Onlime hilft dir
Hast du am 12. Mai 2017 die Nachrichten verfolgt?
Dann hast du wahrscheinlich von WannaCry gehört, dem damals größten Cyberangriff in der Geschichte des Internets. Die Schadsoftware breitete sich schnell auf den Computern von Privatpersonen und Unternehmen aus. Betroffen waren Telefónica und weitere große Unternehmen in Spanien, FedEx, die Deutsche Bahn, Maersk sowie Unternehmen in mehr als 150 Ländern.
Die Folgen eines solchen Angriffs sind enorm, und der Schaden lässt sich kaum überblicken.
WannaCry ist nur einer von vielen Ransomware-Angriffen, die seit dem Auftauchen der ersten Ransomware vor fast 30 Jahren großen Schaden angerichtet haben. Wenn du bisher verschont geblieben bist, drück die Daumen und lies weiter.
Wir erklären dir, wie du dich am besten vor Ransomware schützt und den Verlust wertvoller Dateien vermeidest.
Was ist Ransomware?
Ransomware ist eine fortgeschrittene Form von Malware. Nach einer Infektion verhindert sie den Zugriff auf Dateien, bis ein Lösegeld gezahlt wird. Oft bekommen Betroffene auch nach der Zahlung keinen Zugriff zurück.
Damit die Behörden ihnen schwerer folgen können, akzeptieren die Kriminellen hinter Ransomware Kryptowährungen als Lösegeld, vor allem Bitcoin. Bitcoin-Überweisungen lassen sich nicht auf dieselbe Weise verfolgen wie gewöhnliche Banküberweisungen.
Der Name verbindet die beiden Wörter „ransom“, auf Deutsch Lösegeld, und „malware“, den Sammelbegriff für Schadsoftware.
Grob lassen sich 3 Arten von Ransomware unterscheiden:
Verschlüsselungs-Ransomware
Verschlüsselungs-Ransomware verschlüsselt mit einem Algorithmus die Dateien auf dem betroffenen Gerät. Für den Schlüssel zum Entschlüsseln der Dateien soll die betroffene Person Lösegeld zahlen.
Hier sind zwei Beispiele für Verschlüsselungs-Ransomware:
Der berüchtigte CryptoLocker
Als CryptoLocker auftauchte, wurde er nicht ohne Grund als „the nastiest malware ever“ bezeichnet.
Die Verantwortlichen verdienten mit CryptoLocker rund 3 Millionen Dollar. Der Schaden war erheblich. CryptoLocker ließ sich zwar vergleichsweise leicht entfernen, doch die verschlüsselten Dateien auf den Computern der Opfer waren praktisch nicht zu entschlüsseln. Mehrere Betroffene berichteten später, dass sie ihre Dateien auch nach der Lösegeldzahlung nicht zurückbekamen.
CryptoLocker verbreitete sich auf PCs mit Microsoft Windows. Meist gelangte die Schadsoftware über Anhänge in E-Mails auf die Geräte, darunter PDFs sowie Word- und Excel-Dateien, die scheinbar von vertrauenswürdigen Unternehmen stammten.
CryptoLocker verbreitete sich vom 5. September 2013 bis Ende Mai 2014 über das sogenannte Botnetz Gameover ZeuS. Mehr über Botnetze erfährst du weiter unten. Interpol, das FBI und weitere Beteiligte legten das Botnetz schließlich still.
CryptoWall
CryptoWall ist der Nachfolger von CryptoLocker und noch gefährlicher.
CryptoWall verbreitete sich schnell stärker als CryptoLocker. Nach Angaben des FBI hatte die mutmaßlich verantwortliche Gruppe bis Juni 2015 bereits 325 Millionen Dollar verdient.
CryptoWall wurde seit seinem ersten Auftreten bis zur Version 4.0 weiterentwickelt.
Sperr-Ransomware
Sperr-Ransomware versperrt Betroffenen den Zugang zu ihrem Gerät. Sie können dann nicht mehr auf das System, ihre Dateien oder andere Daten zugreifen. Die verantwortlichen Kriminellen verlangen Lösegeld, um den Zugang wieder freizugeben.
Ein Beispiel ist Ransomware mit vorgetäuschten Polizeimeldungen.
Im Jahr 2012 verbreitete sich eine Ransomware-Welle, die sich als Mitteilung der Polizei ausgab, um Betroffene einzuschüchtern. Die Schadsoftware sperrte den Computer und zeigte anschließend eine Nachricht an. Darin wurde behauptet, die betroffene Person habe durch ihre Aktivitäten im Internet gegen mehrere Gesetze verstoßen und müsse deshalb eine „Geldstrafe“ zahlen.
