,
Kundenservice
abhängen. CISA empfiehlt ein entsprechendes Asset- und Abhängigkeitsinventar ausdrücklich. (CISA)
Zweitens: Zugänge absichern
Einzigartige Passwörter, Passwortmanager und MFA beziehungsweise phishing-resistente Authentifizierung reduzieren den Nutzen gestohlener Credentials.
Drittens: Systeme aktualisieren
Besonders öffentlich erreichbare Software und Remote-Zugänge priorisieren. CISA und FBI nennen aktuelle Betriebssysteme und Anwendungen als zentrale Ransomware-Schutzmaßnahme. (FBI)
Viertens: Rechte begrenzen
Nicht jeder Benutzer benötigt Administratorrechte. Least Privilege begrenzt die Möglichkeiten eines kompromittierten Accounts. (CISA)
Fünftens: Backups trennen
Mindestens ein sinnvoll geschützter Recovery-Pfad sollte einem normalen kompromittierten Produktionskonto entzogen bleiben. CISA empfiehlt offline gespeicherte beziehungsweise angemessen unveränderbar geschützte Backups. (CISA)
Sechstens: Restore testen
Nicht nur die Backupsoftware beobachten, sondern tatsächlich Daten und Systeme wiederherstellen. (CISA)
Siebtens: Reaktion vorbereiten
Wer isoliert Systeme? Wo liegen Kontaktdaten? Wie kommuniziert man? Wo befindet sich der Incident-Response-Plan, wenn die normale IT nicht verfügbar ist? CISA empfiehlt einen regelmäßig geübten IR- und Kommunikationsplan. (CISA)
Wenn der Angriff tatsächlich passiert
Dann hilft ein klares mentales Modell:
ERKENNEN
↓
EINDÄMMEN
↓
UNTERSUCHEN
↓
BEREINIGEN / NEU AUFBAUEN
↓
WIEDERHERSTELLEN
↓
URSACHE BESEITIGEN
↓
VERBESSERN
NIST SP 800-61 Rev. 3 betont ausdrücklich, dass Erkenntnisse aus Vorfällen wieder in die Cybersecurity-Risikosteuerung und Vorbereitung zurückfließen sollen. (NIST)
Was du dir über Malware merken solltest
Malware ist der Oberbegriff für absichtlich schädliche Software.
Malware
↓
kann stehlen
kann überwachen
kann Zugang schaffen
kann sich verbreiten
kann zerstören
kann verschlüsseln
Ein Virus ist nur eine mögliche Form. Würmer verbreiten sich anders, Trojaner verstecken schädliche Funktionen hinter scheinbar legitimer Software, Spyware sammelt Informationen und Keylogger zeichnen Eingaben auf. (NIST Computer Security Resource Center)
Besonders wichtig ist heute außerdem, dass Angreifer nicht nur Passwörter interessieren. Browser-Sessions und andere Authentifizierungstokens können ebenfalls wertvoll sein. MITRE dokumentiert den Diebstahl von Session-Cookies ausdrücklich als Credential-Access-Technik. (MITRE ATT&CK)
Was du dir über Ransomware merken solltest
Ransomware ist nicht einfach:
Virus
↓
Dateien verschlüsselt
Sondern kann das sichtbare Ende einer längeren Kompromittierung sein:
Erstzugang
↓
Ausbreitung
↓
Berechtigungen
↓
Datendiebstahl
↓
Recovery angreifen
↓
Verschlüsselung
↓
Erpressung
NISTs aktuelle Ransomware-Richtlinie berücksichtigt ausdrücklich sowohl Verschlüsselung als auch Datendiebstahl und ordnet Schutz, Erkennung, Response und Recovery als zusammengehörende Aufgaben ein. (NIST Computer Security Resource Center)
Was du dir über Backups merken solltest
Backups sind eine der wichtigsten Maßnahmen gegen den Verfügbarkeitsverlust durch Ransomware.
Aber:
Backup
≠
Schutz vor Datendiebstahl
und:
Backup vorhanden
≠
Backup wiederherstellbar
CISA empfiehlt deshalb offline beziehungsweise angemessen getrennte Backups und regelmäßige echte Recovery-Tests. (CISA)
Das eigentliche Ziel lautet:
Produktivsystem kompromittiert
↓
unabhängiger sauberer
Recovery-Pfad bleibt bestehen
Was du dir über einen Vorfall merken solltest
Nicht nur den sichtbaren Schaden reparieren.
Drei Fragen müssen beantwortet werden:
1. Wie stoppen wir den Angriff?
2. Wie stellen wir den Betrieb
sauber wieder her?
3. Wie kam der Angreifer hinein
und wie verhindern wir
denselben Weg erneut?
NIST behandelt Incident Response deshalb als festen Bestandteil des Cybersecurity-Risikomanagements und nicht als reine technische Aufräumaktion nach einem Vorfall. (NIST Computer Security Resource Center)
Der zentrale Merksatz lautet:
Malwareabwehr besteht nicht darin, einen möglichst guten Virenscanner zu installieren und anschließend zu hoffen. Ein belastbares System kombiniert sichere Zugänge, aktuelle Software, begrenzte Berechtigungen, Endpoint-Schutz, Segmentierung, Überwachung und unabhängige getestete Backups. Ransomware zeigt besonders deutlich, warum Sicherheit nicht nur verhindern, sondern auch erkennen, eindämmen und wiederherstellen können muss.