Bitcoins ungeliebte Killerapp wächst ungehindert weiter

Das Bundesamt für Sicherheit und Informationstechnik (BSI) veröffentlicht einen Lagebericht zur IT-Sicherheit in Deutschland. Ransomware taucht darin mehr als ein Mal auf. Zeit für ein Update zur unbeliebtesten Killer-App von Bitcoin. Gefährdet die erpresserische Malware die Legitimität von Kryptowährungen?

Vor kurzem hat das Bundesamt für Sicherheit und Informationstechnik (BSI) den Lagebericht zur IT-Sicherheit in Deutschland 2021 veröffentlicht.

Der Bericht umreisst auf 100 Seiten die „Gefährungslage der IT-Sicherheit in Deutschland“, mit einem Fokus auf „Angriffe auf Unternehmen, staatliche sowie öffentliche Institutionen und Privatpersonen.“ Das Wort „Ransomware“ kommt auf diesen 100 Seiten 79 Mal vor. Das deutet auf einem große Bedeutung dieser „Erpresser-Software“ unter den Gefahrenquellen aus dem Cyberspace hin.

Ransomware ist wirklich kein neues Phänomen. „Schadprogramme, die etwa durch Verschlüsselung den Zugang zu Daten oder Systemen einschränken, damit der Angreifer anschließend ein Lösegeld erpressen kann“ gab es schon vor Bitcoin. Aber erst seit es etwa 2013 zur Sitte wurde, Bitcoins für Zahlungen zu verlangen, wurde das „Geschäftsmodell Ransomware“ zu DER Erfolgsgeschichte des internationalen Cybercrimes – und das ungebrochen seit etwa acht Jahren.

Alle Register der mafiösen Schutzgelderpressung

Der BSI-Bericht zeigt, wie sich die Situation rund um Ransomware in Deutschland von Juni 2020 bis Mai 2021 weiter entwickelt hat. Er ist hervorragend geeignet, um eine Momentaufnahme über dieses aufstrebende „Gewerbe“ zu erhalten – und über den Schaden, den es anrichtet.

Einige Trends springen förmlich ins Auge. So wird die Branche durch ein Umdenken unter den Opfern herausgefordert. Immer häufiger stehen die Betroffenen dank eines Backups dem Angriff gelassener gegenüber oder folgen den Empfehlungen von Behörden, kein Schutzgeld zu bezahlen.

Die Hacker reagieren darauf mit zwei Taktiken: Auf der einen Seite verschlüsseln sie die Daten nicht nur, sondern entwenden sie auch. So können sie ihre Position mit der Drohung von Datenleaks verbessern. Darüber hinaus drohen sie auch mit DDoS-Angriffen, um das Opfer zur Zahlung des Lösegeldes zu bewegen. Wenn beispielsweise, so das BSI, „ein Online-Versandhändler aufgrund eines Ransomware-Angriffs gezwungen wäre, auf eine weniger gegen DDoS-Angriffe widerstandsfähige Web-Präsenz auszuweichen, würde ein solcher DDoS-Angriff die Bewältigung des Ransomware-Angriffs noch zusätzlich erschweren.“

Damit also nähert sich die Ransomware der multidisziplinären mafiösen Schutzgelderpressung an. Jedes Mittel ist recht, wenn es Druck aufbaut.

Die Ransomware als Finale der Großwildjagd

Ein zweiter Trend bei Ransomware ist eine innere Professionalisierung. Darüber haben schon andere Berichte geschrieben, etwa über die Arbeitsteilung zwischen Software-Entwicklern, -Distributoren und Geldwäschern.

Das BSI fügt dem die Mehrstufigkeit der Angriffe hinzu. Anstatt die Malware wie ein Schleppnetz durch den Ozean der IT-Systeme zu ziehen, orientieren sich die Hacker immer mehr an „APT-Spionage-Angriffen.“ Dies sind aufwändige, komplexe, professionelle und zielgerichtete – sozusagen handgearbeitete – Angriffe auf Behörden und Unternehmen. Sie konzentrieren sich auf ein Ziel, arbeiten dann, teilweise über Monate hin, Schwachstellen heraus, und nutzen diese dann mit allen Mitteln der Kunst aus. Solche Angriffe stehen im Verdacht, durch die üblichen Schurkenstaaten finanziert oder befördert zu werden: China, Russland, Iran und Nordkorea.

Bei Ransomware funktioniert dies beispielsweise so: Erst nistet sich der Trojaner Emotet in Outlook ein. Dort analysiert er den E-Mail-Verkehr des Opfers, um „besonders authentisch wirkende Social-Engineering-Angriffe auf Kontakte des Opfers“ zu fahren. Danach öffnet Emotet den Download, damit die Hacker die Spionage-Malware Trickbot aufspielen können. Diese durchforscht nun das gesamte System und, wenn möglich, auch Netzwerk. Erst im letzten Schritt – und nur, wenn es sich lohnt – laden die Hacker die Ransomware Ryuk hoch. Diese verschlüsselt dann die Daten.

Die Ransomware wird damit zum Finale einer von langer Hand orchestrierten Übernahme von Computersystemen.

Dabei zielen die Hacker zunehmend auf finanzstarke Opfer. Das BSI nennt das „Big Game Hunting“, zu deutsch: Großwildjagd. Dieser Trend existiert schon eine Weile und äußert sich in zunehmend bekannten und großen Opfern, von schwedischen Supermärkten bis zu italienischen Energieversorgern.

