Ransomware? Im Handumdrehen wieder online

Sehr gestresst

Jeder Ransomware-Angriff ist anders, denn kein Unternehmen ist wie das andere. Dennoch laufen bestimmte Dinge bei jedem Angriff gleich ab, stellt Gevers fest. Wenn uns jemand anruft, bieten wir zunächst ein offenes Ohr. Oft haben die Leute das Bedürfnis, sich Luft zu machen, sie sind extrem gestresst. Wir versuchen dann, eine gewisse Gelassenheit auszustrahlen.'

Ich wurde zum Beispiel einmal von einem Mann angerufen, der ein sehr großes Unternehmen in der Fertigungsindustrie leitet. Er sagte mir: 'Sie fordern 20.000 Euro.' Also sagte ich: 'Oh, das ist ja gar nicht so schlimm.' Das war der Auslöser dafür, dass er dachte, ja, es ist tatsächlich nicht so schlimm. Dann entspannte er sich. Ein Vorfall geht viel leichter, wenn jemand entspannt ist.'

Gibt es Rückendeckung?

Nach diesem ersten Telefonat verstärken Gevers und Blokhuis ihren Informationsstand. 'Wir schauen nach: Welche Ransomware-Gruppe steckt dahinter? Wie ist der Zustand der betroffenen Partei? Welche Systeme sind zum Beispiel unzugänglich? Was bedeutet das für das Unternehmen?' Aber die wichtigste Frage ist: Gibt es Backups? Und wie lange wird es dauern, bis die Backups wiederhergestellt werden können?

Vor etwa drei Jahren trafen wir noch auf viele Parteien, die keine Backups hatten", sagt Blokhuis. 'Dann musste man Lösegeld zahlen, dann hatte man keine andere Möglichkeit. Aber zum Glück sehen wir das immer seltener; die Backups werden immer besser.'

Verhandeln mit der Ransomware-Gruppe

Erst als Gevers und Blokhuis ihre Informationsposition vollständig gefestigt haben, eröffnen sie den Chat mit der Ransomware-Gruppe, die hinter dem Angriff steckt. Ihr Ziel: den von der Gruppe geforderten Betrag so weit wie möglich zu reduzieren. Das Verhandeln mit Ransomware-Gruppen ist etwas, in dem wir sehr gut geworden sind", sagt er.

Im Idealfall würde Blokhuis es vorziehen, den Kriminellen kein Lösegeld zu zahlen, das steht an erster Stelle. Aber in der Praxis stellen wir fest, dass die Zahlung oft der schnellste Weg zur Wiederherstellung ist. Für uns geht es darum, die Kosten gegen den Nutzen abzuwägen. Er berät sich während eines Angriffs immer mit der Geschäftsleitung eines Unternehmens über diese Abwägung.

Das geht in etwa so: 'Angenommen, Sie sind einen Tag lang nicht erreichbar, weil Sie einen Tag für die Wiederherstellung der Backups benötigen. Das bedeutet einen Verlust von 2 Millionen Euro - ich sage nur, das sind zufällige Zahlen. Wenn wir das Lösegeld zahlen, kostet uns das 2 Tonnen. Mit einem Mausklick überweisen wir das Geld, erhalten den Entschlüsseler und sind in vier Stunden wieder online. Dann zahlen wir. Das sind die Berechnungen, die gemacht werden.'

Zahlen oder nicht zahlen

Zahlen oder nicht zahlen im Falle von Ransomware: das bleibt ein heikles Thema. Die niederländische Regierung zahlt ohnehin nicht. Manchmal tut mir das im Herzen weh", sagt Gevers. 'Manchmal verlangt eine Ransomware-Gruppe 10.000 Euro. Die Regierungspartei entscheidet dann immer noch: 'Wir werden nicht zahlen. Dann geht der Schaden in die Millionen.'

Die Zahlungsbereitschaft unterscheidet sich auch von Land zu Land, stellt Gevers fest: "In England wird kein Lösegeld gezahlt. Dort zahlt kaum jemand. Auch in den Niederlanden ist die Zahlungsbereitschaft begrenzt, obwohl die Schwelle, Lösegeld zu zahlen, bei niederländischen Unternehmen heute niedriger ist als noch vor einigen Jahren. In Deutschland hingegen zahlen die Unternehmen oft. Ich glaube, das liegt daran, dass in Deutschland mehr Wert auf Datenschutz gelegt wird.'

Gelegentlich geht eine Zahlung auch unerwartet gut aus. Im Jahr 2022 gelang es Gevers und Blokhuis, die Zahlung des Lösegelds zurückzuziehen, nachdem sie das Entschlüsselungsprogramm erhalten hatten: "Ein Trick. In diesem Fall mussten wir also nichts zahlen.' Sie gaben diese Information weiter und ermöglichten es der Polizei, über 155 Schlüssel aus der betreffenden Ransomware-Gruppe zu extrahieren.

Genugtuung

Wann ist ein Auftrag erfolgreich? 'Wenn der Kunde zufrieden ist. Außerdem macht es mir Spaß, wenn die Dinge wirklich schnell gehen. Wenn man also die Probleme innerhalb von ein paar Stunden löst und der Kunde sagt: 'Hey, ist es schon vorbei?'

Auch die Arbeit gibt ihm eine gewisse Befriedigung. Vor einiger Zeit erhielten wir einen Anruf von einer Partei, die mit vielen gefährdeten Menschen arbeitet. Diese Partei ließ uns wissen: Wenn die Daten dieser Menschen online gehen, wird das eine Menge Probleme verursachen. Sehr sensible Daten, mit anderen Worten. Wir haben lange daran gearbeitet, aber am Ende ist alles gut gegangen.