Solche Einschüchterungsversuche sind bei diesen Angriffen verbreitet. Angst bringt Menschen dazu, zu handeln, ohne vorher nachzudenken.
Bleib deshalb aufmerksam, wenn eine E-Mail bei dir vor allem Schuldgefühle, Hoffnung auf einen Gewinn oder Einsamkeit auslöst. Starke Gefühle können uns zu schnellen Reaktionen verleiten. Genau darauf setzen die Kriminellen, weil sie unsere Schwächen kennen.
Lies auch: Onlimes beste Computertipps des Jahrzehnts 2010–2020
Leakware
Leakware, auch Doxware genannt, ist eine Form von Malware. Dabei drohen die Verantwortlichen, persönliche und private Dateien wie Fotos zu veröffentlichen.
Leakware kann mit einer anderen Ransomware-Art kombiniert werden, die deine Dateien sperrt. Zur Verschlüsselung kommt dann die Drohung hinzu, vertrauliche Inhalte zu veröffentlichen.
In einer Zeit, in der die unerlaubte Verbreitung von Nacktbildern viel Aufmerksamkeit erhält, ist Leakware eine weitere Gefahr für die Privatsphäre. Ein solcher Angriff erfordert allerdings einigen Aufwand. Deshalb sind Politiker, bekannte Persönlichkeiten und Führungskräfte besonders gefährdet.
Das waren einige der verschiedenen Arten von Ransomware. IT-Kriminelle entwickeln ihre digitalen Werkzeuge laufend weiter, um Menschen wie dich anzugreifen. Wenn du die Infektionswege kennst, kannst du sie besser vermeiden. Deshalb solltest du verstehen, wie sich Ransomware verbreitet.
Wie verbreitet sich Ransomware?
IT-Kriminelle nutzen verschiedene Methoden, um Geräte zu infizieren. Du solltest diese Methoden kennen, damit du sie erkennst, wenn du ihnen begegnest. Die erste kommt dir wahrscheinlich bekannt vor.
Phishing (gefälschte Nachrichten)
Beim Phishing versuchen IT-Kriminelle, ihr Opfer zu einer bestimmten Handlung zu bewegen. Sie wollen etwa vertrauliche Angaben erbeuten oder jemanden dazu bringen, einen infizierten Link oder Anhang zu öffnen. Das ist ein häufiger Infektionsweg für Ransomware.
Bei Phishing-Angriffen geben sich die Kriminellen als eine andere Person oder eine vermeintlich vertrauenswürdige Stelle aus, zum Beispiel als deine Bank, ein Paketdienst oder eine Behörde.
In einer E-Mail können sie etwa behaupten, von deiner Steuerbehörde zu sein. Sie schreiben dir, dass du Geld aus deiner Steuerabrechnung zurückbekommst und es über einen Link anfordern kannst. Klicke nicht darauf, sondern lösche die E-Mail sofort.
Eine weitere Phishing-Masche ist der CEO-Betrug. Dabei gibt sich ein Betrüger als Geschäftsführer eines Unternehmens aus und schickt Beschäftigten E-Mails mit Links, die Ransomware enthalten.
Phishing findet nicht nur per E-Mail statt. Die Methode kommt auch per SMS, dann „Smishing“ genannt, in Chats und über soziale Medien vor. IT-Kriminelle folgen den Menschen dorthin, wo sie ihre Zeit im Internet verbringen. Vielleicht hast du schon einmal eine merkwürdige Nachricht auf Facebook erhalten. Sei vorsichtig, denn sie muss nicht von einem Freund stammen.
Gehe grundsätzlich vorsichtig mit Nachrichten um. Öffne nie einen Link oder Anhang, wenn du nicht völlig sicher bist, dass du dem Inhalt vertrauen kannst. Kommt dir eine Nachricht von einer bekannten Person oder einem vermeintlich vertrauenswürdigen Absender auch nur leicht verdächtig vor, frage auf einem anderen Weg nach, zum Beispiel telefonisch.
Wenn du nicht sicher bist, ob eine E-Mail echt ist, kannst du dich an uns wenden. Wir erkennen gefälschte E-Mails meist schnell 🙂
Sicherheitslücken in Software
Überlege kurz, wie viele Programme du auf deinem Computer, Smartphone und vielleicht auch Tablet installiert hast.
Dazu können Flash, Microsoft Office, Spotify, Skype, verschiedene Apps und vieles mehr gehören.
Jedes Programm kann Sicherheitslücken enthalten, die IT-Kriminelle ausnutzen. Je mehr Software du verwendest, zum Beispiel Apps auf deinem Smartphone, desto größer ist die Angriffsfläche für Ransomware.
