Schutz vor Ransomware mit fünf Sofortmaßnahmen

Den wirksamsten Schutz vor Ransomware bietet eine Datensicherung, die getrennt vom Netz liegt und deren Rücksicherung Sie schon einmal ausprobiert haben. Danach folgen in dieser Reihenfolge der zweite Nachweis bei der Anmeldung für alle wichtigen Zugänge, aufgeräumte Berechtigungen, aktuelle Updates und kurze Schulungen, die sich jedes Quartal wiederholen. Für den Verdachtsfall braucht jedes Büro außerdem einen Ablauf, den alle kennen: Gerät vom Netz trennen, nichts selbst reparieren, sofort melden und aufschreiben, was passiert ist.

Ransomware ist Erpressungssoftware. Sie verschlüsselt die Dateien auf Rechnern und Servern und verlangt ein Lösegeld für den Schlüssel. Ins Haus kommt sie häufig über eine gefälschte E-Mail (Phishing) oder über einen Zugang, dessen Passwort jemand erbeutet hat. Gute Sofortmaßnahmen setzen deshalb an beiden Enden an: Sie machen den Einbruch schwerer, und sie sorgen dafür, dass Sie nach einem Angriff ohne die Angreifer wieder arbeiten können.

Fünf Maßnahmen, geordnet nach Wirkung und Aufwand

Wer nur Zeit für eine einzige Maßnahme hat, beginnt mit der Datensicherung, weil sie als einzige auch dann noch hilft, wenn alle anderen versagt haben. Die übrigen vier verringern die Wahrscheinlichkeit eines Angriffs und begrenzen den Schaden, falls er doch gelingt.

1. Getrennte und getestete Datensicherung. Sie entscheidet, ob Sie nach einem Angriff auf die Angreifer angewiesen sind. Aufwand: einmal einrichten, danach feste Testtermine.

2. Zweiter Nachweis bei der Anmeldung. Er schützt Zugänge, deren Passwort gestohlen wurde. Aufwand: gering, einige Minuten je Person.

3. Aufgeräumte Berechtigungen. Sie begrenzen, was ein befallenes Konto verschlüsseln kann. Aufwand: eine Liste, wer welche Ordner braucht.

4. Updates und Zugänge von außen. Sie schließen bekannte Lücken. Aufwand: gering, wenn Updates automatisch laufen.

5. Kurze Schulungen und ein klarer Meldeweg. Sie sorgen für weniger Klicks und frühere Meldungen. Aufwand: eine Viertelstunde im Quartal.

Diese Reihenfolge ist unsere Abwägung für Büros mit 5 bis 50 Arbeitsplätzen. Die Sicherung steht vorn, weil sie den Ausgang eines erfolgreichen Angriffs bestimmt. Der zweite Nachweis folgt direkt danach, weil er mit wenig Aufwand eine häufige Ursache abfängt: das erbeutete Passwort. Schulungen stehen nicht hinten, weil sie unwichtig wären. Sie wirken nur langsamer und erst mit der Wiederholung.

Die getrennte und getestete Sicherung entscheidet über das Lösegeld

Gegen eine Lösegeldforderung hilft am Ende nur eine Kopie Ihrer Daten, an die die Angreifer nicht herankamen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt das Backup „die wichtigste präventive Maßnahme“ für den Fall eines Ransomware-Vorfalls. Die Daten gehören nach Ansicht des BSI in ein Offline-Backup, das nach dem Sicherungsvorgang von den anderen Systemen getrennt wird.¹

Getrennt heißt in der Praxis: Mindestens eine Kopie ist vom normalen Firmennetz aus nicht erreichbar, und sie lässt sich nicht mit dem Konto löschen, mit dem im Alltag gearbeitet wird. Das kann eine USB-Festplatte sein, die nach der Sicherung abgesteckt und im Wechsel außer Haus gelagert wird, oder eine Sicherung in der Cloud mit eigenen Zugangsdaten, deren Stände sich für eine festgelegte Zeit nicht verändern lassen. Als Faustregel gilt die 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon außer Haus.

