Was ist eigentlich Ransomware?

Das Wort „ransom“ kommt aus dem Englischen und bedeutet auf Deutsch „Lösegeld“. Genau darum geht es bei der Ransomware. Deshalb wird sie auch als Erpressersoftware bezeichnet. Manchmal sprechen Experten auch von Verschlüsselungstrojanern, da die Erpressung darauf basiert, dass die Daten für den Nutzer unauflöslich codiert werden. Was sich bei diesen alternativen Titeln abzeichnet, ist die Funktionsweise von Ransomware: Sie schleicht sich ins System und der User stellt mit Schrecken fest, dass sein Computer gesperrt ist.

Ransomware sind Schadprogramme, die den Computer sperren oder darauf befindliche Daten verschlüsseln. Die Täter erpressen ihre Opfer, indem sie deutlich machen, dass der Bildschirm oder die Daten nur nach einer Lösegeldzahlung wieder freigegeben werden. Im Folgenden erklären wir Ihnen, wie Cybererpresser mit der Angst der Menschen spielen und sich so auf deren Kosten bereichern.

In der Regel ist der blockierte Bildschirm oder der Erpresserbrief, der sich nicht mehr schließen lässt, das erste, was der Nutzer von der Ransomware mitbekommt. Einige Ransomware-Varianten haben eine Inkubationszeit. Das heißt, dass die schädliche Wirkung erst eintritt, wenn sich der User nicht mehr daran erinnern kann, wann und wo er sich eventuell einen Erpressungstrojaner eingefangen haben könnte.

Ein Schadprogramm kann auch von einem Virenscanner erfasst werden und sich als positives Scan-Ergebnis bemerkbar machen. Wer keine Antiviren-Software installiert hat, bemerkt Ransomware jedoch leider erst, wenn es bereits zu spät ist. Da sich viele Erpressungstrojaner nach dem Ausführen ihrer schädlichen Funktion selbst wieder löschen, ist es für Security-Software eine echte Herausforderung, den Schädling zu erkennen. Das erste, was der Computer-Besitzer dann von der Ransomware mitbekommt, ist ein Hinweisfenster mit einer Zahlungsaufforderung, das sich nicht mehr schließen lässt.

Die Verbreitungswege unterscheiden sich kaum von denen anderer Malware. Oft gelangt Ransomware über eine manipulierte Webseite, zu der ein Link aus einer Spam-Mail oder einer Nachricht über ein soziales Netzwerk führt, auf den Rechner. Manchmal verschicken die Täter auch E-Mails, die eine vermeintliche Mahnung oder einen Lieferschein enthalten. In Wirklichkeit verbirgt sich in der angehängten Datei jedoch keine wichtige Information, sondern der Schadcode.

Der erste über das Netz verbreitete Verschlüsslungstrojaner war „TROJ_PGPCODER.A“. Für seine Entschlüsselung forderten die Erpresser mehrere hundert Dollar. Das war 2005. Seit 2011 verzeichnen Sicherheitsexperten einen rasanten Anstieg von Ransomware-Attacken. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt: „Seit Mitte September 2015 hat sich die Bedrohungslage durch Ransomware deutlich verschärft“. Vor allem in Deutschland stoßen Virenscanner seit Anfang 2016 vermehrt auf Ransomware, erklärt das BSI. Gegenüber Oktober 2015 fanden Sicherheitslösungen im Februar 2016 mehr als 10-mal so häufig Ransomware in Deutschland. Dieser Trend sei auch weltweit zu erkennen.

Im Jahr 2023 stieg die Zahl der Ransomware-Angriffe um beeindruckende 37 % im Vergleich zum Vorjahr. Obwohl die durchschnittlich gezahlten Lösegelder die 100.000 US-Dollar-Marke^1,2,3  überschritten, bildeten sie nur einen geringen Anteil der tatsächlich geforderten Summen, die im Durchschnitt bei 5,3 Mio. US-Dollar⁴  lagen.

^{_________________
1}Verizon Data Breach Report 2022.
²McAfee Labs 2022 Threat Report.
³IBM X-Force Threat Intelligence Index 2022.
⁴Coveware Ransomware Report 2022.

Der Anstieg der in den Umlauf gebrachten Ransomware-Dateien lässt sich auch darauf zurückführen, dass sie sich mittlerweile recht einfach herstellen lassen. Im Darknet gibt es sogenannte Crimeware-Kits, mit denen sich Schadprogramme nach dem Baukastenprinzip zusammenstellen lassen. Das Programmieren oder Programmieren-Lassen von Ransomware ist also recht einfach und kostengünstig. Obwohl die Kriminellen wenig Geld in die Erstellung stecken müssen, können sie bestenfalls sehr viel herausholen. 

Bezahlen lassen sich die Cyberkriminellen per Paysafe- oder Ukash-Cards oder mit der Online-Währung Bitcoin. Das Lösegeld beträgt in vielen Fällen um die 400 Euro. Manchmal werden für die Entschlüsselung aber auch mehrere tausend Euro fällig. Je nachdem, wie wichtig die Daten sind, wie etwa bei der Erpressung der Krankenhäuser mit der Ransomware „Locky“. Wenn das Opfer diese Zahlung vorgenommen hat, wird sie dem Täter gutgeschrieben. Idealerweise gibt er im Gegenzug die Daten wieder frei.

