Was ist Ransomware?

Das englische Wort „ransom“ bedeutet auf Deutsch „Lösegeld“. Ransomware bezeichnet Schadsoftware, die geeignet ist, dem Opfer eine Lösegeldzahlung abzupressen. In der Praxis sieht das so aus: Hacker verschaffen sich Zugang zu einem IT-System eines Unternehmens und verhindern dann, dass der Eigentümer auf in dem System gespeicherte zugreifen kann, etwa durch eine Verschlüsselung von Daten. Das Opfer wird dann erpresst, in dem eine hohe Geldsumme verlangt wird eine Freischaltung der Daten. Die Erpressung kann auch darin liegen, bestimmte Informationen wie Geschäftsgeheimnisse oder persönliche Details wie zu veröffentlichen. Ob im Falle einer Zahlung die Daten tatsächlich wieder freigegeben werden und zum Beispiel ein Passwort zur Entschlüsselung mitgeteilt wird, steht jedoch in den Sternen, da auf der Gegenseite nicht berechenbare Kriminelle stehen, die es auch auf eine weitere Erpressung abgesehen haben können. Und im Falle einer Zahlung sind die Täter, die anonym und gut gesichert über das Internet und das Darknet agieren, womöglich längst über alle Berge.

Welche Folgen kann Ransomware haben?

Vor kurzem gab es eine Ransomware-Attacke auf den IT-Dienstleister Unico Data AG mit Sitz in Bern in der Schweiz. Als sogenannter „Managed Service Provider“ ist Unico Data für kleine bis große Unternehmen aller Branchen tätig. Kunden des IT-Dienstleisters nutzen ‚Software as a Service‘ aus der Unico-Cloud. Der Angriff hatte Konsequenzen auch für Kundinnen und Kunden des IT-Dienstleisters.

So konnte etwa eine Kinokette Tickets eine Zeit lang nicht mehr online, sondern nur vor Ort verkaufen, weil die Webseite und die App der Kette nur eingeschränkt nutzbar war. Auch konnte die Kinokette vorläufig nicht per E-Mail kommunizieren. Wann die Systeme wieder laufen würden, war zeitweilig unklar.

Der Schweizer Werkzeughersteller, der ebenfalls die Rechenzentren der Unico Data AG nutze, konnte laut einer Mitteilung auf seiner Webseite „als Kunde der Unico Data AG nicht mehr auf die gehosteten Services (VDI, Mail-Exchange, Daten, Applikationen) zugreifen“. Zudem war der „Zugriff auf Daten und interne Programm aktuell verunmöglicht“. Es kam daher zu Problemen bei schriftlichen Anfragen von Kunden, die mit Unterstützung von Daten und internen Programmen beantwortet werden mussten.

Auch die Betreiberin einer Gesundheitseinrichtung, ein Versorgungsunternehmen der Altersmedizin sowie eine Bierbrauerei waren von dem Ransomware-Angriff betroffen. Bei der Bierbrauerei hatte dies zur Folge, dass alle Internetverbindungen unterbrochen wurden. Dies hatte Auswirkungen auf die Telefonleitungen, den E-Mail-Verkehr und ein Bestellsystem.

Derartige Angriffe führen zu hohem Personal- und Kostenaufwand bei der Behebung. Sie führen außerdem zu hohen Umsatzausfällen, können zum Verlust von Kundinnen und Kunden führen und schaden der Reputation eines Unternehmens.

Das gesamte Ausmaß des Cyberangriffs ist, wie so häufig bei Ransomware-Attacken, schwer abzuschätzen. Im Zusammenhang mit dem Angriff bei der Unico Data AG informierte eine Hackerbande auf einer Data-Leak-Seite im Darknet, dass sie 2,8 Terrabyte an Daten von Unico gestohlen habe. Darunter seien „persönliche vertrauliche Daten, Kunden- und Mitarbeiterunterlagen, Pässe, Verträge und vieles mehr“. Die Hackerbande soll auch für frühere Aktionen verantwortlich sein, zu deren Opfern die Xplain AG und die Medienunternehmen NZZ und CH Media gehören sollen.

Die Unico Data AG war gezwungen, öffentlich über den Cyberangriff zu informieren.

Wie sollten Daten gesichert werden?

