Melani warnt KMU vor Ransomware

Die Melde- und Analysestelle Informationssicherheit (Melani) hat vor einem erhöhten Sicherheitsrisiko durch Ransomware gegen KMU's gewarnt. Vereinzelt seien Lösegeldforderungen in Millionenhöhe gestellt worden, ohne dass eine Garantie bestehe, dass der Erpresser die Daten wieder entschlüssle.

In den vergangenen Wochen habe Melani mehr als ein Dutzend sogenannte Ransomware-Fälle bearbeitet. Dabei hätten unbekannte Täter die Systeme von Kleinen- und Mittleren Unternehmen (KMU) und Grossbetrieben verschlüsselt und damit unbrauchbar gemacht, teilte Melani am Mittwoch mit.

Bei der technischen Analyse der Vorfälle habe sich gezeigt, dass die IT-Sicherheit der betroffenen Unternehmen oftmals lückenhaft gewesen sei und die üblichen «best-practices» nicht vollständig eingehalten worden seien. Zudem seien auch Warnmeldungen von Behörden nicht beachtet worden.

Melani weist aufgrund der Vorfälle auf eine Reihe von Schwachstellen hin, die sich als Einfallstor für die Cyberangriffe herauskristallisiert haben. So seien etwa Warnmeldungen von Antivirensoftware, dass auf Servern Malware gefunden worden sei, von den Unternehmen entweder nicht bemerkt oder nicht ernst genommen worden. In wenigen Fällen sei überhaupt keine Antivirensoftware installiert gewesen.

Oftmals seien Fernzugriffe auf Systeme, sogenannte Remote-Zugänge, nur mit einem schwachen Passwort geschützt und der Eingang nur standardmässig eingestellt gewesen. Melani empfiehlt, sämtliche Fernzugänge wie etwa VPN oder Terminalserver mittels Zwei-Faktor-Authentisierung abzusichern.

Meldungen von Behörden oder von Internet Service Providern über allfällige Infektionen seien von den betroffenen Unternehmen ignoriert oder nicht ernst genommen worden. Infektionen seien somit nur teilweise oder gar nicht bereinigt worden, was in vielen Fällen zu einer kompletten Verschlüsselung des Unternehmensnetzwerkes geführt habe.

Viele Unternehmen hätten zudem nur über Online-Backups verfügt, die nicht vom System abgekoppelt zur Verfügung gestanden hätten. Bei einem Befall mit Ramsomware seien diese somit ebenfalls entweder verschlüsselt oder unwiderruflich gelöscht worden. Empfohlen wird, regelmässig eine Sicherungskopie, ein Backup, der Daten zu erstellen. Das Medium, auf dem die Sicherungskopie erstellt wurde, sollte nach dem Backup-Vorgang physisch vom Computer beziehungsweise dem Netzwerk getrennt werden.