Dreimal gehackt, dreimal gezahlt: Die Lösegeldfalle nach dem Cyberangriff

Ransomware verschlüsselt deine Systeme, ein Countdown läuft und eine Lösegeldforderung erscheint auf dem Bildschirm. Zahlen oder nicht? Michael spricht mit Andreas Papadaniil, Gründer und CEO der suresecure GmbH sowie erfahrener Incident Responder, über die Realität hinter Lösegeldzahlungen nach einem Cyberangriff.

Er erklärt, warum Zahlen selten das Problem löst: Nur ein Bruchteil der zahlenden Unternehmen bekommt seine Daten vollständig zurück, Entschlüsselungsschlüssel funktionieren oft nicht wie versprochen und wer einmal zahlt, wird für Angreifer zum wiederkehrenden Ziel. Andreas berichtet aus der Praxis, welche Rolle ein getestetes Backup, ein Notfallplan und die richtige Priorisierung bei der Recovery spielen und warum Security-Checks vor der Wiederherstellung Pflicht sind.

Weitere Themen: die rechtlichen Risiken von Lösegeldzahlungen an kriminelle Organisationen, der Sinn und die Grenzen von Cyberversicherungen mit Lösegeldbaustein sowie die Frage, wann eine Zahlung wirklich der letzte Ausweg ist.

Passende Folgen zum Thema:

Ransomware as a Service: ein Geschäftsmodell. Cybercrime ist längst ein All-inclusive-Service

Identity & Access: Warum gültige Accounts das größte Einfallstor sind

Was leistet Incident Response wirklich? Die Realität hinter dem Kriseneinsatz.

Möchtest du mehr über unseren Podcast wissen? Dann wirf einen Blick in unser Media Kit. Dort findest du alles Wichtige:

Cybersecurity Basement - Media Kit

Du findest uns auch auf:
(2) suresecure GmbH: Ihr Unternehmen | LinkedIn
@suresecure_de • Instagram-Fotos und -Videos
suresecure (@suresecure_de) | TikTok

Transcript

Copy Transcript Copied

Michael: Hallo und herzlich willkommen zu einer neuen Ausgabe von Cybersecurity Basement, dem Podcast für echten Security Content. Und heute wollen wir uns einem Thema widmen, das oft diskutiert wird. Und zwar geht es heute um das Thema Lösegeld – quasi der Moment, nachdem ein erfolgreicher Cyberangriff stattgefunden hat: Meine Umgebung ist verschlüsselt, ich möchte am Montagmorgen das System hochfahren und mich begrüßt ein schwarzer Bildschirm mit einer Lösegeldforderung.

In diese Situation wollen wir uns heute ein bisschen hineindenken. Und da mir das persönlich schwerfällt, weil ich diese Situation noch nicht so richtig miterlebt habe, habe ich jemanden eingeladen, der diese Situation genau kennt und auch beherrscht. Herzlich willkommen, Andreas Papadaniil.

Andreas: Ja, danke dir.

Michael: Für alle, die dich noch nicht kennen: Gründer und CEO der suresecure GmbH und erfahrener Incident Responder. Und in dieser Funktion will ich dich heute ein bisschen befragen, genau zu diesem Thema Lösegeldforderungen. Was mich am Anfang mal interessieren würde, ist ein bisschen die Stimmung, die herrscht, sobald eine Lösegeldforderung offensichtlich wird. Im weiteren Verlauf möchte ich dann auf die einzelnen Optionen eingehen, die man hat, um auf so eine Lösegeldforderung zu reagieren. Oftmals ist da ja auch ein Countdown hinterlegt. Aber berichte gerne mal aus der Praxis: Wie erlebst du diese Momente?

Andreas: Ja, also natürlich am Anfang große Unsicherheit. Die meisten, die damit konfrontiert werden, werden zum ersten Mal mit so einer Lösegeldforderung konfrontiert. Und dann haben wir immer zwei Arten von Lösegeldforderungen. Mittlerweile ist es ja so gang und gäbe, dass auf der einen Seite Daten entwendet werden, wofür dann Geld gefordert wird. Die Angreifer haben dann so eine Landingpage, auf der die Daten veröffentlicht werden sollen. Das wird angekündigt: Wenn du uns bis dahin nicht kontaktierst und Lösegeld bezahlst, werden wir deine sensiblen Daten veröffentlichen. Dann ist es auch so, dass schon mal ein Schnupperpaket mitgeschickt wird, damit sie zeigen können: Guck mal, wir haben wirklich Daten und die sind sensibel – und kündigen an, mehr zu veröffentlichen.

