Ransomware-Angriffe: Wem können Unternehmen bei der Wiederherstellung wirklich vertrauen?

Ein Kunde soll rund 150.000 US-Dollar für die Wiederherstellung verschlüsselter Dateien bezahlt haben. Nach Angaben der US-Staatsanwaltschaft hatte der Recovery-Dienstleister dem Angreifer im August 2023 rund 8.200 US-Dollar für den Entschlüsselungsschlüssel gezahlt.

Diese Differenz steht im Mittelpunkt eines Verfahrens wegen mutmaßlichen Betrugs, über das TechBarrista am 10. Oktober berichtete. Der Inhaber des in Florida ansässigen Unternehmens MonsterCloud muss sich wegen eines mutmaßlichen Betrugsschemas verantworten. Kunden soll die Firma zugesichert haben, Ransomware-verschlüsselte Dateien wiederherstellen zu können, ohne den Kriminellen Lösegeld zu zahlen. Hinter den Kulissen soll sie jedoch genau diese Kriminellen für Entschlüsselungsschlüssel bezahlt und ihren Kunden anschließend deutlich höhere Beträge in Rechnung gestellt haben. Bei den Vorwürfen handelt es sich um Anschuldigungen; für den Beschuldigten gilt die Unschuldsvermutung.

Wer einen Dienstleister unter Druck auswählt, hat ihn nicht ausreichend geprüft

Die naheliegende Schlussfolgerung lautet: Prüfen Sie Ihren Recovery-Dienstleister sorgfältig. Doch gerade bei einem Ransomware-Angriff sind die Voraussetzungen für eine solche Prüfung kaum gegeben. Systeme sind nicht erreichbar, Kunden und Mitarbeitende verlangen Antworten, Angreifer setzen möglicherweise Zahlungsfristen, und die Entscheidung liegt häufig bei einem einzelnen Administrator, der noch nie zuvor einen Incident-Response-Dienstleister beauftragt hat. Eine professionell wirkende Website, das Versprechen einer proprietären Entschlüsselungstechnologie und eine Wiederherstellungsgarantie können dann eine gründliche Prüfung ersetzen – während die Zeit davonläuft.

Laut Anklageschrift soll MonsterCloud seinen Kunden erklärt haben, Dateien mithilfe fortschrittlicher Entschlüsselungsmethoden wiederherstellen zu können. Der Inhaber soll später jedoch im privaten Gespräch eingeräumt haben, dass das Unternehmen über keine eigene Entschlüsselungstechnologie verfügte. Mitten in einem Sicherheitsvorfall dürfte dieser Unterschied kaum auffallen.

Die mutmaßlichen finanziellen Abläufe verdeutlichen das Problem: Aus einer Lösegeldzahlung von rund 8.200 US-Dollar wurde eine Rechnung an den Kunden über etwa 150.000 US-Dollar. In einem weiteren Fall soll eine Zahlung von ungefähr 236.000 US-Dollar zu einer Kundenrechnung von rund 380.000 US-Dollar geführt haben. Für den untersuchten Zeitraum gehen die Staatsanwälte davon aus, dass das Unternehmen insgesamt mehr als 19 Millionen US-Dollar eingenommen und davon über 8 Millionen US-Dollar an Angreifer weitergeleitet hat.

Sollten sich die Vorwürfe bestätigen, gingen die Kunden davon aus, für eine eigenständige Wiederherstellung ihrer Daten zu bezahlen. Nach Darstellung der Staatsanwaltschaft zahlten sie tatsächlich einen Vermittler, der mit genau den Kriminellen verhandelte, die ihre Systeme verschlüsselt hatten. In diesem Markt nach einem Angriff trifft ein verzweifelter Kunde auf Dienstleister, die seine Situation besser kennen, als er deren tatsächliche Vorgehensweise einschätzen kann. Dieses Informationsgefälle ist selbst eine Angriffsfläche.

Laut Anklageschrift soll die Wiederherstellung außerdem als Lösung dargestellt worden sein, ohne den ursprünglichen Zugangsweg der Angreifer zu beseitigen. Das ist nicht nur im Zusammenhang mit einem möglichen Betrug relevant. Werden die Dateien lediglich entschlüsselt, bleibt der ursprüngliche Zugangsweg möglicherweise offen – und dieselben Angreifer können erneut in die Systeme eindringen. Eine wirksame Reaktion muss deshalb neben der Wiederherstellung auch die Untersuchung des Vorfalls und die Eindämmung der Bedrohung umfassen.