Wie kann ich mich schützen?

• Backups: Der beste Schutz vor Ransomware sind regelmäßige Backups, die auf einem vom System getrennten Speichermedium aufbewahrt werden. Wenn Sie ein Backup auf einer externen Festplatte durchführen, trennen Sie diese nach der Sicherung ab und sorgen Sie dafür, dass dieses Speichermedium möglichst offline genutzt wird. Mit regelmäßigen Backups stellen Sie sicher, dass Sie auch im Falle einer tatsächlichen Ransomware-Infektion keine Daten verlieren und Ihr System einfach wiederherstellen können. Achten Sie bei den Backups darauf, dass es sich um ein sicheres Medium wie eine CD handelt, die nicht ebenfalls infiziert werden kann.

Beim Umgang mit Kriminellen ist immer Vorsicht und Skepsis geboten. Deshalb ist der generelle Rat: Zahlen Sie kein Lösegeld. Viele der Kriminellen haben von vornherein kein Interesse an Fairplay – und gar keine Möglichkeit zur Entschlüsselung geplant. Ihnen geht es allein um das Geld. Wer keine Sicherheitskopie oder ein Backup gemacht hat, verliert also in der Regel seine Dateien, nachdem sein Rechner mit Ransomware infiziert wurde. Verhandeln Sie nicht mit Erpressern.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät, den Forderungen nicht nachzugeben. Auf Fairness brauche niemand zu hoffen. Und wer mit Kreditkarte zahlt, macht aus seinem Konto einen Selbstbedienungsladen. Ein Erpresser kann plötzlich mehr Geld für die Herausgabe der Daten fordern oder über eine „Hintertür“ im System zu einem späteren Zeitpunkt nochmals die Daten verschlüsseln. Er fordert dann wiederum Geld – selbst wenn er zunächst sein Versprechen zu halten scheint und die Daten freigibt. Mit einer Zahlung geht man also in mehrfacher Hinsicht ein Risiko ein.

Wenn Sie entgegen aller Warnungen das Lösegeld zahlen wollen, sollten sie vorher keine Komponenten der Ransomware vom PC entfernen. Diese sind nämlich unter Umständen das Schloss, in den Sie den Schlüssel, den Sie nach der Zahlung eventuell erhalten, stecken müssen. Ohne Schloss kann der Entschlüsselungscode unbrauchbar werden und Ihre Dateien bleiben unwiderruflich verschlüsselt. Außerdem sind die Komponenten unter Umständen auch in dem Fall wichtig, dass Ermittlungsbehörden ein Schlag gegen die Cyber-Kriminellen gelingt – dann gibt es häufig sogenannte Decrypter, die Betroffenen helfen, ihre Daten ohne die Zahlung wiederherzustellen. Die in den Komponenten enthaltenen Informationen sind dabei nötig, um den Wiederherstellungsschlüssel zu generieren.

Falls Sie tatsächlich einen Schlüssel erhalten haben und damit Ihre Dateien entschlüsseln konnten, sollten Sie danach umgehend die Ransomware von Ihrem Rechner löschen. Machen Sie sich jedoch immer bewusst, dass die Kriminellen sich Ihnen gegenüber nicht verpflichtet fühlen und Sie gegebenenfalls Geld und Daten verlieren. Zudem halten Sie so die kriminelle Maschinerie aufrecht. Wenn niemand zahlt, lohnt sich für die Kriminellen irgendwann der Aufwand nicht mehr. Deshalb sei an dieser Stelle nochmals betont: Entscheiden Sie sich bewusst gegen eine Lösegeldzahlung.

Wie entferne ich Ransomware?

Sollten Sie trotz aller Vorsicht Opfer einer Attacke geworden sein, hilft oft nur noch eines: die schädliche Software vom Computer zu löschen. Der zuverlässigste und zugleich gründlichste Weg Ransomware loszuwerden ist es, das System auf den Werkszustand zurückzusetzen. Bevor Sie diesen Weg wählen, sollten Sie sich bewusstmachen sein, dass danach alle auf dem Computer befindlichen Dateien unwiderruflich verloren sind. Alternativ können Sie, sofern Sie regelmäßig ein Systembackup erstellt haben, Ihr System auf den Zustand zu einem Zeitpunkt vor der Infektion zurücksetzen. So können Sie Ihren Rechner von dem Schädling befreien.

• Information des BSI zur Ransomware
• Die Geschichte der Schadsoftware 
• G DATA Blog: Wie die Ransomware Teslacrypt über E-Mails verbreitet wird. 
• G DATA Blog: Verschlüsselungstrojaner Locky – das sollten Sie jetzt wissen.
• G DATA Blog: Ransomware Petya verschlüsselt die ganze Festplatte. 
• G DATA Blog: Technischer Überblick über die Ransomware Petya.  
• G DATA Blog: Manamecrypt – eine Ramsomware geht neue Wege.