Ransomware - Best Practice gegen Lösegeld-Trojaner

„Alle Ihre Dateien auf diesem Computer wurden verschlüsselt" - mit solchen Schreckensnachrichten melden sich Erpresser-Trojaner, nachdem sie durch die Infiltration eines Rechners dessen Inhalte verschlüsselt haben. Die Schad-Programme drohen, die Daten nur gegen eine Geldzahlung wieder freizugeben oder unwiderruflich zu löschen. Diese auch als Ransomware bekannte „Lösegeld-Software“ blockiert einen Rechner oder Server und fordert den Benutzer auf, Geld zu zahlen, um einen Code zu erhalten, mit dem die Daten wieder entschlüsselt werden. Für Unternehmen können die Kosten für den Systemausfall und den dadurch erzwungenen Stillstand des Tagesgeschäfts sehr hoch sein. In diesem Fall zu bezahlen, ist dennoch nicht ratsam. Die Schad-Software verbleibt dann im System und kann dieses bald wieder neu blockieren oder die Daten trotz Zahlung dennoch nicht freigeben.

Um sich vor Ransomware - den sogenannten Lösegeld-Trojanern - zu schützen, helfen neben bspw. Sophos Intercexpt X auch schon einige Best Practice Tipps, mit denen Unternehmen das Risiko eines Angriffs deutlich reduzieren, wenn sich alle Mitarbeiter daran halten. 

Komplexe Passwörter verwenden

Dass Kennwörter wie 1234 oder „Passwort“ eben nicht sicher sind, haben zahlreiche Datendiebstähle und Statistiken, die genau solche Begriffe wie die am häufigsten verwendeten Kennwörter entlarven, bewiesen. Selten nutzen Anwender komplexe Kennwörter und wenn, dann meistens kurze, die sie dann für beinahe jeden Account verwenden.

Komplexe Passwörter müssen jedoch nicht unbedingt schwer zu merken sein. Sie sind aber schwer zu erraten und Tools, die beliebige Zahlen- und Buchstabenkombinationen randomisiert anwenden, um Logins zu knacken, „erraten“ solche komplexen Passwörter nicht so einfach. Eine hilfreiche Methode, um solche komplexen Passwörter zu generieren, die sich Nutzer aber dennoch leicht merken können, ist das Einbeziehen von Sätzen. Aus dem Satz „Ich trinke früh gern Kaffee“ kann durch Weglassen der Leerzeichen, Hinzufügen von Zahlen und Sonderzeichen leicht ein Begriff mit hohem Sicherheitsstandard werden, beispielsweise so: IchTrinke4rühGernKaffee!!

Anwender können auf diese Weise starke Passwörter erstellen und diese für jedes Login bei verschiedenen Anwendungen, Systemen oder Endgeräten etwas abwandeln. Für das betriebliche Notebook kann beispielsweise noch _NP an die Phrase angehängt werden.

Kennwörter über einen Passwortmanager verwalten

Trotz des oben beschriebenen Tricks zum Erstellen sicherer Kennwörter kann die Anzahl an Logins, die viele im Alltag und Beruf verwenden, es schwer machen, sich all diese Passwörter zu merken. Hilfreich ist hierbei ein Passwortmanager, in dem sich die Kennwörter speichern lassen. Dieser funktioniert ähnlich wie ein Tresor. Hier werden neu erstellte Kennwörter abgespeichert und diese hinterlegt der Passwortmanager dann verschlüsselt in einer Cloud oder auf einem Server. Der Passwortmanager selbst kann dann nur durch ein komplexes Masterpasswort „geöffnet“ werden, sodass Nutzer sich nicht mehrere Kennwörter für jede Anwendung merken müssen, sondern nur noch eines für den Kennwort-Tresor. Ist die Eingabe eines Kennworts für eine Anwendung erforderlich, dann erscheint ein Pop-Up-Fenster, in welches der Nutzer das Masterpasswort eingeben muss und das Tresor-Programm ruft dann den für den jeweiligen Dienst erforderlichen Zugriff ab.

Verwenden mehrstufiger Authentifizierungen

Unbedingt zu empfehlen ist eine mehrstufige Authentifizierung (MFA), wo es möglich ist. Diese nutzt mehrere (meist zwei) Identitätsnachweise. Logins oder Anmeldungen erfolgen hier nicht nur durch die Eingabe eines Passworts, sondern erfordern noch zusätzlich eine zweite Bestätigung, etwa die Eingabe eines per Push-Benachrichtigung an eine App auf dem Smartphone zugesendeten Codes, einen SMS-Code oder eine biometrische Erkennung. Der mehrstufige Anmeldeprozess im System erhöht die Sicherheit des Netzwerks enorm und erschwert den Zugriff durch Unbefugte deutlich. Sinnvoll ist eine solche mehrstufige Authentifizierung etwa bei einem Passwortmanager, sodass nicht nur das Masterpasswort des Programms, sondern zusätzlich ein weiterer wechselnder Code nötig ist, um die gespeicherten Passwörter zu verwenden.

Zugriffsrechte beschränken, um Ransomware zu stoppen

Administratoren sollten den Benutzerkonten nur die Zugriffsrechte gewähren, die wirklich erforderlich sind. Wird dann ein Benutzeraccount gehackt, so hat der Angreifer nur Zugriff auf Dateien, die dieser in seinen Möglichkeiten und Rechten eingeschränkte Account einsehen kann. Über die Sophos Central ist es beispielsweise einfach möglich, verschiedene Benutzerrollen zu definieren und deren Rechte mit wenigen Klicks individuell festzulegen.