Das ist die eine Schiene. Die andere Schiene ist natürlich die Verschlüsselung der Systeme, wo dann gesagt wird: Du musst Lösegeld bezahlen, dann bekommst du einen Schlüssel von uns. Und mit dem Schlüssel kannst du deine Daten wieder entschlüsseln und deine Systeme wieder lauffähig machen. Das geht also in beide Richtungen. Und dann steht man da, ist zum ersten Mal damit konfrontiert und stellt sich die Frage: Soll ich zahlen oder nicht zahlen? Was mache ich jetzt? Was sind meine Optionen und wie gehe ich hier vor?

Michael: Diese kleinen Schnupperpakete, die du angesprochen hast, erinnern direkt an Entführungsfilme, wo manchmal eine Locke geschickt wird, um zu verifizieren, dass man wirklich jemanden entführt hat. Dann lass uns doch mal darüber sprechen, was im Endeffekt die Optionen sind. Es gibt sicherlich Unternehmen, die sich schon mal gedanklich auf diesen Moment vorbereitet haben. Da gibt es dann vielleicht auch einen Notfallplan, einen Prozess, dass ein Krisenstab einberufen wird, und so weiter. Was ist denn essenziell dafür, dass man eine Recovery starten kann?

Andreas: Ja, also meiner Meinung nach macht es überhaupt keinen Sinn, mit den Angreifern in Kontakt zu treten und Lösegeld zu zahlen. Es gibt für mich eine Ausnahme in dem Ganzen: wenn wir keinerlei Chance haben, irgendwelche Daten zurückzubekommen. Meistens ist es aber so, dass es noch etwas gibt, und dann geht es erst mal in das Damage Assessment: Was ist hier passiert? Welche Systeme sind betroffen? Habe ich Backups, welcher Stand ist da usw.? Das können vielleicht Backups in der Cloud sein, das können Backups auf lokalen Systemen sein, wenn sie nicht mitverschlüsselt wurden, das können irgendwelche Tapes sein. In der Regel wurde in allen Fällen immer irgendwie etwas gefunden, auch wenn das heißt, dass wir vielleicht zwei, drei Wochen im Datenbestand zurückgehen müssen.

Das ist dann die Grundlage, um erst mal eruieren zu können: Kann ich Recovery machen oder nicht? Und wenn ich natürlich zu dem Punkt komme, dass ich sage, ich habe gar keine Datenbestände mehr, und das dazu führt, dass mein Geschäft nicht mehr weiterlaufen kann und ich vielleicht sogar Gefahr laufe, zahlungsunfähig zu werden, in die Insolvenz zu laufen – okay, dann zahl, dann hast du keine andere Wahl. Wenn es sowieso auf den Tod hinausläuft, dann versuchst du alles, um das irgendwie zu verhindern. Ansonsten haben wir so viele Negativbeispiele, auch wo Lösegeld gezahlt wurde und es negative Konsequenzen gab, dass ich sage: Es macht überhaupt keinen Sinn, dieses Geschäftsmodell noch zu fördern. Das gilt vor allem, wenn es um die Entschlüsselung geht, aber auch, wenn es darum geht, die Daten zurückzubekommen.

Denn du kannst nicht davon ausgehen, dass organisierte Kriminelle auf einmal so einen Ehrenkodex besitzen und sagen: Ja, wenn du zahlst, werden wir die Daten wirklich vernichten und sie werden nirgendwo mehr weiterbenutzt. Die veröffentlichen dann vielleicht nicht mehr auf ihrer eigenen Seite – wobei auch schon Teile veröffentlicht wurden und sichtbar geworden sind, sodass klar ist, dass du Daten für die Öffentlichkeit verloren hast –, aber die werden dann vielleicht im Darknet weiterverkauft, oder es werden gezielt Wettbewerber angesprochen und gefragt: Hey, wir haben Daten von einem Wettbewerber, möchtest du die nicht haben? Die sind sowieso schon weg, die kommen nicht mehr zurück. Das führt nicht dazu, dass die Angreifer sie löschen und wegwerfen. Das muss auch klar sein.

