Welche Schichten sind bei einem Ransomware-Angriff wirklich Pflicht — Priorität im Kleinbetrieb?

Verabschieden Sie sich heute Abend von der Methode, einmal pro Woche manuell auf eine externe Festplatte zu sichern. In den meisten Fällen, die uns begegnet sind, war diese externe Festplatte meist am Server angeschlossen und vergessen und wurde im Angriffsmoment zusammen mit der Hauptdatenbank verschlüsselt. Die Backup-Umgebung muss logisch oder physisch vollständig vom Betriebssystem getrennt sein. Wenn ein Angreifer in Ihr System eindringt, sucht er zuerst nach angeschlossenen Backup-Laufwerken.

Es gibt drei Dinge, die ihr am Montagmorgen erledigen könnt, ohne auch nur einen Cent auszugeben: 1) Keine offenen Ports von außen auf den Server lassen, den Remote-Desktop-Port im Router sofort dichtmachen. 2) Den Benutzern die lokalen Admin-Rechte entziehen. 3) Zwei-Faktor-Authentifizierung für alle E-Mail-Konten zur Pflicht machen. Ein Großteil der Ransomware schleicht sich genau über diese drei Schwachstellen ein.

Wir haben letztes Jahr in unserem 18-köpfigen Büro einen ganz ähnlichen Prozess durchgemacht. Insgesamt haben wir 52.000 TL ausgegeben: Ein autarkes NAS-Gerät mit zwei Einschüben, Cold-Cloud-Speicher für Backups und eine zentrale Antivirus-Lizenz für 20 Benutzer. Den Zugriff auf den Buchhaltungsserver haben wir auf genau die 3 zuständigen Rechner beschränkt. Vor zwei Monaten hat dann tatsächlich ein Mitarbeiter eine verseuchte Rechnungsdatei geöffnet, aber weil er keine lokalen Admin-Rechte hatte, blieb die Verschlüsselung auf ein paar temporäre Dateien auf seinem Desktop beschränkt – der Hauptdatenbank ist absolut nichts passiert.

Wir synchronisieren den Buchhaltungsordner mit einem gemeinsamen Cloud-Laufwerk. Wenn sich jetzt ein Virus auf dem Rechner einnistet und diese Dateien verschlüsselt erkennt die Cloud das dann einfach als neue Version und lädt die verschlüsselte Fassung hoch oder gilt das schon als Backup?

Um die Frage unseres neuen Mitglieds zu beantworten: Ja, Synchronisations-Tools erkennen die verschlüsselte Datei als Änderung und laden sie sofort in die Cloud hoch. Man kann über den Versionsverlauf der Cloud-Anbieter zwar ältere Stände wiederherstellen, aber bei Tausenden von Dateien dauert das tagelang, und manchmal sind auch die Versionen beschädigt. Synchronisation ist kein Backup; gegen Ransomware braucht man versionierte, unveränderliche ("write-once") und strikt einseitige Backups, auf die ausschließlich die Backup-Software Schreibrechte hat.

Seid skeptisch, wenn Berater euch sofort vorschlagen, eure 80.000 Lira in teure Hardware und bunte Boxen zu versenken. Man kann noch so fortschrittliche Geräte kaufen – wenn ein Mitarbeiter mit Admin-Rechten auf eine Phishing-Mail hereinfällt, wird das meiste davon einfach umgangen. Bei kleinen Teams ist die wichtigste Sicherheitsinvestition keine teure Hardware, sondern ein striktes Rechtemanagement und Offline-Backups.

was eurem Nachbarn passiert ist war echt ein Warnschuss zur rechten Zeit da seid ihr quasi mit einem blauen Auge davongekommen und naja solange einem so etwas nicht selbst passiert wiegt man sich mit einer externen Festplatte halt in falscher Sicherheit. euer Budget reicht für 22 Leute eigentlich völlig aus lasst euch da keine Angst machen. statt euch mit Hardware zuzuschütten, sichert erst mal die Daten ab, der Rest kommt Schritt für Schritt.

Das Fazit der Runde ist eindeutig: 1) Schluss mit manuellen Backups auf externe Festplatten – oberste Priorität hat ein isoliertes, unveränderliches Backup-System. 2) Offene RDP-Ports nach außen schließen und Zwei-Faktor-Authentifizierung aktivieren – das ist der erste Schutzwall zum Nulltarif. 3) Lokale Admin-Rechte entziehen, damit sich ein Befall nicht ausbreiten kann. Mit dem restlichen Budget sollten dann eine saubere Netzwerktrennung und zentrale Sicherheitslizenzen umgesetzt werden.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt. Das war's, entschuldige, wenn ich zu lang war.

Du hast recht, ich bin denselben Weg gegangen. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ich würde mich freuen wenn du das Ergebnis postest.

Ich schreibe kurz, wie das in der Praxis gemacht wird. Ein nicht getestetes Backup ist kein Backup.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System. Das war's, entschuldige, wenn ich zu lang war.

ein Thema das gerade aktuuell ist.

Kannst du das etwas genauer erklären? Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr. Das war's, entschuldige, wenn ich zu lang war.

Betrachtet man den Prozess, ändert sich das Bild. Fehler auf der ransomware vorbeugung-Seite sind meist rückgängig zu machen aber teuer.

An deiner Stelle würde ich so vorgehen.

Danke fürs Schreiben, das ist genau richtig. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Nur als Notiz, könnte nützlich sein.

Da hast du recht. Lösungen die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen das habe ich spät gelernt.

Aus Erfahrung weiß ich das.

Kurzfassung für Neueinsteiger: Überstürzte Entscheidungen sind oft solche die man sechs Monate später korrigieren muss.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.