Ebenso wichtig ist der Test. Das BSI empfiehlt, auch die Rücksicherung „einem Praxistest“ zu unterziehen, damit Probleme vor dem Ernstfall auffallen.¹ Für kleine Büros halten wir zwei Termine für sinnvoll: einmal im Quartal einzelne Dateien und Postfächer zurückholen und einmal im Jahr einen ganzen Server samt Branchensoftware auf einem Testsystem starten. Schreiben Sie dabei auf, wie lange die Rücksicherung gedauert hat. Diese Zahl sagt Ihnen, wie lange der Betrieb im Ernstfall stillsteht.

Eine Grenze hat die Sicherung: Viele Angreifer kopieren Daten, bevor sie verschlüsseln, und drohen mit der Veröffentlichung. Dagegen hilft keine Rücksicherung, sondern nur, dass der Einbruch gar nicht erst gelingt oder wenig erreicht. Dafür sind die nächsten Maßnahmen da.

Gefälschte E-Mails verraten sich an wenigen Stellen

Gefälschte E-Mails sind heute oft fehlerfrei formuliert und tragen echte Logos, deshalb taugen Rechtschreibfehler kaum noch als Warnzeichen. Verlässlicher sind fünf Stellen, die jeder Mitarbeiter in wenigen Sekunden prüfen kann:

• Die echte Absenderadresse. Outlook zeigt zuerst nur den Namen. Erst ein Klick darauf zeigt die Adresse dahinter. „Buchhaltung Müller GmbH“ kann von einer privaten Freemail-Adresse kommen oder von einer Domain, die dem Original nur ähnelt, etwa „mueller-gmbh.co“ statt „mueller-gmbh.de“.

• Das Ziel eines Links. Fahren Sie mit der Maus über den Link, ohne zu klicken, dann zeigt Outlook die Zieladresse. Entscheidend ist der Name direkt vor dem ersten einzelnen Schrägstrich: „microsoft.com.konto-pruefen.net/login“ führt zu „konto-pruefen.net“. Auf dem Handy halten Sie den Finger auf den Link, statt ihn anzutippen.

• Eine Anmeldeseite nach dem Klick. Fragt eine Seite, die Sie über einen Link aus einer E-Mail erreicht haben, nach Ihrem Microsoft-365-Passwort, geben Sie es dort nicht ein. Öffnen Sie das Portal stattdessen selbst über ein Lesezeichen.

• Druck, Frist und Geheimhaltung. „Ihr Postfach wird heute gesperrt“, „Bitte noch heute überweisen, ich sitze im Termin“, „Bitte vertraulich behandeln“: Solche Sätze sollen eine Rückfrage verhindern.

• Neue Bankverbindung oder unerwarteter Anhang. Geänderte Kontodaten auf einer Rechnung prüfen Sie telefonisch, mit der Nummer aus Ihren Unterlagen und nie mit der aus der E-Mail. Vorsicht gilt auch bei ZIP-Dateien, die niemand angekündigt hat, bei Dokumenten, die verlangen, „Inhalte zu aktivieren“, und bei QR-Codes, die zu einer Anmeldung führen.

Manche Fälschungen zeigen keines dieser Merkmale, weil sie aus dem echten, übernommenen Postfach eines Geschäftspartners kommen. Deshalb gilt ein Grundsatz über alle Merkmale hinweg: Wer bei einer Zahlung, einer Anmeldung oder einem Anhang unsicher ist, fragt über einen anderen Weg nach als die E-Mail selbst.

Zweiter Nachweis und aufgeräumte Rechte begrenzen den Schaden

Ein gestohlenes Passwort sollte allein nicht reichen, um in Ihre Firma zu kommen, und ein befallenes Konto sollte nur wenig erreichen können. Dafür sorgen drei Maßnahmen, die vor allem Einrichtung und klare Entscheidungen brauchen.