Michael: Da gibt es auch ein paar spannende Studien, auf die wir im späteren Verlauf noch zu sprechen kommen. Also Option eins, Recovery, ist eigentlich das, was immer ratsam ist. Damit die Recovery dann sauber läuft, ist es im besten Fall vorbereitet, dass man einen sogenannten Notfallplan für diese Cyberkrise vorbereitet hat – und kommt dann eigentlich auch relativ schnell wieder in einen produktiven Modus.

Andreas: Ja, vor allem, wenn du Sequenzen und Priorisierungen festgelegt hast und sagst: Das sind meine kritischen Systeme, die müssen zuerst kommen, die anderen Systeme später. Du kannst das alles vorher schon organisieren und durchtesten und bist dann auch relativ sicher, dass das Ganze in einem angemessenen Zeitraum funktioniert. Davon kann keine Rede sein, wenn du den Angreifer bezahlst, um einen Schlüssel zu bekommen, weil wir in der Regel auch hier Dinge erlebt haben wie: Der Schlüssel funktioniert nicht. Du hast dein Geld bezahlt, du kannst nicht entschlüsseln. Oder du fängst an zu entschlüsseln und stellst dann plötzlich fest, dass die Entschlüsselung so lange dauert, dass du aus einem Backup sogar wesentlich schneller wärst. Und du darfst auch nicht vergessen, dass du trotzdem Recovery-Aufwände hast. Nur weil deine Daten jetzt entschlüsselt sind, bedeutet das nicht, dass alle deine Systeme sofort wieder funktionsfähig sind.

Du hast ja solche Applikationsserver, die auf Datenbanken zugreifen und dort in kürzester Zeit Millionen von Transaktionen machen. Und du weißt gar nicht: Okay, ist meine Datenbank überhaupt noch konsistent? Zu welchem Zeitpunkt wurde sie verschlüsselt? Verbinde ich diese Systeme wieder miteinander? Außerdem wurde ja zum Beispiel dein Domain-Administrator-Account genutzt, um diese Verschlüsselung durchzuführen. Das heißt, du musst deine Accounts, deine Passwörter zurücksetzen. Was man da nicht alles an Aufwand betreiben muss – das bleibt alles nicht aus und sollte trotzdem durchgeführt werden.

Michael: Dieses Thema zu härten ist auf jeden Fall sehr ratsam. In dem Zusammenhang gibt es ja auch die Option, sich ein bisschen Zeit zu verschaffen. Da steht aber eine recht harte Deadline auf diesem schwarzen Bildschirm, zum Beispiel 72 Stunden. Das ist nicht wirklich viel Handlungsspielraum. Da gibt es ja auch die Option, einen professionellen Verhandler mit ins Boot zu holen, der stellvertretend Kontakt zu den Kriminellen aufnimmt – nicht, um die Abwicklung durchzuführen, aber das kann einem ja Zeit verschaffen. Wie sind da deine Erfahrungen mit diesen Verhandlungen, die Zeit gewinnen, vielleicht auch ein paar Informationen sammeln und am Ende – vielleicht auch nur zum Schein – den Preis herunterhandeln, um dann doch zu sagen: Recovery, dann hast du ein bisschen Zeit gewonnen und kannst im Hintergrund arbeiten. Hast du damit Berührungspunkte gehabt?

Andreas: Ja, also wenn du an den Punkt kommst und dich entscheidest, wirklich zahlen zu wollen, dann solltest du auf jeden Fall einen professionellen Broker einschalten, der das für dich tut. Der kann natürlich einen extremen Einfluss auf den Preis haben, den du zahlst. Die wissen ganz genau, wie man mit diesen Kriminellen umgeht, was man tun kann, um den Preis noch mal zu drücken, weil der Preis ja nicht feststeht. Du kontaktierst sie über ein Portal, die schauen sich dein Unternehmen an und nennen dann erst mal einen Preis, und das ist alles Verhandlungsbasis.

