Der erste Hilferuf kam am frühen Mittwochmorgen der vergangenen Woche. Ein Mitarbeiter des NRW-Innenministeriums in Düsseldorf meldete der IT-Hotline Probleme mit seinem Rechner. Wenige Minuten später war den IT-Experten beim Innenminister klar, dass in ihren Rechnersystemen ein Softwareschädling bislang ungekannter Bauart unterwegs war. Um dessen Ausbreitung zu stoppen, zogen die Cyber-Spezialisten fast bildlich den Stecker und legten kurzerhand große Teile der IT in ihrer Behörde still.
Wie hartnäckig der Schädling war, zeigte sich erst schrittweise. Zwar seien weder bei der NRW-Polizei noch beim Verfassungsschutz sicherheitsrelevante Systeme befallen gewesen, betont ein Sprecher von Landesinnenminister Ralf Jäger auf Anfrage der WirtschaftsWoche. Dennoch dauerte es am Ende mehr als zwei Tage, bis auch Ministeriale und Sekretariate Ende wieder Zugang zu E-Mail-Postfächern, Datenbanken und Web-Seiten bekamen.
Inzwischen sind die Beamten zwar sicher, dass ihre Rechner wieder sauber sind, "doch wie genau der Angriff vonstatten gegangen ist, und auch, welche Abwehrmaßnahmen wir daraus ableiten müssen, das untersuchen unsere Spezialisten derzeit noch". Soviel aber ist schon klar: Auch die Beamten in der NRW-Landeshauptstadt wurden Opfer einer neuen und offenbar besonders aggressiven Version des Schadprogramms TeslaCrypt.
Gefahr in harmlos scheinenden Dateianhängen
Dieser digitale Schädling ist offenbar gerade in der Vorweihnachtszeit millionenfach im Netz unterwegs. "Diverse Meldungen zeugen von einer steigenden Verbreitung dieser Variante von Schadsoftware, welche Daten verschlüsselt und anschließend ein Lösegeld fordert", warnt etwa die Schweizer Melde- und Analysestelle Informationssicherung Melani seit wenigen Tagen.
TeslaCrypt ist - wie seine älteren Verwandten AlphaCrypt, CryptoLocker, Synolocker oder Cryptowall - ein sogenannter Trojaner, Software, die ihren gefährlichen Programmcode - ähnlich dem historischen Trojanischen Pferd - heimlich auf den PC des Opfers schleust. In der Regel passiert das, in dem Hacker das Angriffsprogramm in unverdächtig wirkenden E-Mail-Anhängen verstecken. Tatsächlich aber verbirgt sich darin aggressiver Schadcode, der aktiv wird, sobald der Nutzer versucht den Anhang zu öffnen.
Chronik: Die größten Datendiebstähle
Der japanische Unterhaltungskonzern Sony meldet das illegale Ausspähen mehrerer Server. Betroffen sind 77 Millionen Nutzer, die sich auf der Plattform der Spielkonsole „Playstation“ registriert hatten.
Hacker erschleichen sich den Zugang zu Rechnern des Online-Bekleidungsshops Zappos und stehlen 24 Millionen Kundendaten. Zappos ist eine 100-prozentige Tochter des Web-Warenhauses Amazon.
Vodafone zeigt den Diebstahl von zwei Millionen Kundendaten in Deutschland an. Ein Hacker stahl von Rechnern des Mobilfunkkonzerns Namen, Adressen und Kontodaten.
Hacker dringen in Datenbanken des US-Softwareherstellers Adobe ein und stehlen Listen mit 152 Millionen Nutzerdaten. Sie konnten dabei auch die verschlüsselt gespeicherten Passwörter knacken.
In Datenbanken der US-Warenhauskette Target dringen Hacker ein und stehlen 110 Millionen Kundendaten, darunter knapp 40 Millionen Kredit- und EC-Kartendaten.
Die Datenbank des Online-Auktionshauses Ebay wird angezapft. Die Hacker, die über gestohlene Mitarbeiterzugänge eindrangen, kommen in den Besitz von 145 Millionen Daten inklusive Passwörter und weiteren persönlichen Daten.
