Ransomware-Schutz: Die Top-12-Maßnahmen für Unternehmen

Bei Ransomware-Angriffen verschlüsseln die Hacker Ihre Daten, sodass Sie keinen Zugriff mehr auf sie haben. Erst gegen Zahlung eines Lösegelds werden die Daten (vielleicht) wieder freigegeben.

Ransomware-Angriffe sind laut BSI der aktuell am schnellsten wachsende Bereich der Cyberkriminalität. Weltweit ereigneten sich allein im ersten Halbjahr 2024 mehr als 2500 Angriffe, wobei die Dunkelziffer deutlich höher liegen dürfte. Bis zu 86 Prozent aller deutschen Unternehmen sollen nach einer Attacke gezahlt haben.

Damit Sie gar nicht erst in diese prekäre Lage kommen, müssen Sie Ransomware-Schutz betreiben. Das ist leichter gesagt als getan: Es gibt eine verwirrend große Anzahl an Handlungsempfehlungen. Vielen Unternehmen ist nicht klar, wo sie anfangen sollen.

Deswegen haben unsere Proact-Experten in diesem Artikel eine Priorisierung vorgenommen. Aus unserer Sicht tragen die folgenden Top-12-Maßnahmen wesentlich dazu bei, Ihre Attack Surface abzuhärten und den Ransomware-Schutz zu steigern.

Schauen wir uns die Maßnahmen im Detail an.

Das sind die Top-12-Maßnahmen

1. Schulen Sie Ihre Mitarbeiter in Sachen Ransomware-Schutz

Einer der häufigsten Einstiegspunkte für Ransomware-Angriffe sind Phishing- bzw. Social-Engineering-Kampagnen. Hierbei nimmt ein Angreifer mit einem Mitarbeiter Ihres Unternehmens Kontakt auf, typischerweise via E-Mail, Telefon oder SMS; aber auch Live-Kontaktaufnahmen kommen vor, zum Beispiel bei Meetups oder Messen.

Der Angreifer versucht Vertrauen aufzubauen, beispielsweise indem er sich als Partner des Unternehmens ausgibt. Er wird dann versuchen, unter einem Vorwand vertrauliche Informationen wie Login-Daten abzufragen.

Eine andere Variante sind Malware-Programme, die als E-Mail-Anhang versendet werden und scheinbar ein reguläres Dateiformat wie PDF aufweisen. Klickt der Anwender auf den Anhang, beginnt der Verschlüsselungsprozess.

Noch einen Angriffsvektor bildet das Malvertising. Hierbei schalten die Angreifer seriös wirkende Anzeigen auf Online-Portalen. Klickt Ihr User, installiert sich die Ransomware-Software.

Hierin besteht die Herausforderung: Es gibt mittlerweile eine Vielzahl von Infection Vectors und fast täglich kommen neue hinzu. Sie müssen Ihre Mitarbeiter deshalb nicht nur einmal, sondern fortlaufend schulen, um mit den Angreifern Schritt zu halten. Ein festes monatliches, einstündiges Videoseminar ist ein guter Startpunkt.

Belassen Sie es aber nicht bei Schulungen: Führen Sie auch Tests durch. Verschicken Sie dafür in regelmäßigen Abständen selbst Phishing-E-Mails und andere Angriffsattrappen. Klickt Ihr Mitarbeiter, kriegt er eine Rückmeldung, dass er „reingefallen“ ist. Eine solche Gamification bringt häufig mehr als Theorieunterricht.

2. Reglementieren Sie die E-Mail-Darstellung

Ziehen Sie die „Text only“-Darstellung von E-Mails vor – im Gegensatz zur HTML-Darstellung. Letztere ist zwar optisch ansprechender, birgt aber mehr Sicherheitsrisiken, weil Webadressen verschleiert werden können. In einer HTML-Nachricht können die Angreifer den Link-Text seriös erscheinen lassen („www.microsoft.com“), wenn die tatsächliche, kryptische URL („www.knp.xz34s.com“) Alarmglocken schrillen lassen würde.

