Ein Cyberangriff auf die Berliner Verwaltung zeigt aktuell sehr deutlich, wie weitreichend die Folgen eines erfolgreichen Ransomware-Angriffs sein können. Dabei geht es längst nicht mehr nur darum, Dateien zu verschlüsseln und Systeme lahmzulegen.
Die Hackergruppe Rhysida bekannte sich zu dem Angriff und gab an, rund 5,7 Terabyte Daten erbeutet zu haben. Nachdem das Land Berlin nicht auf die Erpressung einging, wurden gestohlene Daten veröffentlicht. Wenige Tage später folgte ein weiteres Datenpaket, das nach Angaben der Berliner Senatskanzlei unter anderem Zugangsdaten enthielt.
Der Fall zeigt ein Problem, das für praktisch jedes Unternehmen relevant ist:
Ein modernes Ransomware-Szenario endet nicht beim Ausfall eines Computers. Angreifer versuchen heute, Daten zu stehlen, Benutzerkonten zu übernehmen, sich innerhalb des Netzwerks auszubreiten und anschließend zusätzlichen Druck durch die Veröffentlichung sensibler Informationen aufzubauen.
Für Unternehmen bedeutet das: Ein Virenscanner oder ein einzelnes Backup reicht nicht mehr aus.
Was ist beim Cyberangriff auf Berlin passiert?
Der Cyberangriff auf das Berliner Landesnetz wurde bereits im August bekannt. Die Tätergruppe Rhysida bekannte sich später zu dem Angriff und behauptete, Daten im Umfang von etwa 5,7 Terabyte erbeutet zu haben.
Betroffen waren unter anderem zwei Senatsverwaltungen.
Die Angreifer versuchten anschließend, das Land Berlin mit den gestohlenen Daten zu erpressen. Berlin erklärte öffentlich, nicht auf die Forderung eingehen zu wollen.
Anfang September wurden daraufhin gestohlene Daten veröffentlicht. Die Behörden begannen gemeinsam mit IT-Forensikern, Polizei, Datenschutzbehörden und weiteren Sicherheitsstellen mit der Analyse des Materials.
Besonders relevant aus IT-Sicht: In einem später veröffentlichten Datenpaket befanden sich nach Angaben der Senatskanzlei auch Zugangsdaten.
Genau hier zeigt sich, warum moderne IT-Sicherheit immer aus mehreren Ebenen bestehen muss.
Denn selbst wenn ein Unternehmen den ursprünglichen Angriff technisch übersteht, können entwendete Zugangsdaten anschließend für weitere Angriffe verwendet werden.
Ransomware bedeutet heute häufig: verschlüsseln UND Daten stehlen
Früher war das typische Ransomware-Szenario vergleichsweise einfach:
Ein Schadprogramm gelangt auf einen Computer, verschlüsselt Dateien und verlangt Geld für deren Freigabe.
Moderne Angriffe funktionieren häufig anders.
Die Angreifer versuchen zunächst möglichst unauffällig Zugang zur Infrastruktur zu erhalten. Anschließend erkunden sie Netzwerk, Server, Benutzerkonten und Berechtigungen. Erst wenn ausreichend Zugriff vorhanden ist, beginnt die eigentliche Erpressung.
Typische Schritte können sein:
- Zugangsdaten oder Passwörter erbeuten
- weitere Systeme im Netzwerk kompromittieren
- sensible Unternehmensdaten kopieren
- Administratorrechte übernehmen
- Backups angreifen oder löschen
- Server und Arbeitsplätze verschlüsseln
- Veröffentlichung gestohlener Daten androhen
Damit entsteht eine doppelte Erpressung: Selbst wenn Daten aus einem Backup wiederhergestellt werden können, besitzen die Täter möglicherweise weiterhin vertrauliche Unternehmensinformationen.
Deshalb sollte der Schutz ebenfalls aus mehreren Ebenen bestehen.
1. Endpoint-Schutz: Angriffe erkennen, bevor sie sich ausbreiten
Ein klassischer Virenscanner sucht hauptsächlich nach bekannten Schadprogrammen.
Moderne Angriffe nutzen allerdings zunehmend legitime Windows-Werkzeuge, Skripte oder gestohlene Benutzerkonten. Deshalb setzen professionelle Sicherheitskonzepte heute auf Endpoint Detection & Response (EDR).
EDR überwacht das Verhalten eines Systems und versucht verdächtige Aktivitäten zu erkennen.
Dazu gehören beispielsweise:
- ungewöhnliche Prozesse
- verdächtige Skripte
- Veränderungen großer Datenmengen
- ungewöhnliche Netzwerkaktivitäten
- typische Ransomware-Verhaltensmuster
Verdächtige Systeme können im Ernstfall automatisch vom restlichen Netzwerk isoliert werden.
Bei Innovate Systems ist Endpoint-Schutz Bestandteil unserer Managed IT-Sicherheitslösungen für Unternehmen.