Bei der US-Baumarktkette Home Depot knacken Hacker die Sicherheitsvorkehrungen von Zahlungssystemen. Die Kreditkartendaten von 56 Millionen Kunden werden ausspioniert.
Die US-Bank JP Morgan wird Opfer eines groß angelegten Cyberangriffs. Daten von 76 Millionen Privatkunden und sieben Millionen Firmenkunden fallen in die Hände von Hackern. Ausgespäht wurden Name, Adresse, Telefonnummer und E-Mail-Adresse.
So geschehen wohl auch beim Landschaftsverband Rheinland in Köln, wo rund 12.000 Rechner vom Befall mit dem TeslaCrypt-Trojaner betroffen waren und die Behörde als Folge davon ebenfalls zwei Tage offline war, wie die "Kölnische Rundschau" berichtet.
Zwar nicht offline, aber ebenfalls betroffen war die Funke Mediengruppe mit Hauptsitz in Essen. Dort, aber auch an Standorten in Erfurt und Bielefeld traten nach WirtschaftsWoche-Informationen ebenfalls in der vergangenen Woche mehrere Trojaner-Angriffe Teile auf. "Unser Haus ist von Schadsoftware betroffen", bestätigt Unternehmenssprecher Andreas Bartel auf Anfrage. Es habe sich um Verschlüsselungssoftware gehandelt, so Bartel, der allerdings betont, "die Produktion war zu keinem Zeitpunkt gefährdet".
Dennoch war die Lage zumindest so brisant, dass die IT-Verantwortlichen zeitweilig die Übermittlung von E-Mails mit angehängten Word-Dokumenten komplett blockiert haben, um die Ausbreitung der Schadsoftware zu stoppen, das geht aus entsprechenden internen Warnschreiben hervor, die die Funke-IT verschickt hat. Nach Informationen der WirtschaftsWoche war zumindest ein Teil der verseuchten E-Mails als Rechnungen für Bestellungen von Bürobedarf oder angebliche Reifenwechsel getarnt.
Vorsicht vor falschen Rechnungen
Das passt ins Bild. Denn bei Ihrer neuen Angriffswelle setzen die Hacker offenbar darauf, dass Ihre Attacken in der aktuellen Nachrichtenflut unentdeckt bleiben, die kurz vor Weihnachten und Jahresschluss in die elektronischen Postfächer schwappt.
"Bestellbestätigungen aus dem Online-Shop, Rechnungen, Lieferscheine, Weihnachtsgrüße, elektronische Werbepost - in diesen Tagen landet soviel im privaten oder geschäftlichen E-Mail-Eingang, dass viele Nutzer einfach unbedacht alles öffnen", sagt Thorsten Urbanski, Sprecher des IT-Sicherheitsdienstleisters G-Data aus Bochum. "Und genau darauf setzen die Hacker, um jetzt noch mal Kasse zu machen."
Darum nämlich geht es bei der aktuellen Angriffswelle: Anders als bei vielen verbreiteten Schadprogrammen, die - möglichst unbemerkt vom Nutzer - persönliche Daten, Zugangscodes, Passwörter und ähnliche Informationen stehlen sollen, sollen Erpresserprogramme auffallen und maximalen Druck auf den betroffenen Anwender erzeugen.
Im Fall von TeslaCrypt & Co. beginnt das Programm zunächst im Verborgenen, entweder wichtige Betriebssystemdateien, Ordner mit den persönlichen Dokumenten des PC-Nutzers oder auch Nutzerprofile von Computerspieler zu verschlüsseln.
Beim nächsten Programmstart aber erscheint dann höchst augenfällig der Hinweis darauf, dass der Rechner gehackt, der Zugriff auf die Daten unterbunden und ihre Entsperrung nur nach Zahlung eines Lösegeldes bis zu einem vorgegebenen Termin möglich sei. Solche Erpressungsprogramme bezeichnen Experten in Anlehnung an den englischen Begriff "Ransom" für "Lösegeld" als Ransomware.
Verbrechen 4.0 - das ist möglich
Rund 75 Prozent aller Computer können heute innerhalb von Minuten gehackt werden.
Jeden Tag werden 600.000 Nutzerkonten attackiert, wie das Unternehmen 2011 selbst einräumte. Eine Zahl, die seitdem eher gestiegen ist.
