Die Zunahme von Ransomware-Angriffen im vergangenen Jahr hat Regierungsvertreter dazu veranlasst, die Cybersicherheitsabwehr zu stärken; in dieser Woche wurden entsprechende Maßnahmen an mehreren Fronten vorangetrieben.
In einem Meinungsbeitrag von CNBC schrieb die stellvertretende US-Justizministerin Lisa Monaco, dass die Bedrohung durch Ransomware für die nationale Sicherheit und die öffentliche Sicherheit des Landes zunimmt und die Regierung umfassend reagieren muss, um die Vereinigten Staaten – einschließlich staatlicher Behörden, privater Unternehmen und Bürger – vor Angriffen zu schützen.
Monaco schrieb, dass das Justizministerium (DOJ) alles in seiner Macht Stehende tue – von der Unterstützung bei der Verhinderung von Angriffen und der Beschlagnahmung von Lösegeld bis hin zur strafrechtlichen Verfolgung von Cyberkriminellen und der Abschaltung der für die Angriffe verwendeten Computer. Außerdem forderte sie den Kongress auf, sich stärker einzubringen, unter anderem „durch die Verabschiedung von Gesetzen zur Schaffung eines nationalen Standards für die Meldung von Cybervorfällen, die ein erhebliches Risiko darstellen, einschließlich Ransomware und Vorfällen, die kritische Infrastrukturen und ihre Lieferketten betreffen.“
Gleichzeitig kündigte Monaco auf dem Aspen Cyber Summit zwei Initiativen an, die darauf abzielen, staatliche Auftragnehmer zur Offenlegung von Angriffen zu zwingen und die Rolle von Kryptowährungen bei Ransomware-Kampagnen ins Visier zu nehmen.
Der Kampf gegen Ransomware wird global
Die neuen Initiativen sind Teil einer umfassenderen Anstrengung der Biden-Regierung und des Kongresses, die Macht der Regierung einzusetzen, um einer Zunahme großer und kleiner Ransomware-Angriffe entgegenzuwirken. Zu den prominenten Opfern gehörten unter anderem das Energieunternehmen Colonial Pipeline, der globale Fleischverarbeiter JBS und Kaseya, ein Anbieter von Managed Services.
Die Maßnahmen verfolgen mehrere Ansätze. Dazu gehört, gegen die Akteure und Gruppen vorzugehen, die die Angriffe steuern, sowie private Einrichtungen zu zwingen, bei Angriffen oder Lösegeldzahlungen mehr Informationen offenzulegen. Die Meldepflicht sei ein wichtiger Bestandteil, schrieb Monaco.
„Ohne eine zeitnahe Meldung gehen Ermittlungschancen verloren, unsere Fähigkeit, anderen Opfern zu helfen, die denselben Bedrohungen ausgesetzt sind, wird beeinträchtigt, und der Regierung fehlt das vollständige Bild der Bedrohung für unser Land“, schrieb sie. „Die derzeitige Lücke bei der Berichterstattung beeinträchtigt die Fähigkeit der Regierung, nicht nur die Ransomware-Bedrohung, sondern alle Formen krimineller Cyberaktivität zu bekämpfen. Das bedeutet, dass wir ohne wichtige Erkenntnisse unserer Partner im privaten Sektor allein vorgehen – und das muss sich heute ändern.“
Die Biden-Regierung hat sich lautstark zur Ransomware-Bedrohung geäußert seit Anfang dieses Jahres. Erst in diesem Monat rief der Präsident zu einer Konferenz von 30 Ländern auf, um Ransomware und andere Cyberkriminalität zu bekämpfen; ein virtuelles Treffen soll irgendwann im Oktober stattfinden. Biden hat Russland bereits unter Druck gesetzt, gegen Cyberangriffe aus dem Land vorzugehen, und zugesagt, Chinas Cyberaktivitäten einzudämmen.
Neue Ransomware-Initiativen des DOJ
Die neuen Initiativen des DOJ – die Einrichtung des National Cryptocurrency Enforcement Team und die zivilrechtliche Initiative gegen Cyberbetrug – folgen auf weitere Maßnahmen, darunter die Einrichtung der Ransomware and Digital Extortion Task Force. Im Juli starteten das DOJ und das Heimatschutzministerium (DHS) die Website StopRansomware.gov als zentrale Anlaufstelle für Cybersicherheitsressourcen der gesamten US-Bundesregierung.
Darüber hinaus haben auch andere staatliche Behörden Maßnahmen ergriffen, um die Ransomware-Bedrohung zu bekämpfen. DHS-Minister Alejandro Mayorkas kündigte an, dass neue TSA-Vorschriften große Luft- und Schienenverkehrsunternehmen verpflichten, Cyberangriffe den Regierungsbehörden zu melden. Die Vorgabe ähnelt den Bestimmungen für Pipelinebetreiber nach dem Angriff auf Colonial Pipeline, der die wichtige Pipeline an der US-Ostküste für mehrere Tage stilllegte. Mayorkas deutete Berichten zufolge an, dass die Vorgabe auf weitere Einrichtungen ausgeweitet werden soll.
Auch der Kongress beginnt zu handeln. Der Ausschuss für Heimatschutz des Senats hat in dieser Woche den Cyber Incident Reporting Act vorgelegt. Das Gesetz würde Organisationen der kritischen Infrastruktur wie Krankenhäuser sowie Öl- und Gasunternehmen dazu zwingen, Cyberangriffe und Lösegeldzahlungen innerhalb von 72 Stunden zu melden. Republikanische Abgeordnete konnten kleine und mittlere Unternehmen von der Vorgabe ausnehmen; der Gesetzentwurf muss noch von beiden Kongresskammern verabschiedet werden.