3. Reglementieren Sie Makros

Angreifer tarnen Ransomware gerne als Makros, wie sie in Office-Programmen zum Einsatz kommen (Word, Excel etc.). Um einen Ransomware-Befall zu verhindern, sollten Sie die folgenden Maßnahmen erwägen:

• Zeigen Sie Sicherheitsmeldungen an, um den User zu informieren, dass er dabei ist, ein potenziell gefährliches Makro auszuführen.

• Deaktivieren Sie Makros zentral, um vorschnelle Klicks zu vermeiden. Will Ihr User ein Makro einsetzen, muss er es zuerst manuell aktivieren. Das regt zum Nachdenken über die Aktion an.

• Schließen Sie Makros aus. Sie können als Admin zentral festlegen, dass Makros aus unbekannten oder nicht signierten Quellen grundsätzlich blockiert werden.

• Verwenden Sie Security-Scanner, welche E-Mail-Anhänge und Makros auf Schadprogramme prüfen.

• Stellen Sie eine Sandbox-Umgebung bereit, in der verdächtige Makros getestet werden können, bevor sie in den regulären Betrieb überführt werden.

4. Betreiben Sie Whitelisting (optional)

Beim Whitelisting erstellt Ihr Admin im Vorfeld eine Liste mit Programmen, welche als sicher eingestuft wurden. Nur diese Programme sind nun von den Usern ausführbar.

Der Nachteil besteht im hohen Verwaltungsaufwand. Nicht nur, dass eine anfängliche Abwägung vorgenommen werden muss, sondern die Whitelist muss auch ständig aktualisiert werden, weil laufend neue Software-Tools auf den Markt kommen.

Wir empfehlen diese Maßnahme vor allem in kritischen Industrien mit relativ konstanten Prozessen. Zum Beispiel funktioniert Whitelisting in vielen Gesundheitsunternehmen gut. Wenn Sie aber zum Beispiel eine große Marketing-Agentur betreiben und laufend Software-Tools auswechseln, könnte das Whitelisting die Produktivität einschränken.

5. Betreiben Sie Netzwerksegmentierung

Es ist entscheidend, im Falle eines Ransomware-Angriffs betroffene Segmente schnell vom Rest des Netzwerks isolieren zu können. (Siehe auch Blogartikel: Hybrid-Cloud-Beispiele: Wofür können Sie eine hybride Cloud einsetzen? – Absatz: Use Case 1: Microsegmentation) Das trägt wesentlich zum Ransomware-Schutz bei.

Wichtige Maßnahmen sind:

• Identifizieren Sie High-Value-Assets, um diese schneller isolieren zu können; ein Beispiel wäre eine Datenbank mit sämtlichen Kundeninformationen

• Teilen Sie Ihr Netzwerk in Zonen auf, zum Beispiel eine Produktionszone für Anwendungen und eine User-Zone für die verschiedenen Endgeräte

• Verwenden Sie Virtual Local Area Networks (VLANs) und Subnets, um eine weitere Segmentierung zu erreichen

• Ziehen Sie zwischen den unterschiedlichen Zonen Firewalls ein

6. Überdenken Sie Ihre Architektur

Eine sehr wirkungsvolle Maßnahme ist die Umstellung auf eine SDN-Architektur. Indem Sie die Hardware-Ebene von der Controller-Ebene trennen, schränken Sie das Lateral Movement der Angreifer erheblich ein. Außerdem können Sie über die zentrale Controller-Instanz sehr schnell neue Mikrosegmentierungen vornehmen, wie oben beschrieben.

Aus nachvollziehbaren Gründen scheuen viele IT-Verantwortliche diesen Schritt noch. Er geht mit einer aufwendigen Umstellungsphase und signifikanten Kosten einher. Bedenken Sie jedoch: Bereits ein erfolgreicher Ransomware-Angriff übertrifft diese Kosten bei weitem. Die mittlere Lösegeldzahlung für deutsche Unternehmen lag 2023 bei 5,14 Millionen Euro. Dazu kommen die Kosten durch Betriebsunterbrechungen und die Wiederherstellungskosten, ganz zu schweigen vom Image-Schaden.

