Der Rüstungskonzern Ruag hat der Hackergruppe Akira Lösegeld bezahlt. Cybersecurity-Experten warnen, dass der Fall Nachahmer anziehen und den Konzerne stärker ins Visier von Erpressern rücken könnte.

Die Experten Marc Ruef und Candid Wüest kommen im Interview auf 20minunten zu Wort.

Verbessern wir die Cybersecurity gemeinsam.

Gehackt wurden die Systeme der Ruag-Tochterfirma Ruag LLC in den USA. Wie kann eine Ransomware-Gruppe wie Akira überhaupt in die Systeme eines sicherheitsrelevanten Konzerns eindringen?

Das ist eine gute Frage. Obwohl ein Unternehmen im Sicherheitsbereich tätig ist, heisst es nicht, dass es die bestmöglichen Massnahmen gegen Cyberangriffe trifft. Akira ist dafür bekannt banale Schwachstellen auszunutzen. Dazu gehören kompromittierte Fernzugriffe, gestohlene Zugangsdaten, ungepatchte Systeme und Phishing-Mails.

Herr Rötheli sagt, man habe «alle Daten zurückerhalten». Was bedeutet eine solche Aussage technisch betrachtet überhaupt?

Das «Zurückerhalten» von Daten ist technisch nicht möglich, da es sich sowohl beim Diebstahl als auch bei der nachträglichen Bereitstellung immer nur um eine Kopie handelt. Es ist denkbar, dass die Angreifer auf das Vernichten der gestohlenen Daten verzichten und stattdessen eine Kopie behalten.

Wenn Daten einmal aus einem Unternehmensnetzwerk exfiltriert wurden: Gibt es eine Möglichkeit nachzuweisen, dass keine Kopien mehr existieren?

Daten sind per Definition ohne Logik. Sie selbst können also kein Selbstverständnis für ihre eigene Existenz haben. Es ist faktisch nicht beweisbar, dass keine Kopie von Daten mehr existiert.

Kann ein Unternehmen jemals sicher sein, dass gestohlene Daten nicht erneut für Erpressungsversuche verwendet oder später veröffentlicht werden?

In der Tat ist dies einer der Gründe, warum man keine Lösegeldzahlung bei Datendiebstahl machen sollte. Durch die Lösegeldzahlung zeigt man, dass einem die Daten wichtig sind und man zur Zahlung bereit ist. Sodann ist es ein Leichtes für einen Angreifer hart zu verhandeln oder gar eine neuerliche Zahlung einzufordern.

Wie hoch schätzen Sie das Risiko ein, dass gestohlene Daten trotz Zahlung später wieder auftauchen?

Ransomware-Gangs tun gut daran sich als zuverlässige «Geschäftspartner» darzustellen. Ihre Erfolgsaussichten für Zahlungen sind umso höher, wenn man ihren Abmachungen Glauben schenken will. Gleichzeitig basiert ihr Geschäftsmodell auf Lug und Betrug. Gerade wenn sich Gruppierungen auflösen oder neu formieren, ist es nicht unüblich, dass bisher getroffene Abmachungen ignoriert werden. Es verbleibt also immer ein Restrisiko, dass die Daten nicht doch noch mal irgendwo auftauchen.

Mit der Zahlung wird nun öffentlich bekannt, dass die Ruag auf die Forderungen der Angreifer eingegangen ist. Macht das das Unternehmen aus Sicht von Cyberkriminellen zu einem attraktiveren Ziel für weitere Angriffe?

Definitiv. Es ist die beste Werbung an die Kriminellen: «Bei uns lohnt es sich was zu holen». Eine Lösegeldzahlung durchzuführen ist aus verschiedenen Gründen nicht empfehlenswert. Diese dann aber auch noch öffentlich eizugestehen ist zu vermeiden.

Besteht die Gefahr, dass eine solche Zahlung Nachahmer oder andere Ransomware-Gruppen anzieht?

Ja, auch andere Gruppierungen werden ihre Möglichkeit wittern. Bei Cybercrime geht es um Wirtschaftlichkeit: Mit möglichst wenig Aufwand möglichst viel Geld umzusetzen. Aus diesem Grund wird sich auf lohnenswerte Ziele konzentriert, die von ihrer IT stark abhängig sind und ein schwaches Sicherheitsniveau aufweisen.

Was müssten laut Ihnen die Folgen und Massnahmen bei der Ruag sein?

Kompromittierungen gilt es durch altbekannte Massnahmen, wie regelmässige Upgrades und Antiviren-Lösungen zu verhindern. Die Isolation von Netzwerken und Systemen hilft Zugriffe auf sensitive Bereiche einzuschränken. Durch ein aktives Monitoring sollten Datenabflüsse, gerade wenn sie grosse Datenmengen umfassen oder über längere Zeit geschehen, frühzeitig erkannt werden. Und ein durchdachtes Backup-Konzept verhindert, dass die eigenen Daten unbrauchbar gemacht werden.

Der Bund rät Unternehmen grundsätzlich davon ab, auf Lösegeldforderungen einzugehen. Wenn nun ausgerechnet die RUAG bezahlt hat: Welche Glaubwürdigkeit hat diese Empfehlung noch? Zahlen in der Praxis alle Firmen, egal ob bundesnah oder nicht?

Nach Möglichkeiten sollte nicht gezahlt werden, um das kriminelle Geschäftsmodell nicht lohnenswert zu machen. Es gibt ganz wenige taktische Ausnahmen, warum Zahlungen sinnvoll sind. Zum Beispiel dann, wenn Zeit gewonnen werden muss, um eine autonome und nachhaltige technische Lösung zu etablieren, um bestehende oder absehbare Kompromittierungen einzudämmen.

Links

• https://candid.ch/cv
• https://scip.ch/publikationen/flyer/scip_company-flyer_plusTeams_2024_v01-de.pdf
• https://www.20min.ch/story/experten-zu-ruag-fall-loesegeld-an-hacker-gezahlt-bestes-signal-an-kriminelle-103577851
• https://www.ruag.ch/de
• https://www.scip.ch/?team.maru

Tags