Halte deine Programme und Apps immer aktuell.
Softwareanbieter entdecken laufend Sicherheitslücken und veröffentlichen Patches, also Aktualisierungen zur Fehlerbehebung. Behalte diese Updates im Blick und aktualisiere deine Geräte regelmäßig.
Sei außerdem vorsichtig mit Software unbekannter Anbieter. Prüfe beispielsweise genau, welche Apps du herunterlädst. Der Anbieter schließt Sicherheitslücken möglicherweise nur langsam oder gar nicht.
Eine Möglichkeit besteht darin, webbasierte Versionen deiner Programme zu verwenden. Du kannst zum Beispiel Word Online über Onlime nutzen und musst Word dann nicht auf deinem Computer installieren.
Infizierte („kompromittierte“) Websites
IT-Kriminelle können Websites einrichten, die Ransomware verbreiten.
In der Praxis funktioniert das so: Die Website wurde von den Kriminellen selbst eingerichtet oder gehackt und enthält ein sogenanntes Exploit-Kit. Dieses Werkzeug sucht nach einer Sicherheitslücke auf dem Computer oder einem anderen Gerät des Opfers. Findet es eine Lücke in der Software, kann es das Gerät mit Ransomware infizieren.
Exploit-Kits können ein Gerät automatisch beim Besuch einer schädlichen Website infizieren. Das Opfer muss dafür nicht erst selbst auf einen Download klicken.
Auf drei typischen Wegen kannst du auf eine infizierte Website gelangen:
- Du klickst in einer Phishing-E-Mail auf einen schädlichen Link, der zu einer infizierten Website führt.
- Du klickst auf einer seriösen Website auf eine Anzeige, die dich zu einer infizierten Website weiterleitet.
- Du besuchst eine ehemals seriöse Website, die von IT-Kriminellen gehackt wurde und nun zu einer infizierten Website weiterleitet. Nach Angaben des Sicherheitsunternehmens Sophos entfallen 82 % aller infizierten Websites auf diesen Fall.
Achte deshalb darauf, dass deine gesamte Software, darunter Computerprogramme und Apps, immer auf dem neuesten Stand ist.
Drive-by-Angriffe
Bei einem „Drive-by-Angriff“ wird das Opfer infiziert, ohne selbst aktiv etwas dafür zu tun.
Die oben beschriebenen infizierten Websites mit Exploit-Kits sind eine Form dieses Angriffs.
Malvertising
Malvertising verbindet die Wörter „malware“ und „advertising“. IT-Kriminelle verbreiten dabei Schadsoftware über Onlineanzeigen.
Sie schleusen über Werbenetzwerke Anzeigen auf ansonsten seriöse Websites. Die Anzeigen führen zum Beispiel zu einer infizierten Website.
Die große US-Zeitung The New York Times war 2009 von einem Malvertising-Angriff betroffen. Viele Besucher der Website sahen daraufhin ein Pop-up mit der Warnung, ihr Computer sei mit einem Virus infiziert. Ein Link im Pop-up gab vor, zu einem Antivirenprogramm zu führen. Tatsächlich führte er zu Schadsoftware.
Auch Spotify war von Malvertising betroffen. Nutzer sahen eine Anzeige, die im Browser eine infizierte Website öffnete. Manche Anzeigen sind also nicht nur störend, sondern können unmittelbar schädlich sein.
Weitere Informationen zu Malvertising findest du auf dieser Seite von Google.
Botnetze
Ein Botnetz ist eine Gruppe von Computern oder anderen elektronischen Geräten, die von IT-Kriminellen kontrolliert und für schädliche Handlungen eingesetzt werden. Auch dein Computer kann unbemerkt Teil eines Botnetzes sein.
Ein Computer in einem Botnetz wird als „Zombie“ bezeichnet. Das hat nichts mit den übernatürlichen Wesen aus Horrorfilmen zu tun. Kriminelle nutzen Zombie-Computer, um Daten zu stehlen, schädliche Handlungen auszuführen oder beides gleichzeitig zu tun.
Die Mitgliedschaft in einem Botnetz ist nicht dasselbe wie eine Infektion mit Ransomware. IT-Kriminelle können einen Zombie-Computer jedoch nutzen, um Ransomware als Spam an Millionen Menschen zu verschicken.
Die Infektionswege für Botnetz-Malware gleichen denen von Ransomware, zum Beispiel über schädliche Links.
Ein mögliches Anzeichen für ein Botnetz ist, dass dein Computer langsam wird und verzögert reagiert.
