Fast jeder zweite CIO oder IT-Verantwortliche (42,7 %) hält "Wiederherstellungs- und Notfallpläne nach Angriffen" für das derzeit wichtigste Thema im Bereich Cybersicherheit. Selbst die Trendthemen Identity-/Accessmanagement und Mobile Device Security liegen auf der Prioritätenliste deutlich dahinter.

Parallel dazu zeigt unsere aktuelle Swiss-IT-Umfrage noch einen anderen Trend auf: Weg vom Verlass auf die hauseigene IT-Abteilung und hin zu externen Lösungen. Während im vergangenen Jahr bei knapp 48 Prozent die Security-Aufgaben von der eigenen IT-Abteilung mit abgedeckt wurden, planen das für die nächsten zwei Jahre nur noch rund 34 Prozent. Dafür wächst die Bereitschaft, einen externen Security-Dienstleister zurate zu ziehen (von 19 % auf 26 %) oder einen Managed-Service im Bereich der Cybersicherheit in Anspruch zu nehmen (von 8 % auf 15 %).

Die hohe Bereitschaft der Unternehmen zu präventiven Gegenmassnahmen lässt leider nicht automatisch auf eine baldige Trendwende hoffen. Die Entscheidung, verstärkt auf externe Kompetenzpartner zu setzen, bestätigt vielmehr die offenbar überwältigende Vielfalt und Komplexität der Bedrohungen. Die Tatsache, dass Wiederherstellungs- und Notfallpläne nach (erfolgreichen) Angriffen auf der Prioritätenliste der IT-Führungskräfte so hoch rangieren, lässt zudem auf eine andauernde Gefahr schliessen, die ihr Ziel wohl viel zu selten verfehlt.

Zu einem grossen Teil mitverantwortlich ist dafür Ransomware, ein vergleichsweise neues Phänomen in der Unternehmens-IT. Und die Lage verschärft sich weiter: Im Zuge der digitalen Transformation dürfte sich die Ransomware-Plage von der Unternehmens-IT auf IoT-gestützte Infrastrukturelemente wie Fahrzeuge oder Fertigungsroboter ausweiten.

Erpressungs-Software ist an sich nichts Neues. Neu ist die Unternehmens-IT als das bevorzugte Betätigungsfeld der Angreifer. Denn: "Bei einem Unternehmen gibt es mehr zu holen", urteilt Serge Droz, Vice President OS-CERT, des Emergency-Response-Teams von Open Systems. Deshalb lohne sich hier der hohe Aufwand. Die potenziellen Opfer-Unternehmen verfügen nicht nur über die finanziellen Mittel, sondern oft auch über die Motivation zur Zahlung von Lösegeld: Geschäftskritische Daten wie Kundendatenbanken mit Vertrags­abschlüssen, proprietärer Software-Code, steuerlich relevante Finanzdaten, technische Spezifikationen von Produktionsverfahren und andere ähnliche Betriebsgeheimnisse setzen die Betroffenen unter Zugzwang. Der Verlust relevanter Daten, das Bekanntwerden von Geschäftsgeheimnissen oder eine Betriebsstörung durch ein Fehlverhalten von Computersystemen kann für die betroffene Organisation katastrophale Folgen haben.

Eine typische Forderung nach Lösegeld beläuft sich derzeit auf durchschnittlich ca. 623 Euro, fand Symantec heraus. Ende 2015 konnten die Daten noch für 269 Euro ausgelöst werden. Im Gegensatz dazu berichtet IBM von vereinzelten vier- und fünfstelligen Lösegeldforderungen. Zahlungen in Höhe von knapp über 32.000 Euron seien mittlerweile nicht mehr aussergewöhnlich.

Eine Ransomware-Attacke kann das laufende Geschäft zum Stillstand bringen, unternehmenskritische Daten vernichten, die Produktivität senken und nebenbei noch einen Imageverlust verursachen. Die Zahlung von Lösegeld erscheint da vielen Verantwortlichen als eine vertretbare Methode der Krisen­bewältigung. Doch weit gefehlt. Der Anstieg zielgerichteter Ransomware gegen handverlesene Opfer, von dem Symantec im Laufe des letzten Jahres berichtete, hat diese Dynamik gekippt. Wer Lösegeld zahlt, erkauft sich damit neuerdings neue Attacken und gilt von nun an im Darknet als vermeintlich "leichte Beute" mit dem garantierten Ertrag.

Was sind die wichtigsten Angriffsvektoren für Ransomware auf Unternehmen? "Wie fast alle Malware wird Ransomware über verschiedene Kanäle verteilt, über gehackte Webseiten (Drive-by) oder per E-Mail", warnt Serge Droz. Viele dieser Mails würden "professionell daherkommen", beispielsweise als Bewerbung auf eine ausgeschriebene Stelle. Der Kreativität der Angreifer sind offenbar keine Grenzen gesetzt.

"Ransomware ist für die direkte Umsatzgenerierung konzipiert", schrieben Sicherheitsexperten von Symantec kürzlich in einem Bericht. Die Sicherheitsforscher von Trustwave beziffern den ROI einer konventionellen Ransomware-Attacke auf astronomische 1.425 Prozent. IBM wiederum spricht von einem weltweiten Schwarzmarkt im Wert von über 900 Millionen Euro.

