Microsoft Security
Irgendwo wird gerade ein Vorstand über Ransomware informiert. Der CISO erläutert Schritt für Schritt, was passiert ist, was es gekostet hat und welche Maßnahmen als Reaktion ergriffen wurden. Das Briefing ist korrekt. Es verfehlt dennoch das Ziel. Das Gespräch, das die meisten Vorstände über Ransomware führen, setzt am falschen Punkt an: beim Vorfall selbst – nicht beim System dahinter.
Das wichtigste Gespräch über Ransomware findet nicht in Security Operations Centern statt. Es findet im Vorstandszimmer statt.
Zu viele Ransomware-Briefings beginnen erst im Moment der Verschlüsselung. Zu diesem Zeitpunkt befindet sich der Angriff bereits in der Endphase. Der Erstzugriff wurde vermutlich schon Wochen zuvor erworben. Anmeldedaten wurden abgegriffen. Seitliche Bewegungen blieben unbemerkt. Die Organisation wurde nicht ganz plötzlich ein Angriffsziel. Es gibt einen industrialisierten kriminellen Marktplatz, der eigens darauf ausgelegt ist, Organisationen wie die Ihre zu finden und sich zunutze zu machen.
Diese Unterscheidung ist wichtig, denn sie beeinflusst, worin Vorstände investieren.
Wenn sich Vorstände nur auf den Vorfall am Endpunkt konzentrieren, priorisieren sie logischerweise die Wiederherstellung nach dem Angriff. Wiederherstellung ist enorm wichtig. Doch Wiederherstellung allein ändert nichts an der Ökonomie der Angreifer. Organisationen, die Ransomware einen Schritt voraus sind, konzentrieren sich nicht nur darauf, Störungen abzufedern. Sie investieren, um die Angriffskette zu unterbrechen, bevor Schaden entsteht.
Dieser Wandel wird immer wichtiger, denn Ransomware hat sich zu einer ausgereiften kriminellen Ökonomie entwickelt.
Heute braucht man zur Ausführung raffinierter Angriffe keine raffinierten Angreifer mehr. Erstzugriffe lassen sich so einfach kaufen wie ein Schokoriegel am Automaten. Phishing-as-a-Service-Plattformen werden im Abo verkauft – genau wie Streaming- oder Unterhaltungsdienste. Malware-Signaturdienste helfen schädlichem Code, legitim zu wirken. KI beschleunigt Aufklärung, Personalisierung und Social Engineering in jeder Phase des Angriffslebenszyklus.
Die CISOs mit dem größten Einfluss auf Ihre Vorstände liefern nicht einfach nur detailliertere Threat Briefings. Sie präsentieren Ransomware nun als operatives und wirtschaftliches Risiko.
Und so funktioniert es.
1. Bei diesem Gespräch geht es nicht nur um Sicherheitsrisiken, sondern um Geschäftsrisiken.
Ransomware verursacht gleichzeitig ein operatives, ein finanzielles, ein Reputations- und ein Kontinuitätsrisiko. Vorstände sind sich durchaus der Risiken in Lieferketten und auf dem Markt bewusst. Bei Ransomware ist das nicht anders. Sobald ihnen das klar wird, verschiebt sich die Frage von „Wie erholen wir uns schneller?“ zu „Wie reduzieren wir unser Risiko, bevor es zu einer Störung kommt?“ Beides ist wichtig. Aber nur eines verändert die Ökonomie des Angriffs.
Das Ransomware-Ökosystem funktioniert heute mit der Effizienz eines ausgereiften Marktes: gemeinsame Infrastruktur, spezialisierte Dienstleister und KI-gestützte Taktiken senken die Kosten für Angreifer in jeder Phase. Microsofts Zerschlagung von Fox Tempest macht das sehr deutlich. Es handelte sich nicht um einen Ransomware-Akteur. Es handelte sich um geteilte Infrastruktur, die von Hunderten krimineller Operationen genutzt wurde, um bösartige Payloads als legitim erscheinen zu lassen. Ihre Stilllegung schwächte die Funktionalität im gesamten Ökosystem zugleich. Verteidiger müssen genauso vorgehen und die geteilte Angreifer-Infrastruktur frühzeitig ins Visier nehmen, anstatt nur zum Zeitpunkt des Schadens zu reagieren.
Organisationen, die hier einen Schritt voraus sind, setzen auf Identitätsschutz, die Erkennung von Access Brokern, Transparenz der Angriffspfade und kontinuierliche Informationen, um Ransomware bereits vor der Ausführung zu stoppen – ergänzt durch Resilienz-Investitionen, die im Ernstfall die Wiederherstellung sichern.
Jede Organisation wird ins Visier genommen. Der entscheidende Unterschied ist nicht, ob es zu einem Angriff kommt, sondern ob es der Organisation gelingt, die Auswirkungen einzudämmen, den Betrieb aufrechtzuerhalten und sich ohne gravierende Geschäftsschäden zu erholen. Dafür braucht es Investitionen in Business Continuity und Disaster Recovery (BCDR), unveränderliche und segmentierte Backups, Strategien zur Eindämmung kompromittierter Identitäten sowie Tests zur operativen Wiederherstellung. Und es bedeutet, das Richtige zu messen: nicht nur die Wiederherstellungszeit, sondern auch das Intervall zwischen Erstkompromittierung und Eindämmung. Dieses Zeitfenster entscheidet darüber, ob aus einem Angriff eine geschäftliche Krise wird.
Vorstände sind sich durchaus der Risiken in Lieferketten und auf dem Markt bewusst. Bei Ransomware ist das nicht anders. Sobald ihnen das klar wird, verschiebt sich die Frage von „Wie erholen wir uns schneller?“ zu „Wie reduzieren wir unser Risiko, bevor es zu einer Störung kommt?“
Microsoft beobachtet und veröffentlicht seit 2020 Erkenntnisse zum Ransomware-as-a-Service-Ökosystem.
Die reaktive Strategie, die 2020 sinnvoll war, reicht heute nicht mehr aus. Und eine Vorstandsdebatte, die in der Bedrohungslandschaft von 2020 feststeckt, reicht ebenfalls nicht mehr aus.
Jede Woche bis September kartiert Microsoft die Cybercrime-Landschaft in Echtzeit und veröffentlicht Erkenntnisse, die unsere Bedrohungsanalysten über mehr als 65 finanziell motivierte Akteure in einem koordinierten kriminellen Ökosystem beobachten. Hot Cybercrime Summer wurde entwickelt, um genau diese Art von Intelligence sichtbar zu machen: übersetzt in die Sprache, die Sicherheitsverantwortliche brauchen, um handeln zu können, und aufbereitet für diejenigen, die die Reaktion finanzieren.
Folgen Sie der Serie. Und bringen Sie diese Erkenntnisse in Ihr nächstes Gespräch mit dem Vorstand ein. Die Karte liegt vor. Die Frage ist, ob Ihr Unternehmen sie nutzt. Microsoft Security-Blog | Ransomware-Threat Intelligence
CISOs werden persönlich für Risiken verantwortlich gemacht, für die ihren Vorständen noch keine Daten zur Bewertung vorliegen. Diese Lücke zu schließen, ist eine der wichtigsten Aufgaben, die eine Security-Führungskraft übernehmen kann.“
Microsoft Security folgen