Mit einem guten Anti-Malware-Programm kannst du deinen Computer prüfen und die Botnetz-Malware in vielen Fällen entfernen. Eine Garantie gibt es nicht, aber die Prüfung ist ein guter Anfang.
Welche Folgen hat Ransomware?
Ransomware-Angriffe treffen Privatpersonen, Unternehmen und öffentliche Einrichtungen. Wenn deine Dateien verschlüsselt werden, ist das in jedem Fall belastend.
Als Privatperson kannst du etwa unersetzliche Familienfotos verlieren, wenn sie verschlüsselt werden. Fotos und Videos gehören für viele Menschen zu den wertvollsten Bestandteilen ihres digitalen Lebens. Erinnerungen aus der Vergangenheit wieder anzusehen, bedeutet ihnen viel. Daneben können auch wichtige Dokumente, Verträge und andere Dateien unbrauchbar werden. Für Privatpersonen wiegen oft vor allem die persönlichen Verluste schwer. Bei Unternehmen kommen weitere Folgen hinzu.
Unternehmen und Organisationen besitzen häufig viele Dateien, die verschlüsselt werden können. Außerdem sind mehrere Computer über ein Netzwerk miteinander verbunden. Ransomware kann sich dadurch weiter ausbreiten und größere Schäden verursachen als auf einem einzelnen Gerät. Für ein Unternehmen kann das finanzielle Folgen haben und im schlimmsten Fall sogar Arbeitsplätze gefährden.
Ein Beispiel aus dem öffentlichen Bereich sind die Krankenhäuser der Region Süddänemark. Sie waren innerhalb von nur zwei Monaten zweimal von Ransomware betroffen. Daraufhin schickte die Region 20.000 Beschäftigte zu einer Schulung über IT-Sicherheit. Der Kurs sollte ihre Fähigkeit stärken, Gefahren zu erkennen, die zu einer Ransomware-Infektion führen können. Schon der Fehler einer einzigen Person kann einem Angriff den Weg öffnen und weitreichende Folgen für viele Menschen haben.
Auch der NHS, der staatliche Gesundheitsdienst in England, wurde von Ransomware getroffen. Dort mussten unter anderem Operationen abgesagt werden. Verantwortlich war WannaCry, der damals größte Ransomware-Angriff.
WannaCry traf auch französische Autofabriken wie Renault. Mehrere Werke mussten daraufhin ihre Produktion einstellen.
Region Süddänemark
Finanzielle Folgen von Ransomware
Ransomware verursacht weltweit hohe finanzielle Schäden. Dazu gehören gezahlte Lösegelder sowie Produktionsausfälle, Ausfallzeiten und weitere Schäden bei Unternehmen und Organisationen.
Nach Angaben von Microsoft verursachten Ransomware-Angriffe bereits 2015 Schäden in Höhe von 325 Millionen Dollar. Danach nahm die Zahl solcher Angriffe weiter zu. Ein Cisco-Bericht aus dem Jahr 2016 bezifferte den jährlichen Anstieg auf 350 %.
Das Sicherheitsunternehmen Cybersecurity Ventures schätzte die durch Ransomware verursachten Schäden für 2017 auf 5 Milliarden Dollar. Das war mehr als das Fünfzehnfache des Werts von 2015.
Unterschiedliche Lösegeldforderungen
Im Jahr 2016 verlangten die Kriminellen hinter Ransomware durchschnittlich 679 Dollar, um die Dateien ihrer Opfer wieder freizugeben.
Die Höhe des Lösegelds schwankt stark. Bei gezielten Angriffen auf bestimmte Organisationen oder Unternehmen werden häufig größere Summen gefordert.
Ein südkoreanischer Webanbieter sollte 1 Million Dollar für die Freigabe seiner IT-Systeme zahlen. Bei dem Unternehmen waren 153 Linux-Server mit mehr als 3.400 Kundenwebsites gesperrt worden.
Der Angriff war damit nicht nur für den Webanbieter verheerend. Auch dessen Geschäftskunden mussten Ausfallzeiten ihrer Websites hinnehmen.
Obwohl meist davon abgeraten wird, entschied sich das südkoreanische Unternehmen für die Zahlung. Zu viele Daten und ein zu großer Teil des Geschäftsbetriebs standen auf dem Spiel.
Auch wenn die Kriminellen hinter Ransomware ein zynisches „Geschäftsmodell“ betreiben, gibt es Fälle, in denen sie mit ihren Opfern verhandeln.
Im Fall des südkoreanischen Webanbieters boten die Verantwortlichen eine Zahlung in drei Raten an. Das Unternehmen hatte das Lösegeld zugleich von 1,62 Millionen Dollar heruntergehandelt.
