Cyber: Das Geschäft mit der Erpressungssoftware

Ein Artikel von Nikolaus Stapels, Inhaber von Nikolaus Stapels Consulting & Training und Geschäftsführer der Vertriebssoftware24 GmbH

Entgegen den Befürchtungen zu Beginn des Ukraine-Krieges ist es aktuell relativ ruhig bei den Versicherern in Bezug auf Cyberschäden. Warum das so ist? Weil der Krieg dem Ransom-Ware Geschäft schadet. Internetgeschwindigkeiten sind gedrosselt worden, Hacker werden für Regierungsaufträge zur Verteidigung des eigenen Landes engagiert und zur Reparatur gehackter Unternehmen eingesetzt.

Darüber hinaus hat sich die weltweit größte prorussische Hackergruppe Conti nach internen Verwerfungen – viele Mitglieder stammen aus der Ukraine – im Juni 2022 aufgelöst und neu aufgeteilt. Entstandene Nachfolgeorganisationen machen sich seitdem mit Angriffen einen Namen in der Szene: Black Basta, Karakurt oder BlackByte. Die Führungsebenen dieser Gruppen haben sich jedoch trotz allem darauf verständigt, auch künftig weiter zu kooperieren. Jüngstes Beispiel für diese Entwicklungen ist der erfolgreiche Hack von Black Basta auf den Autovermieter Sixt Anfang Mai dieses Jahres. Ohne das Know-how der Conti-Gruppe wäre dieser sicherlich nicht so erfolgreich verlaufen.

Experten und Versicherer sind sich einig: Wir erleben gerade – noch – die Ruhe vor dem Cybersturm.

Ransomware – ein stark organisiertes Verbrechen

Gemeinsamer Nenner vieler Cyberangriffe: Datenverschlüsselung durch Ransomware mit anschließender Lösegeldforderung als Gegenleistung für die Datenentschlüsselung oder auch die Preisgabe vertraulicher Daten.

Nicht nur große, sondern auch kleine Unternehmen sind Opfer solcher Angriffe. Laut Torsten Töllner, Geschäftsführer vom CyCo Cyber Competence Center und IT-Dienstleister der öffentlichen Versicherer, gehen 35% der bearbeiteten Schäden im Jahr 2022 auf Ransomware-Angriffe zurück. Im Schadenfall, so Töllner, sind auch viele Datensicherungen verseucht oder zerstört und damit unbrauchbar für die weitere Nutzung. Gerade in solchen Fällen müssen dann leider auch Lösegelder gezahlt werden, um Unternehmen zu retten.

Lösegeldzahlungen – kurzfristige Lösung mit langfristigem Risiko

Sicherheitsexperten bewerten Ransomware-Angriffe als ernste und dauerhafte Bedrohung für die Wirtschaft in Europa und warnten in einem offenen Brief an die Bundespolitik vor Lösegeldzahlungen nach Ransomware-Angriffen.

Dass die Bereitschaft zur Zahlung von Lösegeld hoch ist, verwundert nicht, wenn man die Zahlen gegenüberstellt: Laut Sophos-Studie stehen Lösegeldzahlungen von durchschnittlich einer Viertelmillion Euro Wiederaufnahmekosten von 1,6 Mio. Euro gegenüber. Für professionalisierte Angreifergruppen ein lukratives Geschäft, das durch Lösegeldzahlungen immer weiter angeheizt wird. „Wenn Opfer von Ransomware das geforderte Lösegeld nicht zahlen würden, dann würde dieses Geschäftsmodell im Keim erstickt“, schreiben die Unterzeichner des zuvor genannten offenen Briefs. Sie fordern sowohl Unternehmen auf, dieses Geld in die eigene IT-Sicherheit zu investieren, als auch die Bundesregierung, konkrete Maßnahmen und Anreize umzusetzen, um Lösegeldzahlungen zu unterbinden.

Der vorgeschlagene Forderungskatalog beinhaltet unter anderem, dass

es keine Versicherung gegen Lösegeldzahlungen mehr geben soll,
Ransomware-Zahlungen nicht mehr steuerlich absetzbar sind,
eine zentrale Meldung von Angriffen und Zahlungen für Unternehmen ab einer bestimmten Größe erfolgen muss und
Versicherer Antragsfragen und Obliegenheiten so verändern, dass Unternehmen aufgefordert sind, ihre Sicherheitsmaßnahmen zu stärken – analog zur Feuerversicherung im gewerblichen Bereich.

