Verschlüsselte Server, stillstehende Produktion, nicht erreichbare Anwendungen: So wird ein Ransomware-Angriff für ein Unternehmen sichtbar. Doch wenn die ersten Dateien verschlüsselt sind, haben Angreifer meist schon einen großen Teil ihrer Arbeit erledigt. Sie haben Systeme erkundet, Zugangsdaten gesammelt und ihre Rechte erweitert. Oft haben sie auch sensible Daten gestohlen und Backup-Systeme ins Visier genommen.

Die Verschlüsselung ist deshalb selten der Anfang eines Ransomware-Angriffs. Sie ist eher sein trauriges Finale. Davor können Tage, Wochen oder sogar Monate ins Land gegangen sein, in denen kein Verantwortlicher etwas mitbekommt. Für Unternehmen ist genau diese Zeit entscheidend, denn während Angreifer ihre Position im Netzwerk ausbauen, hinterlassen sie Spuren. Ein Security Operations Center (SOC) kann diese erkennen und den Angriff stoppen, bevor daraus eine Krise entsteht.

Der eigentliche Angriff läuft bereits
Der erste Zugang wirkt oft unspektakulär. Beschäftigte geben ihre Zugangsdaten auf einer gefälschten Anmeldeseite ein. Angreifer nutzen eine Schwachstelle in einer öffentlich erreichbaren Anwendung. Oder Schadsoftware verschafft ihnen Fernzugriff auf einen Rechner. Danach passiert zunächst womöglich wenig, das nach einem schweren Cyberangriff aussieht. Das ist durchaus beabsichtigt: Professionelle Angreifer wollen möglichst lange unentdeckt bleiben.

Sie nutzen diese Zeit, um sich im Netzwerk umzusehen. Wo liegen wichtige Daten? Welche Konten besitzen weitreichende Rechte? Wie gelangen sie zu Domänencontrollern, Fileservern oder Backup-Systemen? Auch Cloud-Identitäten und zentrale Netzwerkkomponenten sind interessante Ziele. Das MITRE ATT&CK®-Framework beschreibt solche Angriffsschritte unter anderem als Discovery, Privilege Escalation und Lateral Movement. Die eigentliche Verschlüsselung folgt erst später.

Hinzu kommt: Viele Ransomware-Gruppen verschlüsseln Daten heute nicht mehr nur. Sie stehlen sie vorher und drohen dem Unternehmen mit deren Veröffentlichung – deshalb löst auch ein gutes Backup dieses Problem nicht. Diese doppelte Erpressung heißt Double Extortion. Eine wirksame Ransomware-Abwehr muss deshalb einsetzen, bevor Daten abfließen und zentrale Systeme kompromittiert sind.

Ein einzelner Alarm erzählt selten die ganze Geschichte
Genau hier beginnt die schwierige Arbeit. Denn aus Sicht eines einzelnen Systems kann ein Angreifer zunächst wie ein legitimer Nutzer aussehen. Benutzername und Passwort stimmen, die Anmeldung funktioniert. Selbst die eingesetzten Programme können normale Werkzeuge der IT-Administration sein. Verdächtig wird das Verhalten häufig erst, wenn mehrere Ereignisse zusammenkommen.

Ein Konto meldet sich beispielsweise aus einer ungewöhnlichen Region an. Kurz darauf greift es auf Systeme zu, die es bisher nie genutzt hat. Ein Rechner baut gleichzeitig Verbindungen zu bekannter Angreifer-Infrastruktur auf. Wenig später versucht das Konto, zusätzliche Berechtigungen zu erhalten. Jede dieser Aktivitäten könnte für sich genommen erklärbar sein. Gemeinsam ergeben sie aber ein anderes Bild.

Deshalb betrachtet unser SOC Sicherheitsereignisse nicht isoliert. Informationen aus Active Directory, Firewalls, Cloud-Diensten, Servern, Clients und Netzwerkkomponenten laufen dort zusammen. Auch Endpoint Detection and Response (EDR), Extended Detection and Response (XDR) sowie SIEM-Systeme liefern Daten. Threat Intelligence ergänzt bekannte Informationen über Schadsoftware und Angreifer-Infrastrukturen. Erst die Verbindung dieser unterschiedlichen Quellen macht viele Angriffe früh sichtbar.

Aus vielen Signalen muss schnell eine Entscheidung werden
Die Herausforderung besteht also nicht darin, möglichst viele Sicherheitsdaten zu sammeln. Unternehmen besitzen davon meist mehr als genug. Entscheidend ist, aus dieser Menge die wenigen Ereignisse herauszufiltern, die auf einen echten Angriff hindeuten. Im 8COM SOC laufen die Informationen deshalb in einer zentralen SOAR-Plattform (Security Orchestration, Automation and Response) zusammen. Die Plattform verbindet also Ereignisse, ergänzt Kontext und unterstützt die Priorisierung.

