Verbot von Lösegeldzahlungen kommt – Ban on ransom payments coming

Die US-Regierung will nun Nationalstaaten davon überzeugen, kein Lösegeld mehr für Ransomware zu zahlen. Damit soll das Geschäftsmodell der Cyberkriminellen ausgetrocknet werden. Zudem sollen Staaten, die Ransomware indirekt unterstützen, international isoliert und die entsprechende Infrastruktur zerschlagen werden. Dies könnte der erhoffte Startschuss für ein weltweites Verbot von Lösegeldzahlungen für Ransomware sein.

Oft greifen Unternehmen in der Not zu diesem letzten Mittel, um ihre gekaperten Daten und Systeme freizukaufen. Dieser Notausgang wird immer riskanter. Schon bald müssen Unternehmen damit rechnen, dass neben den Ausfallkosten auch rechtliche Risiken durch Ransomware auf sie zukommen. Sie sollten daher ihre Abwehrstrategie vom Perimeterschutz stärker auf Cyber-Resilienz ausrichten. Damit ist die Fähigkeit gemeint, auch während eines erfolgreichen Angriffs die wichtigsten Geschäftsprozesse aufrechtzuerhalten und parallel den Angriff zu analysieren. Dies kann mit Hilfe der folgenden Tipps erreicht werden:

1. Moderne Datensicherheits- und Datenmanagementlösungen erstellen regelmäßige Backups aller Produktionsdaten in unveränderlichen Snapshots. Diese bilden den Lebenszyklus der Live-Daten ab und zeigen den Zustand von gestern, von letzter Woche, von letztem Monat oder sogar von letztem Jahr. Dadurch können Systeme und Daten in einem sauberen Zustand wiederhergestellt werden.

2) Unternehmen sollten einen datenzentrierten Schwerpunkt auf Cyber-Resilienz legen. Sie müssen sicherstellen, dass ihre Daten aus verschiedenen Server- und Speicherumgebungen zusammengeführt werden. Einheitliche Governance-, Erkennungs-, Reaktions- und Wiederherstellungsfunktionen können ein hohes Maß an Resilienz gewährleisten.

3. Unternehmen müssen genau wissen, welche IT-Prozesse und Daten am wichtigsten sind und wie sie miteinander zusammenhängen. Dazu müssen die Systeme in Resilienz-Kategorien priorisiert werden. Die höchste Kategorie umfasst die wichtigsten Daten, Systeme und Prozesse, deren Verlust oder Ausfall den größten wirtschaftlichen Schaden verursachen würde. Diese sollten besonders genau überwacht und auf hohe Ausfallsicherheit ausgelegt werden, z. B. durch kurze Backup-Intervalle und hochsichere Speicher.

4) Moderne Datenmanagement- und Sicherheitslösungen überwachen diese Systeme und ihren aktuellen Zustand mit Hilfe von KI. Trendanalysen zeigen, wie sich das Datenvolumen verhält und ob es Abweichungen vom Normalbetrieb gibt. In diesem Fall werden die Verantwortlichen sofort alarmiert, um die Indikatoren auf mögliche Angriffe zu untersuchen.

5) Mithilfe forensischer Analysen können Unternehmen Artefakte von Cyberattacken aufspüren und den Weg der Angreifer nachverfolgen. Dazu analysieren sie die Files der Snapshots hinsichtlich Konfigurationsänderungen, neue Fake-Accounts oder Malware-Fragmente. Auf Basis der gewonnenen Erkenntnisse können sie sämtliche Spuren der Malware entfernen und ihre Schwachstellen schließen, um erneute Angriffe zu vermeiden.

James Blake, EMEA CISO bei Cohesity, erklärt: „Ransomware ist ein epochales Ereignis in der Informationssicherheit: Die Auswirkungen müssen reduziert und idealerweise eine hohe Widerstandsfähigkeit erreicht werden. Wenn Organisationen Angriffen widerstehen, entziehen wir den Gegnern die Mittel, nicht durch Gesetze. Eine grundlegende Änderung der Sichtweise von Unternehmen auf das Verhältnis von Schutz/Erkennung und Reaktion/Wiederherstellung ist der Punkt, an dem wirklich ein Mehrwert erzielt wird. Unterstützende Rechtsvorschriften – auch die DORA-Verordnung der EU – werden zu einem weitaus besseren Cyber-Risikomanagement führen.“

The U.S. government now wants to convince nation states to stop paying ransoms for ransomware. This should dry up the cybercriminals‘ business model. In addition, states that indirectly support ransomware should be internationally isolated and their infrastructure dismantled. This could be the hoped-for starting point for a global ban on ransomware payments.

Companies often resort to this last resort in an emergency, paying ransom for their hijacked data and systems. This last resort is becoming increasingly risky. In addition to the cost of downtime, companies will soon face legal risks from ransomware. As a result, they should shift their defense strategy from perimeter protection to cyber resilience. Cyber resilience is the ability to maintain critical business processes even during a successful attack, while analyzing the attack. This can be achieved with the following tips:

1. Modern data protection and data management solutions create regular backups of all production data in immutable snapshots. These represent the lifecycle of live data and show the state of yesterday, last week, last month, or even last year. This allows systems and data to be restored to a clean state.

2) Organizations should have a data-centric focus on cyber resilience. They need to ensure that their data from multiple server and storage environments is consolidated. Unified governance, detection, response and recovery capabilities can ensure a high level of resilience.

3. Organizations must understand which IT processes and data are most important and how they are interrelated. This requires prioritizing systems into resiliency categories. The highest category includes the most critical data, systems and processes whose loss or failure would cause the greatest economic damage. These should be closely monitored and designed for high resilience, such as short backup intervals and highly secure storage.

4) Modern data management and security solutions use AI to monitor these systems and their current state. Trend analysis shows how data volumes are behaving and whether there are any deviations from normal operation. If so, managers are immediately alerted to investigate the indicators for possible attacks.

5) Using forensic analytics, organizations can detect artifacts of cyberattacks and trace the path of attackers. To do this, they analyze snapshot files for configuration changes, new fake accounts, or malware fragments. Based on the findings, they can remove all traces of the malware and close its vulnerabilities to prevent renewed attacks.

James Blake, EMEA CISO at Cohesity, explains, „Ransomware is an epochal event in information security: the impact must be reduced and, ideally, high resilience achieved. When organizations resist attacks, we deprive adversaries of resources, not legislation. A fundamental shift in how organizations view the relationship between protection/detection and response/recovery is where real value is added. Supportive legislation – including the EU’s DORA regulation – will lead to far better cyber risk management.“