Ransomware-Kontrollen richtig prüfen: Backup, Admin-Rechte, Segmentierung, EDR

Tobias Mogk

Managing Director, Cyber Resilience

Fragt man in mittelständischen Unternehmen nach dem Schutz vor Ransomware, kommt fast immer dieselbe Antwort: Backup ist da, Virenschutz bzw. EDR ist da, die Firewall auch. Das stimmt meistens. Die entscheidende Frage ist eine andere: Halten diese Kontrollen noch, wenn der Angreifer bereits Domänen-Administrator ist? Dieser Beitrag geht vier Kontrollbereiche durch, jeweils mit Prüffragen, die Sie in Ihrer Umgebung an einem Tag beantworten können, und mit Kennzahlen für den Bericht an die Geschäftsführung.

Prüfen Sie aus Sicht des Angreifers

Ransomware-Gruppen verschlüsseln selten sofort. Nach Erfahrung des BSI bewegen sie sich oft Wochen im Netz, erbeuten Administratorrechte und übernehmen das Active Directory, bevor sie die Verschlüsselung auslösen. Wie das im Einzelnen abläuft, beschreibt unser Beitrag So läuft ein Ransomware-Angriff ab.

Daraus folgt ein einfacher Prüfmaßstab. Jede Kontrolle muss unter der Annahme bewertet werden, dass der Angreifer die höchsten Rechte in Ihrer Windows-Domäne hat. Ein Backup, das ein Domänen-Admin löschen kann, schützt nicht vor Ransomware. Ein EDR, das ein Domänen-Admin per Gruppenrichtlinie abschalten kann, ohne dass jemand es merkt, ebenso wenig.

Als Rahmen eignen sich die Top 10 Ransomware-Maßnahmen des BSI und der ausführlichere Maßnahmenkatalog Ransomware. Die folgenden vier Bereiche decken den Kern davon ab.

Backup, das den Angreifer überlebt

Das BSI beschreibt dafür einen einfachen Test: Ein Domänen-Administrator versucht, auf die getrennte Backup-Kopie zuzugreifen. Das darf nicht gelingen. Scheitert der Test nicht, ist die Kopie nicht getrennt.

Worauf es im Detail ankommt:

• Mindestens eine Kopie ist offline oder unveränderlich gespeichert, etwa auf Band, in einem Objektspeicher mit Löschsperre oder bei einem Anbieter, dessen Verwaltung nicht an Ihre Domäne gebunden ist.
• Der Backup-Server ist kein Mitglied der Produktivdomäne. Die Backup-Konsole hat eigene Konten mit MFA, und kein Administratorpasswort wird zwischen Produktion und Backup wiederverwendet.
• Die Aufbewahrung reicht weit genug zurück. Wenn Angreifer Wochen im Netz waren, brauchen Sie einen Wiederherstellungspunkt von davor.
• Wiederhergestellt wird nur mit Kopien oder schreibgeschützten Medien, damit ein übersehenes infiziertes System das Backup nicht nachträglich beschädigt.
• Es gibt einen geübten Wiederanlauf für die kritischen Systeme, inklusive Domänencontroller. Das BSI empfiehlt, auch den Schwarzstart, also den Wiederanlauf aller Server, zu planen und zu üben.

Prüffrage: Wann haben Sie zuletzt einen Domänencontroller und die Datenbank Ihres ERP-Systems in einer isolierten Umgebung wiederhergestellt, und wie lange hat es gedauert?

Identitäten und Administratorrechte

Für die Ausbreitung im Netz brauchen Angreifer vor allem Konten mit hohen Rechten. Deshalb gehört die Identitätsseite in jede Ransomware-Bewertung.

Fernzugänge sind ausnahmslos mit einem zweiten Faktor geschützt. Das gilt für VPN, Remote-Desktop-Gateways, Microsoft 365 bzw. Entra ID, Verwaltungsportale von Firewall und Hypervisor und für die Zugänge Ihrer Dienstleister. Ein einziger vergessener Zugang reicht.

Administratoren arbeiten mit getrennten Konten: eines für E-Mail und Internet, eines für Clients, eines für Server. Domänen-Admin-Rechte haben nur wenige Personen, und sie werden nicht für die Verwaltung von Arbeitsplätzen benutzt. Bewährt hat sich ein Ebenenmodell (Tiering): Domänencontroller und Identitätssysteme bilden die oberste Ebene, Server die mittlere, Clients die untere. Konten einer höheren Ebene melden sich nie an Systemen einer niedrigeren an. Für die oberste Ebene sind eigene, abgesicherte Administrationsrechner sinnvoll.

Häufige Befunde in der Praxis sind Dienstkonten mit Domänen-Admin-Rechten, identische lokale Administratorpasswörter auf allen Rechnern und alte Konten ehemaliger Mitarbeitender. Für die lokalen Passwörter gibt es mit Windows LAPS eine Bordlösung. Für die Härtung des Active Directory verweist das BSI auf den IT-Grundschutz-Baustein APP.2.2.

Prüffrage: Wie viele Konten, einschließlich Dienstkonten, sind heute Mitglied der Gruppen mit Domänen- oder Unternehmens-Admin-Rechten? Wie das systematisch aufgeräumt wird, zeigt unsere Seite zu Identity & Access Management.

Segmentierung, die Ausbreitung wirklich begrenzt

Eine saubere Netzsegmentierung sorgt laut BSI dafür, dass Ransomware nur Systeme in unmittelbarer Nachbarschaft erreicht. In vielen Netzen ist diese Nachbarschaft allerdings das gesamte Unternehmen.

Sinnvolle Schritte, ungefähr in dieser Reihenfolge:

1. Clients dürfen nicht untereinander kommunizieren. Das lässt sich oft schon mit der Host-Firewall umsetzen und erschwert die Seitwärtsbewegung von Rechner zu Rechner.
2. Verwaltungsschnittstellen von Hypervisor, Storage, Backup und Server-Fernwartung liegen in einem eigenen Netz, erreichbar nur von Administrationsrechnern.
3. Server sind nach Funktion getrennt, und von Clients sind nur die Ports erreichbar, die die Anwendung braucht.
4. Produktion und Bürowelt sind getrennt, mit einem definierten, überwachten Übergang.
5. Altsysteme, die keine Updates mehr bekommen, stehen isoliert und haben möglichst keinen Kontakt nach außen.

Prüffrage: Welche Ports auf Domänencontrollern, Backup-Server und Hypervisor sind von einem normalen Arbeitsplatzrechner aus erreichbar? Ein Portscan aus dem Client-Netz beantwortet das in einer Stunde.

EDR nur mit jemandem, der reagiert

Endpoint Detection and Response (EDR) erkennt verdächtiges Verhalten auf Rechnern und Servern und kann Geräte isolieren. Drei Punkte entscheiden über die Wirksamkeit.

Erstens die Abdeckung. Gleichen Sie die Zahl der Geräte in der EDR-Konsole mit Ihrem Inventar ab, inklusive Server und Linux-Systeme. Lücken sind keine Seltenheit.

Zweitens der Manipulationsschutz. Angreifer versuchen, Sicherheitssoftware abzuschalten. Änderungen an der Konfiguration müssen einen Alarm auslösen.

Drittens die Reaktion. Die Verschlüsselung beginnt laut BSI häufig nachts oder am Wochenende. Wenn ein Alarm am Samstag um drei Uhr bis Montag in der Konsole liegt, ist das EDR ein Protokoll und kein Schutz. Klären Sie, wer außerhalb der Geschäftszeiten reagiert: eigene Rufbereitschaft, ein Managed-Detection-Dienst oder ein SOC. Für eindeutige Muster sollten automatische Isolationsregeln aktiv sein.

Für die Erkennung lohnt ein Blick auf die Top 10 Detektionsmaßnahmen des BSI. Dazu gehören unter anderem auffällige Remote-Desktop-Anmeldungen, das Auslesen von Zugangsdaten aus dem Speicherprozess LSASS, neu angelegte geplante Aufgaben, Werkzeuge zur Erkundung des Active Directory, das Löschen von Schattenkopien und Köderdateien in Backup-Verzeichnissen.

Kennzahlen für den Bericht an die Geschäftsführung

Die Geschäftsführung braucht keine Konsolenansichten, sondern wenige Zahlen, die sich über die Zeit vergleichen lassen:

• MFA-Abdeckung aller Fernzugänge und privilegierten Konten in Prozent, Ziel 100.
• Anzahl der Konten mit Domänen-Admin-Rechten, inklusive Dienstkonten.
• Zeit von der Veröffentlichung eines kritischen Patches bis zur Installation auf extern erreichbaren Systemen.
• EDR-Abdeckung im Verhältnis zum Inventar.
• Ergebnis des letzten Zugriffstests auf die Offline-Kopie.
• Dauer der letzten vollständigen Wiederherstellung kritischer Systeme, gemessen am vereinbarten Wiederanlaufziel.
• Reaktionszeit auf einen kritischen EDR-Alarm außerhalb der Geschäftszeiten.

Für Unternehmen, die unter NIS2 fallen, sind diese Zahlen zugleich Nachweise. § 30 BSIG verlangt unter anderem Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.

Womit Sie anfangen

Wenn Sie priorisieren müssen, beginnen Sie mit der getrennten Backup-Kopie und den getrennten Zugangsdaten dafür. Danach folgen MFA auf allen Fernzugängen und Admin-Konten, dann die Frage, wer nachts auf EDR-Alarme reagiert. Diese drei Punkte sind in der Regel in einigen Wochen umsetzbar. Die Segmentierung ist das längste Vorhaben und wird eher in Monaten geplant, liefert aber mit der Client-Isolation schon früh einen spürbaren Effekt.

Was passiert, wenn trotzdem verschlüsselt wird, beschreibt unser Beitrag zum Wiederanlauf nach Ransomware. Für die Budgetdiskussion hilft eine Zahl: Was kostet ein Tag Stillstand? Der Schadenskalkulator unten rechnet das mit Ihren eigenen Werten durch.