Ransomware – TeleTrust Podcast

Liebe Zuhörer und Zuhörerinnen,

ich freue mich sehr, Sie bei einer weiteren Teletrust-Podcast-Folge begrüßen zu dürfen.

Was oder wer ist eigentlich Teletrust?

Teletrust ist der Bundesverband IT-Sicherheit.

Wir sind ein Kompetenznetzwerk, das in- und ausländische Mitglieder aus Industrie,

Verwaltung, Beratung und Wissenschaft umfasst.

Auch thematisch verwandte Partnerorganisationen sind willkommen.

Durch unsere breit gefächerte Mitgliedschaft und unsere Partnerorganisation verkörpert

Teletrust den größten Kompetenz-Netzwerkverbund für IT-Sicherheit in Deutschland und

ebenfalls auch Europa.

Doch wer bin ich?

Franziska Bock, das ist mein Name.

Ich darf die Moderation des Teletrust-Podcasts übernehmen.

Selbst bin ich studierte Journalistin und arbeite mittlerweile seit 2018 für Teletrust.

Dabei habe ich die Themen Medien und Veranstaltungen übernommen.

Das Thema unseres heutigen Podcasts ist Ransomware.

Als Gesprächspartner haben wir unseren Tomasz Lawicki motivieren können, mit uns das

Thema Ransomware zu behandeln.

Tomasz ist Leiter des Arbeitskreises Stand der Technik bei Teletrust.

Aber nicht nur das, er hat die Position des Senior Managers bei M3 Management

Consulting GmbH inne.

Herzlich willkommen, lieber Tomasz.

Schön, dass du da bist und dir heute die Zeit genommen hast, mit uns über Ransomware

zu sprechen.

Hallo Franziska.

Meine erste Frage in diesem Zusammenhang ist, was ist eigentlich Ransomware?

Ransomware ist zuerst eine Schadsoftware.

Diese Schadsoftware wird dafür verwendet, Daten im Netzwerk des Opfers zu

verschlüsseln.

Das Wort Ransom steht selbst auf Englisch für Lösegeld.

In der Öffentlichkeit ist Ransomware im Zusammenhang mit erfolgten Angriffen bekannt

geworden,

bei denen Angreifer Daten eines Unternehmens verschlüsseln und eine Lösegeldzahlung

für die Entschlüsselung der Daten fordern.

Hm, okay, verstehe ich.

Aber warum muss man sich jetzt mit Ransomware als Otto-Normal-Verbraucher sozusagen

beschäftigen?

Als Otto-Normal-Verbraucher bin ich mir ganz sicher,

aber als Unternehmen definitiv.

Ransomware ist in den letzten Jahren sehr bekannt geworden durch sehr viele erfolgreiche

Angriffe,

und vor allem durch Angriffe, die wirklich stets gewachsen sind.

Sie verursachen in der Wirtschaft einen sehr, sehr großen Schaden.

Wenn man sich den weltweit jährlichen Schaden anschaut,

der durch Ransomware zum Ende 2021 verursacht wurde,

da wird die Grenze von 20 Milliarden Dollar überschritten.

Insofern ist es eine sehr, sehr ernstzunehmende Realität.

Okay, dann sagen wir nicht als Otto-Normal-Verbraucher,

sondern als Unternehmen.

Welche Risiken entstehen denn oder resultieren aus Ransomware für mich als

Unternehmen jetzt beispielsweise?

Naja, also es kann eine sehr reelle Bedrohung werden,

sehr ernstzunehmende Bedrohung.

Ransomware kann nicht nur zur Verschlüsselung der Daten führen,

sondern zum Verlust des Datenzugriffs,

sondern eine Unterbrechung des Regelbetriebs eines Unternehmens hervorrufen

und gar zum Bankrott des Unternehmens führen.

Insofern ist es schon existenzbedrohend.

Kannst du mal ein bisschen schildern,

wieso ein Ransomware-Angriff generell erfolgt?

Wie kann man sich das genau vorstellen?

Ja, das kann ich versuchen.

Ein Ransomware-Angriff ist eine komplexe Handlung,

die oftmals lange unentdeckt bleibt.

BSI, also Bundesamt für Sicherheit in der Informationstechnologie,

geht davon aus,

dass ein gezielter Angriff durchschnittlich erst nach 243 Tagen entdeckt wird.

Wenn man ganz grob rechnet,

sind das in etwa acht Monate.

Ransomware-Angriffe würden üblicherweise stufenweise durchgeführt.

Es ist nicht denn so,

dass die Angreifer von heute auf morgen im Unternehmensnetz da sind

und auf einmal die Daten verschlüsseln und Lösegeld fordern,

sondern die gehen stufenweise vor.

Um das zu verstehen,

wie die einzelnen Schritte und Methoden angewandt werden,

muss man sich die jeweilige sogenannte Killchain anschauen.

Also die Killchain wird von den Sicherheitsforschern nach erfolgter Analyse veröffentlicht,

und daraus kann man entnehmen,

wie die Angreifer vorgegangen sind bei einer bestimmten Ransomware.

Schaut man sich ein Beispiel einer Killchain an,

dann könnten folgende Schritte vorhanden sein.

Als erstes versucht natürlich der Angreifer,

das Zielnetzwerk zu durchleuchten,

also alle Informationen sammeln über ein zu Unternehmen,

zum Beispiel aus Social Media,

aus Suchmaschinen,

also aus verschiedenen Möglichkeiten,

Quellen, die öffentlich zur Verfügung stehen.

Dann verschafft er sich mittels diverser Hacker-Methoden Zugriff zum Netzwerk,

also er versucht,

in das Netzwerk reinzugehen.

Beispiele für solche Hacker-Methoden sind Phishing oder Social Engineering.

Also es geht darum,

erstmal in das Netzwerk reinzukommen.

Im nächsten Schritt versucht er,

die Zugriffsberechtigung zu erhöhen,

so dass er mehr Berechtigung hat,

im Netzwerk etwas zu tun.

Wenn das gelungen ist,

hat er freie Fahrt

und kann eigentlich alles tun.

Aber da ist es noch nicht zu Ende,

denn zu dem Zeitpunkt wird individuelle Schadsoftware nachgeladen,

sie wird gezielt eingesetzt

und das Netzwerk infiziert.

Der Angreifer schaut sich natürlich im Netzwerk um,

wo ist der überhaupt,

also sind Daten vorhanden,

die interessant sind,

sammelt diese Daten

und sendet sie an die Kommandozentrale.

Erst danach werden die Daten im infizierten Netzwerk verschlüsselt

und das Lösegeld gefordert.

Also im letzten oder vorletzten Schritt wird tatsächlich Ransom angewandt.

Und davor ist das eigentlich alles nicht sehr sichtbar

beziehungsweise sehr schwer nachzuvollziehen zu identifizieren.

Verstehe, okay.

Gerade jetzt Phishing ist mir ein Begriff,

besonders in den letzten zwei Jahren der Coronapandemie,

dass das immer mehr vermehrt aufgetreten ist.

Hast du denn auch generelle Beispiele für erfolgreiche Ransomware-Angriffe,

die jetzt vielleicht auch ein bisschen medial größer ausgetreten worden sind?

Leider ja.

Also ich wäre sehr froh,

das nicht sagen zu müssen,

aber leider gibt es welche.

Schauen wir uns ein bisschen früher die Daten an.

Wahrscheinlich erinnern sich die Zuhörer

auf den Angriff auf die Colonial-Pipeline in den USA.

Die Colonial-Pipeline ist deswegen wichtig,

weil etwa 45 % des Mineralöls in der Ostküste der USA transportiert werden.

Der Angriff selbst führte zur Schließung der Pipeline

und infolgedessen zu Lieferengpässen an die Tankstellen.

Also es ist ganz klar ein Angriff auf die kritische Infrastruktur.

Im September 2020,

das war schon gerade zum Zeitpunkt der Corona,

wurden die IT-Systeme des Uniklinikums Düsseldorf lahmgelegt.

Die Folge war,

dass eine Patientin nicht rechtzeitig versorgt werden konnte

und starb.

Daran kann ich mich erinnern,

dass gerade auch in Bezug auf das Gesundheitswesen

solche Angriffe leider,

ich will nicht sagen mittlerweile,

zur Normalität geworden sind,

aber auch häufiger geschehen.

Absolut.

Und es gibt noch viel, viel mehr Beispiele.

Im Juli 21,

also gerade vor einem halben Jahr,

hat der Landkreis Anhalt-Bitterfeld nach einem Angriff einen Katastrophenfall ausgerufen,

und die Verwaltung wurde für zwei Wochen lahmgelegt

und mit der Konsequenz,

dass die benötigten Leistungen an Bedürftigen nicht ausgezahlt werden konnten.

Im Februar diesen Jahres,

also gerade vor kurzem,

wurde ein Unternehmen aus der Abfallwirtschaft,

also auch Kritis,

betroffen.

Und da haben die Angreifer Lösegeldforderungen in Millionenhöhe gefordert,

weil wichtige Firmendaten verschlüsselt wurden

und das Unternehmen nicht mehr arbeitsfähig war.

Also solche Beispiele machen ja deutlich,

dass die Angriffe sehr, sehr ernst zu nehmen sind

und machen ja auch die Folgen sichtbar.

Du meintest jetzt,

die Angreifer haben Lösegeld in Millionenhöhe gefordert.

Wenn du von den Angreifern sprichst,

wer sind denn die Angreifer?

Kann man das so verallgemeinern,

wer besonders häufig Ransomware-Attacken für sich ausnutzt?

Naja,

die Angreifer sind unterschiedliche,

inzwischen gut organisierte kriminelle Gruppierungen,

die entweder eigenständig vorgehen

oder ihre Dienste im Darknet anbieten.

Im Darknet wird neben Waffen, Drogen und sonstigen kriminellen Diensten

auch Ransomware-as-a-Service angeboten.

Dort kann man in professionellen Webshops,

so ähnlich wie Amazon oder andere Shops,

die man sonst aus dem ganz normalen Internet kennt,

tatsächlich solche Dienstleistungen kaufen,

werben,

in unterschiedlichen Qualitätsstufen

und sogar mit Erfolgsgarantie und Support.

Und somit ist es klar,

dass solche Leistungen kriminell sind.

Das steht außer Frage.

Doch es zeigt ebenfalls,

dass dieser Handel mit Ransomware professionell geworden ist

und einfach gesagt jeder,

der nicht mal tiefgreifende Programmierkenntnisse hat,

solche Tools einsetzen könnte.

Darüber hinaus gibt es auch staatliche Organisationen

mit professionell ausgebildeten Hackern.

Diese wiederum fokussieren sich auf strategische Ziele,

die natürlich von dem jeweiligen Staat vorgegeben sind.

Hm,

und welche Daten sind dabei besonders interessant für die Angreifer

und kann man hier eigentlich auch dann schon von gezielter Wirtschaftskriminalität

sprechen?

Also kann ich mir das so vorstellen,

dass vielleicht auch Unternehmen Wirtschaftsspionage betreiben

durch Ransomware,

um halt vielleicht andere Unternehmen auszubremsen

oder gewisse Daten von ihnen zu erhalten

oder einen gewissen Wettbewerbsvorteil zu generieren?

Das waren jetzt sehr viele Fragen auf einmal,

aber ich versuche es trotzdem einigermaßen zu beantworten.

Also kann man von gezielter Wirtschaftskriminalität daraus gehen?

Ich gehe davon aus,

dass das eigentlich am besten BKA beantworten kann.

Aber lass uns mal überlegen,

welche Daten sind so besonders interessant für die Angreifer.

Also einfach gesagt sind das eigentlich die Daten,

die der Angreifer entweder gut verkaufen kann,

also im Darknet verkaufen kann,

oder Daten,

die dem Angreifer helfen,

Druck auf das Unternehmen auszuüben,

um einfach Lösegeld zu bekommen.

Das könnten zum Beispiel Kundendaten sein,

also Kreditkartendaten,

die dann im Darknet erscheinen,

es könnten aber auch Firmendaten sein,

die existenziell für das Unternehmen sind.

Das heißt,

wenn diese Daten verschlüsselt sind,

das Unternehmen einfach nicht handlungsfähig ist.

Es könnten aber auch,

und von solchen Fällen haben wir auch gehört,

technische Produktpläne eines Automobilherstellers sein.

Ja,

das ist natürlich sehr interessant,

auch für die Konkurrenz.

Die andere Möglichkeit ist natürlich auch die,

dass man Daten sammelt über kritische Infrastruktur,

die dann in einem weiteren Angriff verwendet werden könnten.

Also ich denke jetzt gerade an die Energieversorgungsunternehmen als Beispiel,

Telekommunikation.

Wer wird denn häufig angegriffen?

Das ist auch eine gute Frage.

Schaut man sich die weltweiten Statistiken an,

stehen Einzelhandel,

Gesundheitswesen,

Produktionsgewerbe,

Unternehmen der Energiewirtschaft,

der Telekommunikation ganz, ganz, ganz weit vorne.

Kurz gesagt,

es sind eigentlich Unternehmen der kritischen Infrastrukturen.

Wir kennen ja die Begriffe aus dem IT-Sicherheitsgesetz,

IT-Sicherheitsgesetz 2.0.

Die Betreiber kritischer Infrastrukturen

oder kurz Kritis

beziehungsweise die Unternehmen im besonderen öffentlichen Interesse,

also die UBIs.

Nicht umsonst wurden sie explizit im IT-Sicherheitsgesetz berücksichtigt

und so genannt.

Dennoch aus meiner Sicht auch die Nicht-Kritis-Betreiber

und nicht die UBIs können und werden angegriffen.

Diese obliegen nicht der Meldepflicht

und hoffen oftmals,

mit einem blauen Auge davonzukommen.

Doch davon kann man leider nicht mehr ausgehen.

Sicherheitsforscher berichten,

dass sich einige Renzo-Mail-Gruppen inzwischen auf kleinere Ziele fokussieren,

denen sie jedoch immer noch einen hohen Gewinn erzielen können.

Nur am Rande,

die durchschnittliche Lösegeldzahlung im letzten Quartal 2021

belegte sich auf über 300.000 Dollar je Fall

und war damit,

Achtung,

doppelt so hoch als im Quartal zuvor.

Man sieht also die Dynamik,

die dahinter steht.

Das sind Zahlen,

ich glaube,

die sind auch nicht ganz so bekannt.

Auf jeden Fall ein lukratives Geschäft,

würde ich sagen.

Okay,

daaus ergibt sich für mich die Frage,

was ist denn dann zu tun,

wenn man angegriffen wird,

weil du hast eingehends berichtet,

dass es manchmal bis zu acht Monaten dauern kann,

bis überhaupt festgestellt wird,

dass ein Angriff stattgefunden hat oder stattfindet gerade.

Das heißt,

es vergeht einiges an Zeit

und wahrscheinlich auch einiges an Daten,

die an die Öffentlichkeit geraten.

Wenn ich nun aber festgestellt habe,

ich werde angegriffen,

wir haben einen Datenleck,

was ist als erstes zu tun?

Ja,

in der Tat,

das ist ja eine große Herausforderung,

herauszufinden,

ob der Angreifer tatsächlich schon im Netz vorhanden ist.

Also man geht heutzutage tatsächlich davon aus,

dass er schon im Netz ist.

Insofern,

aus meiner Sicht,

im besten Fall ist man natürlich auf einen möglichen Angriff schon vorbereitet.

Dann macht man seinen Notfallkoffer auf

und prozessiert genau das Verfahren,

die Maßnahmen,

durch die man schon vorbereitet hat.

Man muss sich schon die Mühe machen,

um zu verstehen,

wie schlimm ist schlimm,

also zu welchem Zeitpunkt der Kill Chain befinde ich mich.

Aber das Beste ist eine gute Vorbereitung auf den Endfall.

Was ist konkret zu tun?

Sofortmaßnahmen.

Also muss ich überlegen,

welche Sofortmaßnahmen muss ich ergreifen.

Was ist exakt jetzt zu diesem Zeitpunkt zu tun?

Nicht lange nachzudenken,

sondern tun.

Man muss einen Krisenstab bilden,

da muss man sich Gedanken darüber machen,

wer gehört dazu,

wen muss ich sofort an einen Tisch bringen?

Kommunikation,

wie muss ich interne und externe Kommunikation durchführen?

Gibt es Vorlagen,

um das zu tun?

Gibt es eine unabhängige nicht infizierte Kommunikationsmethode,

sprich gibt es ein Notrufhandy,

das ich separat außerhalb meines Netzwerks verwenden kann,

damit ich genau mit meinem Krisenstab telefonieren kann?

Es hat ja nämlich keinen Sinn,

innerhalb des infizierten Netzwerks die Tools zu verwenden.

Es ist wichtig zu verstehen,

auf welche Pflichten das Unternehmen einhalten muss.

Muss ich Kunden und Geschäftspartner informieren?

Ich muss mir Gedanken machen,

wie kann ich eine Strafanzeige stellen,

weil auch das muss getan werden.

Und, und, und.

Also es sind sehr, sehr viele Aspekte,

die berücksichtigt werden müssen,

und selbstverständlich müssen diese auch schon vorbereitet werden

und nicht ad hoc in größter Hektik entwickelt werden.

Verstehe.

Das ist jetzt eine Zwischenfrage,

die mir aber einfällt,

weil du es halt angesprochen hast,

du hast von einem gewissen Notfallkoffer gesprochen.

Wenn wir jetzt,

und das ist wirklich nur eine grobe Schätzung,

vielleicht können die Zuhörerinnen oder Zuhörer auch gerne mal dazu Bezug nehmen,

wenn sie da irgendwie eine Statistik vorliegend haben oder so.

Könntest du ungefähr einschätzen,

wie viel Unternehmen in der IT-Sicherheit oder generell vielleicht in der Wirtschaft so einen

Notfallkoffer besitzen?

Ist die Situation in Deutschland,

sind wir gut vorbereitet,

sollte so etwas stattfinden oder denkst du,

oh da sind große Lücken,

die meisten Unternehmen haben eben nicht so einen Notfallkoffer,

nur ungefähr schätzen?

Eine Schätzung ist wirklich sehr schwer abzugeben,

das ist ganz klar,

das ist alles sehr, sehr speziell und auf allen bezogen.

Es ist schwierig.

Ich freue mich wirklich,

dass wir das IT-Sicherheitsgesetz haben.

Ich freue mich,

dass seit 2015,

seit 2017 sollten zumindest die Kritis-Betreiber schon darauf vorbereitet sein

und so einen Koffer haben.

Aber ich wäre auch sehr daran interessiert,

also wenn die Zuhörer tatsächlich selber abschätzen würden,

wo das ist.

Also sind wir bei 50 Prozent,

schwer zu sagen.

Ich hoffe besser,

ich hoffe besser.

Sollte auch keine Fangfrage sein,

aber ich finde,

das ist wirklich ein interessantes Thema,

was auch greifbar ist.

Ich finde,

Ransomware ist absolut greifbar.

Und wir haben über die mediale Verbreitung gesprochen,

aber auch einfach,

man kann es sich gut vorstellen so.

Und da fallen natürlich auch ab und zu solche Fragen ein.

Natürlich,

klar.

Wir wollen das Ganze ja auch ein bisschen hier lebendig gestalten.

Also du hast von 300.000 Dollar pro Fall gesprochen teilweise.

Bist du denn generell der Meinung,

dass man Ransomware bezahlen sollte?

Eine sehr gute Frage.

Das ist eine sehr, sehr gute Frage.

Also zunächst muss man sich natürlich die moralische Frage beantworten,

will man sich erpressen lassen

und möglicherweise weitere kriminelle Handlungen durch eine Zahlung unterstützen.

Man soll sich natürlich noch ein paar andere Fragen stellen,

und zwar mal angenommen,

man würde ja Ransom bezahlen.

Würde man dem Impressor vertrauen,

dass er den Schlüssel für die verschlüsselten Daten rausrückt

und die Daten nicht dennoch veröffentlicht

oder anderweitig verkauft?

Aus dem vorhin skizzierten Beispiel der Kill Chain wissen wir ja,

dass die Daten zu dem Zeitpunkt,

wenn diese Lösegeldforderung kommt,

dass diese Daten eigentlich schon aus dem Netz raus sind.

Die sind schon im Besitz des Angreifers,

dessen müssen wir uns bewusst sein.

Die andere Frage ist,

was gibt eine Garantie,

dass der Angreifer nicht einen Monat später erneut zuschlägt?

Oder,

was auch möglich ist,

dass er im Darknet einen Tipp an einen anderen Angreifer

oder eine andere Gruppe bereitstellt

und sagt,

da ist ein Unternehmen,

das ist zahlungswillig

und zahlungsbereit,

versuch’s mal.

