Ransomware-as-a-Service: Wie cloud-basierte Lieferketten leicht angegriffen werden

Da die Cloud zum primären Mittel für den Zugriff auf eine wachsende Anzahl von Softwareangeboten wird, scheint es, als migriere jede Anwendung heutzutage in ein „as-a-Service“-Liefermodell. Da ist es keine Überraschung, dass Ransomware auf den Cloud-Zug aufgesprungen ist.

Lernen Sie Ransomware-as-a-Service (RaaS) kennen: ein vorgefertigtes, leicht zu implementierendes Mittel, um Datennetzwerke zu sperren und ihre Besitzer zur Zahlung – meist in Form von Bitcoin oder anderer Kryptowährung – zu erpressen, um sie wieder freizugeben.

Wie bei den beliebtesten Managed Services kann RaaS Rund-um-die-Uhr-Techsupport und Benutzerforen umfassen, die darauf abzielen, das Beste aus der Anwendung herauszuholen. Käufer können die „Lösung“ auf verschiedene Weise erwerben: monatliches Abonnement, einmalige Lizenzgebühren oder Gewinnbeteiligung mit dem Softwareanbieter. Wie auch immer sie geliefert wird, RaaS hat ein gemeinsames Ziel: digitales Chaos anrichten und dabei enorme Gewinne einfahren. Das ist ein Hauptgrund, warum Ransomware-Einnahmen in den USA letztes Jahr auf geschätzte 20 Milliarden Dollar stiegen, laut Cybersecurity Ventures.

Berichten zufolge seit etwa 2016 im Dark Web verfügbar, hat RaaS seit dann schnell an Fahrt gewonnen als Mittel zur Verbreitung von Ransomware. Die globale Lieferkette, bestehend aus mehreren unabhängigen Partnern aller Größen und technologischen Reifegrade, ist besonders anfällig für Angriffe. Große Hersteller, Distributoren und Einzelhändler mögen sich sicher fühlen, nachdem sie Millionen in enge Sicherheitsmaßnahmen in ihren eigenen Häusern investiert haben, aber der kleinste und unscheinbarste Lieferant kann als Tür zu einer Fülle sensibler Daten über Kunden und Operationen dienen. Nach einigen Schätzungen kommen zwei Drittel aller Cyberangriffe derzeit über die Lieferkette.

Mobile Geräte, die in Zahl und Anwendungen im letzten Jahrzehnt explodiert sind, sind beliebte Vektoren für Infektionen. „Sagen wir, ein Subunternehmer eines Entwicklers kommt, um eine API-basierte Softwareerweiterung für einen Kunden zu bauen“, sagt Padmini Ranganathan, Global Vice President of Product Strategy bei SAP Procurement. „Wie wissen Sie, dass ihr Code sicher ist? Oder dass sie die Geräte schützen, die sie verwenden?“

Netzwerke müssen gleichermaßen wachsam sein beim Schutz eingebetteter Systeme in der Cloud, sagt Ranganathan. Und obwohl Cloud-Technologie keine automatische Sicherheitsbedrohung ist, erhöht sie Risikostufen durch die Proliferation von mit dem Internet der Dinge verbundenen Geräten. Unternehmen müssen reagieren, indem sie strenge Audits aller Geräte und Systeme durchführen, die Zugriff auf ihre Daten haben – sowohl extern als auch intern.

Da RaaS es Cyberkriminellen erleichtert, Netzwerke für Lösegeld gefangen zu nehmen, würde man denken, dass private Unternehmen und Regierungsbehörden besondere Sorgfalt auf den Schutz ihrer Daten legen. Die Häufung von Ransomware-Angriffen in den letzten Jahren deutet darauf hin, dass dies nicht der Fall ist. Allein 2021 waren Opfer eine Ölpipeline, ein Fleischverarbeiter, ein Chemiehändler, ein Autohersteller, sogar ein Fährdienst auf Martha's Vineyard. Es gibt kein Muster bezüglich der angegriffenen Entität – nur dass sie alle verwundbar gegenüber einer Angriffsform waren, die alarmierend einfach zu inszenieren geworden ist.

Kleinere Lieferanten – oder große, für den Fall – könnten argumentieren, dass ihnen die Ressourcen für Investitionen in Cybersicherheit fehlen. Ranganathan schlägt vor, dass sie das Problem nicht mit dem richtigen Mindset betrachten. Sicher, angemessene Sicherheitsmaßnahmen können teuer in der Anschaffung sein und die Bilanz vorübergehend belasten. Aber was kostet die Erholung von einem Cyberangriff – besonders eine Lösegeldforderung, die in die Millionen gehen kann? Oder der Imageschaden durch den Verlust von Kunden, die wütend sind, weil ihre sensiblen persönlichen Daten aufgrund von Nachlässigkeit eines Einzelhändlers oder Dienstleisters kompromittiert wurden? „Wir unterschätzen das Konzept des Value at Risk“, sagt Ranganathan.

Ein wichtiger Aspekt der Cybersicherheit kostet nicht unbedingt mehr. Es ist Bewusstsein und Sorgfalt der Mitarbeiter hinsichtlich der Bedrohung durch Verletzungen über beliebig viele Systeme und Geräte. Nichts sollte von Anfang an vertraut werden; oft kann ein erfolgreicher Angriff auf menschliche Nachlässigkeit zurückgeführt werden, nicht auf Technologie-Schwachstellen.

Die Techniken der Hacker entwickeln sich natürlich weiter. Die Ransomware-Attacke von heute wird in den kommenden Jahren wahrscheinlich eine ganz neue Form annehmen. Technologie wird bestrebt sein, mit der sich ständig wandelnden Bedrohung Schritt zu halten, aber ständige Wachsamkeit seitens Systemdesigner und sogar der gelegentlichen Nutzer ist entscheidend.

Unternehmen müssen der Systemsicherheit dieselbe Aufmerksamkeit widmen wie der glitzernden Welt von Vertrieb, Marketing und neuer Produktentwicklung. Sagt Ranganathan: „Wir können unsere Augen nicht von der architektonischen Hygiene abwenden im Namen schneller Innovation.“