Bei Angriff Ransomware - Wie verhandel ich mit Cyber Erpressern?

Was tun, wenn ein Ransomware-Angriff stattgefunden hat?

Ist ein Rechner oder ein Netzwerk von einem Angriff mit Verschlüsselungstrojanern betroffen, müssen zwei Maßnahmen schnellstmöglich durchgeführt werden: Zum einen muss die Sicherheitslücke, über die das Schadprogramm eingedrungen ist, aufgefunden und geschlossen werden, um die Cyberkriminellen aus dem Netzwerk zu verbannen. Zum anderen gilt es, die eingesetzte Verschlüsselungstrojaner-Variante herauszufinden und die Angreifer hinter dem Schadprogramm auf Ihre „Glaubwürdigkeit“ zu überprüfen.

Der erste Punkt wird von der unternehmensinternen Cyber Security übernommen. Für den zweiten Punkt setzen viele Betriebe auf externe Partner, beispielsweise Anwälte. Das Problem dabei: Wenn im Vorfeld kein genauer Plan hinsichtlich der Reaktion auf einen Angriff definiert wurde, wird unnötig viel Zeit verloren.

So agieren externe Anwälte im Falle eines Cyberangriffs

Gemäß der international agierenden Anwaltskanzlei Orrick setzen 75 % aller vom einem Cyberangriff betroffenen Unternehmen auf externe Anwälte, die sich um die Veranlassung folgender notwendiger Maßnahmen kümmern:

• Kontaktaufnahme mit den Strafverfolgungsbehörden
• IT-Forensik beauftragen
• Briefing mit der Führungsetage des betroffenen Unternehmens durchführen
• Mitteilungen für die Kommunikation mit Kunden/Lieferanten/Partnern entwickeln
• Kontaktaufnahme mit der Cyberversicherung des Unternehmens und Kostenübernahme abklären

Die Cyberversicherung sollte immer so schnell wie möglich kontaktiert werden. Denn abhängig von der Police hat die Versicherung unter Umständen ein Mitspracherecht, wenn es um die Beauftragung externer Unterstützung, beispielsweise Cyber Security, geht. Die Zahlung von Lösegeldern obliegt hingegen den Unternehmen – ob die Versicherung hier die Kosten übernimmt, lässt sich nicht allgemeingültig vorhersagen. Bevor Versicherungen die Zahlung von Lösegeldern übernehmen, kommen eine Menge Fragen auf das betroffene Unternehmen zu. Die Zahlungswilligkeit der Versicherungen hängt u.a. vom Status der Backups, der Anzahl betroffener Systeme und dem Zeitraum bis zur Zurücksetzung der IT ab.

Mit Cyberkriminellen verhandeln

Vor jeglicher Kontaktaufnahme mit den Erpressern sollte die unternehmensinterne Cyber Security den Angriff isoliert haben und sicherstellen, dass der Hacker sich nicht mehr im Netzwerk befindet. Denn solange die Angreifer noch Zugriff auf das Netzwerk haben, verfügen sie über ein starkes Druckmittel!

Der zweite Schritt sollte immer lauten: Infos sammeln. Denn wenn ermittelt wird, wer hinter dem Angriff steckt, welche Daten kompromittiert wurden und wie ähnlich gelagerte Angriffe in der Vergangenheit abgelaufen sind, kann eine Strategie zur Verhandlungsführung aufgebaut werden. Wenn Cyberkriminelle beispielsweise 40 oder 50 Unternehmen angreifen, bringen sie in der Regel weniger Geduld auf – einfach weil es mehrere Optionen auf einen „Erfolg“ gibt. Haben sich die Angreifer hingegen auf genau ein Unternehmen eingeschossen, muss völlig anders taktiert werden.

Die Lösegeldforderungen werden mittlerweile von den Cyberkriminellen an die Opferprofile angepasst. Gängig ist eine Forderung von einem bestimmten Prozentsatz des jährlichen Umsatzes des betroffenen Unternehmens. Ganz unabhängig von der Lösegeldforderung muss bei Verhandlungen mit den Erpressern aber immer eines bedacht werden: Emotionen haben in den Verhandlungen nichts zu suchen!

So gehen Sie bei einer Verhandlung mit den Erpressern vor

Die Verhandlungen mit den Cyberkriminellen sollten wie alle anderen Business-Transaktionen objektiv behandelt werden – Emotionen bringen hier nichts. Viele Betroffene, die ohne externe Unterstützung in die Verhandlungen gehen, scheitern an diesem Punkt. Dabei sind Cyberkriminelle, die auf Ransomware setzen, häufig zu Verhandlungen bereit. Es gibt durchaus Fälle, bei denen sich die Lösegeldforderung auf einen kleineren Prozentsatz der ursprünglich geforderten Summe reduzieren ließ. Denn nicht nur die vom Angriff betroffenen Unternehmen, sondern auch die Erpresser stehen unter immensem Zeitdruck! Je länger sich eine Verhandlung in die Länge zieht, desto mehr Zeit bleibt den Opfern, ihre Systeme zurückzusetzen. Eine Statistik besagt, dass zwischen 25 und 30 Prozent aller Lösegelder bezahlt werden – und das wissen Cyberkriminelle natürlich auch.

Bevor eine Zahlung durchgeführt wird, muss das Entschlüsseln der Daten durch die Angreifer bewiesen werden. Hierzu wird meist ein Testdatensatz verwendet. Haben die Angreifer bewiesen, dass sie zur Entschlüsselung der Daten in der Lage sind, kann die Zahlung des Lösegeldes erfolgen. Hierzu wird auf die Anonymität von Kryptowährungen gesetzt, allen voran Bitcoins. Vorteil der Bitcoins für die Erpresser: Es ist schwierig bis unmöglich, aus der Transaktion Rückschlüsse auf den Angreifer oder dessen Standort zu ziehen. Anonymität ist der Schlüssel zum Erfolg der Ransomware-Gruppierungen – und entsprechend gut ausgestattet sind die Cyberkriminellen in diesem Bereich.

Achtung bei Double Extortion!

Wenn die Erpressung sich nicht nur auf die Verschlüsselung der Daten bezieht, sondern mit einer Veröffentlichung im Internet gedroht wird, ist der Umgang mit einem Cyberangriff wesentlich komplexer. Denn es lässt sich nicht herausfinden, ob die entwendeten Daten nach der Zahlung des Lösegeldes wirklich vernichtet worden sind. In den vergangenen Jahren wurden zahlreiche Unternehmen mehrmals mit den gleichen Daten erpresst – die am Ende trotz mehrfacher Lösegeldzahlungen im Internet veröffentlicht wurden. Das Monitoring von Untergrund-Marktplätzen oder dem Darkweb muss also als Präventivmaßnahme Teil der IT-Security eines Unternehmens werden, um Cyberangriffen immer einen Schritt voraus zu sein.

Haben Sie eine Strategie für die Verhandlung mit Erpressern? Kontaktieren Sie uns! Unsere Experten beraten Sie gerne.