Das wäre eine Möglichkeit.

Also da sind so Fragen,

die man sich selbst noch stellen muss.

Die Antwort ist meiner Ansicht nach nicht immer einfach

und hängt sehr, sehr stark davon ab,

wie gut das Unternehmen vorbereitet ist

und wie die Situation der IT-Sicherheit bei Unternehmen vorliegt.

Es gibt Beispiele,

bei denen die Unternehmen sie geweigert haben,

Lösegeld zu bezahlen,

da sie natürlich sehr gut vorbereitet waren.

Selbstverständlich gab es sehr viel zu tun,

man musste natürlich die Systeme neu aufsetzen,

aber die haben das nicht getan.

Andere Unternehmen,

das ist genau das Beispiel,

was ich gesagt habe,

das im Durchschnitt ca. 300.000 Dollar pro Fall bezahlt wurde.

Manche Unternehmen zahlen das in der Tat

und hoffen,

dass nichts weiter passiert.

Man muss sich aber in dem gesamten Kontext noch mal einiges vor die Augen führen.

Die Erpresser verlangen keine Dollar

und keine Euro,

sondern Bitcoins.

Warum tun sie das?

Damit der Zahlungsverkehr nicht nachverzogen werden kann,

damit sie einfach nicht zu finden sind.

Das kann man mit Bitcoin natürlich viel besser.

In einem solchen Fall muss man natürlich die Bitcoins also beschaffen.

Es muss einem bewusst sein,

wo die Bitcoins zu haben sind

oder wo man sie kaufen kann,

wo man sie beschaffen kann,

wenn man sie braucht.

Und der dritte Punkt ist,

die Kommunikation mit den Erpressern

oder mit den Angreifern erfolgt natürlich nicht per Handy,

sondern erfolgt im Darknet.

Das macht der normale Sterbliche auch nicht jeden Tag,

das heißt,

da muss man sich auch damit auskennen.

Wer heutzutage noch nicht weiß,

wo man Bitcoins kaufen kann,

das ist gar nicht so schwer.

Aber wir hoffen,

dass es in dem Fall nicht dazu stattfinden muss.

So ist es.

Welche Maßnahmen kann man denn gegen Ransomware vornehmen

oder welche sind generell sinnvoll?

Wie schon mal gesagt,

wenn die Anzeige auf dem Bildschirm erscheint,

dass die Daten verschlüsselt sind,

dann ist das schon zu spät.

Das sollte,

glaube ich,

jedem klar sein.

Das ist eines der letzten,

wenn nicht der letzte Schritt einer Killchain.

Deswegen noch mal wichtig ist,

rechtzeitig vorzusorgen

und so früh wie möglich die Kette zu unterbrechen.

Und da gibt es einige Maßnahmen tatsächlich.

Aus meiner Sicht sehr, sehr wichtig ist,

die Mitarbeiter zu sensibilisieren.

Gerade das Beispiel eines Phishing-Angriffs,

das ist eigentlich die Human Firewall,

die sogenannte,

die da sehr, sehr wichtig ist.

Also Mitarbeiter sensibilisieren,

regelmäßig Awareness-Schulung durchführen

und die Achtsamkeit erhöhen,

damit nicht jeder Link

und auch nicht jede Spendenanfrage sofort beantwortet wird.

Patch-Management,

sehr wichtig,

gerade Installation der Sicherheits-Patches,

darauf muss man achten,

das muss man machen,

so schnell wie möglich.

Und übrigens nicht nur auf einem Laptop,

nicht nur auf einem Standrechner verwendet man sehr selten,

aber auch Server,

genauso wie mobile Telefone,

mobile Geräte,

das ist einfach sehr, sehr wichtig,

extrem.

Endgeräte-Schutz und Serverhärtung,

das sind Maßnahmen,

die einfach dazugehören,

das heißt nicht nur Antivirus installieren,

sondern auch entsprechend die auf den neuesten Stand halten

und Server durch gezielte Sicherheitskonfigurationen härten.

Zugriffsmechanismen stärken,

sprich starke Passwörter verwenden

oder womöglich Multifaktor-Antifizierung installieren

und aktivieren.

Wichtig auch Netzüberwachung mit geeigneten Systemen,

also IDS, EPS als Stichwort.