Mehrstufige Anmeldung für alle wichtigen Zugänge

Bei der mehrstufigen Anmeldung (MFA) braucht jede Anmeldung einen zweiten Nachweis neben dem Passwort, meist eine Bestätigung in einer App auf dem Handy oder einen Sicherheitsschlüssel. Sie gehört an jeden Zugang, über den jemand von außen an Ihre Daten kommt: Microsoft 365 für alle Mitarbeiter, Fernzugriff per VPN oder Remotedesktop, Fernwartungsprogramme, die Verwaltung von Firewall, Router und Datensicherung und das Konto bei Ihrem Domain-Anbieter. In Ihrem Microsoft-Mandanten (dem Tenant, also Ihrer Firmenumgebung bei Microsoft) verlangen die sogenannten Sicherheitsstandards von allen Konten, einen zweiten Nachweis einzurichten, und fordern ihn bei Administratoren bei jeder Anmeldung an.²

Auch dieser Schutz hat Grenzen. Wer eine Bestätigung im Handy freigibt, die er nicht selbst ausgelöst hat, öffnet dem Angreifer die Tür. Aufwendige Phishing-Seiten reichen die Anmeldung außerdem in Echtzeit weiter; Sicherheitsschlüssel und Passkeys sind dagegen widerstandsfähiger als die Bestätigung per App.

Berechtigungen: Jeder darf, was er für die Arbeit braucht

Ransomware verschlüsselt alles, worauf das befallene Konto schreiben darf. Warum ein Virenscanner das oft nicht bemerkt, erklären wir in unserem Beitrag, warum ein Virenscanner allein nicht vor Ransomware schützt. Je weniger ein einzelnes Konto darf, desto kleiner bleibt der Schaden. Das BSI empfiehlt, Zugriffsrechte nach dem Bedarf zu vergeben und etwa Schreibrechte auf archivierte Projektdaten zu entziehen.¹

Für den Anfang reichen vier Fragen: Arbeitet jemand im Alltag mit Administratorrechten? Sind die Konten ehemaliger Mitarbeiter gesperrt? Gibt es Sammelkonten, deren Passwort mehrere Personen kennen? Und wer darf in welche Ordner schreiben? Die Antworten passen auf eine Seite. Die Geschäftsführung entscheidet, wer was braucht; Ihr Dienstleister setzt es um.

Updates und Zugänge von außen

Windows und Office sollten ihre Updates automatisch einspielen. Server, Branchensoftware, Firewall, Router, Netzwerkspeicher und VPN-Zugang brauchen dagegen jemanden, der Updates bewusst einplant. Lassen Sie sich außerdem einmal auflisten, welche Zugänge vom Internet aus erreichbar sind, und schließen Sie, was niemand mehr nutzt.

Kurze Schulungen wirken länger als ein Schulungstag

Wirksamer als ein einmaliger Vortrag ist eine Viertelstunde Schulung in jedem Quartal, etwa als fester Punkt in der Teambesprechung. Die Maschen ändern sich, neue Mitarbeiter kommen hinzu, und was man vor einem Jahr gehört hat, ist im Alltag vergessen. Am besten wirken echte Beispiele: zwei oder drei verdächtige E-Mails, die in Ihren eigenen Postfächern gelandet sind, mit unkenntlich gemachten Namen, und dazu die fünf Stellen aus dem Abschnitt oben.

Genauso wichtig wie das Erkennen ist das Melden. Wer geklickt hat, soll sofort Bescheid sagen und dafür keinen Ärger bekommen. Je früher ein Klick gemeldet wird, desto eher lässt sich ein Passwort ändern oder ein Gerät trennen, bevor jemand den Zugang nutzt. Neue Mitarbeiter bekommen die Regeln am ersten Arbeitstag, zusammen mit der Telefonnummer, unter der sie einen Verdacht melden.

Phishing-Tests mit vorbereiteten Täuschungsmails können die Schulung ergänzen. Sie sollten zeigen, worauf es ankommt, und niemanden vorführen.