2. Zugangsdaten schützen: MFA wird immer wichtiger
Der Berliner Fall zeigt besonders deutlich, warum Zugangsdaten ein kritischer Bestandteil der IT-Sicherheit sind.
Ein gestohlenes Passwort kann einem Angreifer unter Umständen ermöglichen, sich wie ein normaler Benutzer anzumelden.
Deshalb sollten kritische Systeme niemals ausschließlich durch Benutzername und Passwort geschützt werden.
Mit Multi-Faktor-Authentifizierung (MFA) benötigt ein Angreifer zusätzlich einen zweiten Faktor – beispielsweise einen zeitlich begrenzten Code oder eine Authenticator-App.
MFA sollte insbesondere für folgende Bereiche eingesetzt werden:
- Microsoft 365
- VPN-Zugänge
- Remote Desktop / RDP
- Administrator-Konten
- Cloud-Anwendungen
- kritische Geschäftsanwendungen
Innovate Systems kann MFA nicht nur für Cloud-Dienste, sondern auch direkt für Windows-Anmeldungen, Server und Remote-Desktop-Zugriffe umsetzen.
Mehr dazu unter MFA für Windows und Unternehmenszugänge.
3. Netzwerksegmentierung verhindert die unkontrollierte Ausbreitung
Eine häufig unterschätzte Gefahr besteht darin, dass sich alle Geräte eines Unternehmens im gleichen Netzwerk befinden.
Wird ein einzelner Rechner kompromittiert, kann ein Angreifer dadurch möglicherweise zahlreiche weitere Systeme erreichen.
Professionell aufgebaute Unternehmensnetzwerke werden deshalb segmentiert.
Mit VLANs und getrennten Netzwerkbereichen können beispielsweise voneinander getrennt werden:
- Server
- Mitarbeiter-PCs
- Verwaltung
- Produktion
- Gäste-WLAN
- IoT-Geräte
- Telefonie
- kritische Infrastruktur
Ein kompromittierter Arbeitsplatz erhält dadurch nicht automatisch Zugriff auf sämtliche Systeme des Unternehmens.
Unsere Netzwerklösungen für Unternehmen umfassen deshalb neben professionellen Firewalls auch VLAN-Segmentierung, VPN, IDS/IPS und laufende Sicherheitsupdates.
4. Ein Backup muss einen Ransomware-Angriff überleben
Backups gehören zu den wichtigsten Schutzmaßnahmen überhaupt.
Aber ein Backup hilft nur dann, wenn es nach dem Angriff noch vorhanden und tatsächlich wiederherstellbar ist.
Ein einzelnes NAS im gleichen Netzwerk ist deshalb keine vollständige Backup-Strategie.
Wenn Angreifer Administratorrechte erhalten, versuchen sie häufig gezielt, erreichbare Sicherungen ebenfalls zu löschen oder zu verschlüsseln.
Eine professionelle Backup-Strategie sollte daher mehrere unabhängige Ebenen besitzen.
Ein bewährter Ansatz ist beispielsweise die 3-2-1-Strategie:
3 Kopien der Daten
2 unterschiedliche Speichermedien
1 Kopie außerhalb der eigenen Infrastruktur
Innovate Systems kombiniert hierfür lokale Sicherungen mit externen Cloud-Backups. Dadurch steht im Ernstfall sowohl eine schnelle lokale Wiederherstellung als auch eine unabhängige Offsite-Kopie zur Verfügung.
Entscheidend ist außerdem: Backups müssen überwacht und Wiederherstellungen regelmäßig getestet werden.
Mehr dazu unter Hybrid-Backup und Datensicherung für Unternehmen.
5. Backups von Microsoft 365 nicht vergessen
Ein weiterer häufiger Irrtum:
„Unsere Daten liegen in Microsoft 365 – also sind sie automatisch gesichert.“
Cloud-Verfügbarkeit und Backup sind jedoch zwei unterschiedliche Dinge.
Exchange Online, SharePoint, Teams und OneDrive sollten deshalb in ein eigenständiges Sicherungskonzept integriert werden.
Das ist beispielsweise relevant bei:
- versehentlich gelöschten Dateien
- kompromittierten Benutzerkonten
- Ransomware
- manipulierten Daten
- ausgeschiedenen Mitarbeitern
Microsoft 365 sollte daher genauso Bestandteil der Backup-Strategie sein wie lokale Server und Arbeitsplätze.
6. Patch-Management: bekannte Sicherheitslücken schnell schließen
Viele erfolgreiche Cyberangriffe nutzen keine spektakulären neuen Hackertechniken.
Stattdessen werden bekannte Schwachstellen verwendet, für die teilweise bereits seit Wochen oder Monaten Updates verfügbar sind.
Das Problem entsteht häufig im Alltag:
Ein Server kann gerade nicht neu gestartet werden.
Ein Notebook ist selten im Firmennetz.