Wie skrupellos die Täter vorgehen, zeigte auch der Angriff auf ein Krankenhaus. Dort belief sich die Forderung auf fast 3,7 Millionen Dollar.
Die Lösegeldsummen fallen also sehr unterschiedlich aus. Besonders hoch sind sie häufig bei Angriffen auf Organisationen und Unternehmen.
Wer steckt hinter Ransomware?
Die Einstiegshürde für IT-Kriminelle, die Ransomware verbreiten wollen, ist sehr niedrig.
Für nur 39 Dollar lässt sich eine unbefristete Lizenz für Software kaufen, mit der Ransomware an unzählige Menschen verteilt werden kann.
Dieses Modell heißt Ransomware as a Service (RaaS). Wer einen Angriff durchführen will, muss dadurch kein versierter Hacker sein. Hinter Ransomware steht deshalb nicht nur eine einzelne Person, sondern eine große Zahl von Tätern.
Ransomware-as-a-Service-Lizenzen werden im Dark Web verkauft. Dieser Teil des Internets lässt sich nur mit spezieller Software oder besonderen Konfigurationen erreichen, nicht mit einem gewöhnlichen Browser allein.
Im Dark Web können IT-Kriminelle anonym illegale Waren verkaufen und austauschen, darunter Waffen, Drogen und in diesem Fall Lizenzen für Ransomware.
Es gibt mehrere Ransomware-Familien und häufig mehrere Gruppen hinter jeder Familie. Von Dezember 2015 bis Dezember 2016 stieg die Zahl der Ransomware-Familien um 600 %.
Eine besonders bekannte Gruppe sind die Shadow Brokers. Diese Hackergruppe ermöglichte den großen WannaCry-Angriff, indem sie eine von der NSA entdeckte Sicherheitslücke in Windows veröffentlichte.
Die Shadow Brokers sind dafür bekannt, Sicherheitslücken zu veröffentlichen, die andere Kriminelle für Angriffe auf Unbeteiligte nutzen können. Sie geben solche Lücken über das bereits erwähnte Dark Web weiter und verkaufen sie dort auch.
Die Shadow Brokers machen demnach Sicherheitslücken zugänglich, die andere Hacker ausnutzen können. Ob die Gruppe selbst Ransomware-Angriffe ausgeführt hat, ist nicht bekannt.
Die Verantwortlichen sind schwer zu ermitteln, vor allem weil das Lösegeld in der anonym verwendeten Kryptowährung Bitcoin gezahlt wird.
Zu einigen Angriffen sind dennoch Einzelheiten bekannt:
- CryptoWall 4.0 wurde nach Angaben des Sicherheitsunternehmens Bitdefender von Servern in Russland verteilt. Das bedeutet nicht zwingend, dass die Verantwortlichen von dort stammten. Lediglich die Server, von denen die Computer der Opfer CryptoWall herunterluden, befanden sich in Russland.
- WannaCry wurde möglicherweise von Hackern mit fließenden Chinesischkenntnissen entwickelt, wie Forscher von Flashpoint berichteten. Andere vermuteten einen Ursprung in Nordkorea. Die Flashpoint-Forscher fanden jedoch Hinweise darauf, dass die koreanische Fassung aus einer anderen Sprache übersetzt worden war. Sie untersuchten 28 Sprachversionen der Nachricht, die 300 Dollar in Bitcoin verlangte. Nur die englische und die chinesische Version wirkten, als seien sie von Menschen verfasst worden.
Außerdem ist ein bestimmter russischer Mann für die massive Verbreitung von CryptoLocker bekannt.
Evgeniy Bogachev: Russlands berüchtigtster Hacker und der Mann hinter dem Botnetz „Gameover ZeuS“
Evgeniy Bogachev gilt als Drahtzieher hinter CryptoLocker und dem Botnetz „Gameover ZeuS“, über das CryptoLocker in großem Umfang verbreitet wurde.
Das FBI setzte für Hinweise, die zu seiner Festnahme führen, eine Belohnung von 3 Millionen Dollar aus. Damit wurde Bogachev zum meistgesuchten IT-Kriminellen.
Auf dem Höhepunkt kontrollierte Bogachev mehr als eine Million Computer weltweit. Er nutzte sie unter anderem, um Geld von den Bankkonten ahnungsloser Privatpersonen und Unternehmen abzuziehen. Über dieses Netzwerk verschickte er außerdem CryptoLocker in großem Umfang.
