Der Rückgang von Ransomware zeigt den Wert von verbesserten Schutzmaßnahmen

Es ist oft schwer, den Wert eines Negativs zu beweisen - zum Beispiel die Rendite einer Investition in die Verhinderung eines Cyberangriffs. Aber genau das zeigen die jüngsten Berichte über den Rückgang von Ransomware-Angriffen und Auszahlungen.

Als Reaktion auf die zunehmenden Anforderungen von Cyber-Versicherern haben versierte Cybersicherheitsverantwortliche einen stärkeren, mehrschichtigen Ansatz zur Abwehr der zunehmenden Ransomware-Bedrohung gewählt. Und den meisten Berichten zufolge funktioniert das auch. 

Sowohl die Zahl der gemeldeten Ransomware-Angriffe als auch die daraus resultierenden Verluste sind im vergangenen Jahr zurückgegangen, so das Internet Crime Complaint Center (IC3) des FBI. Laut dem kürzlich veröffentlichten Internet Crime Report des IC3 gingen im Jahr 2022 2.385 Ransomware-Beschwerden ein (gegenüber 3.729 im Jahr 2021), mit einem bereinigten Schaden von mehr als 34,3 Millionen Dollar (gegenüber 49,2 Millionen Dollar im Jahr 2021).[1] Der Bericht von Mimecast State of Email Security 2023 (SOES 2023) zeigt auch einen Rückgang der Ransomware-Angriffe mit erheblichen Auswirkungen. Die Zahl der weltweit Befragten, die angaben, dass ein Ransomware-Angriff ihr Unternehmen im vergangenen Jahr erheblich beeinträchtigt hat, ist in diesem Jahr auf 29 % gesunken (gegenüber 38 % im Bericht von 2022). Ein Drittel der befragten US-Amerikaner sagte dies in diesem Jahr, gegenüber 41 % im letztjährigen Bericht.

Darüber hinaus haben Ransomware-Experten festgestellt, dass die Bereitschaft der Unternehmen, die Angreifer zu bezahlen, rapide gesunken ist. Laut dem Ransomware-Anbieter Coveware haben 2022 nur 42 % der betroffenen Unternehmen ein Lösegeld gezahlt, gegenüber 75 % im Jahr 2019.[2] Der Gesamtwert der Ransomware-Zahlungen scheint ebenfalls gesunken zu sein, so die Blockchain-Datenplattform Chainalysis, die Kryptowährungsbewegungen analysiert, um illegale Aktivitäten einschließlich Ransomware-Plots zu identifizieren. Laut Chainalysis erpressten Ransomware-Angreifer im Jahr 2022 rund 456,8 Millionen Dollar von Unternehmen, gegenüber 765,6 Millionen Dollar im Vorjahr.[3]

Aber jetzt ist nicht die Zeit für Unternehmen, den Fuß vom Gas zu nehmen. Vielmehr unterstreicht der Rückgang der Gesamtwirksamkeit von Ransomware-Plots die Bedeutung einer stärkeren Cyberabwehr sowie von Plänen zur Reaktion auf Vorfälle und zur Wiederherstellung, so diese Berichte. 

Unternehmen mit mehrschichtigen Abwehrmechanismen und eingespielten Prozessen zur Reaktion auf Vorfälle sind nicht nur besser in der Lage, Ransomware-Versuche abzuwehren, sondern haben auch seltener mit den Auswirkungen zu kämpfen, die sie zur Zahlung eines Lösegelds zwingen würden - was wahrscheinlich der Grund für diesen rückläufigen Trend ist. Während Cyberkriminelle dem Geld folgen - und möglicherweise von einigen traditionellen Ransomware-Ansätzen abrücken - werden sie sich weiterentwickeln, sowohl in Bezug auf Varianten als auch auf Erpressungsansätze. Und dank des florierenden ransomware-as-a-service-Markteskönnen diese Bedrohungen schnell skalieren. Wie das IC3 des FBI warnt, bleibt Ransomware eine ernsthafte Bedrohung. Das bedeutet, dass kluge Sicherheitsverantwortliche wachsam bleiben und weiterhin in wichtige Cybersecurity-Kontrollen investieren müssen. 

Versicherer und Aufsichtsbehörden heben den Cyber-Status quo an

Zahlungen und Verluste, zwei der wichtigsten Faktoren für den Rückgang der Ransomware-Angriffe im letzten Jahr, sind die strengeren Anforderungen, die sowohl von Cyber-Versicherungsanbietern als auch von staatlichen Regulierungsbehörden gestellt werden.