Deswegen ist es nicht verkehrt, sich das anzuschauen. Wenn du aber jetzt versuchst, besonders clever zu sein und organisierte Verbrecher – nichts anderes sind sie ja – hinzuhalten, würde ich dir das eher nicht empfehlen. Wir gehen zum Beispiel auch so vor, dass wir, wenn wir feststellen, du wurdest erfolgreich angegriffen, die komplette Internetverbindung kappen, um den Angreifer außen vor zu halten, damit er nicht sieht, was wir tun. Denn du möchtest keinen Krieg in deiner eigenen Umgebung führen mit jemandem, der sich vielleicht sogar schon besser auskennt als du selbst, weil er schon Wochen darin verbracht hat und sich alles angeschaut hat. Dann fängt er an, seine Verhaltensweisen anzupassen, man kämpft gegeneinander, und das wollen wir komplett verhindern.

Deswegen denke ich: Wenn du meinst, organisierte Kriminelle hinhalten zu können, weiß ich nicht, ob du dich auf dieses Spiel mit dem Feuer einlassen möchtest. Denn du kannst sie natürlich auch ziemlich verärgern, und dann kann es sein, dass sie mit genügend Energie noch mal ganz andere Geschütze auffahren. Das würde ich nicht machen. Ich würde da keine Energie reinstecken, ich würde meinen Weg gehen, die Angreifer außen vor halten, komplett ignorieren, kalte Schulter zeigen und den Notfallplan durchziehen. Denn du möchtest auch nicht auf der Tagesliste irgendeiner Angreifergruppe stehen, vor allem nicht als Privatperson, wo dann noch irgendwelche Informationen über dich herausgefunden werden. Je mehr du sie verärgerst, umso mehr haben sie ein Interesse daran, dich auseinanderzunehmen. Und bei diesem Auseinandernehmen kennen organisierte Kriminelle, wie gesagt, keine Grenzen. Da willst du nicht mit deinen legalen Mitteln dagegen ankämpfen.

Michael: Das muss man sich immer wieder vor Augen führen, dass man es hier mit Kriminellen zu tun hat. Dann lass uns mal über das Bezahlen sprechen. Am Ende steht eine Summe, das haben wir schon angesprochen, und diese Zahlung ist ja an Versprechen gebunden: Einerseits geben sie einen Schlüssel, andererseits versprechen sie, die Daten nicht zu veröffentlichen. Du hast gerade schon gesagt, dass es in der Realität so gar nicht funktioniert, weil ein Schlüssel schön und gut ist, aber nur weil du einen Schlüssel hast, funktioniert nicht alles innerhalb von fünf Minuten wieder. Und das andere Thema ist, dass die Daten zwar von der Leak-Page verschwinden, aber trotzdem auf anderen Wegen weiterexistieren – einmal im Darknet, und was am Ende damit passiert, dafür kriegst du keine Garantie. Das kann man auch mit Zahlen belegen. Es gibt eine Studie namens „State of Ransomware“ aus dem Jahr 2025, in der es heißt, dass nur 4 % der zahlenden Organisationen ihre Daten überhaupt vollständig und unbeschädigt zurückerhalten. Es kann also sein, dass du den Schlüssel bekommst, aber es funktioniert eigentlich nicht so, wie du dir das vorgestellt hast. Es gibt noch eine andere Studie, die von 8 % spricht. Also irgendwo in dieser Spanne wird sich das bewegen. Eine Garantie dafür gibt es einfach nicht, weil es ja kein legales Shopsystem ist. Wie ist es denn mit der rechtlichen Seite? Ich zahle ja Geld an eine kriminelle Bande, das weiß ich vorher schon – kann ich dabei auch Gefahr laufen, mich selbst strafbar zu machen, oder wie bewege ich mich da auf der sicheren Seite?