Fast 90 Prozent aller Kleinunternehmen, deren Kundenkartei gestohlen wurde, müssen innerhalb von drei Jahren ihr Geschäft aufgeben.
Mittels manipuliertem GPS-Signal locken Gangster Lastzüge mit Waren oder Luxusyachten in Hinterhalte.
Nach Ablauf der Zahlungsfrist, so die Erpresser, würden die Entsperrcodes gelöscht und der Zugriff auf die gekidnappten Dateien dauerhaft unmöglich. Das ist offenbar mehr als eine leere Drohung. Sicherheitsspezialisten wie etwa Fedor Sinitsyn vom russischen IT-Sicherheitsdienstleister Kaspersky bestätigen, dass die Hacker speziell bei den neuen TeslaCrypt-Versionen höchst wirksam zu Werke gehen und die Verschlüsselung bisher ohne Kenntnis des Ensperrcodes nicht zu knacken sei.
Eine Einschätzung, den man offenbar auch beim Schweizer Melani teilt: "Im Moment scheint es keine Methode zu geben, die Daten ohne den Schlüssel, der nur den Erpressern bekannt ist, zu entschlüsseln."
Millionenschaden durch Verschlüsselungstrojaner
Alleine der Verschlüsselungstrojaner Cryptowall haben in den USA zwischen Sommer 2014 und 2015 mindestens 18 Millionen Dollar an Schäden verursacht zitiert der britische IT-Sicherheitsdienstleister Sophos die US-Bundespolizei FBI. Trotz der offenbar aussichtslosen Lage für Betroffene raten alle Experten dringend davon ab, auf die Forderung der Erpresser einzugehen.
"Es gibt keine Garantie, dass die Kriminellen auch wirklich Wort halten und den für das Entschlüsseln der Dateien benötigten Schlüssel dem Opfer tatsächlich zu-senden", schreibt heißt es etwa aus der Schweiz. Und auch G-Data-Mann Urbanski warnt: "Im Grunde finanzieren die Erpressen mit ihrer Lösegeldzahlung nur die Entwicklung neuer, noch wirksamerer Angriffe."
Um also nicht im Nachhinein zur Zahlung gezwungen zu sein, müssen Privatleute, Unternehmen und Behörden vorsorgen. Das aber tun die nur zum Teil. Während regelmäßige Backups geschäftskritischer Datenbanken, E-Mail-Postfächer oder auch von Produktionssystemen zumindest in großen Unternehmen und Behörden inzwischen die Regel sind, hapert es gerade bei Mittelständlern allzu oft daran, weil dort IT nicht zur Kernkompetenz im Unternehmen gehört.
Die größten Gefahren für Privat-PCs
Noch schlechter sieht es im privaten Umfeld aus. Zwar nutzen heute immer mehr Menschen auch ihren Privat-PCs Virenschutz- und Firewall-Software. Doch ein regelmäßiges Backup des E-Mail-Eingangs, des digitalen Fotoalbums, der Musiksammlung oder der Finanz- und Steuersoftware haben noch immer die wenigsten Privatleute konfiguriert.
Dazu kommt (wie übrigens auch in vielen Unternehmen) ein oft erschreckend lässiger Umgang mit Programmupdates. Ein Mal einen Virenschutz oder eine Firewall zu installieren, aber keine Aktualisierungen mehr zu laden, ist auf Dauer kaum weniger nutzlos, als gar keine Schutzprogramme auf den Rechner zu laden.
Nicht minder riskant ist, Anwendungsprogramme oder Software-Werkzeuge nicht fortwährend zu aktualisieren. Egal ob Web-Browser oder Multimedia-Software, bei jeglichen Programmen tauchen fortwährend Sicherheitslücken auf, die Hacker sich zunutze machen, um die Rechner anzugreifen. Wer hier nicht ständig die aktuellen Softwareversionen installiert, erleichtert den Hacker unnötig das Geschäft.
Vorsicht vor dem Zeigefinger
Doch selbst wenn alle Anwendungen aktuell, der Virenschutz auf dem neusten Stand und die Firewall geschärft ist - Fälle wie zuletzt die beim LVR oder den Funke-Medien machen deutlich, wie sensibel PC-Nutzer mit den Nachrichten in ihrem Posteingang umgehen müssen.