Die unaufhörliche Zunahme erfolgreicher Cyberangriffe hat sich in den letzten Jahren auf die Schadenkosten der Cyberversicherer ausgewirkt. Infolgedessen sind die Unternehmen, die Cyber-Versicherungen anbieten, anspruchsvoller geworden - sie verlangen höhere Prämien, erhöhen die Selbstbeteiligung und verlangen bessere Nachweise für das Risikomanagement. Sie haben ihre Underwriting-Bedingungen verschärft und suchen nach spezifischen Nachweisen für das Cyber-Betriebsumfeld und die Risikokontrollen eines antragstellenden Unternehmens. 

Auch die zunehmenden gesetzlichen Anforderungen legen die Messlatte für die Cybersicherheit und die Reaktion auf Zwischenfälle höher. Das Ergebnis ist eine stärkere Cyberabwehr und eine größere Widerstandsfähigkeit in vielen Unternehmen. Unternehmen, die über bessere und mehrschichtige Sicherheitskontrollen verfügen, verringern ihre Angriffsflächen. Und diejenigen, die über geübte Reaktionspläne für Zwischenfälle und Datensicherungen verfügen, sind besser darauf vorbereitet, Angriffe zu überstehen, ohne dass es zu erheblichen Geschäftsunterbrechungen kommt, die sie dazu zwingen könnten, ihre Erpresser zu bezahlen.

Was dies für CISOs bedeutet

Die übergreifende Erkenntnis für Sicherheitsverantwortliche ist, dass mehrschichtige Sicherheitskontrollen eine wirksame Abschreckung gegen Ransomware sein können und dass es sich auszahlt, auf einen Ransomware-Angriff vorbereitet zu sein. Es ist wichtiger denn je, ein auf Bedrohungen basierendes Cyber-Risikomanagementprogramm zu haben.

Um weiterhin mit Ransomware-Banden und anderen Bedrohungsakteuren Schritt zu halten, sollten Unternehmen ihren Fokus auf die SecOps-Grundlagen verdoppeln und ihre defense-in-depth Strategien verstärken, sagt Neil Clauson, regionaler CISO von Mimecast. Clauson rät Sicherheitsverantwortlichen, ihr Cybersecurity-Portfolio zu überprüfen und fehlende Kontrollen zu ergänzen, um sich gegen die häufigsten und schädlichsten Bedrohungsvektoren zu schützen.

Cyber-Versicherer haben auf der Grundlage einer Analyse ihrer eigenen versicherungsmathematischen Daten eine Liste der wirksamsten Sicherheitskontrollen erstellt. Viele verlangen nun von ihren Versicherten, dass sie diese Abwehrmaßnahmen nachweisen können. Ihre Anforderungen können als Maßstab für Unternehmen dienen, die ihren Schutz vor Ransomware und anderen Bedrohungen verbessern wollen. Der Versicherer Marsh beispielsweise hat eine Liste mit einem Dutzend Cybersecurity-Kontrollen veröffentlicht, die er fordert, darunter E-Mail-Filterung und Web-Sicherheit, sichere, verschlüsselte und getestete Backups, Schulungen zur Sensibilisierung für das Thema Cyber und Anti-Phishing, digitales Risikomanagement in der Lieferkette und Systemhärtung.[4]

Die Quintessenz

Der Rückgang der gemeldeten Ransomware-Angriffe und der Auszahlungen im Jahr 2022 deutet auf die Wirksamkeit der mehrschichtigen Cybersicherheitsabwehr und der Reaktionsplanung auf Cybervorfälle hin. Sicherheitsverantwortliche sollten jedoch darauf achten, dass ihre Führungskräfte, Geschäftspartner und Vorstände die Daten nicht falsch interpretieren. Jüngste Berichte unterstützen die laufenden Investitionen in einen Defense-in-Depth-Cybersecurity-Ansatz und die Sicherheitskontrollen, die viele Cyber-Versicherungsunternehmen jetzt verlangen. Lesen Sie mehr darüber, wie Mimecast und seine Partner zusammenarbeiten, um die Widerstandsfähigkeit einer Organisation gegen Ransomware zu erhöhen.

[1] "Federal Bureau of Investigation Internet Crime Report 2022," Internet Crime Complaint Center

[2] "Verbesserte Sicherheit und Backups führen zu einer rekordverdächtig niedrigen Anzahl von Ransomware-Zahlungen," Coveware

[3] "Ransomware Revenue Down As More Victims Refuse to Pay," Chainalysis

[4] "Cyber Resilience: 12 Schlüsselkontrollen zur Stärkung Ihrer Sicherheit," Marsh