Mit dem kontinuierlichen Zufluss von Lösegeld entwickeln die Täter ihre Ransomware-Toolkits rasant weiter. Jahr für Jahr erscheinen so um die 100 neue Ransomware-Familien. Cryptolocker, Cerber oder Locky gibt es im Übrigen als sogenannte DIY-Kits (Do-it-yourself-Kits) im Preisbereich zwischen 36 und 2.800 Euro zu kaufen. Es handelt sich dabei quasi um «Malware-Fertiggerichte zum Auf­wärmen» für Heimbastler. Viele dieser Tools sind einfach Ramsch, doch darum geht es nicht: Mit ihrer Hilfe können Täter, die hinter den Ohren ansonsten noch grün sind, ihre Opfer mit Lösegeldforderungen terrorisieren.

Es wird aber noch schlimmer kommen. Die neuste Generation von Ransomware vom März dieses Jahres, getauft auf den Namen Satan, macht mit einem neuen Geschäftsmodell auf sich aufmerksam. Die Ransomware selbst ist kostenfrei, lässt sich mit ein paar Klicks "individualisieren", herunterladen und auf die Opfer loslassen. Für den Vertrieb bekommen die Täter eine Kommission: 25 Prozent ab einem Umsatz von 5 Bitcoins pro Woche und satte 85 Prozent ab 125 Bitcoins pro Woche.

Wenn es also dann doch passiert, empfiehlt sich für die Krisenbewältigung eine strukturierte Vorgehensweise, die alle Möglichkeiten auslotet.

Im Hinblick auf die Datenwiederherstellung stehen dem betroffenen Unternehmen wiederum mehrere Optionen zur Verfügung, die aber auch alle ihre Schattenseiten haben:

Wie können die Unternehmen dieser Plage also überhaupt Einhalt gebieten? Die Antwort lautet: Durch den systematischen Aufbau einer Ransomware-resistenten IT. "Niemand ist vor Ransomware-Angriffen gefeit", betont Matthias Bossardt, Leiter Cyber Security bei KPMG Schweiz. Als effektive Grundschutzmassnahmen empfiehlt Bossardt Mitarbeitersensibilisierung, den Einsatz aktueller Malwareschutz-Software, regelmässige Wartung und einen getesteten Notfallplan, damit "ein Ransomware-Angriff nicht zum Albtraum" wird. Die Umsetzung einer adaptiven Sicherheitsarchitektur für eine Ransomware-resistente Unternehmens-IT erfordert eine ganzheitliche Sichtweise und ein tiefes Verständnis der Geschäftsabläufe, damit die erhöhte Cybersicherheit der Produktivität nicht zur Last fällt.

Für eine Ransomware-resistente IT empfehlen Sicherheitsexperten:

1. Sicherheitskopien unternehmenskritischer Daten nach dem 3-2-1-Vorsatz: Es gilt, drei oder mehr Backups auf mindestens zwei unterschiedlichen Typen von Speichermedien anzulegen und eine weitere Kopie in einer vollständig isolierten Umgebung aufzubewahren, sodass sie durch Täter nicht ohne Weiteres gelöscht werden kann.
   
2. Regelmässige Wartung: Sämtliche Software sollte stets auf dem aktuellsten Stand gehalten werden.
   
3. Mikrosegmentierung der IT-Infrastruktur: Gestaffelter Zugang der Mitarbeiter mit mehrfachen Authentifizierungsaufforderungen (statt globaler Zugriffsberechtigungen mit Authentifizierung am Perimeter) erhöht die Sicherheit.
4. Kontinuierliche Weiterbildung von Mitarbeitern: Mitarbeitersensibilisierung hilft, Social Engineering zu unterbinden und die Produktivität zu verbessern.
5. Vorkehrungen am Arbeitsplatz: Ransomware-trächtige Features wie Makros in Office-Dokumenten oder Werbebanner lassen sich unterdrücken.
6. Einsatz von Malwareschutz-Software: Cybersicherheitslösungen auf der Basis künstlicher Intelligenz lassen sich als Frühwarnsysteme einspannen.
7. BYOD-Gefahren minimieren: Der Einsatz von Desktop-Virtualisierung hilft zu verhindern, dass mobile Geräte die Daten unternehmensinterner Systeme lokal aufbewahren.

Lösungen zum Schutz der Unternehmens-IT vor wandlungsfähigen Bedrohungen wie Ransomware machen sich inzwischen künstliche Intelligenz und maschinelles Lernen zunutze. Doch ohne die nötige Mitarbeitersensibilisierung hilft das alles nichts. Denn eine Ransomware-resistente IT-Infrastruktur entsteht niemals in einem Vakuum. Sie setzt vielmehr eine Unternehmenskultur der aktiven Handlungsbereitschaft voraus, die eine erhöhte Wachsamkeit zur Tugend kürt. Dazu zählt auch, das höhere Management dafür zu sensibilisieren. Von denen glauben nämlich immer noch 71 Prozent, ihre Unternehmens-IT sei ausreichend vor Angriffen von innen und aussen geschützt – auch das ergab die aktuelle Studie. Bei den CIOs, die ihre Systeme besser kennen, ist das immerhin «nur» jeder zweite.