Jede Woche ein neues öffentliches Opfer

Die Schäden durch Ransomware sind schwer abzuschätzen. Es zeichnet sich aber ab, dass sie enorm sein müssen.

Laut dem Präsidenten des BSI, Arne Schönbohm, werde jede Woche die IT von mindestens einer deutschen Stadtverwaltung oder Kreisbehörde durch Ransomware lahmgelegt. Wenn es in der deutschen Verwaltung knirscht, kann das immer öfter auch an Ransomware liegen.

Wie viel Lösegeld deutsche Unternehmen und Institutionen je Jahr bezahlen, verschweigt das BSI. Falls es diese Information überhaupt kennt. Tatsache ist aber, dass das Lösegeld nur ein Teil der Schäden ist, die Ransomware anrichtet – und vermutlich noch nicht einmal der größte.

„Von der Entdeckung einer Infektion bis zur Bereinigung der Systeme und vollständigen Wiederherstellung der Arbeitsfähigkeit vergehen in der Regel durchschnittlich 23 Tage […] An diese unmittelbare Wirkung schließen sich in der Regel Folgekosten an, die sich bei der Bewältigung des Angriffs ergeben.“

Im Durschnitt dauert es also gut drei Wochen, bis die Systeme wieder vollständig intakt sind. Das kann, etwa bei einem Online-Shop, bereits an die Substanz gehen. Wenn dann noch ein Reputationsschaden durch die Veröffentlichung von Daten dazukommt, können „die Schäden eines Ransomware-Angriffs für eine betroffene Organisation existenzbedrohend sein“, erklärt das BSI.

Aber nicht nur die Aufarbeitung eines Angriffs verschlingt Ressourcen – auch dessen Vermeidung. So empfiehlt das BSI umfangreiche Maßnahmen: Unternehmen sollten ein Backup pflegen, und zwar eines, das komplett offline ist und regelmäßig auf seine Rekonstruierbarkeit überprüft wird. Auch die Datentransfers der Netzwerke sollte man genau beobachten, um den Diebstahl von Daten zu verhindern oder frühzeitig zu erkennen. Schwachstellen, wie Verbindungen nach außen, sollten minimiert, Betriebssysteme und Programme regelmäßig und zeitnah aktualisiert, die Netzwerke intern segmentiert werden. Mitarbeiter sind „umfassend und kontinuierlich“ zu schulen, der Zugang zu Admin-Ebenen konsequenz zu begrenzen.

Mit Sicherheit sind solche Maßnahmen sinnvoll. Sie können Angriffe nicht vollständig verhindern, aber deutlich unwahrscheinlicher machen. Doch sie sind teuer. Sie verlangen eine fast ständige Betreuung der IT-Systeme, sie fordern Zeit aller Mitarbeiter, und sie verlangsamen Prozesse, etwa wenn Datentransfers blockiert sind. Sie streuen Sand ins Getriebe.

Ransomware wird, so gesehen, nicht allein zu einem lukrativen Geschäftsmodell im Cybercrime mit geringem Risiko – sondern auch zu einer globalen Sabotage von Wirtschaft und Staatswesen. Ob sie tatsächlich schon einen Einfluss auf das globale Wirtschaftswachstum bzw. dessen Mangel haben, ist dabei aber eher spekulativ.

Eine Bedrohung für die Demokratie?

Mehr und mehr sorgt sich das BSI, dass Ransomware und andere Malware nicht nur Unternehmen angreift, sondern die öffentliche Sicherheit bedroht. Die Zeichen dafür sind bereits da:

„Eine neue Gefährdungslage trat im vergangenen Jahr durch Vorfälle ein, bei denen Cyber-Kriminelle oder staatliche Akteure gezielt Firmen und Behörden aus dem Gesundheitsbereich angriffen. Anders als noch zu Beginn der Pandemie beobachtete das BSI im aktuellen Berichtszeitraum gezielte IT-Angriffe mit Bezug zu COVID-19 auf Schlüsselbereiche des Gesundheitssektors. Hierzu zählen beispielsweise der Angriff auf die Europäische Arzneimittelagentur (EMA), Angriffe auf ausländische Impfstoff-hersteller, ein DDoS-Angriff auf das COVID-19-Impfportal des Bundeslandes Thüringen und ein Ransomware-Angriff auf einen deutschen Hersteller von COVID-19-Antigentests.“

Ein prominenter Fall ist auch ein Angriff auf ein Universitätsklinikum in NRW, das wegen eines Ransomware-Vorfalls vorübergehend Systemausfälle hinnehmen musste und für 13 Tage keine neuen Intensiv-Patienten aufnehmen konnte. Eventuell handelte es sich dabei um das Klinikum Düsseldorf. Betroffen war auch der Flughafen Saarbrücken, dessen IT-Systeme im Zuge eines Angriffs vor knapp einem Jahr für einige Zeit ausfielen.

Ransomware könnte, mutmaßt das BSI, auch zu einer Bedrohung für die Demokratie werden, wenn sie das Wahlumfeld angreifen. So könne „ein Ransomware-Angriff gegen eine Stadt- oder Kreisverwaltung dafür sorgen, dass es zu Verzögerungen bei der Durchführung oder Auszählung der Wahl kommt, wenn beispielsweise E-Mail-Kommunikation aufgrund des Angriffs nicht verfügbar ist.“ Dies könnte das Vertrauen in die Wahlprozesse beschädigen, Teil einer Manipulation werden und die Einfühung von elektronischen Wahlsystemen erschweren oder unmöglich machen.