Ransomware-Attacken können dazu führen, dass Kanzleien teilweise mehrere Wochen lang keinen Zugriff auf ihre Daten haben oder sogar einen vollständigen Verlust derselben befürchten müssen. Aufgrund dieser Bedrohungslage genügt die klassische zweistufige Datensicherung nicht mehr. Expertinnen und Experten für IT-Sicherheit empfehlen eine dreifache Datensicherung aus folgenden Elementen:

a) Primäre Datensicherung:

Die Daten werden auf der derselben Maschine oder auf demselben Server gespeichert, auf dem sie auch in der Praxis genutzt werden. So ist ein rascher Zugriff  auf die Daten sichergestellt. Bei Systemen, die permanent einsatzfähig sein müssen, können kontinuierliche Backups – Stichwort Continuous Data Protection (CDP), auch Real-Time-Backup genannt – eine Lösung sein. Hier wird jede Rechenoperation simultan auf einem zweiten Speichermedium gesichert.
Der Vorteil einer solchen, fortlaufenden Datensicherung ist, dass die Daten im Falle eines Problems schnell wieder hergestellt werden können. Zudem ist das Risiko eines Verlusts von Daten aufgrund des kurzen Sicherungsintervalls deutlich reduziert. Der Nachteil ist, dass eine solche Form der Datensicherung mehr Systemressourcen verbraucht.
Sogenannte RAID (Redundant Array of Independent Disks) ermöglichen eine verschlüsselte Datensicherung, die redundant auf mehreren, unabhängig voneinander arbeitenden, miteinander verbundenen Datenträgern erfolgt. So ist das Risiko eines Datenverlusts erheblich minimiert, da immer noch eine Kopie der Daten existiert, selbst wenn ein Datenträger ausfällt. Dies setzt allerdings voraus, dass das RAID-System selbst nicht durch einen Cyberangriff wie einer Ransomware-Attacke kompromittiert wird.

b) Sekundäre Datensicherung:

Bei der sekundären Datensicherung werden die Daten beim selben Provider auf einem anderen Subsystem gesichert. Gelingt es Angreifern zum Beispiel nur, bestimmte Teile eines IT-Systems zu kompromittieren, sind Kopien von Daten in anderen Teilen des IT-Systems trotzdem geschützt.

c) Tertiäre Datensicherung:

Im Falle einer tertiären Datensicherung wird eine verschlüsselte Kopie der Daten bei einem anderen Provider zusätzlich gesichert. Dies stellt die höchste Stufe der Sicherheit dar. Eine solche Datensicherung erschwert es dem Angreifer, da er sich Zugang zu zwei Providern mit unterschiedlichen Sicherungssystemen verschaffen muss. Das Risiko wird gestreut, da es unwahrscheinlicher ist, dass mehrere Provider gleichzeitig Opfer eines Angriffs mit Ransomware werden. Wird nur ein Provider angegriffen, besteht immer noch eine Kopie der Daten an einem anderen Ort.

Auch unabhängig von Ransomware-Angriffen ist es stets ratsam, über Backups von Daten an verschiedenen Orten zu verfügen, etwa wegen Einbrüchen, Überflutungen, Feuer, etc.

Das Unglück kann nämlich auch anders zuschlagen: So ging im Jahr 2021 das größte Rechenzentrum Europas bei Europas größtem Cloud-Anbieter und Marktführer im Hosting-Bereich, OVH, in Flammen auf. In einem fünfstöckigen Rechenzentrum in Straßburg brannten 2.000 von 12.000 Servern nieder. Ein Gebäude mit Servern der „Hosted Private Cloud“ wurde zur Hälfte zerstört. 3,6 Millionen Websites gingen offline, darunter staatliche Portale, eine französische Regierungsseite sowie Websites von Banken. Die Großkanzlei Leroi & Associés meldete einen irreversiblen Totalverlust von Daten.

Die Managed Cloud Server der timeSensor AG etwa sind von Hause aus dreifach gesichert und entsprechen diesen Anforderungen. Für die Nutzer anderer Server oder eigener Server bieten wir die Dienstleistung „Tertiäre Datensicherung“ im Zusammenhang mit unserem Datenbank-Monitoring an. Dadurch werden die Daten der Kanzleisoftware timeSensor LEGAL verschlüsselt auf ein System in unserer Infrastruktur übertragen und können dadurch wiederhergestellt werden, auch wenn der primäre Provider ausfallen sollte.