Andreas: Ja, das ist natürlich auch noch ein Aspekt, weil viele dieser Angreifergruppen aus dem osteuropäischen Raum kommen, auch aus Russland, oder – um das konkret zu benennen – aus Nordkorea. Und wenn du dort Geldflüsse hast, also Gelder in diese Länder überweist, kannst du dich im Endeffekt strafbar machen. Das ist ein Aspekt, der in dieser Situation, wenn dann große Panik herrscht und man sagt „wir müssen jetzt schnell bezahlen, dann sind wir schnell wieder lauffähig und können den Betrieb wieder aufnehmen“, komplett unter den Tisch fällt und gar nicht betrachtet wird: dass du dich durch diese Zahlung strafbar machen kannst und hinterher vielleicht sogar feststellst, dass bei der Verschlüsselung Daten kaputtgegangen sind. Du denkst, alles ist super, und stellst plötzlich fest, du hast dir ein tieferes Loch geschaufelt, als in dem du dich eigentlich schon befunden hast.

Deswegen appelliere ich auch hier noch mal daran, sich Experten dazu zu holen – Experten wie uns, die so etwas am laufenden Band machen –, damit man auch entsprechend auf die Erfahrungen hört, weil wir so etwas schon öfter in allen Facetten miterlebt haben. Wir hatten zum Beispiel mal einen Kunden, der bereits zum dritten Mal verschlüsselt wurde und sich dann bei uns gemeldet hat. Er hatte es erst allein versucht, hatte bezahlt, dann wiederhergestellt und gedacht, er bekommt das alles irgendwie hin, und ist dann zu uns gekommen: „Ich wurde schon dreimal verschlüsselt, ich kann das nicht nachvollziehen, was ist denn hier los?“ Ja, mein Freund, du bist ein gut zahlender Kunde für die. Natürlich kommen die wieder, weil sie sehen: Du zahlst, alles läuft super, alles gut. Es gibt doch kein Versprechen, dass sie sagen, wenn du einmal gezahlt hast, lassen wir dich danach in Ruhe. Das ist doch völlig egal – im Gegenteil, wenn du einmal gezahlt hast, wissen sie, dass du wahrscheinlich auch noch mal zahlst.

Michael: Also klare Empfehlung: einen Anwalt mit ins Boot nehmen, der Erfahrung im Strafrecht hat. Dann ist man auf jeden Fall auf der sicheren Seite, und es ist in der Regel sowieso zwingend erforderlich, eine Anzeige zu erstatten, die diesen Fall dann auch dokumentiert.

Andreas: Das ist auch noch mal wichtig, weil viele Statistiken verfälscht sind, wenn Menschen nicht melden, weil sie vielleicht denken: Okay, kann mir eh keiner helfen. Und oftmals können die Personen dahinter, diese Angreifergruppe, ja gar nicht direkt ausgemacht werden. Du stehst dann am Ende da, machst vielleicht eine Anzeige bei der Polizei, und bist enttäuscht, weil die Täter erst mal gar nicht gefunden wurden. Aber im Endeffekt hilft das natürlich – jede Information hilft, die Statistiken realistischer zu machen und das Risiko klarer aufzuzeigen, weil man plötzlich merkt: Es ist ja doch viel mehr, als wir uns denken. Man kann weitere Informationen über diese Angreifergruppen weiterleiten, was dazu beiträgt, dass andere vielleicht nicht davon betroffen werden. Und natürlich hilft das langfristig, denn es gibt in der Regel keinen schnellen Erfolg. Das führt jetzt nicht dazu, dass diese Gruppe sofort geschnappt wird, weil du die Information weitergeleitet hast, aber jede Information hilft. Auf kurz oder lang sehen wir ja auch erfolgreiche internationale Operationen, die solche Gruppen hochnehmen. Der Erfolg ist dann leider oft nur von kurzer Dauer, weil man dann ein, zwei, drei Leute geschnappt hat, Erfolg vermelden kann und sagt, die Infrastruktur ist zerschlagen, wir haben ein paar Leute festgenommen – und der Rest gruppiert sich dann neu zu einer neuen Gruppe auf einer anderen Infrastruktur und macht so weiter, oder sogar noch besser. Aber trotzdem muss dieser Kampf dagegen stattfinden.

Michael: Jetzt haben wir noch eine Variable in diesem ganzen Szenario Lösegeldzahlung, die wir unbedingt thematisieren müssen: das Thema der Cyberversicherung. Denn in diese Versicherungspolice kann ich mir auch einen Baustein einbuchen, der heißt: Lösegeldzahlungen sind mitversichert. Und ich möchte von dir gerne wissen: Glaubst du, dass das die Entscheidungsfindung in dieser frühen Phase verschiebt, dass ich sage „Ja, das ist ja prima, Lösegeld – ich habe ja eine Versicherung, da machen wir das, das ist für mich ja am günstigsten“? Oder ist das der falsche Ansatz?

