Montagmorgen, sieben Uhr. Die für die IT zuständige Person kommt ins Büro, weil seit fünf Uhr keines der Systeme mehr funktioniert. Auf den Bildschirmen der Server steht ein Text mit einem Link und einer Frist. Der erste Gedanke ist ruhig: Wir haben Backups, wir stellen wieder her. Sie öffnet den Backup-Server und findet die Backup-Jobs gelöscht und das Repository leer. Auch der Cloud-Speicher, in den die Backups hochgeladen wurden, ist leer. Die letzte funktionierende Kopie ist eine externe Festplatte, die vor einem Jahr jemand in einen Tresor gelegt hat.
Dieses Szenario ist nicht erfunden, und es wiederholt sich mit kleinen Abweichungen. Meistens hatte das Unternehmen durchaus Backups. Sie waren nur aus demselben Netz erreichbar, mit denselben Zugangsdaten, die der Angreifer bereits übernommen hatte.
In diesem Artikel zeigen wir, wie ein solcher Angriff tatsächlich abläuft, warum der Backup-Server eines seiner ersten Ziele ist und wie Backups funktionieren, wenn der Angreifer sie weder sehen noch löschen kann.
Ein Angriff ist nicht eine Datei, sondern wochenlange Arbeit
Die meisten stellen sich Ransomware als E-Mail mit einem Anhang vor, den jemand öffnet, woraufhin alles verschlüsselt wird. Vor zehn Jahren stimmte das. Heute ist es der letzte und kürzeste Schritt des Angriffs. Mehrere andere gehen ihm voraus, und sie werden von Menschen ausgeführt, nicht von einem Programm.
Erstzugang
Der Angreifer gelangt auf einem von mehreren Wegen ins Netz: eine Phishing-Mail, die jemanden dazu bringt, ein Passwort preiszugeben, ein abgeflossenes Passwort, das ein Mitarbeitender auch auf privaten Seiten verwendet hat, ein ungepatchtes VPN- oder Remote-Desktop-Gerät oder ein Lieferant, der Zugang zu Ihren Systemen hat. Zu diesem Zeitpunkt ist noch nichts verschlüsselt, und niemand bemerkt etwas.
Erkundung
Tage oder Wochen lang erkundet der Angreifer ruhig das Netz. Welche Server gibt es, wo steht der Domänencontroller, wo liegen die Dateien, welches Backup-System wird genutzt und wohin schreibt es. Der Backup-Server ist leicht zu erkennen: an seinem Namen, an der darauf installierten Software und am großen Datenstrom, der jede Nacht dorthin fließt.
Übernahme der Zugangsdaten
Ziel sind Domänenadministrator-Rechte. Sie sind oft leichter zu bekommen, als man denkt: Ein Administrator hat sich zur Fehlerbehebung am Rechner eines Mitarbeitenden angemeldet und ein Anmeldetoken zurückgelassen, oder dasselbe Passwort funktioniert sowohl für den Backup-Server als auch für den Cloud-Speicher. Mit Administratorrechten hat der Angreifer alles, was Ihre IT hat.
Zerstörung der Backups
Erst jetzt beginnt der Teil, den das Unternehmen bis Montagmorgen nicht bemerkt. Backup-Jobs und die Backups selbst werden gelöscht. Ein als Netzlaufwerk eingebundenes NAS wird zusammen mit allem anderen formatiert oder verschlüsselt. Im Cloud-Speicher, auf den der Backup-Server mit einem eigenen Konto zugreift, werden Objekte gelöscht, denn dasselbe Konto, das schreiben kann, kann meist auch löschen. Manchmal lässt man die Backups noch einige Tage stehen, damit die Ransomware auch sie verschlüsselt, aber das Ergebnis ist dasselbe.
Verschlüsselung
Der letzte Schritt wird gestartet, wenn die Backups weg sind und das Unternehmen am wenigsten auf eine Reaktion vorbereitet ist: Freitagabend, die Nacht vor einem Feiertag, die Urlaubszeit. Oft wird vorher ein Teil der Daten abgezogen, damit der Angreifer mit deren Veröffentlichung drohen kann, falls das Lösegeld nicht gezahlt wird. Die Verschlüsselung selbst dauert Stunden, nicht Tage, sodass es beim Bemerken zu spät ist, sie zu stoppen.
Warum ein Backup-Server im Netz ein Ziel ist
Die Logik des Angreifers ist einfach: Ein Unternehmen mit funktionierenden Backups zahlt nicht. Also werden zuerst die Backups zerstört. Ein Backup-Server, der Mitglied der Domäne ist, im Netz sichtbar ist, mit denselben Administrator-Zugangsdaten verwaltet wird und auf einen Speicher schreibt, von dem er auch löschen kann, ist kein Schutz gegen den Angriff. Er ist Teil des Angriffs.
Typische Lücken, die wir bei IT-Sicherheitsaudits sehen:
- Der Backup-Server ist in die Domäne eingebunden, sodass ein Domänenadministrator automatisch auch Backup-Administrator ist.
