So beugen Sie Ransomware vor: Ein praktischer Leitfaden für Unternehmen

Ransomware ist eine der schwerwiegendsten Bedrohungen, denen Unternehmen heute ausgesetzt sind. Ein erfolgreicher Angriff kann dazu führen, dass Sie innerhalb weniger Minuten keinen Zugriff mehr auf Ihre eigenen Systeme haben, der Betrieb für Tage oder Wochen zum Erliegen kommt und Sie vor der Wahl stehen, entweder ein Lösegeld zu zahlen oder alles von Grund auf neu aufzubauen. Die gute Nachricht ist, dass sich die meisten Ransomware-Angriffe verhindern lassen – nicht durch ausgefallene Sicherheitstools, sondern durch die konsequente Umsetzung von Maßnahmen, die jedes Unternehmen umsetzen kann. Dieser Leitfaden erklärt, wie Sie Ransomware verhindern können, welche Schritte am effektivsten sind und welche Rolle der Faktor Mensch dabei spielt.

Was ist Ransomware? Eine kurze Zusammenfassung

Ransomware ist eine Art von Malware, die Dateien oder Systeme verschlüsselt und im Gegenzug für den Entschlüsselungscode eine Zahlung, in der Regel in Kryptowährung, verlangt. Moderne Ransomware-Angriffe gehen oft noch einen Schritt weiter: Die Angreifer entwenden Daten, bevor sie diese verschlüsseln, und drohen mit deren Veröffentlichung, sollte das Lösegeld nicht gezahlt werden – eine Technik, die als „doppelte Erpressung“ bekannt ist.

Ransomware gelangt auf wenige verschiedene Wege in Unternehmen: Phishing-E-Mails, die einen Mitarbeiter dazu verleiten, Malware auszuführen, die Ausnutzung ungepatchter Sicherheitslücken, kompromittierte Remote-Desktop-Verbindungen sowie infizierte Software oder Komponenten der Lieferkette. Das Verständnis dieser Einfallstore ist für die Prävention unerlässlich – man kann nur das blockieren, worauf man achtet.

Eine ausführlichere Erklärung zur Funktionsweise von Ransomware finden Sie in unserem Artikel über die Bedeutung und Funktionsweise von Ransomware.

So beugen Sie Ransomware vor: die technische Ebene

Die Abwehr von Ransomware beginnt damit, die Einfallstore zu schließen, die Angreifer am häufigsten nutzen. Diese technischen Maßnahmen bilden die Grundlage; ohne sie kann kein noch so umfangreiches Sensibilisierungstraining die Sicherheitslücke ausgleichen:

• Halten Sie Software und Systeme auf dem neuesten Stand. Die meisten Ransomware-Angriffe nutzen bekannte Schwachstellen aus, für die bereits Patches verfügbar sind. Ein konsequentes Patch-Management, das auf Server, Endgeräte, Netzwerkgeräte und Anwendungen von Drittanbietern angewendet wird, beseitigt einen der häufigsten Angriffspunkte.
• Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA). Kompromittierte Anmeldedaten sind ein Hauptzugangspfad für Ransomware, insbesondere über Remote Desktop (RDP) und E-Mail. Durch MFA reichen gestohlene Passwörter allein nicht mehr aus, um Zugriff zu erlangen.
• Schränken Sie den Fernzugriff ein. Deaktivieren Sie RDP, wo es nicht benötigt wird. Wo es benötigt wird, verwenden Sie ein VPN mit MFA, beschränken Sie den Zugriff auf bestimmte IP-Bereiche und überwachen Sie ungewöhnliche Anmeldezeiten oder -orte.
• Segmentieren Sie Ihr Netzwerk. Sollte Ransomware dennoch eindringen, begrenzt die Netzwerksegmentierung die Ausbreitung der Malware. Kritische Systeme und sensible Daten sollten vom allgemeinen Büronetzwerk isoliert werden.
• Erstellen Sie Offline- oder unveränderliche Backups. Ein Ransomware-Angriff, der Ihr Backup-System befällt, macht den Sinn eines solchen Systems zunichte. Backups sollten offline oder in einem unveränderlichen Format gespeichert, regelmäßig getestet und getrennt von den Produktionssystemen aufbewahrt werden.
• Setzen Sie Endpoint Detection and Response (EDR) ein. Moderne EDR-Tools erkennen ransomwareähnliches Verhalten, die Verschlüsselung großer Dateimengen sowie laterale Bewegungen und können einen laufenden Angriff stoppen, bevor er den vollen Schaden anrichtet.
• Filtern Sie E-Mail-Anhänge und Links. Da Phishing die häufigste Methode zur Verbreitung von Ransomware ist, verringern E-Mail-Sicherheitstools, die Anhänge überprüfen, bösartige Links blockieren und verdächtige Absender kennzeichnen, die Angriffsfläche erheblich.

Ransomware in Ihrem Unternehmen verhindern: Welche Rolle spielt die Büroumgebung?

Technische Kontrollmaßnahmen beziehen sich auf Systeme und Software. In einer Büroumgebung kommen jedoch zusätzliche Risikofaktoren hinzu, die über die IT-Infrastruktur hinausgehen: gemeinsam genutzte Geräte, der Zugriff von Besuchern auf das Netzwerk, private Geräte im WLAN des Unternehmens, von außen mitgebrachte USB-Sticks sowie Mitarbeiter, die unter Zeitdruck stehen und schnelle Entscheidungen treffen, ohne diese zuvor zu überprüfen.