Andreas: Ja, es ist natürlich so, dass du das dann eher in Erwägung ziehst. Diese Lösegeldforderung hat zwischenzeitlich auch dazu geführt, dass viele Versicherer diesen Baustein aus ihrer Police herausgenommen haben, weil man damit im Endeffekt das Geschäftsmodell fördert – man macht die Angreifer noch besser, und die Angriffe werden mehr und qualitativer. Aber natürlich muss man aus Versicherungsnehmersicht sagen, dass diese Bausteine meist nur einen kleinen Anteil der Police ausmachen. Ein Großteil ist zum Beispiel die Betriebsunterbrechung – das ist eines der teuersten Dinge, wo du eventuell Millionenausfälle haben kannst, weil deine Produktion stillsteht. Das sind die teuren Sachen, und dann nimmt man in der Regel diesen – unter Anführungszeichen – „paar Euro“ teuren Lösegeldbaustein auch noch mit. Das kann interessant werden, wenn du zu dem Punkt kommst, dass du sagst: Ich muss jetzt zahlen, weil ich meine Daten nicht mehr wiederbekomme.

Dann bist du natürlich froh, dass du das hast. Deswegen ist das Ganze ein zweischneidiges Schwert. Die Empfehlung bleibt natürlich trotzdem: nicht zahlen. Dennoch würde ich mir, wenn ich eine Police abschließen würde, mal angucken, welchen Anteil das an der Police ausmacht, und das dann mit abschließen, weil der Fall eintreten kann, dass du sagst: Natürlich, in einem optimalen Szenario hat jeder seine Backups nahezu in Echtzeit zur Verfügung und kann in wenigen Stunden restoren, und alles ist super. Was wir in der Realität aber erleben, ist dann wieder etwas anders: Dann wurde länger kein Backup durchgeführt, das Tape war irgendwie voll und wurde nicht getauscht, oder was weiß ich, aus welchen Gründen – die gibt es alle. Wir haben noch nie einen Restore-Test gemacht und wissen eigentlich gar nicht, wie lange das dauert. Da gibt es viele Gründe, und wir haben das alles schon erlebt.

Michael: Wann sagst du denn, ein Backup ist zu alt, um es wirklich noch wiederherstellen zu sollen? Gibt es einen Richtwert – drei Monate ist schon irgendwie kritisch, das bekommen wir nicht mehr hin, oder sechs Monate?

Andreas: Das muss man tatsächlich individuell betrachten, muss ich dir sagen. Es gibt Businesses, die sehr statisch sind, was ihre Daten angeht. Es kommt auch darauf an, wie deine Geschäftsprozesse sind – manche dokumentieren zum Beispiel erst mal in Papierform und digitalisieren das dann. Da kannst du natürlich hingehen und das Ganze nachdigitalisieren, weil es trotzdem vorhanden ist. Wenn du komplett digital bist, dann sind diese Daten einfach weg, und das musst du individuell betrachten. Deswegen ist es auch bei der Erstellung eines Notfallplans wichtig – wir haben ab und zu Anfragen, wo dann ein Notfallplan für die Versicherung oder für irgendwelche Compliance-Anforderungen gemacht werden muss, und die sagen: Ihr habt doch auch Dokumente und Templates, die könnt ihr aus der Schublade ziehen, warum müssen das jetzt so viele Dienstleistungstage sein, dann schreiben wir einfach etwas auf und machen einen Haken dran. Das funktioniert nicht, weil jedes Business im Endeffekt ein Stück weit individuell ist und individuell betrachtet werden muss. Deswegen kann ich da keine Pauschalaussage treffen. Es gibt Unternehmen, bei denen es okay ist, auch sechs Monate alte Daten wiederherzustellen. Es gibt Unternehmen, bei denen sind sogar 48 Stunden im Hochtransaktionsbereich ein Problem.