"Die größte Gefahr für den PC ist immer der Zeigefinger des Nutzers an der Maus", lautet ein alter, aber unverändert richtiger Merksatz der IT-Experten zur Gefahrenabwehr am Rechner.
Und das gilt gerade bei der aktuellen E-Mail-Flut von Verschlüsselungstrojanern.
Das Schadprogramm ist, soviel scheint nach den Vorfällen der vergangenen Woche klar, wohl vorrangig in einem als komprimierte ZIP-Datei getarnten E-Mail-Anhang auf die Rechner gelangt, der dann beim Öffnen einen automatisch ausführbaren Programmcode aktiviert habe.
So erkennen Sie verdächtige Nachrichten
Entsprechend eindeutig ist die Warnung der Experten, dass Dateianhänge nur mit größter Vorsicht und reichlich Skepsis geöffnet werden sollten.
Umgekehrt heißt das, dass E-Mail-Inhalte nur dann als vergleichsweise unproblematisch gelten, wenn alle drei folgenden Kriterien zutreffen:
- Woher stammt die Nachricht?
Ist klar, dass die Nachricht wirklich vom angegebenen Absender kommt? Vorsicht: Die Anzeige von Absendernamen in der Kopfzeile von E-Mails lassen sich beliebig fälschen, daher unbedingt den vorgeblichen Namen mit der tatsächlichen Absender-Adresse abgleichen.
- Wie ist die Nachricht formuliert?
Passen die Nachricht und ihr Anhang in Form, Struktur und Sprache zu mit den bisherigen Kommunikationsgewohnheiten? Vorsicht: Stimmt die Anrede plötzlich nicht mehr, fehlt in üblicherweise persönlich formulierte Nachrichten plötzlich die Anrede, oder ist die E-Mail im sonst deutschsprachigen Austausch plötzlich fremdsprachig verfasst, gilt erhöhte Vorsicht.
- Was steckt in der wirklich drin?
Verbirgt sich im Anhang der E-Mail keine kritische, weil potenziell ausführbare Datei, die unter anderem die Endungen .bat, .com, .exe, .js, .scr oder .vbs haben kann? Vorsicht: Wie Word-Dokumente (.doc/.docx) können auch Excel-Dateien (.xls/xlsx) oder auch .pdf-Dokumente Schadcode enthalten.
Teilweise haben Dateianhänge zur Tarnung außerdem zwei Endungen - also etwa Rechnung.pdf.exe. Auf eine im Grunde übliche Dokumenten-Endung folgt dann noch ein Kürzel, das auf gefährlichen, ausführbaren Programm-Code schließen lässt.
Ein Backup gehört getrennt gesichert
Weil aber auch all diese Vorsichtsmaßnahmen im ungünstigsten aller Fälle nicht vor digitalem Schädlingsbefall schützt - und zwar egal, ob mit Ransomware wie TeslaCrypt & Co, oder sonst einer Schad-Software -, raten alle Experten zur konsequenten, regelmäßigen Sicherung aller wichtigen Daten.
Und zwar auf einem externen Speicher, denn die Trojaner breiten sich automatisch übers Netzwerk aus und greifen auch Dateien auf angeschlossenen Computern an.
Die tägliche, wöchentliche oder wenigstens monatliche Sicherung des PC-Systems oder zumindest aller relevanten Daten gehört also getrennt gelagert. Entweder auf eine externe Festplatte, die - außer beim Backup selbst - nicht mit dem PC verbunden ist, oder in einen externen Online-Datensafe bei einem der einschlägigen Internet-Anbieter von 1&1 über Google Drive bis Microsoft OneDrive.
Dann nämlich verlieren TeslaCrypt & Co. viel von ihrem Schrecken und Bedrohungspotenzial. Mit Hilfe moderner Computerschutz-Programme lassen sich die Schädlinge nicht nur wieder spurlos vom Rechner löschen. Auch die vom Trojaner verschlüsselten Dateien lassen sich einfach wieder durch die Ursprungsdateien aus dem Backup ersetzen.
