Ransomware abwehren: 5 Schritte

Ransomware abwehren beginnt nicht mit einem plötzlichen Alarm. Meist ist es ein schleichender Prozess.

Oft beginnt ein Angriff Tage oder Wochen vor der Verschlüsselung mit etwas Alltäglichem, zum Beispiel einer Anmeldung, die nie hätte erfolgreich sein dürfen. Deshalb geht ein effektiver Schutz gegen Ransomware über einfachen Malwareschutz hinaus. Es geht darum, zu verhindern, dass unautorisierte Zugriffe erst Fuß fassen.

Im Folgenden finden Sie einen fünfstufigen Plan, den Sie in Ihrer kleinen oder mittleren Umgebung umsetzen können, ohne die Benutzbarkeit dauerhaft zu beeinträchtigen.

Warum Ransomware schwerer zu stoppen ist, wenn sie einmal begonnen hat

Ransomware ist selten ein Einzelereignis. Meist ist es eine Kette: erster Zugriff, Rechteausweitung, laterale Bewegung, Datenzugriff, häufig Datenexfiltration und schließlich die Verschlüsselung, wenn der Angreifer maximalen Schaden anrichten kann.

Deshalb sind Abwehrmaßnahmen in späten Stadien oft unübersichtlich. Sobald ein Angreifer gültige Zugangsdaten und erhöhte Rechte hat, kann er sich schneller bewegen, als viele Teams untersuchen können. Microsoft stellt fest, dass Angreifer in den meisten Fällen nicht mehr einbrechen, sondern sich einloggen.

Wenn die Verschlüsselung beginnt, sind die Optionen eingeschränkt. Die allgemeine Empfehlung von Strafverfolgungs- und Cybersicherheitsbehörden ist klar: zahlen Sie kein Lösegeld. Es gibt keine Garantie für die Wiederherstellung der Daten, und Zahlungen können weitere Angriffe fördern.

Es gibt kein Allheilmittel zur Verhinderung eines Ransomware-Angriffs. Ein wirksamer Plan unterbricht die Angriffskette, bevor die Verschlüsselung beginnt. Deshalb muss die Wiederherstellung von Anfang an geplant sein und nicht improvisiert werden.

Der 5-Schritte-Ransomware-Plan

Dieser Plan soll die Angriffskette früh stören, Schäden begrenzen, wenn dennoch Zugang gewonnen wird, und eine verlässliche Wiederherstellung sicherstellen. Jede Maßnahme ist praktisch, leicht umsetzbar und in kleinen Unternehmen wiederholbar.

Schritt 1: Phishing-resistente Anmeldungen

Die meisten Ransomware-Vorfälle beginnen weiterhin mit gestohlenen Anmeldeinformationen. Der schnellste Erfolg ist, das Anmelden schwerer fälschbar und nach Kompromittierung schwerer wiederverwendbar zu machen.

Was das bedeutet: Phishing-resistente Anmeldungen sind Authentifizierungsverfahren, die sich nicht leicht über gefälschte Login-Seiten oder abgefangene Einmalcodes umgehen lassen. Es ist ein Unterschied, ob Mehrfaktor-Authentifizierung aktiviert ist oder ob die MFA auch bei gezielten Angriffen zuverlässig funktioniert.

Unmittelbare Maßnahmen:

Setzen Sie starke MFA für alle Konten durch, Priorität haben Administrator- und Fernzugriffe
Schaffen Sie veraltete Authentifizierungsverfahren ab, die die Sicherheitsbasis schwächen
Nutzen Sie Conditional Access-Regeln, zum Beispiel Schritt hochstufen für risikoreiche Anmeldungen, neue Geräte oder ungewöhnliche Standorte

Schritt 2: Prinzip der geringsten Rechte und Trennung

Was das bedeutet: Das Prinzip der geringsten Rechte besagt, dass jedes Konto nur jene Zugriffsrechte erhält, die für die Arbeit erforderlich sind, und nicht mehr.

Trennung bedeutet, administrative Rechte von alltäglichen Benutzeraktivitäten zu separieren, damit ein kompromittiertes Konto nicht die Kontrolle über das gesamte Unternehmen ermöglicht.

