Ransomware: Ransomware ist Schadsoftware, die Daten oder ganze IT-Systeme verschlüsselt oder sperrt und für die Freigabe ein Lösegeld fordert; sie zählt zu den finanziell schädlichsten Cyberbedrohungen für Unternehmen jeder Größe.
Ransomware gelangt meist über Phishing-E-Mails, ungepatchte Schwachstellen oder unsichere Fernzugänge ins Netzwerk. Moderne Varianten setzen auf Double Extortion: Vor der Verschlüsselung werden Daten kopiert und exfiltriert, sodass Angreifer zusätzlich mit Veröffentlichung drohen, selbst wenn Backups eine Wiederherstellung ermöglichen.
Die wichtigste Einzelmaßnahme gegen Ransomware bleibt eine funktionierende, vom Netzwerk getrennte Datensicherung nach der 3-2-1-Regel: drei Kopien, zwei verschiedene Medien, eine Kopie extern gelagert. Daneben senken Patch-Management, Endpoint-Schutz, Netzwerksegmentierung und Mitarbeiterschulung das Angriffsrisiko deutlich.
| Phase | Typische Maßnahme |
|---|---|
| Prävention | Patch-Management, Awareness |
| Erkennung | Monitoring, Endpoint-Schutz |
| Reaktion | Notfallplan, isolierte Backups |
Ein oft unterschätztes Risiko ist die Zeitspanne zwischen dem ersten Eindringen und der eigentlichen Verschlüsselung, die Angreifer nutzen, um sich unbemerkt im Netzwerk auszubreiten und gezielt die wertvollsten Systeme sowie vorhandene Backups zu identifizieren. Deshalb reicht eine reine Datensicherung allein nicht aus, wenn sie über dieselben Zugangsdaten wie das Produktivsystem erreichbar ist – Angreifer verschlüsseln in solchen Fällen häufig auch die Sicherungskopien mit. Ein regelmäßiger Wiederherstellungstest, der prüft, ob Backups tatsächlich funktionsfähig sind, gehört ebenso zu einer belastbaren Ransomware-Strategie wie deren technische Isolierung.
Relevanz für die Zertifizierung
ISO 27001 verlangt in Anhang A konkrete Controls gegen Ransomware, unter anderem Backup-Management, Schutz vor Schadsoftware und ein strukturiertes Incident Management. Ein zertifiziertes ISMS zeigt Kunden und Versicherern, dass ein getesteter Notfallplan existiert und nicht erst im Ernstfall improvisiert wird. Ein dokumentierter, regelmäßig getesteter Notfallplan mit klaren Entscheidungswegen ist im Ernstfall oft entscheidender als jede einzelne technische Schutzmaßnahme, da er Reaktionszeit und Schadenshöhe unmittelbar beeinflusst. Genau das prüfen Auditoren im Rahmen des Incident-Management-Prozesses besonders genau. Auch die Frage, wer im Ernstfall außerhalb der IT-Abteilung informiert und einbezogen werden muss, sollte im Notfallplan klar geregelt sein. Dazu zählen etwa Kunden, Behörden oder Versicherer, deren Nichtinformation im Ernstfall zusätzliche rechtliche oder vertragliche Konsequenzen nach sich ziehen kann.
Häufige Fragen zu Ransomware
Die wichtigste Einzelmaßnahme ist eine funktionierende, vom Netzwerk getrennte Datensicherung nach der 3-2-1-Regel: drei Kopien, zwei verschiedene Medien, eine Kopie extern gelagert. Ergänzend senken Patch-Management, Endpoint-Schutz, Netzwerksegmentierung und regelmäßige Mitarbeiterschulung das Angriffsrisiko deutlich. Zusätzlich sollte mindestens eine Sicherungskopie regelmäßig auf tatsächliche Wiederherstellbarkeit getestet werden, statt sich allein auf das Vorhandensein der Backups zu verlassen.
Anhang A verlangt konkrete Controls gegen Ransomware, unter anderem Backup-Management, Schutz vor Schadsoftware und ein strukturiertes Incident Management. Ein getesteter, dokumentierter Notfallplan gilt als zentraler Nachweis dafür, dass im Ernstfall nicht erst improvisiert werden muss. Versicherer verlangen einen solchen Nachweis zunehmend auch als Voraussetzung für eine bezahlbare Cyber-Versicherungsprämie.
Vor der eigentlichen Verschlüsselung kopieren und exfiltrieren Angreifer zusätzlich Daten, um zusätzlich mit deren Veröffentlichung zu drohen. Selbst wenn Backups eine vollständige Wiederherstellung der Systeme ermöglichen, bleibt die Drohung der Datenveröffentlichung bestehen und muss im Notfallplan separat berücksichtigt werden. Betroffene Unternehmen sollten daher zusätzlich klare Kommunikationsregeln für den Umgang mit einer solchen Erpressung festlegen.