Eine Software wurde vergessen.
Ein Update könnte möglicherweise eine Fachanwendung beeinträchtigen.
Und irgendwann entsteht dadurch eine Sicherheitslücke.
Professionelles Patch-Management sorgt dafür, dass Betriebssysteme und Anwendungen kontrolliert, dokumentiert und regelmäßig aktualisiert werden.
Genau das gehört zu unserer laufenden IT-Administration für Unternehmen.
7. Kontinuierliches Monitoring statt erst reagieren, wenn etwas ausfällt
Viele Unternehmen bemerken einen Cyberangriff erst dann, wenn bereits Systeme ausgefallen oder Dateien verschlüsselt sind.
Dabei entstehen häufig vorher Warnsignale.
Zum Beispiel:
- ungewöhnlich hohe CPU-Auslastung
- plötzlich ausfallende Dienste
- fehlgeschlagene Backup-Jobs
- neue Benutzerkonten
- ungewöhnliche Anmeldeversuche
- deaktivierte Sicherheitssoftware
- auffällige Netzwerkverbindungen
- nicht installierte Sicherheitsupdates
Mit Remote Monitoring & Management können Server, Clients und zentrale Dienste kontinuierlich überwacht werden.
Das Ziel besteht nicht darin, nach einem Ausfall möglichst schnell zu reagieren.
Das Ziel besteht darin, Probleme möglichst zu erkennen, bevor daraus ein Ausfall wird.
8. Berechtigungen begrenzen den möglichen Schaden
Nicht jeder Mitarbeiter benötigt Zugriff auf sämtliche Unternehmensdaten.
Trotzdem wachsen Berechtigungsstrukturen in vielen Unternehmen über Jahre.
Mitarbeiter wechseln die Abteilung, Projekte werden beendet, externe Dienstleister erhalten Zugänge und alte Benutzerkonten bleiben bestehen.
Bei einem Cyberangriff wird genau das zum Problem.
Denn übernimmt ein Angreifer ein Benutzerkonto, erhält er zunächst die gleichen Rechte wie dieser Benutzer.
Deshalb gilt das sogenannte Least-Privilege-Prinzip:
Jeder Nutzer erhält nur die Berechtigungen, die er für seine Arbeit tatsächlich benötigt.
Ein professionelles <a href=“/leistungen/it-berechtigungsmanagement/“>IT-Berechtigungsmanagement</a> reduziert damit nicht nur organisatorische Risiken, sondern kann auch den möglichen Schaden eines kompromittierten Kontos deutlich begrenzen.
Der Berlin-Angriff zeigt: Es gibt nicht die eine Sicherheitslösung
Die wichtigste Erkenntnis aus großen Cybervorfällen lautet nicht, dass Unternehmen ein bestimmtes Sicherheitsprodukt kaufen müssen.
Das Gegenteil ist der Fall.
IT-Sicherheit funktioniert nur als Zusammenspiel mehrerer Schutzschichten.
Dazu gehören unter anderem:
- professionelle Firewall
- Endpoint Detection & Response
- Multi-Faktor-Authentifizierung
- Netzwerksegmentierung
- geregeltes Patch-Management
- sichere und getrennte Backups
- Monitoring
- saubere Benutzer- und Berechtigungsstrukturen
- E-Mail- und Phishing-Schutz
- ein funktionierender Wiederherstellungsplan
Fällt eine Schutzebene aus, stehen weitere Ebenen zwischen dem Angreifer und den wichtigsten Unternehmensdaten.
Genau deshalb verfolgt Innovate Systems bei der IT-Sicherheit für Unternehmen einen mehrschichtigen Ansatz.
Wie gut wäre Ihr Unternehmen auf einen Ransomware-Angriff vorbereitet?
Eine einfache Frage hilft häufig bei der Einschätzung:
Was würde morgen passieren, wenn ein Mitarbeiter-PC kompromittiert wird?
Kann dieser Rechner auf Server zugreifen?
Kann er Backups erreichen?
Sind Benutzerkonten durch MFA geschützt?
Sind Administrator-Kennwörter getrennt?
Werden verdächtige Vorgänge erkannt?
Wann wurde zuletzt eine vollständige Wiederherstellung getestet?
Wenn sich diese Fragen nicht eindeutig beantworten lassen, lohnt sich eine Überprüfung der bestehenden Infrastruktur.
Innovate Systems unterstützt Unternehmen in Wuppertal, im Bergischen Land und in NRW beim Aufbau und Betrieb moderner IT-Sicherheitslösungen – von Firewall und Endpoint-Schutz über MFA und Netzwerksegmentierung bis hin zu Backup, Monitoring und laufender Administration.
Unser Ansatz: Nicht erst reagieren, wenn ein Angriff erfolgreich war – sondern die Infrastruktur vorher so aufbauen, dass ein einzelner Sicherheitsvorfall nicht das gesamte Unternehmen lahmlegt.