NIST empfiehlt, zu überprüfen, dass jedes Konto nur die notwendigen Rechte hat und dem Prinzip der geringsten Rechte folgt.

Praktische Schritte:

Halten Sie administrative Konten getrennt von normalen Benutzerkonten
Vermeiden Sie gemeinsame Logins und reduzieren Sie breite „Jeder hat Zugriff“-Gruppen
Beschränken Sie administrative Tools auf die Personen und Geräte, die sie wirklich benötigen

Schritt 3: Bekannte Schwachstellen schließen

Was das bedeutet: Bekannte Schwachstellen sind Exploits, die Angreifer bereits kennen, typischerweise weil Systeme ungepatcht, internetexponiert oder mit veralteter Software betrieben werden. Dieser Schritt beseitigt einfache Angriffsvektoren, bevor Angreifer sie ausnutzen können.

Messbar machen:

Definieren Sie klare Patch-Richtlinien: kritische Schwachstellen sofort beheben, hoch riskante Probleme danach, alle anderen nach festem Zeitplan
Priorisieren Sie internet-exponierte Systeme und Remote-Access-Infrastruktur
Beziehen Sie Drittanbietersoftware mit ein, nicht nur das Betriebssystem

Schritt 4: Früherkennung

Was das bedeutet: Früherkennung erkennt Warnsignale für Ransomware, bevor sich die Verschlüsselung im Umfeld ausbreitet.

Dazu gehören Alarme für ungewöhnliches Verhalten, die eine schnelle Eindämmung ermöglichen, nicht nur ein Helpdesk-Ticket, dass Dateien nicht mehr geöffnet werden.

Eine solide Basis umfasst:

Endpoint-Monitoring, das verdächtiges Verhalten schnell meldet
Regeln, was sofort eskaliert wird und was zur Überprüfung ansteht

Schritt 5: Sichere, getestete Backups

Was das bedeutet: Sichere, getestete Backups sind solche, auf die Angreifer nicht leicht zugreifen oder die sie nicht verschlüsseln können, und deren Wiederherstellung Sie geprüft haben.

Sowohl die NIST-Empfehlungen als auch die des UK NCSC betonen, dass Backups geschützt und wiederherstellbar sein müssen. NIST nennt ausdrücklich die Notwendigkeit, Backups zu sichern und zu isolieren.

Halten Sie Backups aktuell, damit Sie ohne Zahlung eines Lösegelds wiederherstellen können, und prüfen Sie, ob Sie Ihre Dateien tatsächlich zurückspielen können.

Backups praktisch gestalten:

Bewahren Sie mindestens eine Backup-Kopie isoliert vom Hauptumfeld auf
Führen Sie regelmäßige Wiederherstellungsübungen durch
Legen Sie Wiederherstellungsprioritäten im Voraus fest: was zuerst wiederhergestellt werden muss und in welcher Reihenfolge

Vermeiden Sie den Krisenmodus

Ransomware hat dann Erfolg, wenn Umgebungen reaktiv handeln, alles dringend, unklar und improvisiert wirkt.

Ein durchdachter Plan verwandelt häufige Schwachstellen in vorhersehbare, durchgesetzte Standards.

Sie müssen Ihr gesamtes Sicherheitsprogramm nicht über Nacht neu bauen. Beginnen Sie mit der schwächsten Stelle in Ihrer Umgebung, schließen Sie die Lücke und standardisieren Sie die Maßnahmen.

Wenn die Grundlagen konsequent umgesetzt und regelmäßig getestet werden, wird Ransomware von einer headline-würdigen Krise zu einem Vorfall, den Sie kontrolliert behandeln können. Ransomware abwehren bedeutet, die Kette früh zu durchbrechen und die Wiederherstellung planbar zu machen.

Wenn Sie Unterstützung bei der Bewertung Ihrer aktuellen Abwehrmaßnahmen und beim Aufbau eines praktischen, wiederholbaren Schutzplans wünschen, kontaktieren Sie uns, um eine Beratung zu vereinbaren. Wir helfen Ihnen, die größten Schwachstellen zu identifizieren und in kontrollierte, messbare Schutzmaßnahmen zu überführen.