Unternehmen müssen keine leichte Beute sein Diese 10 Fehler begünstigen Ransomware-Attacken

Incident-Response-Teams kennen sie bestens: kritische Fehler, die Ransomware-Attacken ermöglichen. Von ungepatchten Systemen bis hin zu fehlender Netzwerk­seg­men­tierung. Aber Unternehmen können viele dieser typischen Schwachstellen mit einfachen Mitteln gezielt schließen und so Cyberkriminellen den entscheidenden Schritt voraus sein.

Ransomware-Attacken gehören zu den gefürchtetsten Cyberbedrohungen für Unternehmen. Doch wie kommt es, dass diese Angriffe trotz modernster Sicherheitstechnologien auch in der heutigen Zeit erfolgreich sind? Incident-Response-Teams stoßen bei ihren Einsätzen immer wieder auf die gleichen Schwachstellen. Die gute Nachricht: Viele dieser Probleme lassen sich schon mit einfachen und gezielten Maßnahmen beheben. Betrachten wir die zehn häufigsten Fehler, die Ransomware-Angriffe begünstigen – und wie Unternehmen damit umgehen sollten.

1. Ungepatchte Sicherheitslücken als offenes Tor für Angreifer

Besonders Systeme von Fortinet, Citrix oder Microsoft stehen regelmäßig im Fokus von Cyberkriminellen. Warum? Weil diese Systeme weit verbreitet sind und zahlreiche Unternehmen selbst kritische Sicherheitslücken nicht zeitnah schließen. Besonders riskant wird es bei Zero-Day-Exploits, für die noch keine Patches existieren.

Was also kann man tun? Ein engmaschiges Monitoring ermöglicht die frühzeitige Erkennung von Anomalien, sodass verdächtige Aktivitäten schnell eingedämmt werden können. Gleichzeitig bilden etablierte Patch-Prozesse und ein durchdachtes Asset-Management das Fundament für eine widerstandsfähige IT-Landschaft.

Was ist mit Systemen, die sich nicht mehr patchen lassen, wie etwa Medizingeräte mit veralteten Betriebssystemen in Krankenhäusern? Diese sollten konsequent isoliert betrieben werden, ohne Verbindung zum Hauptnetzwerk und keinesfalls mit Internetzugang.

2. Schwache Passwörter als Einladung für Cyberkriminelle

Es klingt banal, doch schwache Kennwörter erleichtern Angreifern immer wieder den Zugang zu Unternehmensnetzwerken. Die Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) für starke Passwörter werden in der Praxis oft missachtet – selbst von IT-Fachleuten. Ein Blick in die Realität zeigt Domain-Administrator-Kennwörter mit gerade einmal sechs Zeichen oder lokale Administrator-Passwörter mit nur zwei Zeichen, die keine Seltenheit sind. Für Bedrohungsakteure stellen diese aber kaum ein Hindernis dar.

Worauf sollten Unternehmen also setzen? Eine konsequente Passwort-Richtlinie bildet die Basis für höhere Sicherheit. Zusätzlich benötigt jeder aus dem Internet erreichbare Zugang in die IT-Infrastruktur eine Multi-Faktor-Authentifizierung – insbesondere VPN-Zugänge. Denn mit steigender Anzahl von Nutzenden wächst auch die Wahrscheinlichkeit für schwache oder mehrfach verwendete Kennwörter.

3. Mangelhafte Account-Hygiene: Der bequeme Weg nach oben

Wer sich jemals gefragt hat, wie Angreifergruppen so schnell an höhere Zugriffsrechte gelangen, erhält hier die Antwort: Mit einem kompromittierten lokalen Administratorkonto lesen sie zwischengespeicherte Passwort-Hashes aus dem Arbeitsspeicher aus. Diese werden bei jeder Anmeldung hinterlegt – egal ob bei Benutzer- oder Administrationsaccounts.

