„Ein Problem für die globale Wirtschaft und Sicherheit“

Bild von Richard Patterson via flickr.com. Lizenz: Creative Commons

2023 war ein glänzendes Jahr für Ransomware. Die Einnahmen aus in Bitcoin bezahlten Lösegeldern überstiegen erstmals eine Milliarde Dollar – während der tatsächliche Schaden um Größenordnungen höher liegen dürfte.

Noch nie war die Gefahr durch Ransomware höher, noch nie war der Schaden, den sie in den westlichen Gesellschaften anrichtet, größer. Einige Beisipele aus der jüngeren Vergangenheit illustrieren dies:

Change Healthcare

Der Hack von Change Healthcare, einem Tochterunternehmen des großen amerikanischen Versicherers UnitedHealth, war einer der schwerwiegendsten Ransomware-Vorfälle der letzten Jahre. Er führte zu flächendeckenden Störungen im US-Gesundheitssystem.

Nachdem Change Healthcare ein Lösegeld von 22 Millionen Dollar in Bitcoin an die (russische) Hackergruppe Black Cat gezahlt hat, scheinen die Systeme wieder größtenteils zu laufen. Doch die wahren Kosten des Hacks treten immer klarer hervor: UnitedHealth enthüllte einen Verlust von 872 Millionen Dollar im ersten Quartal dieses Jahres, der direkt dem Cyberangriff zugeschrieben werden kann. Es gibt Befürchtungen, dass diese Zahlen weiter eskalieren und sich auf möglicherweise 1,6 Milliarden Dollar verdoppeln könnten.

Southern Water

In England fiel einer der größten Wasserversorger des Landes, Southern Water, ebenfalls einem Ransomware-Angriff zum Opfer. Die (russische) Ransomware-Gruppe Black Basta, die seit 2022 angeblich mehr als 100 Millionen Dollar in Bitcoin erpresst hat, erlangte Zugriff auf die Server und entwendete rund 750 Gigabyte sensibler Daten, darunter eingescannte Ausweise und Führerscheine.

Southern Water, das mehr als 2,5 Millionen Menschen in Südengland mit frischem Wasser versorgt, räumt den Vorfall ein, betont aber, dass nur ein limitierter Teil ihrer Server betroffen und der Betrieb nicht eingeschränkt war. Daten von 5-10 Prozent der Kunden seien gestohlen, doch bisher gebe es noch keine Hinweise, dass sie im Darknet veröffentlicht werden.

MGM in Las Vegas

Generell war 2023 ein sehr gutes Jahr für Ransomware. Laut Chainalysis wurden im vergangenen Jahr 1,1 Milliarden Dollar Lösegeld für Ransomware bezahlt. Wenn man bedenkt, dass die tatsächlichen Kosten durch Betriebsausfälle, Verzögerungen und Wartung, wie im Falle von United Health, noch einmal deutlich höher liegen, kann man sich den immensen wirtschaftlichen Schaden vorstellen, den Ransomware ausrichtet.

Einer der prominentesten Fälle des vergangenen Jahres war der Angriff auf das MGM Resort in Las Vegas im September, der den Betrieb in Dutzenden Casinos in Las Vegas unterbrach. Tausende von Glücksspielgeräten hörten auf, Geld auszuzahlen, Computer fuhren herunter, Technik fiel aus. MGM bezahlte zwar nicht die 30 Millionen Dollar, die die Hacker verlangten, verlor aber insgesamt rund 100 Millionen Dollar an Einnahmen und bezahlte weitere Millionen, um die Server wieder aufzustellen.

„The Com“ – toxische Männlichkeit und Hacks

Bryan Vorndran vom FBI kommentierte den MGM-Hack in einem Interview damit, dass Ransomware mittlerweile „ein Problem für die globale Ökonomie, für die US-Ökonomie und für die Sicherheit der Vereinigten Staaten darstellt.“

Hinter dem Hack auf MGM steckt, erklärt Vorndran weiter, eine kriminelle Gruppe von englischsprechenden Hackern, die sich auf Social Engineering spezialisiert haben. Sie seien Teil der „The Com“-Kultur, aus welcher auch Hacks auf Firmen wie Microsoft, Nvidia und Electronic Arts erwachsen sind.

„The Com“ sind mehrere tausend, lose vernetzte Menschen, in der Regel Männer zwischen 13 und 25, die sich über Gaming-Server und Telegram-Kanäle vernetzen. In der Szene herrsche eine toxische Männlichkeit voller Sexismus, Frauenfeindlichkeit und Rassismus, in der man sich mit kriminellen Erfolgen brüste.

Das, was die Sicherheitsbehörden vor allem besorgt, ist, dass „The Com“ junge Menschen aus dem Westen, die fließend Englisch sprechen und verstehen, wie die westliche Gesellschaft funktioniert, mit russischen Ransomware-Gangs wie Black Cat verbindet. Russische Hacker stellen die Software mit den neuesten Exploits bereit, während westliche junge Männer die Server von großen Unternehmen kompromittieren. Die Beute teilt man sich dann.

Der Kreml und die Hacker

Erschwerend kommt hinzu, dass Russland die ohnehin stets laxe Kooperation mit westlichen Ermittlern vollständig einstellte, nachdem der Kreml begonnen hatte, Massenmord an Ukrainern zur Staatsräson zu machen. Etwa der berüchtigte Colonial Pipeline Hack, vermutlich der Ransomware-Vorfall, der einem terroristischen Angriff am nächsten kommt. Auch er war das Ergebnis des Zusammenspiels russischer Hacker mit westlichen „Auslieferern“. Nachdem die amerikanische NSA einen russischen Hacker identifiziert hatte, wurde er in Russland im Januar 2022 nach Monaten der Verhandlungen festgenommen.

Doch fünf Wochen später – ihr wisst, was mittlerweile passiert war – wurde der Hacker wieder freigelassen. Für das von Sanktionen geplagte Russland dürften die Ransomware-Hacker, ähnlich wie in Nordkorea, eine solide Quelle von Einkünften aus dem Ausland darstellen. Es wäre nicht überraschend, wenn der Kreml in Zukunft immer enger mit den Hackern zusammenarbeitet, um das Angenehme – die Sabotage westlicher Unternehmen – mit dem Nützlichen zu verbinden – der Einnahme von Devisen.

Die Bedrohungslage steigt von Jahr zu Jahr, und es gibt wenig Hinweise, dass sie nachlassen wird. Ein NSA-Analyst drückt es so aus: „Das Niveau des Cybercrimes hat einen Punkt erreicht, an dem es überwältigend erscheint. Und jedes Jahr wird es schlimmer. Als Verteidiger fühlt es sich an, als ob wir zwar jede Schlacht gewinnen, aber den Krieg verlieren.“