Es gibt einen Zusatznutzen: Mit einer SDN-Architektur legen Sie das Fundament für das „Self-Driving Network“ (siehe Blogartikel: „Wie Sie KI im Unternehmen nutzen: Der Guide für CIOs“ – Absatz: KI zur Netzwerk-Optimierung), welches durch die KI-Revolution möglich wird. Ein solches Netzwerk stellt einen entscheidenden Wettbewerbsvorteil dar:

• Mitarbeiter können mit dem Netzwerk in natürlicher Sprache kommunizieren
• Mitarbeiter können von der KI bei schwierigen Aufgaben angeleitet werden
• Die KI erkennt zuverlässig selbst komplexe Angriffsmuster
• Sie sparen bares Geld, weil zum Beispiel Hardware-Ressourcen und der Stromverbrauch automatisch optimiert werden
• Die Verfügbarkeit von WiFi-Verbindungen wird deutlich erhöht

Und das Beste: Sie müssen die SDN-Umstellung nicht alleine vornehmen. Unsere Proact-Experten unterstützen Sie bei allen Schritten.

7. Betreiben Sie Monitoring

Verbessern Sie Ihren Ransomware-Schutz, indem Sie Monitoring betreiben. Best Practices sind:

• Achten Sie auf ungewöhnliche Traffic-Muster, zum Beispiel plötzliche Daten-Spikes an entfernten Stellen des Netzwerks. Dies funktioniert sehr gut unter Verwendung von KI-Tools, wie sie mittlerweile in viele XDR- und SIEM-Lösungen integriert sind.

• Erstellen Sie eine Liste Ihrer wichtigsten Assets und überprüfen Sie diese in regelmäßigen Abständen (zum Beispiel wöchentlich), auch wenn keine auffälligen Aktivitäten vorliegen.

• Überwachen Sie User-Aktivitäten. Insider Threats sind weiter verbreitet, als das viele Unternehmen wahrhaben wollen. In 2024 berichteten 76 Prozent aller Organisationen über Insider-Vorfälle.

• Durch Homeoffice und Remote Work hat sich die Anzahl der Endgeräte stark erhöht. In vielen Betrieben kommen täglich neue Devices hinzu. Damit entstehen auch neue Einfallstore. Verwenden Sie hier eine umfassende XDR- bzw. eine spezialisierte EDR-Lösung.

• Scannen Sie Ihre Log-Files auf ungewöhnliche Aktivitäten. Auch hierbei helfen KI-Tools.

• Beobachten Sie die Berechtigungsverwaltung. Viele Angreifer verschaffen sich zuerst Zugang zu einem Account und teilen sich dann selbst mehr Rechte zu, um sich leichter durch das Netzwerk bewegen zu können.

• Häufig stellen Unternehmen ihre Detection-Rules zu sensibel sein – sie denken, viel hilft viel. Tatsächlich schaden sie sich damit. Mitarbeiter werden mit Fehlalarmen geflutet und übersehen dadurch die wirklich kritischen Vorfälle. Man spricht hier auch von „Alert Fatigue“. Justieren Sie hier nach, bis Sie ein realistisches Verhältnis zwischen den beiden Polen gefunden haben.

8. Setzen Sie auf die Cloud

Tendenziell sind Cloud-Infrastrukturen weniger anfällig für Ransomware-Angriffe als On-Prem-Systeme.

Dafür gibt es drei Gründe:

1. Die Cloud-Provider betreiben normalerweise einen sehr hohen Aufwand, um die Systeme zu schützen. Schließlich hängt ihr komplettes Geschäftsmodell davon ab. Dafür kommen die neuesten Tools und ausgeklügelte Prozesse zum Einsatz.

2. Cloud-Provider beschäftigen Ransomware-Experten, die nichts anderes tun, als sich über aktuelle Ransomware-Familien auf dem Laufenden zu halten und diese zu bekämpfen. KMU haben kaum die Ressourcen, hier gleichzuziehen, noch dazu in Zeiten des Fachkräftemangels.

