“Die Angreifer sind maximal kundenorientiert” sagt Ralf Schwarzmaier im aktuellen Podcast-Gespräch zu seinen persönlichen Erfahrungen bei real erfolgten Angriffsszenarien. Vielen Dank an Ralf Schwarzmaier, den Geschäftsführer der mars solutions GmbH, der mit uns über diese spannenden Fragen offen und mit klaren Erfahrungswerten spricht.

———————–

Wie stellt der Kunde fest, dass er angegriffen wird?

Ja, ich sage mal, da gibt es viele verschiedene Varianten. Die einfachste Variante ist natürlich, man klickt eine Email an und dann wird der Bildschirm schwarz mit einem Totenkopf drauf. Die anderen Varianten, ja, die können tatsächlich extrem schleichend sein und die kann man tatsächlich eventuell auch über Monate gar nicht mitbekommen. Dass heißt, der Angreifer führt erst mal automatisch eine Bewertung durch. Befinde ich mich in einem großen Netzwerk, befinde ich mich im kleinen Netzwerk? Ist es ein Szenario, das überhaupt zu mir passt? Und je nachdem wie die erste Bemusterung endet, kann es sein, dass der Angriff nicht direkt stattfindet, sondern erst mal eine Art Backbone aufgemacht wird oder Informationen einfach versandt werden, mit denen man den Angriff noch gezielter gestalten kann

Also wenn ich jetzt der langsam in Panik geratene GF eines solchen Kundenunternehmens bin, dann merke ich, meine Mitarbeiter kommen irgendwie nicht mehr so klar und irgendjemand stellt jetzt fest, hier ist so eine Textdatei. Wie geht es dann weiter?

Der Kunde bekommt einen Link ins Darknet, wo man sich dann mit einer ID, welche dann in der Regel in den Textdokumenten drinsteht, authentifizieren kann, dass man auch tatsächlich angegriffen wurde. Mit einer eindeutigen Ticketnummer, um das Ganze auch direkt zuordnen zu können. Und dann bekommt man in der Regel entweder direkt angeboten, Dateien herunterzuladen oder wenn es eben nicht nur um Verschlüsselung ging, sondern eben auch um Datendiebstahl.

Und man hat ein Chatfenster, wo man mal eben mit dem Support sprechen kann und es steht in der Regel schon eine Person mit dabei. Und dann kommt es eben noch mitunter drauf an, ob es ein Fall ist, wo man tatsächlich noch zeitlich unter Druck gesetzt wird, man beispielsweise fünf Tage Zeit hat, um eben Summe X zu bezahlen und zehn Tage wie auch immer oder der Betrag immer höher wird, je nachdem wie viel Zeit man hat und eben mit Veröffentlichung der Daten gedroht wird.

Wie fällt dann in Deiner Wahrnehmung die Zahlungsentscheidung der Angegriffenen aus?

Von der Wahrnehmung her würde ich sagen, dass die Behörden in der Regel sagen, nicht bezahlen. Aber es wird dann häufig nicht auf die Behörden gehört, sondern es wird aufs eigene Gefühl gehört plus eben auf das, was die Anforderung von deren Kundenseite wiederum ist, weil es natürlich sein kann, dass mein Backup super gut ist, aber ich eben vor dem Thema stehe, dass die Daten veröffentlicht werden und bei denen ich auf gar keinen Fall möchte, dass sie in die Öffentlichkeit gelangen.

Dass heißt, die Opfer zahlen dann oft nicht des Entschlüsseln wegen, sondern um die Veröffentlichung zu verhindern.

Dann muss man ja dem bösesten Menschen in der Kette am meisten vertrauen. Aber ich habe ja keine Garantie dass der es nicht doch tut oder nochmal zu mir kommt. Wie können die Angreifer mir denn garantieren, dass sie das nicht irgendwann noch einmal tun?

Oder ist es tatsächlich maximales Vertrauen in jemanden, dem ich nicht vertrauen möchte. Aber die sind maximal kundenorientiert. Tatsächlich. Und die wollen sich ihr eigenes Geschäftsmodell ja nicht kaputt machen. Plus Sie haben natürlich noch unglaublich viele Kunden zur Auswahl. Also aktuell sind mir keine Fälle bekannt, wo es von der gleichen Gruppe nochmal zu einer Verschlüsselung kam. Und warum sollen sie sich da ihren Ruf verbrennen? Also das ist der Punkt, wo ich sage, dass sie sehr kundenorientiert sind. Und so manches Unternehmen von uns kann sich da mit Sicherheit eine Scheibe abschneiden. Wie kundenorientiert man denn sein kann und handeln kann. Die Reaktionszeiten sind abartig schnell, anders kann man es nicht formulieren.

Dann gibt es ja noch die Facette, wer verhandelt da mit wem? Ist das der Geschädigte, der nächtelang nicht geschlafen hat? Ich könnte mir vorstellen, dass das ganz schön überfordernd ist, überhaupt mit der Situation klarzukommen. Denn es gibt ja nicht nur eine Kommunikation zum Erpresser, sondern auch zu Mitarbeitenden und zu Kunden. Seid ihr auch ein Ratgeber auf dieser kommunikativen Ebene, unabhängig von der technischen Ebene?

Der Betroffene sollte nicht versuchen zu verhandeln. Das funktioniert nicht, weil der Panikmodus an ist. Es mag natürlich Charaktere geben, die das können, aber der Großteil wird dazu nicht in der Lage sein aus meiner Sicht. Denn es gibt Personen, die das können und dafür geschult sind. Bei den großen Summen, da würde ich eigentlich immer ganz klar zu Profis raten. Und da gibt es tatsächlich Leute, die sich darauf spezialisiert haben, die es gewohnt sind, mit irgendwelchen Geiselnehmern zu verhandeln. Und die haben sich heutzutage auch darauf spezialisiert, mit Cyber-Erpressern zu verhandeln. Das sind oft Leute, die aus dem behördlichen und polizeilichen Umfeld kommen.