Durch definierte Standards seitens der Versicherungswirtschaft würden so Voraussetzungen zur Versicherbarkeit des Cyberrisikos eingefordert von Unternehmen und gleichzeitig die IT-Sicherheit in Deutschland gestärkt. Im Falle von Ransomware-Angriffen sollten Unternehmen, so der Vorschlag der Experten, durch angemessene Maßnahmen (beispielsweise Hilfsfonds, geknüpft an die Erfüllung von Bedingungen und Pflichten der Opfer) unterstützt werden, damit sie nicht gezwungen sind, Lösegelder zu zahlen.

Erfahrungen aus der Praxis und der Bearbeitung von Cyberschäden

Die Forderungen der Sicherheitsexperten sind grundsätzlich nachvollziehbar, würden aber aus Sicht des Autors und nach den operativen Erfahrungen der letzten Jahre für viele Unternehmen eine Insolvenz nach sich ziehen. Das Fazit aus der Bearbeitung vieler Schadenfälle: Eine schnelle Lösegeldzahlung ist oftmals die einzige Möglichkeit, das angegriffene Unternehmen zu retten und den Betrieb möglichst zeitnah wieder aufzunehmen. Nur so konnten bisher langfristige, oft monatelang andauernde Schäden durch Trojaner in den Systemen aufgehalten oder auch eine Schadenausweitung bis hin in die Cloud unterbunden werden.

Aus Praxissicht muss das Ziel daher sein, Lösungen zu finden, die Unternehmen aktiv dabei unterstützen, potenzielle Schäden zu verhindern oder zumindest zu minimieren.

Lösungsansätze der Versicherer

Versicherer suchen bereits aktiv nach solchen Lösungen für ihre Unternehmerkunden und ergreifen aktive Maßnahmen. Hierzu zählt beispielsweise, dass sie ihre Fragebögen abändern und Fragen zum Schutz vor Ransomware mit aufnehmen oder dass sie ihren Gewerbekunden eine Ransomware-Reaction-Software als zusätzlichen Baustein in Verbindung mit der Cyberversicherung anbieten. Die Software löst direkt nach einem Angriff und Start der Verschlüsselung ein Alarmsignal aus. Ein 24/7-Monitoring-Team greift umgehend ein und startet mit hinterlegten Notfallmaßnahmen, um Sicherheitslücken zu schließen und Schlimmeres zu vermeiden. Ransomware-Angriffe können mithilfe solcher Softwarelösungen binnen Sekunden nach dem Start verhindert werden.

Sicherheitslösungen können Ransomware-Angriffe im Vorfeld verhindern

Ein komplettes Verbot von Lösegeldzahlungen könnte dazu führen, dass Unternehmen sich für eine illegale – und damit strafbare – Lösegeldzahlung entscheiden, um auf schnellstem Weg ihre Geschäfte weiterführen zu können. Daher das Resümee: Eine Diskussion darüber, wie man Zahlungen bereits im Vorfeld verhindern kann, ist der richtige Weg.

Wenn Versicherer ihre Kunden bei der Beantwortung der Frage „Wie können Schäden proaktiv verhindert werden?“ nicht alleine lassen, sondern die Lösung für das Problem gleich mitliefern, dann ist der erste Schritt in Richtung mehr IT-Sicherheit getan.

„Mission completed“, wenn Angriffe reduziert oder sogar komplett verhindert werden und damit sukzessive die Einnahmequellen des organisierten Verbrechens versiegen.

Über Nikolaus Stapels

Als Cyberexperte, Trainer und Softwareentwickler bietet Nikolaus Stapels mit seinem Team lösungsorientierte Beratungssoftware, Trainings und Vertriebskonzepte für den erfolgreichen Firmenkundenvertrieb mit Schwerpunkt Cyber an.

Diesen Artikel lesen Sie auch in AssCompact 11/2022, S. 38 f., und in unserem ePaper.