Ransomware

Ransomware (von englisch to ransom „lösen“ oder „auslösen“ und ware für „Software“) ist eine bösartige Schadsoftware (Malware), die den Zugriff auf den Computer, das Betriebssystem oder die gespeicherten Daten des Opfers blockiert. Die Täter fordern anschließend ein Lösegeld (meist in Kryptowährungen wie Bitcoin), um den Zugriff wiederherzustellen oder die Daten nicht zu veröffentlichen.

Ransomware gilt heute als eine der größten und profitabelsten Bedrohungen im Cyberkriminellen-Milieu. Sie trifft sowohl Privatpersonen als auch große Unternehmen, Krankenhäuser, Behörden und Infrastrukturbetreiber.

Funktionsweise: Wie ein Angriff abläuft

Ein Ransomware-Angriff folgt meist einem strukturierten Ablauf:

1. Infektion (Infiltration)

Der Schadcode gelangt meist auf eine der folgenden Arten auf das System:

• Phishing-E-Mails: Der häufigste Weg. Der Nutzer öffnet einen infizierten Anhang (z. B. eine gefälschte Rechnung als PDF oder Word-Dokument mit Makros) oder klickt auf einen bösartigen Link.
• Drive-by-Downloads: Der Besuch einer manipulierten Webseite, die Sicherheitslücken im Browser oder Plugins ausnutzt, um die Malware im Hintergrund herunterzuladen.
• Unsichere Fernzugriffe: Angreifer nutzen schwache Passwörter oder Sicherheitslücken bei Remote-Desktop-Protokollen (RDP), um sich direkt ins Netzwerk zu hacken.

2. Ausführung und Verbreitung

Sobald die Ransomware startet, versucht sie oft, sich im lokalen Netzwerk auszubreiten, um möglichst viele Rechner und Server zu infizieren. Sie deaktiviert Sicherheitssoftware und löscht lokale Backup-Kopien, um eine Wiederherstellung ohne Lösegeld zu erschweren.

3. Verschlüsselung (Encryption)

Der Kern der Attacke: Die Ransomware durchsucht das System nach wertvollen Dateien (Dokumente, Bilder, Datenbanken, Backups) und verschlüsselt diese mit einem starken kryptografischen Algorithmus (z. B. AES oder RSA).

• Die Dateien sind danach unlesbar und erhalten oft eine neue Dateiendung (z. B. .locked, .crypto, .wannacry).
• Der Schlüssel zur Entschlüsselung befindet sich nur auf den Servern der Angreifer.

4. Lösegeldforderung (Ransom Note)

Nach der Verschlüsselung wird eine Nachricht auf dem Bildschirm angezeigt. Diese „Lösegeldforderung“ erklärt dem Opfer, was passiert ist, fordert eine Zahlung (meist zwischen wenigen hundert Euro bei Privatpersonen und mehreren Millionen bei Unternehmen) und droht im Falle der Nichtzahlung mit der endgültigen Löschung der Daten oder deren Veröffentlichung im Darknet.

Moderne Entwicklungen: Double Extortion

Früher verschlüsselten Angreifer „nur“ die Daten. Heute hat sich die Methode Double Extortion (doppelte Erpressung) etabliert:

1. Die Daten werden verschlüsselt (Betriebsstillstand).
2. Die Daten werden vorher gestohlen und exfiltriert.
3. Zahlen das Opfer das Lösegeld nicht, drohen die Kriminellen, die sensiblen Daten (Kundendaten, Geheimnisse, Patientendaten) öffentlich zu machen. Dies verstößt gegen Datenschutzgesetze (wie die DSGVO) und fügt dem Unternehmen massiven Reputationsschaden zu, selbst wenn es die Daten aus einem Backup wiederherstellen kann.

Bekannte Beispiele

• WannaCry (2017): Infizierte weltweit hunderttausende Computer, darunter das britische Gesundheitssystem (NHS). Sie nutzte eine Sicherheitslücke in Windows („EternalBlue“), die von der NSA entwickelt, aber von Hackern gestohlen und veröffentlicht wurde.
• NotPetya (2017): Getarnt als Ransomware, war dies eigentlich eine „Wiper“-Malware, die darauf abzielte, Daten in der Ukraine unwiederbringlich zu zerstören. Sie verursachte Milliardenschäden bei globalen Konzernen wie Maersk oder Merck.
• LockBit & Conti: Moderne „Ransomware-as-a-Service“ (RaaS) Gruppen, die professionell organisiert sind und Affiliate-Programme betreiben, bei denen andere Hacker die Software nutzen und die Gewinne teilen.

Sollte man das Lösegeld zahlen?

Die offizielle Empfehlung von Polizei, FBI, BKA und Cybersicherheitsexperten lautet einstimmig: Nein, zahlen Sie nicht!

• Keine Garantie: Es gibt keine Garantie, dass die Täter den Entschlüsselungsschlüssel senden. Oft erhalten Opfer trotz Zahlung keinen funktionierenden Key.
• Finanzierung von Kriminalität: Zahlungen finanzieren weitere kriminelle Aktivitäten und bestätigen das Geschäftsmodell.
• Ziel für weitere Angriffe: Wer zahlt, wird als „zahlungswillig“ markiert und oft erneut oder von anderen Gruppen angegriffen.
• Rechtliche Probleme: In einigen Fällen könnte die Zahlung an sanktionierte Terrorgruppen oder Staaten rechtliche Konsequenzen haben.

Der einzige sichere Weg aus der Krise ist ein funktionierendes, offline gespeichertes Backup.

Schutzmaßnahmen und Prävention

Da eine Entschlüsselung ohne Schlüssel mathematisch kaum möglich ist, liegt der Fokus auf der Vorbeugung:

1. Regelmäßige Backups (3-2-1-Regel): Halten Sie drei Kopien Ihrer Daten auf zwei verschiedenen Medien, wobei eine Kopie offline (getrennt vom Netzwerk) oder in einer unveränderlichen Cloud (Immutable Backup) liegt. Nur so sind Backups vor Verschlüsselung sicher.
2. Updates und Patches: Halten Sie Betriebssysteme, Software und Router stets aktuell, um Sicherheitslücken zu schließen, die Ransomware nutzt.
3. Vorsicht bei E-Mails: Öffnen Sie keine Anhänge von unbekannten Absendern und klicken Sie nicht auf verdächtige Links.
4. Antivirensoftware & EDR: Nutzen Sie moderne Sicherheitslösungen, die verhaltensbasierte Erkennung bieten und Ransomware stoppen können, bevor sie die Verschlüsselung startet.
5. Netzwerksegmentierung: Trennen Sie wichtige Bereiche Ihres Netzwerks voneinander, um die Ausbreitung im Infektionsfall zu begrenzen.
6. Schulung: Sensibilisieren Sie Mitarbeiter und Familienmitglieder für Phishing-Taktiken.

Fazit

Ransomware ist eine der ernsthaftesten Bedrohungen der digitalen Gegenwart. Sie verwandelt Daten, das wertvollste Gut des 21. Jahrhunderts, in Geiseln. Der Kampf dagegen gewinnt nicht, wer das höchste Lösegeld zahlt, sondern wer am besten vorbereitet ist. Eine robuste Backup-Strategie, gepaart mit wachsamer Hygiene im digitalen Alltag, ist der effektivste Schutz gegen diese digitale Erpressung.