Nicht jedes Unternehmen zahlt nach einem Ransomware-Angriff. Doch was passiert danach? Cyberkriminelle erhöhen den Druck, indem sie gestohlene Daten veröffentlichen oder versuchen sie zu löschen. Das zeigt der Angriff auf das rumänische Grundbuchamt. Auch auf solche Eskalationen müssen sich Behörden und Unternehmen vorbereiten.

Die Systeme sind ausgefallen, Daten wurden gestohlen und der Angreifer fordert Geld. Das Unternehmen lehnt die Zahlung ab. Ist der Angriff damit beendet? Darauf sollte sich niemand verlassen. Täter können gestohlene Daten veröffentlichen, erreichbare Systeme weiter beschädigen oder versuchen, die Wiederherstellung zu verhindern. Der Angriff auf das rumänische Kataster- und Grundbuchsystem zeigt, wie weit eine solche Eskalation reichen kann.

Ein Cyberkrimineller legte im Juli die IT der rumänischen Katasterbehörde ANCPI lahm. Die Behörde bestätigte später einen Ransomware-Angriff, bei dem Teile der Virtualisierungs-Infrastruktur verschlüsselt und gelöscht wurden. Nach Informationen von Risky Business soll der Täter nach einem gescheiterten Erpressungsversuch auch erreichbare Systeme und Backups gelöscht haben. Die zentrale Katasterdatenbank mit den eigentlichen Grundstücks- und Eigentumsdaten sei nach Angaben der ANCPI jedoch nicht betroffen gewesen. Die Behörde verfügte zudem über Sicherungskopien an mehreren Standorten.

Die offizielle Darstellung widerspricht damit Medienberichten, nach denen die gesamte Grundbuchdatenbank des Landes gelöscht worden sei. Der Fall zeigt aber, wie schwer sich während eines laufenden Vorfalls feststellen lässt, welche Systeme noch vertrauenswürdig sind, welche Daten fehlen und welche Kopien sich tatsächlich wiederherstellen lassen.

»Rache« ist vor allem ein weiteres Druckmittel

Die Folgen einer ausbleibenden Zahlung dürfen nicht unterschätzt werden. Der Begriff »Rache« beschreibt dabei eher die Wirkung auf das Opfer als das Motiv der Täter. Cyberkriminelle wollen vor allem den wirtschaftlichen und öffentlichen Druck erhöhen. Nach einer Zahlungsverweigerung können sie gestohlene Daten veröffentlichen oder weitere technische Schäden verursachen.

Dass eine Zahlung keine Sicherheit bietet, belegt die britische National Crime Agency anhand der beschlagnahmten Infrastruktur der Ransomware-Gruppe LockBit. Die Ermittler fanden dort auch Daten von Opfern, die bereits Lösegeld gezahlt hatten. Nach Einschätzung der Behörde zeigt dies, dass selbst eine Zahlung nicht garantiert, dass gestohlene Informationen wie versprochen gelöscht werden.

Damit stehen Unternehmen vor einer unangenehmen Lage: Wer nicht zahlt, muss mit einer Eskalation rechnen. Wer zahlt, kann sich trotzdem weder auf eine vollständige Wiederherstellung noch auf die Löschung gestohlener Daten verlassen.

Angreifer zielen zunehmend auf die Recovery-Infrastruktur

Wie weit Angriffe auf die Wiederherstellung gehen können, beschreibt Microsoft am Beispiel der Gruppe Storm-0501. Nach Angaben des Microsoft Threat Intelligence Teams kompromittierten die Täter zunächst lokale Active-Directory-Umgebungen und wechselten anschließend in Microsoft Entra ID. Mit erweiterten Cloud-Berechtigungen konnten sie unter anderem Storage-Accounts und Cloud-Backups löschen.

Dieser Fall zeigt, dass nicht nur klassische Backup-Server gefährdet sind. Auch Cloud-Sicherungen können betroffen sein, wenn Produktivumgebung und Backup dieselben Identitäten, Administrationskonten oder Vertrauensstellungen verwenden.

Ein vorhandenes Backup allein reicht deshalb nicht. Unternehmen müssen prüfen, ob ein Angreifer mit kompromittierten Administratorrechten auch Sicherungen, Aufbewahrungsregeln, Schlüssel oder komplette Accounts erreichen kann.

Backups brauchen eine eigene Sicherheitszone

CISA (Cybersecurity and Infrastructure Security Agency) und FBI empfehlen in ihrem gemeinsamen Ransomware-Leitfaden, Sicherungskopien offline oder anderweitig getrennt von der Produktivumgebung aufzubewahren. Der Grund: Erreichbare Backups können bei einem Ransomware-Angriff ebenfalls verschlüsselt oder gelöscht werden. Die Behörden raten außerdem dazu, Wiederherstellungen regelmäßig zu testen.

In der Praxis heißt das: Backup-Systeme sollten nicht ausschließlich mit denselben Konten administriert werden wie Server, Storage und Cloud-Dienste. Separate Administratoridentitäten, Multi-Faktor-Authentifizierung, eigene Management-Zugänge und möglichst geringe Abhängigkeiten vom produktiven Active-Directory verringern das Risiko eines vollständigen Kontrollverlusts.

Mindestens eine Kopie sollte gegen nachträgliche Änderungen geschützt sein. Dafür kommen je nach Umgebung WORM-Speicher, S3 Object Lock, gehärtete Repositories oder speziell abgesicherte Backup-Vaults infrage. Welche technischen Ansätze sich hinter Immutable-Storage verbergen, haben wir in einem Grundlagenbeitrag zusammengefasst. Ergänzend können Offsite-Backup und Air-Gap verhindern, dass ein Angreifer alle Sicherungskopien über dieselben Verwaltungswege erreicht.

Ein grünes Backup-Protokoll beweist noch keine Wiederherstellung

Ein erfolgreicher Dateiwiederherstellung reicht als Test nicht aus. Nach einem schweren Cyberangriff können gleichzeitig Active-Directory, Virtualisierung, Netzwerkdienste, Backup-Kataloge und Administratorkonten betroffen sein. Wie speicherguide.de bereits im Beitrag »Ransomware-Resilienz 2.0« beschrieben haben, muss sich die Vorsorge deshalb auf die Wiederaufnahme des gesamten Geschäftsbetriebs erstrecken.

Unternehmen sollten prüfen, ob sie kritische Anwendungen auch in einer isolierten und bereinigten Umgebung wieder in Betrieb nehmen können. Dazu gehören neben den Nutzdaten auch Konfigurationen, Zertifikate, Schlüssel, Netzwerkregeln und Applikationsabhängigkeiten. Regelmäßige Restore-Tests mit definierten Wiederherstellungszielen zeigen, ob die vorgesehenen RTOs und RPOs im Ernstfall tatsächlich erreichbar sind.

Geschützte Backups schaffen Alternativen zur Zahlung

Cyberkriminelle versuchen nach Angaben des britischen National Cyber Security Centre, ihren Opfern die Zahlung als einzigen Weg zur Wiederherstellung darzustellen. Unternehmen sollten deshalb zunächst prüfen, ob sich Systeme und Daten aus vorhandenen Backups oder auf anderem Weg wiederherstellen lassen.

Dafür benötigen sie geschützte Sicherungskopien, getrennte Administrationswege und regelmäßig getestete Wiederherstellungs-Verfahren. Je besser diese Vorbereitungen funktionieren, desto geringer ist die technische Abhängigkeit von den Versprechen der Erpresser.