WikiLeaks und Ransomware: Erpressung an der Tagesordnung?

Julian Assange hatte einst versprochen, dass die „radikale Transparenz“ von WikiLeaks unschuldige Personen schützt beziehungsweise sie durch die Enthüllungsplattform nicht gefährdet werden. Leider gibt es dafür keine Garantie.

Laut einer im Guardian veröffentlichten Untersuchung hat die Enthüllungsplattform sensible und sehr persönliche Daten hunderter Bürger veröffentlicht. Darunter Krankenakten von Vergewaltigungsopfern und Kindern. Die Vorstellung, dass derartige Inhalte einfach so an die Öffentlichkeit gelangen können, ist für Privatpersonen und Unternehmen gleichermaßen beängstigend.

Ob man nun Anhänger von WikiLeaks ist oder nicht, wenn nichts mehr sicher ist, verändert das die Welt wie wir sie kennen oder besser: kannten, grundsätzlich. Wir sind einem Szenario in dem die ganze Welt Ihre E-Mails, Patientendaten, Texte und Kontoauszüge lesen kann, deutlich näher als viele glauben. Denn eins hat uns die Ransomware-Flut gelehrt: Eine überwältigende Menge wichtiger Unternehmensdaten und personenbezogener Daten ist nicht ausreichend geschützt. Glaubt man Sicherheitsexperte Kevin Beaumont, treten stündlich 4.000 neue Ransomware-Infektionen auf.

Doch wenn das Verschlüsseln von Daten so einfach ist, was hält Cyberkriminelle dann eigentlich noch davon ab, die Daten im Internet zu veröffentlichen? Ganz einfach. Nach wir vor gibt es einige Hürden für erpresserische Software, unüberwindbar sind sie allerdings nicht:

1. Die Angreifer müssen die Daten herausfiltern und abziehen, um sie zu veröffentlichen.

Ransomware verschlüsselt die Daten vor Ort, stiehlt sie aber nicht. Extortionware aber muss die Tools umgehen, die an der Netzwerkgrenze Alarm schlagen, wenn innerhalb kurzer Zeit ungewöhnlich große Datenmengen das Netzwerk verlassen. Es ist aber natürlich möglich, Dateien als harmlosen Web- oder DNS-Verkehr zu tarnen und langsam abzusaugen.

2. Es gibt kein zentrales „Wall of Shame“-Repository im Stil von WikiLeaks.

Würden sich Angreifer zusammenschließen und ein zentrales, durchsuchbares Repository für ihre erbeuteten Daten erstellen, ließe das die Bedrohung deutlich realer wirken. Dadurch würde vermutlich deutlich mehr Handlungsdruck entstehen.

3. Ransomware ist möglicherweise lukrativer.

Ransomware ist unmittelbar profitabler als Extortionware und deshalb weitaus beliebter. Trotzdem, wie erholt man sich von dem Skandal, wenn Dateien und E-Mails veröffentlicht wurden? Gelingt das beispielsweise dem US-amerikanischen Democratic National Committee wirklich? Auch in Europa hat es eine Reihe vergleichbarer Fälle gegeben. In diesem Lichte betrachtet könnte es vielen als die einzige Option erscheinen, das geforderte Lösegeld tatsächlich zu zahlen. Ein einziger derartiger Coup würde Cyberkriminelle auf einen Schlag reicher machen als hunderte von Ransomware-Angriffen. Was hält Ransomware-Programmierer also davon ab, beides zu versuchen? Leider nicht viel. Die Daten werden dann zunächst verschlüsselt und anschließend abgezogen. Werden die Angreifer dabei erwischt wie sie Daten stehlen, ist das keine Tragödie. Dann öffnen die Hacker eben alternativ eines der bekannten Popup-Fenster mit der Lösegeldforderung und streichen „nur“ die entsprechenden Bitcoins ein.

Ransomware macht eins besonders deutlich; dass Unternehmen hinterher hinken, wenn es darum geht ungewöhnliche Verhaltensweisen innerhalb ihrer Netzwerkgrenzen überhaupt erst als solche zu erkennen. Das gilt insbesondere für Aktivitäten auf den Filesystemen. Die große Lehre, die sich aus der unglaublichen Karriere der Erpressungssoftware ziehen lässt: Wir leben vielleicht tatsächlich bald in einer Welt, in der es völlig normal geworden ist, dass ungeschützte Dateien und E-Mails Unternehmen schädigen, die Privatsphäre zerstören oder sogar Menschenleben in Gefahr bringen, wie beispielsweise im Falle von Krankenhäusern. Nicht selten dann aufgrund von Ransomware.

Wenn es für Cyberkriminelle, so einfach ist, nach Belieben in Systeme einzudringen und tausende Dateien zu verschlüsseln, dann ist die einzig vernünftige Schlussfolgerung, dass subtilere Bedrohungsmethoden im Verborgenen bereits ganz groß absahnen. Es hat nur noch niemand bemerkt… außer vielleicht das U.S. Office of Personnel Management. Oder Sony Pictures. Und Mossack Fonseca. Und das DNC. Und so weiter…