Besonders problematisch ist, wenn sich etwa Administratoren mit domänenadministrativen Rechten auf gewöhnlichen Arbeitsplatzrechnern anmelden. Der höchstprivilegierte Log-in wird lokal zwischengespeichert und der Passworthash gelangt so mühelos in die Hände von Cyberkriminellen.

Wie lässt sich dieses Risiko minimieren? Eine klare Account-Trennung ist unerlässlich. Ein bewährter Ansatz ist das von Microsoft beschriebene Tiering-Modell. Hierbei werden Systeme in verschiedene Sicherheitsstufen (Tiers) eingeteilt, wobei für jede Stufe ein eigenes Administratorkonto vorgesehen ist. So verhindern Verantwortliche, dass die Täter bei der Kompromittierung eines Systems niedrigen Ranges gleichzeitig Zugangsdaten für höherrangige Systeme erbeuten können.

4. Fehlende Netzwerksegmentierung: Der schnelle Weg für Cyberkriminelle

Für Fachleute ist es nicht überraschend, dass viele Unternehmen noch immer flache, also unsegmentierte Netzwerke betreiben. Oder dass Verantwortliche vergessen, dass Netzwerksegmentierung nur dann wirksam ist, wenn die Übergänge zwischen den Segmenten streng kontrolliert werden. Unter diesen Bedingungen können sich die Täter rasant im gesamten Netzwerk ausbreiten.

Eine durchdachte Netzwerksegmentierung errichtet dagegen erhebliche Hürden für Cyberkriminelle. Mindestens Server- und Client-Netzwerke sollten strikt getrennt sein, wobei Verantwortliche nur explizit benötigte Verbindungen zulassen sollten. Gerade in großen Unternehmen, wo schnell einmal auf einen Phishing-Anhang geklickt wird, kann dies entscheidend sein.

Ebenso wichtig ist die Trennung von Operational Technology (OT) und IT. Produktions- und Steueranlagen haben in einem Büro-Netzsegment schlichtweg nichts verloren. Besonders bei kritischen Infrastrukturen wie etwa Stadtwerken ist diese Trennung unerlässlich.

Übrigens: Auch mit begrenzten Ressourcen sind "Quick Wins" möglich. Ein separates Netzsegment für Management-Schnittstellen, auf das ausschließlich administrative Accounts über ein VPN mit Zwei-Faktor-Authentifizierung zugreifen können, bringt erheblichen Sicherheitsgewinn – ohne den Arbeitsalltag normaler Nutzer zu beeinträchtigen.

5. Unzureichende Backups: Wenn der letzte Rettungsanker fehlt

"Kein Backup? Kein Mitleid!" – so einfach ist es leider nicht. Eine Sicherheitskopie zu haben, ist nur der Anfang. Diese muss auch tatsächlich einsatzfähig sein, wenn sie benötigt wird. Cyberkriminelle suchen gezielt nach Backups, um diese ebenfalls zu verschlüsseln oder zu löschen. Dadurch erhöhen sie den Druck auf Unternehmen, Lösegeld zu zahlen.

Was braucht eine gute Backup-Strategie? Grundsätzlich sollten sie vom Netzwerk und Internet isoliert sein – keine Anbindung ans Active Directory und Unterbringung in einem eigenen, abgeschotteten Netzsegment haben. Tatsächlich brechen Angreifergruppen ihre Attacken häufig abrupt ab und verlieren das Interesse, wenn sie keine Backup-Server finden oder nicht darauf zugreifen können. Ohne diese "Versicherung" verlieren sie ihr wichtigstes Druckmittel.

Eine durchdachte Strategie umfasst auch sicher aufbewahrte Offline-Kopien aller wichtigen Daten. Zudem sollten Verantwortliche sowohl die Funktionsfähigkeit als auch das Einspielen regelmäßig testen. Eine Falle, die viele übersehen: Was passiert, wenn Sicherungskopien passwortgeschützt sind, das Kennwort aber in einem Passwortmanager gespeichert ist, der von den Angreifern verschlüsselt wurde?