Michael: Ja, jetzt gehen wir noch mal zurück zu dieser Situation vom Anfang. Ich bin also jetzt mit dieser Lösegeldforderung konfrontiert. Wie sieht mein Entscheidungsbaum aus? Einmal gesagt: Als Erstes muss ich schauen, habe ich ein Backup, das ich benutzen kann. Das heißt, ich muss prüfen, ist das Backup funktional, muss es auch schon vorher getestet worden sein, oder reicht es, es in dem Moment einmal durchzutesten?

Andreas: Du musst es auf jeden Fall in dem Moment noch einmal durchtesten. Du hast eine höhere Sicherheit, wenn du schon vorher getestet hast, dann bist du in der Sache schon sehr selbstsicher. Aber du musst es auf jeden Fall noch mal testen, weil wir Fälle hatten, in denen wir uns sehr gefreut haben, dass wir Backups gefunden haben, und sie sich dann aus irgendwelchen Gründen nicht restoren ließen. Deswegen musst du noch mal testen, und wenn du es getestet hast, dann weißt du: Okay.

Michael: Okay, ich schaue mir an, von wann es ist. Muss ich es dann auch noch einmal durch einen Security-Check jagen, bevor ich sage, das nehme ich?

Andreas: Ja, 100 %, weil du nicht weißt – ich hatte ja gesagt, Angreifer sind teilweise Wochen in deiner Umgebung unterwegs, du weißt nicht genau, was da passiert ist. Wir gehen dann zum Beispiel auch so vor, dass wir die Systeme erst mal aus dem Backup rausziehen und dann unsere Forensiker ein Skript darüber laufen lassen, um das Ganze automatisiert zu prüfen. Und wenn dann irgendetwas anschlägt und wir sehen, das System wurde kompromittiert – auch weil wir Spuren des Angriffs haben und sagen können, okay, der Benutzer hatte sich dort angemeldet, oder das ist auf dem System passiert, was darauf hinweist, dass ein Angreifer mit dem System interagiert hat –, dann kann man auch noch mal eine Tiefenprüfung machen, das Ganze manuell, mit einem Menschen dahinter.

Aber das muss definitiv passieren, und dann gehen wir auch so vor, dass wir die Maschine erst mal in ein isoliertes Netz wiederherstellen, sodass diese Maschine keinen Zugriff auf andere Maschinen hat. Denn stell dir vor, du holst ein System aus dem Backup raus, und dann geht sofort der Verschlüsselungsalgorithmus wieder los, und deine Umgebung wird komplett neu verschlüsselt. Das heißt, du baust dir verschiedene Sicherheitsnetze auf, packst das System in ein isoliertes Netz, prüfst es dort, und wenn du sagen kannst, es ist sauber, da passiert nichts mehr, dann kannst du es in einem mehrstufigen Prozess wieder in dein Produktivnetz einbringen.

Das sind alles Prozessketten, die wir über Jahre und Erfahrung aufgebaut haben. Manche mögen vielleicht sagen, das ist aber ein bisschen viel Sicherheit, aber uns ist das super wichtig, und wir haben in 100 % der Fälle erreicht, dass es bei der Wiederherstellung nicht zu einer Reinfektion kommt. Wenn du dort aber Fehler machst – auch deine Geschäftspartner verzeihen dir, dass du mal verschlüsselt wurdest, das passiert einigen von uns mal, sage ich jetzt, in den letzten Jahren. Was aber schwierig wird, ist, wenn du dann nach einem Monat verkündest: Ja, ich wurde wieder verschlüsselt, weil du Fehler bei der Recovery gemacht hast. Dann verlierst du Vertrauen, weil einmal ist okay, aber ein zweites Mal, da denkt man sich schon: Habt ihr nichts daraus gelernt? Offensichtlich nicht.

Deswegen ist bei uns ganz wichtig: Wenn wir wiederherstellen, dann ist die Prämisse immer Security first. Das muss sauber laufen, und die Umgebung muss danach auch sicherer sein, als sie zu dem Zeitpunkt war, wo wir sie vorgefunden haben. Denn klar, wenn du gehackt wurdest, hast du Mängel in deiner Security, und dann musst du bei der Wiederherstellung auch Verbesserungsmaßnahmen durchführen. Im besten Fall sind deine Systeme sowieso schon heruntergefahren und offline – das ist der beste Zeitpunkt, um noch mal alle Patches draufzuspielen und das Ganze zu härten. Und das machen wir zum Beispiel, wenn wir eine Recovery durchführen, immer mit.