3. Cloud-Systeme erlauben praktisch immer die Wiederherstellung älterer Dateiversionen. Das heißt, selbst wenn das Primärsystem von den Angreifern verschlüsselt wurde, kann zumindest noch eine leicht ältere Version der Daten abgerufen werden.

Sie überlegen, Ihre Infrastruktur in die Cloud zu verlagern? Sprechen Sie uns an! Wir führen regelmäßig Cloud-Transformationen für KMU durch, wobei wir von Anfang an den Ransomware-Schutz mitdenken.

9. Erstellen Sie Backups

Die wichtigste Versicherung gegen Ransomware bilden robuste Backups. Falls es den Angreifern gelingt, Ihr Primärsystem zu verschlüsseln, können Sie einfach die Sicherungskopie aufspielen und die Lösegeldforderungen ignorieren. (siehe auch Blogartikel „Ransomware-Recovery: Wie Sie Ihre Daten wiederherstellen„)

Natürlich wissen das die Angreifer. Deshalb suchen moderne Ransomware-Programme zuerst nach dem Backup, um dieses zu verschlüsseln. Erst danach wird mit der Verschlüsselung des eigentlichen Systems begonnen.

Es gibt hier verschiedene Ansätze, um den Angreifern den Wind aus den Segeln zu nehmen:

1. Dezentrale Cloud-Backups. Hierbei werden Kopien der On-Prem-Daten in verschiedenen, geografisch verteilten Cloud-Rechenzentren vorgehalten. Durch diese Verteilung schaffen Sie Redundanz, denn es ist relativ unwahrscheinlich, dass die Angreifer alle Kopien an allen Standorten parallel verschlüsseln können.

2. Air-Gapped Backups. Diese Backups sind vollständig vom Primärsystem isoliert. Es kann also nicht über das Internet auf sie zugegriffen werden. Typischerweise erfolgt die Speicherung der Daten hier auf Festplatten oder Tapes. Der Nachteil: Es ist aufwendiger, die Daten wiederherzustellen. Außerdem ist das Backup weiterhin anfällig für lokale Katastrophenfälle wie Brände oder Überschwemmungen, wenn Sie am Ort des Primärsystems verbleiben.

3. Immutable Backups. Bei dieser Backup-Variante wird im Vorfeld festgelegt, dass die Daten für einen bestimmten Zeitraum nicht modifiziert, also auch nicht verschlüsselt werden können. Wird das Immutable Backup dazu noch in der Cloud gespeichert, besteht ein sehr hoher Ransomware-Schutz.

10. Erstellen Sie einen Disaster-Recovery-Plan

Ein Disaster-Recovery-Plan trägt wesentlich zum Ransomware-Schutz bei. Viele Disaster-Recovery-Pläne sind zu allgemein gehalten. Sie versuchen, eine Vielzahl von Cyberangriffen abzudecken, ohne irgendeinem Szenario Gerechtigkeit widerfahren zu lassen.

Erstellen Sie deshalb dezidierte Playbooks für verschiedene Arten von Angriffen. Ihr spezieller Ransomware-Guide sollte fünf Phasen berücksichtigen:

1. Die Erkennung des Angriffs
2. Die Segmentierung bzw. Isolation
3. Die Wiederherstellung der Systeme
4. Die Überprüfung der Systeme auf eventuelle „Backdoors“
5. Die abschließende, genaue Analyse des Angriffs und die Anpassung der Sicherheitsprozesse

Tipp: Machen Sie sich auch über alternative Kommunikationskanäle Gedanken. Wie stimmen Sie sich mit Mitarbeitern, Partnern und Kunden ab, wenn die E-Mail-Server down sind? Dieser Aspekt wird im Vorfeld oft übersehen, macht aber im Ernstfall für das Reputations-Management einen großen Unterschied.