Die USA beobachten Bogachev für den Fall, dass er Russland verlässt. Obwohl er zuvor mit drei gefälschten Pässen international gereist war, gilt das als unwahrscheinlich, weil er dort offenbar gut geschützt ist.
Nach Angaben US-amerikanischer Nachrichtendienste arbeitet Bogachev mit der russischen Regierung zusammen. Diese dulde seine IT-Kriminalität, um ihre Spionagemöglichkeiten auszubauen.
Konkrete Täter lassen sich bei der weltweiten IT-Kriminalität nur schwer benennen. Manche Menschen werden unwissentlich zu Helfern, während andere gegen einen kleinen Anteil an der Beute mitmachen, fast wie beim Kauf einer Aktie. In der digitalen wie in der physischen kriminellen Welt spielen Ethik und Moral kaum eine Rolle.
Wie hat sich Ransomware im Lauf der Zeit entwickelt?
Ransomware hat sich seit dem ersten Angriff deutlich verändert. Einige Angriffe sind dabei besonders aufgefallen.
Der erste Angriff: der „AIDS-Trojaner“
Obwohl Ransomware für viele Menschen noch ein neuer Begriff ist, ereignete sich der erste Angriff bereits 1989, noch bevor es E-Mails gab. Er wurde als AIDS-Trojaner bekannt. Der Begriff „Trojanisches Pferd“ geht auf die antike griechische Erzählung zurück, in der Odysseus nach einer zehnjährigen Belagerung die Stadt Troja durch eine List einnimmt. In der IT bezeichnet das gleiche Prinzip Programme, die ihre wahre Absicht verbergen, um Computer zu infizieren.
Ein „Trojaner“ ist in der Computerwelt ein schädliches Programm, das seine Opfer täuscht, indem es seinen wahren Zweck verschleiert.
Die Geschichte des AIDS-Trojaners begann bei einer internationalen AIDS-Konferenz der WHO. Dort kamen Menschen aus aller Welt zusammen, auch aus Dänemark. Alle Teilnehmenden erhielten ein Paket von einer Organisation namens „PC Cyborg Organization“. Darin lag eine Diskette mit der Aufschrift „AIDS Information - Introductory Diskettes“.
Für die Konferenzteilnehmer wirkte die Sendung plausibel. Sie hatten an einer AIDS-Konferenz teilgenommen und erhielten nun vermeintliches Informationsmaterial zu der Krankheit.
Die insgesamt 20.000 Disketten enthielten tatsächlich ein Programm, das anhand der Antworten in einer interaktiven Umfrage das persönliche Risiko einer HIV-Infektion bewerten konnte. Sie enthielten jedoch auch den später so genannten AIDS-Trojaner. Dieses Virus verschlüsselte die Dateien des Opfers, nachdem der PC 90-mal gestartet worden war.
Nach der Verschlüsselung erschien eine Nachricht auf dem Bildschirm. Das Opfer sollte 189 Dollar Lösegeld an ein Postfach in Panama schicken.
Mehrere Merkmale unterschieden den AIDS-Trojaner von heutiger Ransomware:
- Er verbreitete sich über Disketten statt etwa über E-Mails oder Links.
- Das Lösegeld wurde in einer klassischen Währung, dem Dollar, statt in der digitalen Währung Bitcoin verlangt.
- Das Geld musste physisch verschickt und konnte nicht elektronisch überwiesen werden.
Der AIDS-Trojaner hatte schwere Folgen für Privatpersonen und besonders für Hunderte medizinische Forschungseinrichtungen, an die die Disketten gezielt versandt worden waren. Nach Angaben von The Independent verlor eine italienische AIDS-Organisation durch den Virus zehn Jahre Arbeit.
Wer steckte hinter dem AIDS-Trojaner?
Der Mann hinter dem Trojaner entsprach nicht dem Bild eines typischen Kriminellen aus schwierigen Verhältnissen mit Vorstrafen.
Es war Dr. Joseph L. Popp, ein Biologe mit einem Doktortitel von Harvard. Welche Motive ihn dazu brachten, seinen Schadcode zu verbreiten, bleibt unklar.
Die Geschichte wirkt widersprüchlich. Viele Opfer hatten an der internationalen AIDS-Konferenz der Weltgesundheitsorganisation teilgenommen. Popp selbst arbeitete in Kenia in Teilzeit als Berater für dieselbe Organisation und forschte aktiv zu AIDS.
Die britische Zeitung The Guardian vermutete, sein Motiv sei eine abgelehnte Bewerbung bei der Gesundheitsorganisation gewesen. Der Richter folgte letztlich jedoch der Erklärung, Popp sei psychisch krank gewesen.