- Das Backup-Repository ist als Freigabe eingebunden, die von den Rechnern der Mitarbeitenden aus erreichbar ist.
- Der Zugriffsschlüssel zum Cloud-Speicher liegt auf dem Backup-Server und erlaubt Löschen, nicht nur Schreiben.
- Es gibt keine Unveränderlichkeit, sodass jedes Backup jederzeit gelöscht werden kann.
- Eine einzelne Person kann allein alle Backups zerstören, ohne dass jemand anderes zustimmen muss.
Keine dieser Lücken ist ein Fehler der Backup-Software. Es ist ein Architekturproblem: Die Backups wurden so entworfen, als wäre die einzige Bedrohung eine ausgefallene Festplatte, nicht ein Mensch, der Ihr Administratorpasswort besitzt. Deshalb sagt ein Backup-Bericht mit grünem Haken nichts über die Widerstandsfähigkeit gegen Ransomware aus.
Wie unveränderliche Backups funktionieren, die aus dem Netz nicht sichtbar sind
Unveränderliche Backups beantworten jede dieser Lücken. Das Prinzip beruht auf zwei Eigenschaften.
Aus dem Netz nicht sichtbar
Der Backup-Speicher ist kein Teil Ihres Netzes. Er hat keine Adresse, die bei der Erkundung gefunden werden könnte, ist kein Mitglied der Domäne und nimmt keine Verbindungen von Ihren Servern an. Die Daten erreichen ihn über einen Einwegkanal: Ihre Seite kann nur senden, aber das bereits Gesendete weder ansehen noch ändern oder löschen. Ein Angreifer, der Ihr gesamtes Netz übernommen hat, sieht nur, dass etwas irgendwohin gesendet wird.
Für einen festgelegten Zeitraum unveränderlich
Im Speicher ist jedes Backup für einen definierten Zeitraum gesperrt. In dieser Zeit kann es weder von Ihrem Administrator noch von Ihrem IT-Dienstleister noch von uns im Alleingang gelöscht werden. Der Löschbefehl wird auf Speicherebene schlicht abgelehnt, nicht in einer Anwendung, deren Einstellungen sich ändern ließen. Der Zeitraum wird länger gewählt als die Zeit, in der ein Unternehmen einen Einbruch realistisch bemerken würde: in unserer Praxis mindestens 30 Tage, oft mehr.
Wer eine Wiederherstellung starten darf
Das ist der entscheidende Unterschied zu gewöhnlichen Backups. Eine Wiederherstellung aus unveränderlichen Backups wird nicht vom Backup-Server oder von einem Domänenadministrator gestartet, sondern von befugten Vertretern Ihres Unternehmens, die vorab benannt wurden, über einen separaten Kanal, der mit Ihrem Netz nichts zu tun hat. Ihre Identität wird auf eine vorher vereinbarte Weise geprüft. So lässt sich selbst über ein vollständig kompromittiertes Netz nicht an die Backups herankommen oder sie zerstören. Die Einzelheiten beschreibt die Leistungsseite Unveränderliches Backup.
Die Backups haben überlebt. Wo lassen Sie sie laufen?
Das zweite Problem jenes Montagmorgens, an das seltener gedacht wird: Die Backups sind intakt, aber die Server sind verschlüsselt und dem Netz ist nicht zu trauen, weil niemand weiß, wo der Angreifer sonst noch ist. In dasselbe Netz können Sie nicht wiederherstellen, bevor es bereinigt ist, und das dauert Tage.
Deshalb kombinieren wir unveränderliche Backups mit der PlanB-Wiederherstellung der Infrastruktur: Die Backups liegen in unserer Cloud, und daneben steht eine vorbereitete, isolierte Umgebung, in der Server aus den Backups gestartet werden und das Unternehmen weiterarbeitet, während die eigene Infrastruktur untersucht und repariert wird. Die Wiederherstellungszeit wird dann in Stunden gemessen, nicht in Wochen, und hängt nicht davon ab, wie schnell sich das infizierte Netz bereinigen lässt.
Wo Sie anfangen
- Prüfen Sie, ob Ihr Backup-Server Mitglied der Domäne ist und ob ein Domänenadministrator die Backups löschen kann. Wenn ja, ist das das Erste, was Sie ändern sollten.
- Verlagern Sie mindestens eine Kopie Ihrer Backups auf einen Speicher, der aus Ihrem Netz nicht zu sehen ist und in dem die Backups für einen festgelegten Zeitraum gesperrt sind.
- Benennen Sie zwei Personen, die eine Wiederherstellung starten dürfen, und vereinbaren Sie, wie ihre Identität geprüft wird, ohne die Firmen-E-Mail oder das Firmennetz zu nutzen.
- Entscheiden Sie, wo die Server gestartet würden, wenn dem Netz mehrere Tage lang nicht zu trauen ist.
- Wenn wir gemeinsam mit Ihnen den Zustand Ihrer Backups und Zugriffsrechte bewerten sollen, melden Sie sich über das Kontaktformular. Das erste Gespräch beginnt meist mit einer Frage: Wer kann heute Ihre Backups löschen?
