Experten-Kommitee für Ransomware verlangt härtere Regulierung von Kryptowährungen

Es war nur eine Frage der Zeit. Ransomware treibt Unternehmen und Institutionen schon lange vor sich her, und die steigende Professionalisierung der Szene bereitet Experten nicht erst seit gestern Sorgen. Nun fordert eine Arbeitsgruppe die US-Regierung dazu auf, beherzter gegen Ransomware vorzugehen. In diesem Zuge sollen auch Kryptowährungen strenger reguliert werden.

Klar, wenn eine Expertengruppe einen Bericht verfasst, dann soll dieser auch aufzeigen, wie schwerwiegend das Thema ist. Es überrascht daher nicht, wenn die Wortwahl eher übertreibt, als zu verharmlosen, und wenn sie das Thema eher aufbläst, als es zu verzwergen.

Dennoch hinterlassen die Formulierungen einen Eindruck, mit denen der „Combating Ransomware“-Bericht eröffnet, den die 8-köpfige, vom Institute for Security and Technology einberufene Ransomware Taskforce verfasst hat: In nur wenigen Jahren sei Ransomware – eine Art Virus, der Daten verschlüsselt und für die Entschlüsselung ein Lösegeld meist in Bitcoin verlangt – zu „einer ernsthaften nationalen Sicherheitsgefahr und einem Risiko für die öffentliche Gesundheit und Sicherheit geworden.“

Ransomware sei, schreibt der Bericht, „nicht nur eine finanzielle Erpressung; sie ist ein Verbrechen, das Unternehmen, Regierungen, Hochschulen und geographische Grenzen unterwandert.“ Sie betreffe das Gesundheitswesen während einer Pandemie und unterbreche den Betrieb von Schulen, Krankenhäusern, Polizeirevieren, Stadtverwaltungen und sogar militärischen Einrichtungen. „Es ist ein Verbrechen, das sowohl private als auch Steuergelder an globale kriminelle Organisationen abführt“ und so auch illegale Aktivitäten finanziere, etwa den Handel mit Menschen oder die Entwicklung und Verbreitung von Massenvernichtungswaffen.

350 Millionen Dollar Lösegeld und ein noch viel höherer Schaden

Im vergangenen Jahr habe sich das Volumen der Lösegeldzahlungen für Ransomware auf mehr als 350 Millionen Dollar verdreifacht. Schlimmer als die Kosten durch Zahlungen wiege jedoch der Schaden, den die Angriffe verursachten.

Allein 2020 habe es 2.400 Ransomware-Vorfälle in öffentlichen Institutionen der Vereinigten Staaten gegeben, etwa in Stadtverwaltungen, Schulen oder Krankenhäusern. Deren Computersysteme – und damit auch Teile des Betriebes – seien durch einen Angriff im Durchschnitt für 21 Tage ausgefallen und haben 287 Tage gebraucht, um sich vollständig zu erholen. Die Kosten der Wiederherstellung übersteigen das Lösegeld oft um ein Vielfaches. So habe die Stadtverwaltung von Atlanta ein Lösegeld von 50.000 Dollar bezahlt, aber rund 2,6 Millionen Dollar aufgewandt, um den Angriff aufzuarbeiten.

Je mehr sich das „Internet der Dinge“ ausbreitet, desto gravierender werde die Gefahr durch Ransomware. Der Bericht nennt einige Beispiele für die „Bedrohung kritischer Infrastruktur“: 2019 setzte ein Ransomware-Angriff eine Einrichtung der Küstenwache für 30 Stunden außer Betrieb; 2020 traf es eine Erdgas-Pipeline für zwei Tage. Mit Sorge betrachtet die Arbeitsgruppe auch die Häufung der Angriffe auf Krankenhäuser, welche zur Verzögerung von Behandlungen führten „und möglicherweise auch Leben kosteten“. Noch blieb die große Katastrophe aus – doch die Angriffe zeigen, wie verletzlich die Infrastruktur sein kann.