Darüber hinaus hat sich das „3-2-1-Prinzip“ als Best Practice erwiesen. Dabei gibt es drei separate Backups, von denen zwei auf unterschiedlichen Medien gespeichert sind (z. B. Festplatte & LTO-Magnetband) und eines off-site vorgehalten wird.

6. Überlastetes IT-Personal: Wenn Sicherheit zur Nebensache wird

In vielen Unternehmen ist die IT-Abteilung für sämtliche technischen Belange zuständig – vom User-Support über Netzwerkadministration bis hin zu Server-Wartung. IT-Sicherheit läuft dann nur noch nebenbei mit. Selbst wenn sie regulatorisch verpflichtend ist. Für strategische Aufgaben wie den Aufbau einer durchdachten Netzwerkinfrastruktur fehlen dann schlicht die zeitlichen Ressourcen.

Wie lässt sich dieses Problem lösen? Idealerweise sollten in mittelständischen Unternehmen etwa fünf Prozent der Belegschaft in der IT beschäftigt sein. Zudem braucht es dedizierte Fachkräfte für IT-Sicherheit – andernfalls geht dieser kritische Bereich im hektischen Tagesgeschäft unter. Außerdem gilt: Eine wettbewerbsfähige Vergütung ist ein wirksames Instrument im Kampf um qualifiziertes Personal.

7. Schlechte IT-Dienstleister als ausgelagerte Schwachstelle

Viele Organisationen lagern ihre IT ganz oder teilweise aus, um dem Fachkräftemangel zu begegnen. Doch auch bei externen Partnern lauern Fallstricke – besonders wenn es um Kompetenzen und Fachwissen beim Personal geht. Natürlich kann ein kompetenter IT-Dienstleister die interne IT-Abteilung mit Spezialwissen unterstützen, das im eigenen Haus fehlt. Wie bei eigenem Personal gilt: Mehr Investment bringt in der Regel auch mehr Expertise.

Worauf sollten Firmen bei der Auswahl achten? Klare Service-Level-Agreements mit definierten Reaktionszeiten sind unverzichtbar – besonders in Notfällen, wenn jede Minute zählt.

Wer mit dem Dienstleister eine 24/7-Überwachung vereinbart hat – etwa im Rahmen einer Managed Extended Detection and Response – sollte auch intern rund um die Uhr Ansprechpersonen festlegen. Schließlich nützt es wenig, wenn der Dienstleister um 22 Uhr einen Sicherheitsvorfall meldet, aber niemand mehr darauf reagiert.

Verantwortliche sollten ihre Sicherheitsstrategie durch regelmäßige unabhängige Überprüfungen ergänzen, beispielsweise durch Penetrationstests – einschließlich der vom IT-Dienstleister bereitgestellten Infrastruktur. Eine gemeinsame Notfallübung kann zusätzlich wertvolle Erkenntnisse über die IT-Sicherheitskompetenzen liefern. Und gleichzeitig lassen sich Meldeketten und Notfallprozesse erproben.

8. Fehlendes Security Monitoring lässt Warnungen ins Leere laufen

Eine ernüchternde Tatsache: Ein Großteil aller IT-Sicherheitsvorfälle hätte deutlich früher erkannt und gestoppt werden können. Woran es scheitert? Warnmeldungen aus Security-Lösungen werden übersehen, gehen in einer Flut irrelevanter Meldungen unter oder werden aufgrund fehlenden Fachwissens falsch interpretiert. Bei forensischen Analysen finden Fachleute regelmäßig eindeutige Warnhinweise, die übersehen wurden.

Wie lässt sich dieser blinde Fleck beseitigen? Unternehmen sollten dediziertes Personal für IT-Sicherheit einsetzen. Falls dies intern nicht leistbar ist, sollten Verantwortliche Managed Security Services in Betracht ziehen – etwa Managed Extended Detection and Response (MXDR) oder ein Managed Security Operation Center (Managed SOC). Entscheidend sind dabei klar definierte Meldeketten. Auch hier kann ein Penetrationstest helfen, sowohl die Qualität der eingesetzten Lösungen als auch die Funktionalität der Meldeprozesse zu überprüfen.