Automatisierte Prozesse und KI-gestützte Analysen helfen dabei, Muster über verschiedene Datenquellen hinweg zu erkennen. Ein Beispiel ist sogenanntes Beaconing. Dabei nimmt Schadsoftware in regelmäßigen Abständen Kontakt zu einem externen System auf, um Befehle abzurufen. Eine einzelne Verbindung fällt möglicherweise nicht auf. Das wiederkehrende Muster kann dagegen einen wichtigen Hinweis auf eine Kompromittierung liefern. Die Analysten prüfen solche Auffälligkeiten und bewerten sie im Gesamtkontext.

Zusätzliche Sensoren können die Früherkennung verbessern. Dazu gehören Honeypots: speziell eingerichtete Systeme, die im normalen Geschäftsbetrieb niemand nutzt. Deshalb ist dort praktisch jeder Zugriff verdächtig. Scannt ein Angreifer einen solchen Bereich oder versucht eine Anmeldung, kann das früh auf Netzwerkerkundung oder seitliche Bewegungen hinweisen. Auch diese Informationen fließen in das Lagebild des SOC ein.

Ein Alarm allein stoppt keinen Angreifer
Erkennung ist allerdings nur die halbe Aufgabe. Ein Alarm verhindert weder Datendiebstahl noch Verschlüsselung. Entscheidend ist, was danach passiert – und wie schnell. Cyberangriffe richten sich dabei nicht nach Geschäftszeiten, denn kritische Aktivitäten können nachts, am Wochenende oder an Feiertagen stattfinden. Unser SOC überwacht angebundene Umgebungen deshalb rund um die Uhr.

Bestätigt sich eine Kompromittierung, können je nach technischer Anbindung und vereinbarten Prozessen Gegenmaßnahmen folgen. Ein betroffenes Endgerät lässt sich beispielsweise vom Netzwerk isolieren. Damit verliert der Angreifer einen Ausgangspunkt für weitere Aktivitäten. Automatisierte Abläufe können die Reaktion zusätzlich beschleunigen. Voraussetzung dafür ist, dass Verantwortlichkeiten und Maßnahmen bereits vor einem Angriff feststehen.

Mit jeder weiteren Angriffsphase wird diese Reaktionsfähigkeit wichtiger. Hat ein Angreifer bereits privilegierte Konten übernommen, sensible Daten kopiert und Backup-Systeme erreicht, wächst der mögliche Schaden erheblich. Aus einem kompromittierten Arbeitsplatzrechner kann dann ein Vorfall werden, der den Betrieb des gesamten Unternehmens gefährdet.

Gute Ransomware-Abwehr braucht gutes Monitoring
Ein SOC kann allerdings nur erkennen, was es sehen kann. Fallen Logquellen aus oder erreichen wichtige Sicherheitsereignisse die Analyseplattform nicht mehr, entstehen blinde Flecken. Deshalb gehört zur Überwachung auch die Kontrolle der Überwachung selbst. Das 8COM SOC prüft kontinuierlich, ob die angebundenen Systeme die erwarteten Daten liefern.

Das klingt zunächst nach einem technischen Detail. Für die Früherkennung ist es jedoch entscheidend. Angreifer können nur dann anhand ihrer Spuren erkannt werden, wenn diese Spuren tatsächlich im SOC ankommen.

Angriffe stoppen, bevor es zu spät ist
Natürlich können moderne Sicherheitslösungen auch eine laufende Verschlüsselung erkennen. Ransomware verändert innerhalb kurzer Zeit große Mengen von Dateien. Solche Muster können SIEM- oder XDR-Systeme erkennen und entsprechende Alarme auslösen. Manche Lösungen können verdächtige Prozesse sogar automatisch stoppen.

Doch die entscheidende Frage lautet nicht, wie schnell ein Unternehmen auf die Verschlüsselung reagiert. Wichtiger ist, wie lange sich der Angreifer vorher bereits im Netzwerk bewegen konnte. Je früher er auffällt, desto weniger Zeit bleiben ihm für Rechteausweitung, Datendiebstahl und den Zugriff auf kritische Systeme.

Genau darin liegt die Stärke eines rund um die Uhr besetzten SOC. Es verbindet viele technische Einzelereignisse zu einem verständlichen Gesamtbild, woraus Entscheidungen und konkrete Gegenmaßnahmen entstehen. Ransomware-Abwehr beginnt deshalb nicht bei der verschlüsselten Datei. Sie beginnt bei der ersten verdächtigen Aktivität.

Und im besten Fall endet der Angriff genau dort.