Ransomware ist nicht zurück, sondern war nie weg!

Cryptolocker-Angriff bei Krauss Maffei macht eins deutlich: Es kann wirklich jeden treffen! Experten-Kommentar von Thomas Ehrlich, Country Manager DACH von Varonis. [...]

Es ist für jeden Betrieb – vom Krankenhaus über Transportdienstleister bis hin zum Maschinenbauunternehmen – der GAU: Ein Ausfall der IT-Systeme und damit massive Auswirkungen auf den Geschäftsalltag. In die Liste prominenter und weniger prominenter Opfer reiht sich nun die Krauss-Maffei-Gruppe ein, deren Produktion seit zwei Wochen nur noch gedrosselt läuft. Schadenfreude ist hier jedoch fehl am Platz und sowohl die Anzahl als auch zumeist durchaus vorhandene IT-Expertise der Opfer macht eins deutlich: Es kann wirklich jeden treffen!

Es ist eine Binsenweisheit, die aber offensichtlich nicht oft genug wiederholt werden kann: Angreifer werden es immer wieder hinter den Perimeter schaffen, trotz bestens geschulter Mitarbeiter, aktueller Firewalls und fortschrittlicher Endpoint-Lösungen. Die Frage ist also, was passiert, wenn ein Angriff erfolgt? Gerade bei Ransomware-Angriffen spielen restriktive Zugriffsrechte eine entscheidende Rolle, denn nur die Daten, auf denen der infizierte Account Zugriff hat, können verschlüsselt werden. Der Varonis Datenrisiko-Report 2018 hat gezeigt, dass durchschnittlich 21 Prozent der Ordner eines Unternehmens für jeden Mitarbeiter zugänglich sind und bei 58 Prozent mehr als 100.000 Ordner keiner Zugriffsbeschränkung unterliegen. All diese Daten könnten bei einem Cryptolocker-Angriff verschlüsselt werden. Hier sollte dringend das „Need-to-know“-Prinzip umgesetzt werden und Mitarbeiter nur noch Zugriff auf die Daten erhalten, die sie wirklich benötigen. Dies allein reduziert schon das mögliche Ausmaß einer Ransomware-Attacke.

Aber mit Berechtigungsmanagement allein kommt man (leider) auch nicht weit. Es reicht den Angreifern ja, wenn einige wichtige Daten, etwa wie im aktuellen Fall diejenigen, die zur Steuerung der Fertigungsanlagen benötigt werden, nicht mehr genutzt werden können. Deshalb führt an einer effektiven Überwachung des Datenzugriffs kein Weg vorbei. Nur mittels intelligenter Nutzeranalyse kann automatisch schnell identifiziert werden, wenn ungewöhnliches Verhalten auftritt (wie beispielsweise die Verschlüsselung von Dateien) und entsprechende Gegenmaßnahmen gestartet werden, bevor größerer Schaden entsteht. Dies im Zusammenspiel mit Updates und Backups wird das Risiko einer Datenschutzverletzung und verheerende Auswirkungen eines Ransomware-Angriffs deutlich und dauerhaft reduzieren.

*Thomas Ehrlich ist Country Manager DACH von Varonis.