Die Entscheidung, die in ruhigen Zeiten getroffen werden sollte

Bei Unternehmen ohne fest eingerichteten Security-Operations-Bereitschaftsdienst beschränkt sich der Notfallplan häufig auf den Satz, im Ernstfall jemanden anzurufen. In einer Vorlage für die Geschäftsleitung klingt das nach einer vernünftigen Vorsichtsmaßnahme. Während eines tatsächlichen Vorfalls bedeutet es jedoch, dass die größte Ausgabe für die Wiederherstellung von der Person entschieden werden muss, die am wenigsten Zeit und Spielraum hat, verschiedene Angebote zu vergleichen.

Auch der Ausgangsartikel empfiehlt, vor der Unterzeichnung einer Notfallvereinbarung eine Reihe von Fragen zu stellen. Unter den Bedingungen eines laufenden Angriffs lassen sich die meisten davon jedoch nicht mehr zuverlässig beantworten.

Ein Incident-Response-Retainer verändert diese Ausgangslage. Die Vertragsbedingungen werden im Voraus vereinbart, Reaktionszeiten festgelegt und der Dienstleister bereits vor einem Vorfall anhand entscheidender Fragen geprüft: Zahlt er Lösegeld an Angreifer? Wie stellt er Dateien wieder her? Welche Leistungen und Kosten werden auf der Rechnung ausgewiesen?

Ein Incident-Response-Retainer ist eine Beschaffungsentscheidung, die Sie treffen, solange Sie noch frei zwischen verschiedenen Anbietern wählen können. Aus einer unter Zeitdruck getroffenen Kaufentscheidung wird eine vorab vereinbarte Zusammenarbeit mit benannten Ansprechpartnern, einem erprobten Kontakt- und Alarmierungsweg und klar definierten Abläufen. Der erste Anruf beginnt dann nicht mit einer Suchmaschinenanfrage um drei Uhr morgens.

Fragen, die Sie vor dem Ernstfall schriftlich klären sollten

Fragen Sie, ob der Dienstleister jemals Lösegeld an Angreifer zahlt oder Kontakt zu ihnen aufnimmt und wer eine solche Zahlung genehmigen darf. Klären Sie, wie eine Wiederherstellung ablaufen würde, wenn der Angreifer keinen Entschlüsselungsschlüssel bereitstellt. Fragen Sie, welche Leistungen im angebotenen Preis enthalten sind und wie Kosten externer Dienstleister weiterberechnet werden. Klären Sie außerdem, ob die Leistung neben der Entschlüsselung auch die Untersuchung und Eindämmung des Vorfalls umfasst.

Stellen Sie diese Fragen jetzt. Wenn ein Anbieter die Antwort verweigert, können Sie sich einfach für einen anderen entscheiden. Während eines laufenden Vorfalls wird Schweigen dagegen zu einem weiteren Druckmittel.

Wenn NIS2 oder DORA für Ihr Unternehmen gilt, lassen sich die vorgeschriebenen Reaktionspläne und Kontaktverfahren leichter umsetzen, wenn entsprechende Vereinbarungen bereits bestehen. Welche Pflichten konkret gelten, hängt von der Branche und der Größe des Unternehmens ab. Die Übersicht zu den Compliance-Rahmenwerken kann dabei helfen, die für die Incident Response relevanten Anforderungen zu identifizieren. Sie ist jedoch nur ein Ausgangspunkt und ersetzt keine Rechtsberatung.

Die mutmaßliche Rechnung über 150.000 US-Dollar lässt sich am besten als Preis einer Beschaffungsentscheidung verstehen, die erst getroffen wurde, als sich die Machtverhältnisse bereits verschoben hatten. Die Differenz zwischen dem an den Angreifer gezahlten Lösegeld und der Rechnung an den Kunden wird überall dort wieder auftauchen, wo der Notfallplan keinen Dienstleister im Voraus benennt.

Der entscheidende Vorteil eines Incident-Response-Retainers liegt darin, dass die Wahl getroffen wird, solange noch Zeit bleibt, Fragen zu stellen – und klare Antworten zu erwarten.