Ransomware-Schutz für KMU — was wirklich hilft
Warum kleine und mittelständische Unternehmen im Fokus stehen
Ransomware trifft längst nicht mehr nur Konzerne. Im Gegenteil: Angreifer arbeiten heute weitgehend automatisiert, scannen ganze IP-Bereiche nach erreichbaren Diensten und nehmen mit, was sich öffnen lässt. Ein Handwerksbetrieb mit 25 Mitarbeitern im Landkreis Göppingen ist dabei genauso ein Ziel wie ein Maschinenbauer im Raum Stuttgart — nur dass er den Ausfall wirtschaftlich meist schlechter verkraftet.
Der typische Ablauf ist erschreckend gleichförmig. Der Einstieg erfolgt über eine ungepatchte Fernwartung, ein schwaches Kennwort an einem VPN-Zugang oder einen Anhang, den ein Mitarbeiter im Tagesgeschäft öffnet. Danach vergehen selten Stunden, sondern eher Tage: Die Angreifer sehen sich in Ruhe im Netz um, sichern Zugangsdaten, suchen die Backupserver — und verschlüsseln erst zum Schluss, oft am Wochenende oder in der Nacht auf einen Feiertag.
Genau deshalb greifen einzelne Schutzmaßnahmen zu kurz. Ein Virenscanner allein erkennt die Verschlüsselung, wenn sie bereits läuft. Entscheidend ist, dem Angriff vorher die Wege zu nehmen. In der Praxis sind das vier Dinge: eine saubere Segmentierung des Netzwerks, konsequentes Patchmanagement, Mehr-Faktor-Authentifizierung an jedem Zugang von außen und ein Backup, an das der Angreifer schlicht nicht herankommt.
Die Segmentierung ist dabei der Punkt, der am häufigsten fehlt. Wenn Server, Clients, Drucker und die Maschinensteuerung im selben flachen Netz liegen, kann sich Schadsoftware ungebremst ausbreiten. Eine Next Generation Firewall zwischen den Segmenten begrenzt den Schaden auf den Bereich, in dem der Angriff begonnen hat — und macht ihn im Monitoring überhaupt erst sichtbar.
Das Backup entscheidet, ob aus dem Vorfall eine Katastrophe wird
Wenn die Verschlüsselung durch ist, zählt nur noch eine Frage: Kommen Sie an saubere Daten? Angreifer wissen das und suchen gezielt nach Sicherungen. Ein Backup, das über eine Netzwerkfreigabe erreichbar ist, wird mitverschlüsselt. Ein Backup, das auf demselben Hypervisor liegt, ebenfalls. Belastbar ist nur eine Sicherung, die außerhalb der Reichweite des kompromittierten Netzes liegt — offline, unveränderlich oder in einem separaten Rechenzentrum.
Wir setzen bei unseren Kunden deshalb auf eine dezentrale Sicherung nach der 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine außer Haus. Die Sicherung ins Rechenzentrum läuft dabei in eine Richtung — der Kundenserver darf schreiben, aber nichts löschen. Selbst mit administrativen Rechten im Kundennetz kommt ein Angreifer an diese Kopien nicht heran.
Und dann kommt der Teil, den fast alle überspringen: der Wiederherstellungstest. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung, keine Sicherheit. Wir prüfen bei unseren Wartungskunden regelmäßig, ob sich ein Server tatsächlich innerhalb der vereinbarten Zeit wieder betreiben lässt — und wie lange es wirklich dauert. Die Zahl überrascht die meisten Geschäftsführer beim ersten Mal.
Sie möchten wissen, wo Ihr Unternehmen steht? Wir schauen uns Netz, Zugänge und Sicherung gemeinsam an und sagen Ihnen klar, welche drei Dinge zuerst anzupacken sind. Sprechen Sie uns an — wir sind in Stuttgart, Nürtingen, Kirchheim unter Teck und im Landkreis Göppingen für Sie unterwegs.
Weitere Beiträge
