Was ist das eigentlich?
Denken Sie an einen Einbrecher, der nichts mitnimmt. Er geht durch Ihr Büro, sammelt jeden Ordner, jede Akte und jeden Vertrag ein, sperrt alles in einen eigenen Tresor und stellt den mitten in den Flur. Alles ist noch da. Sie sehen es sogar. Sie kommen nur nicht mehr heran. An der Tresortür klebt ein Zettel mit einer Zahl und einer Frist.
Genau so verhält sich Ransomware. Ihre Dateien werden nicht gelöscht, sondern in eine Form gebracht, die ohne den passenden Schlüssel nicht mehr lesbar ist. Am Bildschirm erscheint eine Forderung. Der Betrieb steht: keine Angebote, keine Rechnungen, keine Kundenakten, häufig auch kein Warenwirtschaftssystem und keine Telefonliste.
Das Tückische ist der Zeitpunkt. Die Täter arbeiten oft tage- bis wochenlang unbemerkt im Hintergrund, sehen sich um und suchen gezielt die Datensicherung. Erst wenn die auch unbrauchbar ist, wird verschlüsselt, bevorzugt Freitagnacht oder am Brückentag.
Was macht das konkret?
- Es verschlüsselt alles Erreichbare. Nicht nur den befallenen Rechner, sondern jedes Laufwerk und jeden Server, auf den dieser Rechner zugreifen darf.
- Es greift die Sicherungen an. Datensicherungen, die dauerhaft am Netz hängen und mit normalen Rechten erreichbar sind, werden gezielt mit gelöscht oder mit verschlüsselt.
- Es stiehlt zusätzlich Daten. Viele Täter kopieren Ihre Daten vorher heraus und drohen mit einer Veröffentlichung. So bleibt Druck bestehen, selbst wenn Sie alles zurücksichern können.
- Es kommt selten allein herein. Der Einstieg ist fast immer eine gefälschte E-Mail, ein gestohlenes Passwort oder eine bekannte, aber nie geschlossene Sicherheitslücke.
Warum ist das für Ihr Unternehmen wichtig?
Ein solcher Vorfall ist kein Technikproblem, sondern ein Betriebsstillstand. Ihre Mitarbeiter sitzen da und können nicht arbeiten, während Löhne weiterlaufen. Termine platzen, Lieferungen verzögern sich, und Kunden erfahren es früher oder später. Der Schaden entsteht überwiegend durch die Stillstandszeit, nicht durch die geforderte Summe.
Dazu kommt die Verantwortung. Wenn dabei personenbezogene Daten abgeflossen sind, greift die Meldepflicht nach der , und zwar innerhalb von 72 Stunden nach Bekanntwerden. Diese Frist läuft, während Sie noch damit beschäftigt sind, überhaupt zu verstehen, was passiert ist. Wer vorher nichts vorbereitet hat, verliert genau hier viel Zeit.
Die gute Nachricht: Kein anderer Schadensfall lässt sich so wirksam vorbereiten. Wer Sicherungen hat, die außerhalb der Reichweite eines Angreifers liegen, und einen Plan, in welcher Reihenfolge wieder angefahren wird, verwandelt eine Katastrophe in einen unangenehmen, aber überschaubaren Tag.
Betrifft Sie das?
- Ihr Betrieb kann ohne Zugriff auf seine Daten nicht arbeiten
- Ihre Datensicherung hängt dauerhaft am selben Netz wie die Server
- Niemand hat in den letzten zwölf Monaten eine Rücksicherung getestet
- Sie wüssten nicht, wen Sie am ersten Tag zuerst anrufen
- Mitarbeiter bekommen täglich E-Mails mit Anhängen von unbekannten Absendern
So setzen wir das bei Ihnen um
Wir gehen von zwei Seiten heran. Erstens verringern wir die Angriffsfläche: geschlossene Sicherheitslücken, ein aktueller Schutz auf allen Geräten und geschulte Mitarbeiter, die eine gefälschte E-Mail erkennen. Zweitens sorgen wir dafür, dass ein Angriff Sie nicht dauerhaft trifft, und zwar mit Sicherungen, die ein Angreifer nicht mit löschen kann, und einer Wiederherstellung, die wir vorher gemeinsam getestet haben. Wie wir das aufsetzen, lesen Sie auf unserer Seite zur IT-Sicherheit.
Häufige Fragen
Soll man das Lösegeld bezahlen?
Das Bundesamt für Sicherheit in der Informationstechnik rät davon ab, und wir schließen uns dem an. Sie bezahlen Kriminelle für ein Versprechen. Ob Sie danach wirklich alle Daten zurückbekommen, weiß niemand vorher. Vor allem aber ist das Grundproblem damit nicht gelöst: Der Weg, über den die Täter hereinkamen, steht weiter offen.
Wie lange steht ein Betrieb nach so einem Angriff still?
Das hängt fast ausschließlich an Ihrer Datensicherung. Wenn es geprüfte Sicherungen gibt, die von den Tätern nicht mit verschlüsselt werden konnten, reden wir über Stunden bis wenige Tage. Ohne solche Sicherungen kann daraus eine Sache von Wochen werden. Eine Pauschalzahl wäre unseriös. Deshalb üben wir den Ernstfall lieber vorher mit Ihnen.
Was ist der Unterschied zwischen Ransomware und einem Virus?
Ein Virus ist der ältere Begriff für Schadsoftware, die sich selbst weiterverbreitet. Ransomware beschreibt dagegen das Geschäftsmodell: verschlüsseln und Geld verlangen. Beides sind Unterformen von Schadsoftware, nur betrachtet aus verschiedenen Blickwinkeln.
Sind kleine Betriebe überhaupt betroffen?
Die Angriffe laufen weitgehend automatisch. Es sucht niemand gezielt nach Ihrer Firma. Gesucht wird nach offenen Türen, und die haben kleine Betriebe genauso wie große. Ein Handwerksbetrieb mit zwölf Leuten steht danach vor demselben Problem wie ein Konzern, nur ohne eigene Fachabteilung.
Hilft eine Cyberversicherung?
Sie kann bei den Kosten helfen, ersetzt aber keine Vorsorge. Versicherer verlangen inzwischen Nachweise über getroffene Schutzmaßnahmen, bevor sie eine Police überhaupt anbieten. Sprechen Sie uns an, bevor Sie einen Antrag ausfüllen. Meist fehlt nur wenig.