Und übrigens,

diese Vorgaben kennen wir natürlich aus dem ITGIS-Gesetz 2.0,

dass eben solche Systeme eingesetzt werden sollten.

Viele denken nicht daran,

aber Backups einrichten

und die Wiederherstellung üben.

Zu guter Letzt gehört natürlich auch dazu

Business Continuity Management,

Maßnahmen aufzusetzen,

das heißt verstehen,

welche Prozesse für mein Unternehmen kritisch sind,

die entsprechend durch Maßnahmen abzusichern,

Notfallpläne erstellen

und diese üben.

Das sind die Maßnahmen,

die aus meiner Sicht sehr, sehr wichtig sind.

Thomas,

du bist ja Leiter des Arbeitskreises Stand der Technik beim Teletrust.

Für mich ist jetzt noch nicht ganz ersichtlich,

wie Stand der Technik und Ransomware eigentlich zusammenhängen.

Ja,

wenn wir über Ransomware sprechen,

dann ist es erst mal eine Schadsoftware,

die sich aber fortlaufend entwickelt.

Auch die angesprochene Killchain,

die entwickelt sich auch.

Das heißt,

es werden immer viele verschiedene Maßnahmen durchgeführt,

die entwickeln sich weiter.

Es werden verschiedene Methoden angewandt,

um in das Netzwerk zu kommen,

um das Netzwerk zu durchleuchten

und dann entsprechend größeren Schaden hervorzurufen.

Es werden bessere Verschlüsselungsmethoden angewandt.

Also kurz zusammengefasst,

die Methoden werden immer ausgereifter,

immer ausgefeilter,

immer professioneller.

Stand der Technik,

wie wir alle wissen,

Stand der Technik bezeichnet die am Markt verfügbare Bestleistung einer

Sicherheitsmaßnahme

zur Erreichung des gesetzlichen IT-Sicherheitsziels.

Im Fall von Ransomware wäre das eine Methode,

um einen erfolgreichen Ransomware-Angriff zu identifizieren

oder abzuwehren.

Und verständlicherweise,

also wenn Ransomware-Angriffe sich weiterentwickeln,

müssen natürlich auch die IT-Sicherheitsmaßnahmen entsprechend nachziehen

oder bereits vordenken.

Wenn man also die beiden nebeneinander stellt,

dann geht es eigentlich darum,

das ist ja wirklich immer so ein Wettkampf zwischen den beiden.

Also gut gegen böse

und es ist fortlaufende Bewegung.

Auch Stand der Technik eine Maßnahme ist nicht stetig,

sondern entwickelt sie weiter,

ist sie im fortlaufenden Fluss

und entwickelt.

Nachdem wir uns heute mit dem Bösen beschäftigt haben,

können wir ja auch perspektivisch noch mal

die gute Seite beleuchten,

nämlich Stand der Technik.

Das ist ja auch bestimmt für viele Zuhörer ein interessantes Thema.

Das hoffe ich doch.

Ich muss leider auch etwas auf die aktuelle Lage in der Weltpolitik eingehen.

Um den Kontext für die Zuhörer und Zuhörerinnen,

die uns hoffentlich auch noch in zehn Jahren beim Telefast-Podcast begleiten werden,

ein bisschen einzuordnen.

Nach der Corona-Pandemie hatten wir,

haben wir nun auch gerade noch eine aktuelle Bedrohungslage mit dem Krieg in der

Ukraine.

Kannst du dazu auch noch mal Bezug nehmen?

Ich denke,

es ist ganz, ganz wichtig,

dass wir auch das noch mal von der Seite her beleuchten.

Ich kann es versuchen.

Also es wird mir in der Tat nicht leicht,

weil es wirklich ein sehr ergreifendes Thema,

sehr schlimmes Thema ist.

Also aktuell aufgrund des Krieges in der Ukraine

wird eine starke Zunahme von Hackerangriffen bezeichnet.

Aus diesem Grund hat das Bundesamt für Sicherheit in der Informationstechnologie

inzwischen die zweithöchste Alarmstufe,

die sogenannte Orange,

ausgerufen.

Das heißt,

es ist die Lage sehr, sehr ernst.

Wenn man die Nachrichten betrachtet,

und zwar nicht nur die Berichterstattung vom Krieg in der Ukraine,

sondern einfach sich auf die Informationssicherheitsseite fokussiert,

dann kann man schon sagen,

es herrscht Cyberkrieg.