Im Verdachtsfall zählen die ersten Minuten

Wenn ein Bildschirm eine Lösegeldforderung zeigt, Dateien plötzlich unlesbare Endungen tragen oder jemand sein Passwort auf einer gefälschten Seite eingegeben hat, gilt dieser Ablauf:

Für die Meldung an die Datenschutzaufsicht läuft eine kurze Frist. Nach Artikel 33 der Datenschutz-Grundverordnung meldet das Unternehmen eine Verletzung des Schutzes personenbezogener Daten „unverzüglich und möglichst binnen 72 Stunden“, nachdem sie ihm bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen.³ Was eine Cyber-Versicherung in dieser Lage übernimmt und was nicht, haben wir in unserem Beitrag über Leistungen und Grenzen der Cyber-Versicherung zusammengefasst.

Wann weniger reicht und wann mehr nötig ist

Nicht jedes Büro braucht alle fünf Maßnahmen im gleichen Umfang. Arbeitet Ihre Firma ausschließlich mit Microsoft 365 und ohne eigenen Server, schrumpft die Sicherung auf Postfächer, OneDrive und SharePoint, und der zweite Nachweis bei der Anmeldung wird zur wichtigsten Maßnahme, weil fast jeder Zugriff über ein Microsoft-Konto läuft. Wie weit die Bordmittel von Microsoft dabei reichen, erklären wir im Beitrag über Backup und Archivierung bei Microsoft 365.

Betreiben Sie dagegen einen Server im Haus mit Branchensoftware, Fernzugang für das Homeoffice und Fernwartung durch Softwarehersteller, brauchen Sie alle fünf Maßnahmen. Gerade die Zugänge von außen und die Sicherung des Servers verdienen dann einen genauen Blick.

Ein Virenscanner ist sinnvoll, ersetzt aber keine der fünf Maßnahmen. Und keine Liste schützt vollständig: Sie senkt die Wahrscheinlichkeit eines Angriffs und sorgt dafür, dass Sie im Ernstfall schneller wieder arbeiten.

Aus Sofortmaßnahmen wird laufende Betreuung

Sofortmaßnahmen halten nur, wenn jemand sie pflegt. Eine Sicherung kann wochenlang unbemerkt fehlschlagen, ein neues Konto wird ohne zweiten Nachweis angelegt, ein ehemaliger Mitarbeiter behält seinen Zugang. Deshalb gehört zu jeder Maßnahme ein fester Termin: den Bericht der Datensicherung jede Woche ansehen, im Quartal eine Rücksicherung testen, die Rechteliste prüfen und eine Viertelstunde schulen, und einmal im Jahr den Notfallablauf mit allen durchspielen.

Ob diese Termine bei einem Mitarbeiter im Haus liegen oder bei einem Dienstleister, hängt davon ab, wer die Zeit und das Wissen dafür hat. Wichtig ist, dass ein Name daneben steht. Wie wir die laufende IT-Sicherheit für Unternehmen übernehmen, von der Sicherung über den Schutz der Postfächer bis zum Notfallplan, beschreiben wir auf unserer Seite zu Cyber Security; die allgemeine Betreuung von Rechnern und Servern steht unter Support und Betreuung.

Unser Rat

Fangen Sie diese Woche mit einer Frage an Ihren Dienstleister an: Welche Kopie unserer Daten wäre nach einem Angriff noch lesbar, und wann haben wir sie zuletzt zurückgeholt? Wenn darauf eine klare Antwort kommt, schalten Sie als Nächstes den zweiten Nachweis bei der Anmeldung für alle Konten ein und hängen die Notfallkarte aus. Berechtigungen und Schulungen folgen in den Wochen danach.

Wenn Sie Ihre Sicherung und Ihre Zugänge einmal Punkt für Punkt durchgehen wollen, schauen wir sie uns mit Ihnen an.

Häufige Fragen zu Ransomware und gefälschten E-Mails