Backups – Daten regelmäßig sichern

Das regelmäßige Erstellen von Backups ist ein nützliches Werkzeug, um Daten wiederherzustellen, sollten diese durch einen Angreifer gelöscht oder durch Ransomware verschlüsselt werden. Wichtig ist es hierbei, die Backups dort zu speichern, wo Cyberkriminelle diese nicht finden können – also außerhalb des Netzwerks, etwa offline oder in vom Netzwerk getrennten Systemen.

Da das manuelle Erstellen solcher Sicherheitskopien aber mit viel Aufwand verbunden wäre, empfiehlt es sich, Backups automatisiert generieren zu lassen. Sophos UTM unterstützt das regelmäßige Erstellen von Kopien aller wichtigen Daten und Einstellungen:

1. Im Bereich WebAdmin unter „Verwaltung“ und „Sichern/Wiederherstellen“ kann die automatische Sicherungen konfiguriert werden.
2. Durch das Klicken auf den Auswahlschalter wird die automatische Sicherung aktiviert.
3. Nun wird das Statussymbol grün und es können weitere Einstellungen in den Bereichen „Optionen“ und „Backups per E-Mail senden“ geändert werden.
4. Die Wahl eines Intervalls, in welchem die Backups erfolgen sollen, ist möglich, etwa täglich, wöchentlich und monatlich. Ebenso kann die maximale Anzahl der zu speichernden Backups gewählt werden. Sobald das Maximum erreicht ist, löscht Sophos die ältesten Backups.
5. Ebenso ist es möglich, ergänzend manuelle Backups zu erstellen. Diese werden dann nicht automatisiert gelöscht.
6. Mit einem Klick auf „Übernehmen“ werden die Einstellungen gespeichert.

Patches frühzeitig installieren

Aus Sorge darüber, dass das Betriebssystem nach einem Update Probleme bereiten könnte oder weil die Aufforderung zum Neustart gerade ungelegen kommt, installieren Nutzer nicht alle Patches oder lassen den Abschluss der Installation erst mit Verzögerung zu. Die Updates sollten aber frühzeitig installiert werden, denn sie schließen wichtige Sicherheitslücken, die es Angreifern ermöglichen, Exploits in das Netzwerk einzuschleusen oder Schadcodes auf einem Rechner auszuführen, die sich dann im System ausbreiten. Bei Windows betreffen die Patches nicht nur das Betriebssystem selbst, sondern auch darauf laufende Anwendungen, wie das Office Paket oder den Internet-Explorer Edge. Da Angreifer oft auf die verspätete Installation der Patches spekulieren und dadurch bekannte Einfallstore nutzen, sollten Verzögerungen bei Updates möglichst vermieden werden.

Remote Desktop Protocol (RDP) deaktivieren

Dieses Netzwerk-Protokoll ermöglicht einen Fernzugriff auf ein System und insbesondere die Übertragung der aktuellen Bildschirminhalte sowie die Bereitstellung von Ein- und Ausgabefunktionen eines Rechners. Da sich mehrere große Ransomware-Angriffe auf das RDP konzentriert haben, sollte dieses deaktiviert werden, wenn es nicht benötigt wird. Remotedesktop-Verbindungen können über die Systemsteuerung unterbunden werden. Alternativen dazu sind VPN-Netzwerke mit einer Zwei-Faktoren-Authentifikation. 

Schützen Sie sich mit Sophos Central Intercept X Advanced with EDR/ for Server

Vorab genannte Maßnahmen geben Mitarbeitern und Unternehmen guten passiven Schutz. Erfahrungen zeigen jedoch leider, dass nicht jeder Mitarbeiter die genannten Maßnahmen nutzt oder nutzen möchte. Denn soviel ist fakt, fast jede passive Sicherheit ist aufwändiger in der täglichen Nutzung und Menschen sind bequem. So gehen oft Angriffe von Rechnern der Leitungsebene oder von Administratoren aus. Dort sind höhere Zugriffsrechte hinterlegt und Best Practice Maßnahmen werden nicht umgesetzt. Es ist nicht leicht für die IT-Abteilung in der Geschäftsführung aufwändige Maßnahmen umzusetzen und deren Einhaltung mit Nachdruck einzufordern. Aber auch hier ist die Kette so stark wie ihr schwächstes Glied und der Impact für das gesamte Unternehmen kann riesig sein. Deshalb hilft letztlich nur ein umfassender Schutz durch Firewall & Endpoint Schutz von Rechnern und Servern. Mit einer Sophos Firewall und Sophos Central Intercept X Advanced und Intercept X Advanced for Server with EDR werden diese umfassend und sicher gegen Cyberangriffe und Ransomware geschützt. Zum Thema Endpoint Protection – sparen Sie nicht an der falschen Stelle. Wenn wir für Sophos sprechen könnten, würden wir die normale Endpoint Protection, ohne verhaltensbasierten Schutz sofort aus dem Programm nehmen, da er schlichtweg nicht mehr zeitgemäß ist. Signatur-basierter Schutz ist gegen moderne Bedrohungen nicht mehr effektiv wirksam, da Zero-Day-Exploits nicht erkannt werden können. Es ist jedoch wesentlich teurer das Unternehmen nach einem erfolgreichen Angriff wieder arbeitsfähig zu kriegen als eine Vorabinvestition in einen guten Endpoint Schutz. Deshalb empfehlen wir immer Sophos Central Intercept X Advanced mit EDR – gehen Sie bei der Sicherheit Ihres Unternehmens keine Kompromisse ein.