Es gibt Meldungen von Angriffen aus eigentlich fast allen Staaten,

die Ukraine unterstützen,

ob es aus Deutschland ist.

Jetzt heute Morgen habe ich eine Info aus Dänemark gehört.

Es gibt Angriffe in Japan,

es gibt Angriffe in Australien,

in den USA.

Es ist nicht gesagt,

dass bei all diesen Angriffen Ransomware,

also Lösegeld,

verlangt wird.

Aktuell werden beispielsweise Phishing und DDoS-Angriffe.

DDoS steht für Distributed Deny-of-Service-Angriffe,

sprich Angriffe,

die dazu verwendet werden,

um bestimmte Services ausser Gewicht zu setzen,

zum Beispiel Webseiten zu stören.

Phishing wiederum kann,

wie wir vorhin erläutert haben,

dazu verwendet werden,

um in das Netzwerk reinzukommen

und gerade insbesondere in das Netzwerk von strategisch wichtigen Unternehmen zu

gelangen.

Und im nächsten Schritt,

wie ich auch schon gesagt habe,

wenn der Angreifer erstmal drin ist

und die entsprechende Berechtigung erreicht hatte,

erhält hat,

dann kann er auch die Steuerung kritischer Infrastrukturen übernehmen.

Also die Lage ist sehr, sehr ernst.

Im Zusammenhang mit Ransomware

kann ich mir aber auch vorstellen,

da die Sanktionen gegen Russland verhängt wurden

und der Zugang zum SWIFT-System gesperrt wurde,

wäre durchaus Ransomware,

also die Verwendung von Ransomware eine Option,

um dennoch an das Geld zu kommen.

Das ist eine böse Unterstellung natürlich meinerseits,

aber diese Option besteht.

Andere kriminelle Gruppen,

die können natürlich die Lage ausnutzen

und auch Ransomware-Angriffe fahren

und Gelder zusammen.

Und ich befürchte,

und das ist wirklich meine absolut schlimmste Befürchtung,

dass wir noch auf einiges vorbereitet werden müssen.

Ja,

das glaube ich leider auch.

Und an dieser Stelle gilt natürlich,

gelten unsere Gedanken natürlich auch den Menschen vor Ort.

Und das ist generell keine schöne Lage.

Und dann zusätzlich auch noch mit gewissen Cyberangriffen,

die bevorstehen könnten,

wird das Ganze nicht vereinfacht.

Und ja,

ich denke,

es war aber trotzdem noch mal wichtig an der Stelle,

dass wir da Bezug zugenommen haben,

dass du das kurz eingeschätzt hast.

Es fällt mir jetzt auch schwer,

danach den Abspann zu machen,

aber wir sind tatsächlich am Ende unserer Zeit.

Ich möchte mich sehr herzlich für die ganzen nützlichen Informationen bedanken,

die du uns geliefert hast.

Lieber Thomas,

vielen Dank für deine Zeit.

Generell kann man sagen,

dass wir im heutigen Podcast nicht nur Thomas Schlawicki als Gast hatten,

sondern dass er uns sehr über Ransomware aufgeklärt hat.

Wir haben ganz konkret darüber gesprochen,

warum muss man sich mit Ransomware eigentlich beschäftigen.

Welche Risiken können daraus resultieren,

welche Maßnahmen sollten wir einsetzen,

um uns gegen Ransomware zu schützen?

Und sollten Sie als Zuhörer oder Zuhörerinnen noch Fragen oder Anmerkungen haben,

können Sie uns natürlich sehr, sehr gerne jederzeit über info-at-teletrust.de kontaktieren.

Wir freuen uns sehr.

Über ihr Feedback oder generell über Themenvorschläge

oder vielleicht auch,

wie wir in der Diskussion besprochen hatten,

wenn Sie einmal Bezug nehmen zu dem gewissen Notfallkoffer

und vielleicht Statistiken,

die Sie vorliegen haben.

Ja,

bis dahin wünsche ich jedem alles Gute,

bleiben Sie gesund,

bleiben Sie gut vorbereitet gegen Ransomware-Angriffe

und wie gesagt,

vielen Dank noch mal an der Stelle an dich,

Tomas.