Es ist also Zeit, gegen die Plage vorzugehen. Aber wie?

Ein beinah straffreies Verbrechen

Gegen Ransomware vorzugehen ist äußerst schwierig. Dies zeigt sich auch darin, dass die Gangs das Internet seit 2013 heimsuchen, aber man die Anzahl an Verhaftungen an einer, maximal an zwei Händen abzählen kann.

Die meisten der Hacker „operieren beinah strafbefreit, da sie in Jurisdiktionen leben, die nicht willens oder in der Lage sind, sie vor Gericht zu bringen.“ Hier zielt die Arbeitsgruppe vor allem auf Russland. Erst im April hat das US-Finanzministerium Sanktionen gegen russische Bürger erlassen, nachdem eine Verbindung zwischen Ransomware-Hackern und dem russischen Geheimdienst FSB ans Tageslicht kam. Der FSB „kultiviere die Zusammenarbeit mit kriminellen Hackern“, so der Vorwurf, der in Sicherheitskreisen alles andere als neu ist.

Verschärfend komme noch ein Finanzsystem hinzu, dass es den Angreifern erlaube, Geld zu empfangen, ohne dass die Zahlungen nachverfolgbar seien. Hier meint der Bericht Bitcoin und andere Kryptowährungen. Trotz der hohen Transparenz der Blockchain können erfahrene User die Nachverfolgung von Zahlungen erheblich erschweren, indem sie Mixer und andere Verschleierungsverfahren benutzen oder von Blockchain zu Blockchain springen.

Eine globale Antwort – und mehr Regulierung für Krypto-Börsen

Ransomware sei, stellt der Bericht fest, eine „globale Herausforderung“, die man nur global lösen kann. Sie sollte daher auf Gipfelforen wie der G7 oder G20, Interpol, Europol und anderen, zum Thema gemacht werden. Diesen schlägt die Taskforce eine Reihe von 48 Maßnahmen vor, die das Ziel haben, die Hacker effizienter zur Verantwortung zu ziehen und Unternehmen sowie Institutionen besser auf Angriffe vorzubereiten und vor diesen zu schützen.

Neben vielen Ratschlägen – etwa einem „Name and Shame“-Ansatz, um auch Staaten wie Russland im Kampf gegen Ransomware auf Linie zu bringen – enthält der Bericht eine Reihe von empfohlenen Maßnahmen, die Kryptowährungen betreffen.

So sollen die Regierungen Anreize für Unternehmen setzen, Krypto-Zahlungen zügig zu melden. Alle Arten von Wechselplattformen – auch Kioske und außerbörsliche Handelsbüros – sollen strenger überwacht und gedrängt werden, die geltenden Rechte umzusetze, etwa die wohlbekannten KYC- und AML-Regeln: Sie sollen die Identität ihrer Kunden kennen und potenzielle Versuche der Geldwäsche identifizieren und melden. Die Gesetze existieren bereits, doch deren Einhaltung lasse noch zu wünschen übrig.

Auf der Seite der Regierungen sollen die Kompetenzen bei der Analyse der Blockchain verbessern und zentralisiert werden. Vor allem auch sollen Regierungen effektiver und zügiger in der Lage sein, Kryptowährungen zu beschlagnahmen, die Börsen für ihre Kunden verwahren. Nur wenn dies zeitnah geschehe, können den Kriminellen die Gelder entzogen werden.

Nicht alle Experten teilen jedoch den Fokus auf Kryptowährungen. Ilia Kolochenko von ImmuniWeb etwa meint, man solle sich besser auf die Wurzel des Problems konzentrieren: den „weit verbreiteten Mangel an minimaler Cyber-Hygiene.“ Selbst wenn alle Krypto-Börsen reguliert werden, würden Kriminelle Möglichkeiten finden, die Regulierung zu unterlaufen.