Um Ransomware im Büro- oder Unternehmenskontext vorzubeugen, müssen klare Richtlinien zu diesen Risikofaktoren festgelegt und die Mitarbeiter darüber aufgeklärt werden, warum diese Richtlinien bestehen:

• Trennung des Gastnetzwerks. Besucher und private Geräte sollten sich niemals im selben Netzwerksegment wie Unternehmenssysteme und -daten befinden.
• Richtlinie zu USB-Sticks und Wechseldatenträgern. Infizierte USB-Sticks stellen nach wie vor einen echten Übertragungsweg für Ransomware dar, insbesondere in der Fertigung und Logistik. Eine Richtlinie, die die Nutzung von USB-Sticks auf Arbeitsgeräten einschränkt oder blockiert, schließt diesen Übertragungsweg aus.
• Klare Eskalationsverfahren. Mitarbeiter, die den Verdacht haben, dass etwas nicht stimmt – sei es eine ungewöhnliche E-Mail, ein unerwartetes Pop-up-Fenster oder ein System, das sich seltsam verhält –, müssen genau wissen, an wen sie sich wenden können, und dass dies ausdrücklich erwünscht ist und nicht bestraft wird. Eine frühzeitige Meldung kann einen Vorfall verhindern, bevor er sich zu einem vollumfänglichen Angriff ausweitet.
• Überprüfung der Zugriffsrechte von Lieferanten und Dritten. Viele Ransomware-Angriffe erfolgen über einen Lieferanten oder Managed-Service-Provider, der über privilegierten Zugriff auf die Systeme des Ziels verfügt. Überprüfen Sie, wer über externen Zugriff verfügt, beschränken Sie diesen auf das unbedingt Notwendige und verlangen Sie von Lieferanten die Einhaltung von Mindestsicherheitsstandards.

Ransomware macht keinen Unterschied hinsichtlich der Unternehmensgröße. Kleine Unternehmen und Büros werden häufig gerade deshalb ins Visier genommen, weil davon ausgegangen wird, dass sie über weniger Sicherheitsvorkehrungen verfügen – und diese Annahme trifft oft zu.

Der menschliche Faktor: Warum Schulungen zur Sensibilisierung für Sicherheitsfragen für die Ransomware-Prävention unerlässlich sind

Technische Kontrollmaßnahmen verringern die Angriffsfläche, können das durch menschliches Versagen bedingte Risiko jedoch nicht vollständig beseitigen. Phishing ist die häufigste Methode zur Verbreitung von Ransomware, und Phishing ist nicht deshalb erfolgreich, weil technische Filter versagen, sondern weil eine Person in einem Moment der Unaufmerksamkeit, unter Zeitdruck oder aufgrund von fehlgeleitetem Vertrauen eine Entscheidung trifft.

Ein Mitarbeiter, der einen bösartigen Anhang öffnet, seine Zugangsdaten auf einer gefälschten Anmeldeseite eingibt oder ein „Bank-Sicherheitsteam“ zurückruft, ist nicht dumm. Er tut das, was jeder tut, wenn er unter Druck auf der Grundlage unvollständiger Informationen handelt. Die Frage ist, wie man den Menschen die Fähigkeit zur Mustererkennung vermitteln kann, damit sie innehalten und die Situation prüfen, bevor sie handeln – und das lässt sich nur durch Übung erreichen.

Schulungen zur Sensibilisierung für Sicherheitsfragen fördern diese Vorgehensweise durch regelmäßige, kurze Einheiten und realistische Phishing-Simulationen. Mitarbeiter, die im Rahmen einer Simulation eine überzeugende Phishing-E-Mail gesehen haben, sind besser in der Lage, eine solche im Alltag zu erkennen. Unternehmen, die fortlaufende Sensibilisierungsprogramme durchführen, verzeichnen durchweg niedrigere Klickraten bei Phishing-E-Mails, was sich direkt in weniger Angriffspunkten für Ransomware niederschlägt.

Sensibilisierungsschulungen verändern auch das Verhalten, nachdem eine verdächtige E-Mail eingegangen ist. Geschulte Mitarbeiter melden solche E-Mails eher, anstatt darauf zu klicken. Dieser Wandel vom passiven Ziel zum aktiven Melder ist eine der wirksamsten Maßnahmen zur Risikominderung, die ein Unternehmen ergreifen kann – und das bei relativ geringen Kosten und ohne zusätzlichen Infrastrukturaufwand.

Checkliste zur Ransomware-Prävention: Wie sieht es in Ihrem Unternehmen aus?

Verwenden Sie diese Checkliste, um zu beurteilen, wie gut Ihr Unternehmen derzeit vor einem Ransomware-Angriff geschützt ist:

• Alle Betriebssysteme, Anwendungen und Firmware-Versionen werden innerhalb eines festgelegten Zeitraums aktualisiert.
• MFA ist für E-Mail, Fernzugriff und kritische Systeme aktiviert
• RDP ist deaktiviert oder wird hinter einem VPN mit MFA geschützt
• Es gibt Offline- oder unveränderliche Sicherungskopien, die regelmäßig getestet werden
• Durch die Netzwerksegmentierung werden kritische Systeme von den allgemeinen Büronetzwerken getrennt
• Auf allen Endgeräten ist EDR oder ein gleichwertiges System installiert.
• Die E-Mail-Filterung ist so konfiguriert, dass schädliche Anhänge und Links blockiert werden
• Die Mitarbeiter nehmen regelmäßig an Phishing-Simulationen und Schulungen zur Sensibilisierung für Sicherheitsfragen teil
• Es gibt einen klar definierten Prozess zur Eskalation und Meldung von Vorfällen, der allen Mitarbeitern bekannt ist.
• Der Zugriff von Dritten und Lieferanten wird überprüft und auf das Notwendige beschränkt

Wenn mehr als zwei oder drei dieser Punkte fehlen oder unklar sind, ist Ihr Unternehmen einem erheblichen Risiko durch Ransomware-Angriffe ausgesetzt – diese Lücken lassen sich jedoch beheben.