Popp wurde rechtzeitig gefasst. Ein späterer Bericht zeigte, dass er weitere 2 Millionen Disketten verteilen wollte.
Der Angriff bereitete dennoch den Boden für die zerstörerischen Ransomware-Angriffe, die bis heute Privatpersonen, Unternehmen und Organisationen weltweit treffen.
Sechs Jahre nach dem Angriff wurde eine Gruppe von Verschlüsselungsverfahren entwickelt, die als „Public-Key-Kryptografie“ bezeichnet wird. Diese Technik bildet einen Grundpfeiler vieler Ransomware-Verschlüsselungen.
Nach diesem ersten Angriff folgt nun die Ransomware-Attacke mit den bis dahin größten Auswirkungen: WannaCry.
Der damals größte Ransomware-Angriff: WannaCry
WannaCry traf mehr als 150 Länder. Bei Privatpersonen, Unternehmen, Behörden und Organisationen wurden Daten verschlüsselt.
Der Angriff begann am 12. Mai und breitete sich in kürzester Zeit aus. Sobald ein IT-System betroffen war, wurden seine Dateien verschlüsselt. WannaCry gehörte damit zur Verschlüsselungs-Ransomware.
Wie bei anderen Ransomware-Angriffen sollte das Opfer Lösegeld in Bitcoin zahlen, in diesem Fall 300 Dollar, um seine Dateien entschlüsseln zu lassen.
WannaCry unterschied sich von gewöhnlichen Ransomware-Angriffen, weil die Infektion automatisch erfolgen konnte. Eine vorherige Handlung des Nutzers war nicht nötig. Der Angriff nutzte eine Schwachstelle im SMB-Protokoll von Windows-Systemen, auf denen ein Sicherheitsupdate fehlte.
Die NSA hatte die Schwachstelle entdeckt. Später wurde sie gestohlen und von der Hackergruppe Shadow Brokers veröffentlicht.
WannaCry vermittelte eine wichtige Lektion: Halte die Software deiner IT-Systeme immer aktuell. Microsoft hatte schon vor dem Angriff ein Update veröffentlicht, das die von WannaCry ausgenutzte Lücke schloss. Viele Infektionen wären durch die Installation dieses Updates vermeidbar gewesen.
WannaCry hatte einen Nachfolger, den manche für noch gefährlicher als WannaCry hielten.
Dieser Nachfolger hieß Petya und konnte auch sehr große Unternehmen treffen, darunter den Konzern Maersk.
Petya verbreitete sich effektiver. Der Angriff konnte entweder dieselbe Windows-Schwachstelle wie WannaCry oder zwei Verwaltungswerkzeuge von Windows nutzen.
Für die Infektion einer ganzen Organisation reichte ein einziger PC mit der Schwachstelle aus. Petya konnte diesen PC befallen und sich von dort auf andere Computer ausbreiten, selbst wenn diese die Schwachstelle nicht aufwiesen.
Für ein riesiges Unternehmen wie Maersk verursachte der Ransomware-Angriff einen kaum vorstellbaren finanziellen Schaden.
Maersk transportiert weltweit jeden siebten Container. Nach dem Angriff musste das Unternehmen 80.000 Server und 1.100 IT-Systeme auf Petya prüfen.
Nach rund 5 Tagen hatte sich Maersk so weit erholt, dass das Unternehmen wieder Buchungen annehmen konnte.
Auch der europäische Baustoffkonzern Saint-Gobain verlor eine enorme Summe.
Was hilft gegen Ransomware?
Dieser ausführliche Artikel hat mit vielen konkreten Beispielen gezeigt, wie schwer ein Ransomware-Angriff Privatpersonen und Unternehmen treffen kann. Nun geht es um die Maßnahmen, mit denen du dich schützen, einen Angriff verhindern oder Ransomware entfernen kannst.
Ein zuverlässiges Backup nutzen
Der wichtigste Schutz vor Ransomware ist ein zuverlässiges Backup.
Mit einem Backup kannst du deine Daten, also Dateien und andere Inhalte, wiederherstellen, selbst wenn Ransomware sie verschlüsselt hat. Mit einem aktuellen und zuverlässigen Backup musst du dir weniger Sorgen um den Verlust deiner Dateien machen. Der Aufwand durch den Angriff bleibt natürlich bestehen.
Wenn du nur wenige Dateien hast, kannst du sie manuell auf einer externen Festplatte oder einem USB-Stick sichern.
Eine externe Lösung bietet aus mehreren Gründen mehr Schutz:
- Ein extern aufbewahrtes Backup liegt getrennt von deinem Computer. Ransomware kann sich dadurch nicht vom Computer auf diese Sicherung ausbreiten.