9. Technische Schulden: Das vererbte Sicherheitsrisiko

Technische Schulden sind oft Folge von Personalmangel oder falsch gesetzten Prioritäten. Ein Paradebeispiel dafür findet sich häufig in öffentlichen Verwaltungen: veraltete IT-Infrastrukturen, die ein erhebliches Sicherheitsrisiko darstellen.

Wie lassen sich solche Situationen vermeiden? Der Fokus sollte nicht ausschließlich auf neuen Systemen oder Sicherheitsprodukten liegen, sondern technische Schulden müssen regelmäßig abgearbeitet werden. Denn dies ist oft das Erste, was bei Ressourcenmangel vernachlässigt wird – gleichzeitig aber auch eine offene Einladung für Cyberkriminelle.

10. Panik im Ernstfall: Wenn der "Headless Chicken Mode" einsetzt

Nach der Entdeckung einer schwerwiegenden Cyberattacke verfallen viele Organisationen in Panik. Alle agieren hektisch, aber wenig zielführend – ein Phänomen, das Experten augenzwinkernd als "Headless Chicken Mode" bezeichnen.

Wie lässt sich in solchen Situationen wieder Kontrolle gewinnen? Ein erfahrenes Incident-Response-Team bringen Ruhe und Struktur in das Chaos. Und idealerweise haben die Verantwortlichen bereits im Vorfeld Kontakt zu den Fachleuten hergestellt und sogar einen Incident-Response-Retainer-Vertrag abgeschlossen. Damit haben Unternehmen die Gewissheit, dass ihr Fall auch tatsächlich sofort bearbeitet wird.

Unerlässlich ist dabei ein im Vorfeld erstellter Notfallplan, der offline verfügbar sein sollte und nicht etwa auf einem verschlüsselten Server liegen, der im Ernstfall unerreichbar ist. In diesem Notfallplan sollten Zuständigkeiten und Verfahrensweisen klar geregelt sein: Wer trifft welche Entscheidungen? Wer informiert Mitarbeitende, Kunden oder andere Stakeholder? Wer kommuniziert mit Ermittlungsbehörden? Ohne diese Klärung verlieren Unternehmen bei Diskussionen über Verantwortlichkeiten wertvolle Zeit.

Ein weiterer kritischer Punkt ist die System-Priorisierung: Welche Systeme müssen zuerst überprüft werden und wieder anlaufen? Welche sind geschäftskritisch für Gehaltsüberweisungen oder Produktionsprozesse?

Ein abschließender Tipp für die Zusammenarbeit mit Incident-Response-Teams: Je mehr Logdaten vorliegen, desto präziser lässt sich der Angriffshergang rekonstruieren und kompromittierte Systeme identifizieren. Mit umfassenden forensischen Erkenntnissen können Wiederanlaufmaßnahmen gezielter gestaltet werden, sodass Unternehmen schneller wieder handlungsfähig sind. Ohne klare Rekonstruktion des Angriffsverlaufs sind konservativere Maßnahmen notwendig – im schlimmsten Fall der komplette Neuaufbau der IT-Infrastruktur.

Fazit: Unternehmen müssen keine leichte Beute sein

Auf das Prinzip Hoffnung sollte sich kein Unternehmen verlassen. Wer die genannten zehn Problemfelder kennt und diese systematisch angeht, hat wirksame Schritte umgesetzt, um Angriffsversuche frühzeitig zu erkennen und Gegenmaßnahmen einzuleiten. Im Idealfall sind diese Sicherheitsmaßnahmen so effektiv, dass Angreifergruppen ihre Bemühungen frühzeitig abbrechen oder zumindest zeitnah entdeckt werden – ein Trend, den Incident-Response-Teams erfreulicherweise immer häufiger beobachten.

Über den Autor

Leonard Rapp ist Security Engineer (DFIR – Digital Forensics and Incident Response) bei G DATA Advanced Analytics.

(ID:50395590)