Daten weg, Produktion gestoppt: Vier Tage in einer Lösegeldverhandlung

Zentrale IT-Systeme fielen aus, Teile der Produktion standen still. Rund 250.000 Euro forderten die Angreifer von einem produzierenden Unternehmen. Zunächst war unklar, wie weit sie in die IT-Umgebung vorgedrungen waren, ob sie Daten exfiltriert hatten und wie verlässlich sich die Systeme aus eigener Kraft wiederherstellen ließen. Genau davon hing ab, wie das Unternehmen auf den Ransomware-Angriff reagieren sollte.

Es folgte eine viertägige Verhandlung mit den Erpressern. Sie drückte die Forderung deutlich. Mindestens ebenso wichtig war aber die Zeit, die sie für die forensische Untersuchung, die Planung des Wiederanlaufs und eine fundierte Entscheidung der Geschäftsführung verschaffte. Der Fall zeigt: Eine Lösegeldverhandlung ist kein isoliertes Gespräch mit Kriminellen, sondern Teil der gesamten Incident Response.

Die ersten 24 Stunden nach dem Angriff

Die erste Nachricht der Täter wirkte eindeutig. Sie bezifferten eine klare Summe, nannten eine Frist und drohten mit weiteren Schäden. Intern wäre es leicht gewesen, die Nachricht sofort zum Mittelpunkt der Diskussion zu machen. Doch zu diesem Zeitpunkt fehlte ein gemeinsames Lagebild als entscheidende Grundlage.

Auf Lösegeldforderungen souverän reagieren: Technische Führungskräfte, sowie IT- und Kommunikationsverantwortliche durchlaufen im iX-Workshop eine simulierte Ransomware-Attacke und üben in einem Chatportal, wie sie mit Angreifern unter Zeitdruck strategisch kommunizieren. Aus den Ergebnissen der Angriffssimulation erarbeiten sie einen konkreten Krisenplan für das eigene Unternehmen. Hier teilnehmen: heise.de/s/wNPGA

Zunächst meldete das Unternehmen den Vorfall an seine Cyberversicherung. Ein fest zugewiesener Ansprechpartner des Versicherers erhielt anschließend über einen separaten, abgesicherten Kanal regelmäßige Lageberichte. Nach Absprache mit dem Versicherer beauftragte die Firma ein externes Incident-Response-Team, bestehend aus IT-Forensikern und geschulten Verhandlungsführern. Die Übernahme einer Lösegeldzahlung sagte der Versicherer damit jedoch nicht zu.

Ebenfalls kontaktierte die Geschäftsführung noch am ersten Tag die zuständige Cybercrime-Dienststelle der Polizei und erstattete Anzeige. Das Incident-Response-Team übergab Erpressernachrichten, Chatprotokolle und Indicators of Compromise mit Dokumentation. Neue Erkenntnisse reichte das Team nach. Indes blieben Unternehmensentscheidungen und polizeiliche Ermittlungen getrennte Aufgaben.

Wie auch mit dem Ansprechpartner der Versicherung stimmte sich der Krisenstab über einen intern gesicherten Kanal ab. Dieser ist vom Unternehmensnetz getrennt, da Firmenpostfach und bestehende Konten kompromittiert sein könnten. Entsprechend kamen neu eingerichtete Konten, Multi-Faktor-Authentifizierung und eigens bereitgestellte, nicht betroffene Geräte zum Einsatz. Zugang hatten nur der Krisenstab und die erforderlichen Fachleute. Der Stab traf sich morgens und abends zu kurzen Lagebesprechungen und zusätzlich, wenn neue Erkenntnisse Entscheidungen verlangten. Ein versioniertes Lageprotokoll hielt gesicherte Tatsachen, offene Hypothesen, Verantwortliche und Freigaben mit Zeitstempel fest.