- Ein externer Dienst kann dein Backup automatisch erstellen. So bleibt es aktuell, und dir fehlen bei einer Wiederherstellung nicht die Dateien, die seit der letzten Sicherung hinzugekommen sind.
Mehr über Backup mit Onlime erfahren
Antivirus und Anti-Malware: Schutz vor Ransomware
Neben einem Backup kannst du verschiedene Programme auf deinem Computer installieren, um Ransomware vorzubeugen.
Am bekanntesten sind wahrscheinlich Antivirus- und Anti-Malware-Programme, die oft eine monatliche oder jährliche Gebühr kosten. Darüber haben wir bereits in unserem Artikel über den umfassenden Schutz deiner IT geschrieben.
Antivirus- und Anti-Malware-Programme helfen nicht nur gegen Ransomware, sondern auch gegen andere Gefahren für deine IT. Viele moderne Bedrohungen sind Malware und keine klassischen Viren. Deshalb ist Anti-Malware-Software häufig die passendere Wahl.
Es gibt kostenlose Anti-Malware-Programme, die ausreichenden Schutz bieten. Je nach deinen Anforderungen kann sich auch eine kostenpflichtige Lösung lohnen.
Mehr über Antivirus auf unserer Themenseite erfahren
Vorsicht im Internet
Eine der wichtigsten Maßnahmen gegen Ransomware und andere IT-Gefahren ist ein vorsichtiger Umgang mit dem Internet.
Vertraue einem Absender erst, wenn du dir seiner Identität sicher bist. Das gilt für jede Kommunikation, die nicht von Angesicht zu Angesicht stattfindet:
- In sozialen Medien, etwa bei Nachrichten im Facebook Messenger, auf Snapchat, Instagram oder in Dating-Apps
- Per E-Mail, auch wenn die Nachricht scheinbar von einer Behörde oder bekannten Person stammt, denn Absender lassen sich fälschen
- Per SMS
Über all diese Wege können IT-Kriminelle unseren hektischen Alltag ausnutzen und Nachrichten nachahmen, auf die wir oft automatisch reagieren.
Mit Vorsicht und etwas Bedacht kannst du viele gefälschte Nachrichten erkennen. Achte besonders auf diese typischen Merkmale:
- Rechtschreibfehler
- Schlechte Grammatik
- Übertriebener Einsatz von Angst oder Zeitdruck
- Verdächtige oder unbeholfene Sprache
Wenn eine Nachricht solche Merkmale aufweist, solltest du vorsichtig sein. Wahrscheinlich ist sie gefälscht.
Hast du eine gefälschte Nachricht erkannt, kannst du Folgendes tun:
- Öffne keine Links oder Anhänge in der Nachricht. Sie sind ein häufiger Infektionsweg für Ransomware und andere Schadsoftware.
- Frage beim angeblichen Absender über einen anderen Kanal nach, ob die E-Mail echt ist.
- Gib vertrauliche Angaben nur auf sicheren Websites ein, die HTTPS statt HTTP verwenden. Sende außerdem niemals auf Aufforderung in einer Nachricht Geld oder vertrauliche Angaben.
Wenn du im Internet und bei deiner Kommunikation aufmerksam bleibst, senkst du dein Risiko einer Ransomware-Infektion.
Solltest du das Lösegeld zahlen?
Von einer Lösegeldzahlung wird dringend abgeraten. Mit einer Zahlung gibst du IT-Kriminellen einen Anreiz, ihre Straftaten fortzusetzen. Außerdem weißt du nicht, ob du deine Daten danach tatsächlich zurückbekommst, und riskierst, dein Geld zu verlieren.
Fazit
Ransomware ist Schadsoftware, die Dateien verschlüsselt und Lösegeld für ihre Freigabe verlangt. Diese Bedrohung hat Privatpersonen, Unternehmen und Organisationen in den vergangenen Jahren Schäden in Milliardenhöhe verursacht. Selbst eines der größten dänischen Unternehmen, Maersk, war betroffen. Niemand ist grundsätzlich außer Gefahr.
Du kannst einem Angriff auf mehreren Wegen vorbeugen und seine Folgen begrenzen:
- Bewahre ein zuverlässiges Backup auf.
- Ziehe Antivirus- oder Anti-Malware-Software in Betracht.
- Bewege dich vorsichtig im Internet.
Unsere 5 Tipps zum Schutz vor IT-Kriminellen bieten eine kurze Checkliste.
Wenn du Fragen zu Ransomware hast, kannst du dich an unseren Kundenservice wenden.
Danke fürs Lesen 🙂