Und nicht zuletzt sollten Sie regelmäßig Simulationen durchführen. Beauftragen Sie ein Angriffs-Team mit der Durchführung einer Test-Attacke und schauen Sie dann, wie gut die im Playbook definierten Prozesse greifen. Wie schnell schaffen Sie es, die System wieder online zu bringen? Diese Frage sollten Sie nach dem Test-Angriff eindeutig beantworten können.

11. Spielen Sie Patches & Updates zeitnah auf

Das Aufspielen von Patches und Updates wird in Unternehmen gerne aufgeschoben. Dafür gibt es Gründe. Beispielsweise ist nicht klar, wie ein Update einen wichtigen Geschäftsprozess beeinflussen wird oder die Aufgabe bleibt einfach liegen, weil neben dem hektischen Tagesgeschäft kaum noch Zeit für anderes bleibt.

Genau auf solche Nachlässigkeiten bauen die Hacker. Ungepatchte Schwachstellen werden infiltriert, um Verschlüsselungs-Software einzuschleusen.

Sie haben hier zwei Möglichkeiten: Sie können den Update- und Patch-Management-Prozess unter Verwendung entsprechender Tools automatisieren oder Sie lagern die Aufgabe an einen Dienstleister wie Proact aus. Der Vorteil: Hier werden die Aktualisierungen nicht nur sofort vorgenommen, sondern auch unter Berücksichtigung Ihrer Prozesse. Unsere Experten denken mit.

12. Finden Sie den richtigen Partner

Es ist entscheidend, dass Sie den richtigen Managed-Security-Partner mit an Bord haben. Die Bedrohungslage ist mittlerweile so komplex, dass der Ransomware-Schutz kaum nebenbei von Ihren Mitarbeitern geleistet werden kann. Hinzu kommt das hohe Innovationstempo der Angreifer: Alle paar Monate bilden sich neue Hacker-Kollektive, die neue Angriffsvektoren entwickeln.

Sie brauchen hier einen Partner, der über jahrelange Erfahrung mit IT-Security und im Speziellen mit Ransomware verfügt. Unsere Proact-Sicherheitsexperten können Ihnen genau das bieten. Bei uns erhalten Sie alle wichtigen Security-Bausteine aus einer Hand, von Monitoring-Lösungen über Backup-Systeme bis hin zu User-Schulungen.

Sorgen Sie für Ransomware-Schutz – mit Proact!

Sie möchten sich gegen Ransomware-Attacken absichern und wünschen sich dafür einen verlässlichen Partner? Dann sollten Sie sich mit unseren Proact-Experten unterhalten.

Es gibt mehrere Faktoren, die uns von anderen Providern abheben:

Wir betrachten Ihre IT-Sicherheit nicht nur symptomatisch, sondern auch systemisch. Will heißen: Neben der Abwehr fragen wir uns, was grundsätzlich anders gemacht werden muss, um die Wahrscheinlichkeit von Angriffen zu verringern. Ist Ihre IT-Infrastruktur veraltet und bietet deshalb mehr Einfallstore? Verwenden Mitarbeiter problematische Prozesse, zum Beispiel bei der Dokumentenerfassung? Wir analysieren gemeinsam mit Ihnen, was das tieferliegende Problem ist.

Das führt uns zum zweiten Punkt: Wir stimmen uns fortlaufend mit Ihren Inhouse-Experten ab. Viele Provider kapseln sich ab, weil dies die Abwicklung der Services beschleunigt. Aber aus solchen Kommunikationslücken resultieren Angriffsvektoren. Außerdem wissen wir, dass Kunden sich wohler fühlen, wenn sie immer genau nachvollziehen können, woran gerade gearbeitet wird.

Nicht zuletzt sind wir über die technische Implementierung hinaus für Sie da. Das betrifft sämtliche Support- und Schulungsmaßnahmen. Ein Großteil aller Ransomware-Angriffe lässt sich ausbremsen, indem die Mitarbeiter für das Thema sensibilisiert werden. Genau das leisten unsere Live- und Online-Workshops.

Kurz gesagt: Proact ist Ihr Rundum-Anti-Ransomware-Partner.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!