Michael: Das darf man gar nicht unterschätzen. Man ist ja entweder selbst Bestandteil einer Lieferkette, oder man hat eine bestehende Lieferkette, und die Unternehmen, die mit einem zusammenarbeiten, haben natürlich ein riesiges Interesse daran zu wissen, was man jetzt eigentlich getan hat, damit das nicht mehr vorkommt. Das kann auch dazu führen, dass man teilweise mit längeren Katalogen konfrontiert wird, zu denen man Rede und Antwort stehen muss. Es kann aber auch sein, dass sogar Termine angesetzt werden, gerade wenn man mit größeren Unternehmen zusammenarbeitet – die schauen teilweise sehr detailliert hin, wie der Incident bearbeitet wurde und welche Sicherheitsmaßnahmen danach umgesetzt wurden. Wie ist es denn, wenn die Antwort auf diese erste Frage Nein heißt – nein, ich habe kein funktionierendes und getestetes Backup, das ich einsetzen kann. Zahlt man dann automatisch, oder gibt es noch einen Zwischenschritt, dass ich sage: Ja, okay, jetzt habe ich zwar kein Backup, aber ich habe eine Möglichkeit, das einfach wieder aufzuziehen, das ist jetzt nicht existenzbedrohend, wenn diese Daten weg sind?

Andreas: Ja, das kann natürlich auch der Fall sein. Wir hatten zum Beispiel auch mal ein Unternehmen, dessen Fertigung komplett ohne IT lief, also nicht IT-gestützt war, die Logistik war nicht IT-gestützt, und wir hatten dann ein paar Office-Server, sage ich jetzt mal, die wir wiederherstellen konnten. Es gab irgendwo auch noch eine Kundenliste als Exceltabelle, die vorgefunden wurde. Die konnten wir dann in das zentrale ERP-System zurückspielen. Das kann man natürlich alles prüfen – das kommt dann eben auf Organisationsgröße und Digitalisierungsgrad an, und das muss man einmal durchprüfen und durchspielen, individuell, auf Basis des Geschäftsmodells, und schauen, was man tun kann.

Michael: Stelle ich dann fest, dass es existenzbedrohend sein kann, wäre der letzte Ausweg eben die Zahlung. Das befreit mich aber nicht davon, meine Security zu überdenken und zu überarbeiten. Und in jedem Fall sollte juristische Unterstützung hinzugezogen werden.

Andreas: Das hast du sehr schön zusammengefasst.

Michael: Ja, danke. Ich denke, jetzt haben wir die Optionen einmal durchgesprochen – sehr spannend, und natürlich eine sehr heikle Frage. Als Profitipp von uns: Diese Frage kann man sich eigentlich im Vorfeld schon beantworten, wenn man sich frühzeitig Gedanken über dieses Szenario macht und dann eine Backup-Strategie verabschiedet, die eine Recovery jederzeit zulässt. Dann komme ich gar nicht erst in die Situation, mich mit dem Thema Lösegeld so intensiv beschäftigen zu müssen, weil ich die Antwort schon kenne: Ja, ich habe ein funktionierendes, getestetes Backup, weil ich ein gutes Konzept habe.

Andreas: Am besten hast du auch ein funktionierendes Berechtigungskonzept nach Best Practice und eine Netzwerksegmentierung. Dann kommst du schon sehr weit. Dann kann es dir vielleicht passieren, dass ein paar Maschinen verschlüsselt werden, der Angreifer aber gar nicht mehr weiterkommt, weil entweder das Netzwerk oder die Berechtigungen das nicht zulassen. Das sind eigentlich die zwei Kernsachen, die hier mit reinspielen. Jeder kann angegriffen werden, das kann passieren, der Angreifer kann in deine Umgebung kommen – die Kunst ist, an deiner Verteidigung zu sehen: Wie weit kommt er eigentlich? Wie schnell kann ich ihn erkennen, und wie schnell kann ich den Angriff eindämmen?

Michael: So ist es. Damit schließen wir die Folge. Andreas, vielen Dank für die Einsichten.