Daten in Geiselhaft: Helfen Versicherungen bei Ransomware-Angriffen?

Cyberattacken, bei denen kritische Daten und Systeme mittels Ransomware verschlüsselt und erst gegen ein hohes Lösegeld wieder entschlüsselt werden, sorgen regelmäßig für Schlagzeilen. Ins Visier der Kriminellen geraten dabei Unternehmen, aber auch Kommunen oder öffentliche Einrichtungen. Zwar raten Experten davon ab, Geldforderungen zu erfüllen, gerade für Unternehmen ist das aber oft genug der einfachste, schnellste und auch günstigste Weg, den Zugriff auf ihre Daten zurückzuerlangen. Um die Kosten möglichst gering zu halten, schließen sie Cyber-Versicherungen ab, die die Zahlung von Lösegeld beinhalten. Ob das die richtige Option ist und wie Unternehmen ihr Risiko für Ransomware-Angriffe verringern können, weiß Dr. Dieter Kehl, Director Sales DACH bei OpenText / Carbonite + Webroot.

Cyberkriminalität ist ein blühendes Geschäft und Angriffe mit Ransomware lohnen sich dabei besonders: Die Täter erhalten oft entweder hohe Geldsummen, die in die Millionenhöhe gehen können, um verschlüsselte Daten freizugeben oder können die gestohlenen Daten bei Nichtbezahlung beispielsweise im Darknet verkaufen. Inzwischen hat sich mit Ransomware-as-a-Service (RaaS) sogar ein Geschäftsmodell entwickelt, bei dem Cyberkriminelle nicht einmal mehr über eigene Programmierkenntnisse verfügen müssen, um Schaden anzurichten. Entwickler von Ransomware bieten ihre Schadsoftware dabei als Dienstleistung an und vermieten diese an Personen beziehungsweise Personengruppen, die ihre Ransomware-Attacke direkt starten können.

Für Unternehmen steigt damit erheblich das Risiko, Ziel eines Ransomware-Angriffs zu werden. So bestätigte in einer Umfrage des Bitkom im Sommer 2021 bereits knapp ein Fünftel der Unternehmen (18 Prozent), dass ein solcher Cyberangriff in den vergangenen zwölf Monaten Schaden bei ihnen verursacht hatte.

Versicherungen können kriminelle Aktivitäten begünstigen

Eine Cyber-Versicherung scheint damit für Unternehmen auf den ersten Blick eine praktikable Lösung, um Kosten und Betriebsausfälle so gering wie möglich zu halten. Zwar verbietet die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Koppelung von Lösegeld-Versicherungen mit anderen Versicherungen, seit dem Jahr 2017 gilt jedoch für Cyber-Versicherungen eine Ausnahmeregelung. Es ist schwierig zu ermitteln, wie weit verbreitet Ransomware-Ansprüche der Versicherten tatsächlich sind, die steigende Anzahl an entsprechenden Angriffen wird aber auch diese Zahl nach oben treiben.

Für die Versicherer stellt sich dadurch langsam die Frage, ob das Angebot überhaupt noch profitabel ist. Aber auch für die Unternehmen ergeben sich auf den zweiten Blick mehrere Risiken durch eine solche Versicherung. Zum einen kann sie Unternehmen dazu verleiten, andere wichtige Sicherheitsmaßnahmen zu vernachlässigen, in dem Glauben, dass bei der Zahlung des Lösegelds alle verschlüsselten Daten schnell wieder verfügbar sind. Der Report The Hidden Costs of Ransomware von OpenText / Carbonite + Webroot zeigt allerdings, dass dies bei fast jedem fünften Unternehmen (17 Prozent) nicht der Fall war und sie ihren Daten nicht wiederherstellen konnten.

Zum anderen bestärken Unternehmen Kriminelle dadurch in ihren Aktivitäten. Sie zeigen ihnen sowohl, dass Ransomware-Angriffe sich im Allgemeinen lohnen, als auch, dass sie selbst lukrative Ziele sind, die etwaige Forderungen erfüllen können und werden. Daher recherchieren und identifizieren Cyberkriminelle diejenigen Unternehmen, die über eine Lösegeld-Versicherung verfügen. Bei ihnen steigt die Wahrscheinlichkeit, dass sie beziehungsweise ihr Versicherer Lösegeld bezahlen.

Das Ziel sollte sein: Lösegeldzahlungen von vornerein verhindern

Ist eine Cyber-Versicherung für Unternehmen damit eine schlechte Idee? Nicht per se – solange sie diese in eine umfassende IT-Security-Strategie einbetten. Auch die Versicherer werden in Zukunft verstärkt ein hohes Maß an Cyber-Resilienz voraussetzen oder Unternehmen mit schwachen Sicherheitsmaßnahmen höhere Beiträge in Rechnung stellen.

Ansetzen können Unternehmen dabei an mehreren Stellen: Sicherheit auf Endpunkt- und Netzwerkebene durch Virenschutzprogramme für Geräte und DNS-Filter oder Firewalls sollte etwa das Minimum an Schutz vor Ransomware-Angriffen darstellen. Da Mitarbeiter nach wie vor ein beliebter Angriffspunkt für Phishing- und ähnliche Social-Engineering-Angriffe sind, sollten Unternehmen regelmäßig obligatorische Schulungen durchführen, die ihnen die Vorgehensweisen von Kriminellen aufzeigen. Die einfachste Möglichkeit, den Schaden von Ransomware zu minimieren, sind darüber hinaus Backups aller geschäftskritischen Daten, die außerhalb des Unternehmensnetzwerk gespeichert werden, sodass Angreifer keinen Zugang zu diesen erlangen können. Damit fällt ihr größtes Druckmittel weg.

Eine robuste IT-Security ist heute wichtiger denn je, da Kriminelle ihre Methoden immer wieder verändern und an neue Entwicklungen anpassen. Unternehmen müssen daher mehr investieren, um sich vor Ransomware-Angriffen und damit einhergehenden hohen Kosten – durch Lösegeldforderungen und den Stillstand ihres Betriebs – zu schützen. Eine entsprechende Versicherung kann eine Lösung sein, sollte aber nur als letztes Mittel greifen.

Autor:  Dr Dieter Kehl