Weiterführende Lektüre: Könnten Sie zum Ransomware-Ziel werden? Darauf achten Angreifer
Lösegeldzahlungen im Blick
Senatorin Elizabeth Warren (Demokraten, Massachusetts) und Abgeordnete Deborah Ross (Demokraten, North Carolina) haben in dieser Woche außerdem den Ransom Disclosure Act eingebracht. Dieser würde Organisationen 48 Stunden Zeit geben, Informationen über Ransomware-Zahlungen zu melden – einschließlich der Höhe des gezahlten Lösegelds und der verwendeten Währung – und das DHS verpflichten, die Informationen zu veröffentlichen. Der Gesetzentwurf muss noch vom Senat und vom Repräsentantenhaus gebilligt werden, bevor Biden ihn unterzeichnen kann.
In einer Stellungnahme sagte Warren, der Gesetzentwurf sei wichtig, weil „Ransomware-Angriffe rasant zunehmen, uns aber wichtige Daten fehlen, um gegen Cyberkriminelle vorzugehen“. Sie wies darauf hin, dass die Zahl der Ransomware-Angriffe zwischen 2019 und 2020 weltweit um 62 Prozent – und in Nordamerika um 158 Prozent – gestiegen sei und dass Opfer im vergangenen Jahr fast 350 Millionen US-Dollar an Lösegeld gezahlt hätten. Dabei berief sie sich auf eine Zahl des Blockchain-Analyseunternehmens Chainalysis.
Der Gesetzentwurf von Warren und Ross ist laut Bud Broomhead, Gründer und CEO des IoT-Sicherheitsanbieters Viakoo, ein Eingeständnis, dass ungesicherte Internet-of-Things-Geräte (IoT-Geräte) ein Sicherheitsrisiko für Unternehmen jeder Größe darstellen.
„Die mit Abstand beliebtesten Ziele von Hackern sind IoT-Geräte, weil sie überall zu finden und leicht zu kompromittieren sind“, sagte Broomhead gegenüber eSecurity Planet. „Man muss nur Target und andere Unternehmen fragen, deren IoT-Geräte die Angriffsfläche boten, über die Ransomware zur Störung des Betriebs und zur Erpressung eingeschleust wurde.“
Kryptowährungen müssen angegangen werden
Darüber hinaus schickten die Senatoren Edward Markey aus Massachusetts und Sheldon Whitehouse aus Rhode Island zusammen mit den Abgeordneten Ted Lieu aus Kalifornien und Jim Langevin aus Rhode Island ein Schreiben an das Justiz-, Finanz-, Außen- und Heimatschutzministerium, in dem sie dazu aufforderten, die Maßnahmen gegen Ransomware zu verstärken. Dazu gehöre auch, die Rolle von Kryptowährungen anzugehen, die von Angreifern häufig als Lösegeld verlangt werden. Die demokratischen Abgeordneten, das DOJ und andere Behörden nehmen Kryptowährungen ins Visier, weil die dadurch gewährte Anonymität es Angreifern erleichtert, verborgen zu bleiben.
John Bambenek, leitender Threat Hunter beim Cybersicherheitsanbieter Netenrich, sagte gegenüber eSecurity Planet, dass die Auseinandersetzung mit Kryptowährungen für den Kampf gegen Ransomware entscheidend sei.
„Ohne Kryptowährungen gäbe es keine Ransomware“, sagte Bambenek. „Geld in dem erforderlichen Umfang zu bewegen, ist für Kriminelle, die andere Methoden nutzen, schlicht nicht praktikabel.“
Laut Karl Steinkamp, Direktor für PCI-Produkte und Qualitätssicherung bei der Cybersicherheitsberatung Coalfire, werden Regulierung und Compliance-Anforderungen für Kryptoasset-Börsen und Dritte, die in der Kryptowelt tätig sind, wahrscheinlich Teil der Lösung zum Schutz privater und institutioneller Anleger sein. Gesetzgeber müssen jedoch sicherstellen, dass sie wissen, wovon sie sprechen.
„Diese Maßnahmen müssen sorgfältig durchdacht und umgesetzt werden, damit Innovationen nicht ausgebremst werden“, sagte Steinkamp gegenüber eSecurity Planet. „Politiker sollten keine Bestandteile in Gesetze aufnehmen, ohne genau zu verstehen, wie die Technologien funktionieren und welche nachgelagerten Auswirkungen sie haben.“
Kevin Dunne, Präsident des Cybersicherheitsanbieters Pathlock, sagte gegenüber eSecurity Planet, dass es zwei Bereiche gebe, in denen Regierung und Privatwirtschaft zusammenarbeiten sollten. Der erste betreffe die Prävention. Dazu gehöre die Zusammenarbeit mit Plattformen – etwa Cloud-Hosting-Anbietern, Netzwerkunternehmen und Kryptowährungsbörsen –, die Angriffe ermöglichen könnten, sowie das Sammeln von Informationen, wenn Konten auf den Plattformen eingerichtet werden, um „forensische Informationen bereitzustellen, mit denen sich gestohlene Daten und Gelder zurückverfolgen lassen, wenn es unweigerlich zu Angriffen kommt“.
Der zweite Bereich betrifft die Zusammenarbeit bei der Reaktion auf Angriffe. Das bedeutet, mit Opfern und Plattformen zusammenzuarbeiten, um Informationen zu sammeln, die zur Identifizierung und strafrechtlichen Verfolgung der Angreifer führen.
„Es ist entscheidend, sicherzustellen, dass diese Angriffe mit einem gewissen realen Risiko verbunden sind, um sie von vornherein abzuschrecken“, sagte Dunne.
Weiterführende Lektüre zu Schutz vor und Wiederherstellung nach Ransomware: