Ransomware-Angriffe vs. Datenschutzverletzungen: Was ist der Unterschied?

Ransomware-Angriffe und Datenschutzverletzungen scheinen ständig um die Spitzenpositionen in den Newsfeeds zu kämpfen. Aber was ist der Unterschied zwischen diesen Cyber-Bedrohungen und über welche sollten Sie sich am meisten Sorgen machen?

Eine umfassende Aufschlüsselung der einzelnen Arten von Cyberangriffen finden Sie hier.

Was ist der Unterschied zwischen Datenschutzverletzungen und Ransomware-Angriffen?

Während eines Ransomware-Angriffs setzen Cyberkriminelle Malware (bösartige Software) in Zielcomputersystemen ein, um sensible Daten zu beschlagnahmen und zu verschlüsseln. Ein Entschlüsselungsschlüssel wird nur bereitgestellt, wenn das Opfer der Lösegeldzahlung nachkommt.

Die Lösegeldforderung ist in der Regel nur in Bitcoin oder einer ähnlichen Kryptowährung zu zahlen, da die Aktivitäten auf dem dezentralen Zahlungsnetzwerk sehr schwer nachzuverfolgen sind.

Während einer Datenschutzverletzung zielen Cyberkriminelle darauf ab, auf sensible Informationen zuzugreifen und diese zu stehlen. Beispiele für sensible Daten sind:

• Sozialversicherungsnummern.
• Angaben zur Kreditkarte.
• Kennwörter.
• Personenbezogene Daten.
• Telefonnummern.

Der Zugriff auf eine der oben genannten Informationen kann zu finanziellen Verlusten oder Identitätsdiebstahl führen.

Der Hauptunterschied zwischen den beiden Cybervorfällen besteht sowohl in der Geschwindigkeit als auch in dem Grad der Kompromittierung sensibler Daten, wobei Kompromittierung als böswillige Verwendung sensibler Daten definiert wird.

Normalerweise werden während eines einfachen Ransomware-Angriffs sensible Daten nicht der Öffentlichkeit zugänglich gemacht. Es ist verschlüsselt und für niemanden ohne den Beschreibungsschlüssel zugänglich.

Die für den Angriff verantwortlichen Bedrohungsakteure haben Zugriff auf den Entschlüsselungsschlüssel, aber es ist unwahrscheinlich, dass sie die beschlagnahmten Daten überprüfen, da sie durch finanziellen Gewinn motiviert sind und keine Unternehmensgeheimnisse preisgeben - Zeit wird besser damit verbracht, nach neuen Opfern zu suchen, als sich durch sensible Dateien zu wühlen.

Da Ransomware-Kampagnen am profitabelsten sind, wenn Angriffe schnell ausgeführt werden, ist der gesamte Arbeitsablauf in der Regel automatisiert. Anstatt den eindeutigen Entschlüsselungsschlüssel jedes Opfers manuell zu verwalten, werden sie auf separaten Command-and-Control-Servern gespeichert und automatisch an die Opfer ausgegeben, wenn sie ihr Lösegeld zahlen.

Wenn Cyberkriminelle auf die verschlüsselten Dateien jedes Opfers zugreifen wollten, mussten sie jeden einzelnen Entschlüsselungsschlüssel lokalisieren und verwenden. Dieser mühsame Prozess verschwendet Zeit und beeinträchtigt die Gewinnmargen, so dass er in der Regel vermieden wird.

Diese praktische Einschränkung wird jedoch bei Ransomware-Angriffen mit doppelter Erpressung aufgehoben. Dies ist der Fall, wenn einem Ransomware-Opfer damit gedroht wird, dass seine beschlagnahmten Daten im Dark Web veröffentlicht werden, wenn die Zahlung nicht bis zum Fälligkeitsdatum erfolgt.

Um schnellere Zahlungen zu motivieren, beginnen Cyberkriminelle manchmal sofort, die beschlagnahmten Daten eines Opfers überstürzt zu veröffentlichen, bis das Lösegeld gezahlt wird.

Während einer Datenschutzverletzung wird absichtlich auf gestohlene sensible Daten zugegriffen, damit sie kompromittiert werden können - in der Regel durch den Verkauf in Dark-Web-Foren.

Aber monetärer Gewinn ist nicht immer die Motivation hinter Datenschutzverletzungen. Hacktivisten-Gruppen veröffentlichen gestohlene Daten freimütig, um Entitäten zu entlarven, die nicht mit ihren persönlichen Agenden übereinstimmen.

In letzter Zeit hat sich die Grenze zwischen Datenschutzverletzungen und Ransomware-Angriffen jedoch stark verengt. Da das FBI seine Botschaft, Lösegeldforderungen niemals zu erfüllen, aggressiv vorantreibt, haben Cyberkriminelle mit einem ebenso aggressiven Gegenangriff reagiert, um die Opfer davon zu überzeugen, etwas anderes zu tun.

Dieser Zahlungsmittelbereich entsteht, wenn sensible Daten exfiltriert werden, bevor sie mit Ransomware verschlüsselt werden. Da sich diese Strategie als sehr effektiv erwiesen hat, wird sie schnell zum Standard moderner Ransomware-Angriffe.

Exfiltration schafft nicht nur ein Gefühl der Dringlichkeit, sondern rüstet Cyberkriminelle auch für diffamierende Medienaufmerksamkeit.

Eine solche Erpressungssequenz ist charakteristisch für Maze ransomware. Wenn ein Opfer von Maze Ransomware nicht zahlt, wird sofort eine vorbereitete Pressemitteilung an Medienunternehmen und beschämende Websites verteilt, um den erfolgreichen Cyberangriff bekannt zu machen.

Börsennotierte Unternehmen werden härter bestraft, da die Ransomware-Bedrohungsakteure von Maze auch eine detaillierte Pressemitteilung direkt an die Börse senden, in der die Aktien des Opfers aufgeführt sind.

Wird ein Ransomware-Angriff als Datenschutzverletzung eingestuft?

Da moderne Ransomware-Angriffe in das Gebiet der Datenschutzverletzungen vordringen, müssen die Meldepflichten für Datenschutzverletzungen für regulierte Branchen neu bewertet werden.

Es gibt viele Vorschriften, die Opfer von Datenschutzverletzungen dazu verpflichten, alle Betroffenen und Regierungsbehörden über jeden Cybervorfall zu informieren.

Derzeit haben alle 50 amerikanischen Bundesstaaten sowie internationale Länder wie die EU, China, Brasilien und Indien Vorschriften zur Meldung von Datenschutzverletzungen eingeführt, wobei die beiden strengsten HIPAA und GDPR (in der EU) sind.

Die HIPAA-Datenschutzregel (Health Insurance Portability and Accountability Act) zielt darauf ab, Gesundheitsdaten von Patienten vor Hackern zu schützen, indem das Potenzial für unbefugten Zugriff gemindert wird.

Um die Datensicherheit kontinuierlich zu verbessern, müssen regulierte Unternehmen die HIPAA-Regel zur Meldung von Verstößen einhalten.

Nach Angaben des U.S. Department of Health and Human Services (HHS.gov) ist ein meldepflichtiger Verstoß definiert als:

"Eine unzulässige Verwendung oder Offenlegung gemäß der Datenschutzregel, die die Sicherheit oder den Datenschutz der geschützten Gesundheitsinformationen beeinträchtigt."

Nach dieser Definition würde ein Ransomware-Angriff als meldepflichtige Datenschutzverletzung eingestuft, wenn private Patientendaten zusätzlich zur Verschlüsselung exfiltriert werden.

Wenn nur Betriebssysteme verschlüsselt würden, aber keine sensiblen Daten exfiltriert würden, würde das Ereignis nicht als Datenschutzverletzung eingestuft und müsste daher gemäß der Benachrichtigungsregel des HIPAA nicht benachrichtigt werden.

Da Ransomware-Angriffe immer komplexer werden, werden sich die heimlichen Exfiltrationstaktiken nur noch verbessern. Es ist also viel sicherer anzunehmen, dass jeder Ransomware-Angriff von einer Datenexfiltration begleitet wurde.

Eine solche kühne Annahme, selbst wenn sie falsch ist, wird eine potenziell hohe Geldstrafe für die Nichteinhaltung der HIPAA-Benachrichtigungsregel vermeiden.

Die zivilrechtlichen Strafen für die Nichteinhaltung liegen zwischen 100 und 50.000 US-Dollar pro Verstoß mit einer Kalenderjahresobergrenze von 1.500.000 US-Dollar.

Meldepflichten bei Datenschutzverletzungen und Ransomware-Angriffen

Alle Cybersicherheitsvorschriften schreiben vor, dass Datenschutzverletzungen so schnell wie möglich an die zuständigen Aufsichtsbehörden gemeldet werden. Einige Meldepflichten unterscheiden sich auf staatlicher Ebene, je nachdem, wie wahrscheinlich es ist, dass betroffene Personen einen Verlust sensibler Daten erleiden.

Um Bußgelder zu vermeiden, sollten Sie sich bemühen, die Aufsichtsbehörden innerhalb von 24 Stunden und spätestens 72 Stunden nach dem Verstoß über einen Verstoß zu informieren. Eine solche beispielhafte Meldepraxis sollte den meisten regulatorischen Standards, einschließlich der DSGVO, entsprechen.

Wenn Sie nicht absolut sicher sind, dass ein Ransomware-Angriff nicht mit einer Datenexfiltration einherging, sollten alle diese Ereignisse als Datenschutzverletzungen behandelt und entsprechend gemeldet werden.

Gilt ein Ransomware-Angriff als Datenschutzverletzung im Sinne der DSGVO?

Die Definition einer Datenschutzverletzung durch das International Commissioner's Office (ICO) ist weiter gefasst als die des US-Gesundheitsministeriums. Infolgedessen überschneiden sich Ransomware-Angriffe und Datenschutzverletzungen stärker.

Laut ICO stellen die folgenden Bedingungen eine Datenschutzverletzung dar:

• Zugriff durch einen unbefugten Dritten.
• Vorsätzliche oder versehentliche Handlung (oder Unterlassung) eines Verantwortlichen oder Auftragsverarbeiters.
• Senden personenbezogener Daten an einen falschen Empfänger.
• Computergeräte mit personenbezogenen Daten, die verloren gehen oder gestohlen werden.
• Änderung personenbezogener Daten ohne Erlaubnis.
• Verlust der Verfügbarkeit personenbezogener Daten.

Zusammengenommen könnten diese Bedingungen jeden Ransomware-Angriff als Datenschutzverletzung klassifizieren:

• Wenn ein Ransomware-Angriff mit mehreren Erpressungen ausgeführt wird (was nie mit Sicherheit bekannt sein kann), werden auch sensible Daten exfiltriert.
• Selbst wenn keine Exfiltration stattfindet, führt die Verschlüsselung zu einem Verlust der Datenverfügbarkeit.
• Einige Ransomware-Varianten können zu unbefugten Änderungen persönlicher Daten führen.

Viele Unternehmen mit einer zuverlässigen Backup-Strategie gehen weiterhin davon aus, dass eine Benachrichtigung über eine Sicherheitsverletzung unnötig ist, wenn verschlüsselte Daten schnell durch saubere Backups ersetzt werden.

Dies wäre eine genaue Annahme, wenn die Verfügbarkeit personenbezogener Daten die einzige Bedingung für eine Datenschutzverletzung wäre, aber da die Änderung personenbezogener Daten und der unbefugte Zugriff ebenfalls Bedingungen im Rahmen des ICO sind, kann eine effiziente Backup-Strategie eine Benachrichtigung über eine Datenschutzverletzung nicht zunichte machen.

Die endgültige Entscheidung, ob ein Ransomware-Angriff als meldepflichtig gilt oder nicht, liegt bei Ihrem benannten Datenschutzbeauftragten (DSB).

So verhindern Sie Ransomware-Angriffe und Datenschutzverletzungen

Da die Überschneidungen zwischen Ransomware-Angriffen und Datenschutzverletzungen nur noch zunehmen werden, erfordern beide eine vollständige Reaktion auf Cybersicherheitsvorfälle und Präventionspraktiken - Disaster-Recovery-Pläne und Business-Continuity-Strategien allein werden nicht mehr ausreichen.

Um zu verhindern, dass sich Vorfälle zu frustrierenden Benachrichtigungsentscheidungen entwickeln, sollte auch ein Sicherheitsrahmen implementiert werden, der die Möglichkeit erfolgreicher Cyberkriminalität minimiert.

Ein solches Framework kann in 5 Phasen eingesetzt werden.

1. Mitarbeiter schulen

Der Mensch wird immer das schwächste Glied in einem Informationssicherheitsprogramm sein. Selbst mit dem großzügigsten Budget für Cybersicherheit kann eine einzige Interaktion mit einer infizierten E-Mail kostspielige Abwehrmaßnahmen umgehen und eine Datenschutzverletzung verursachen.

Um dies zu verhindern, sollten die Mitarbeiter darin geschult werden, beliebte Angriffsvektoren, nämlich Phishing-E-Mails, zu identifizieren, da sie bei Cyberkriminellen nach wie vor eine beliebte Wahl sind.

Phishing-E-Mails sind immer schwieriger zu erkennen. Einige der überzeugenderen Typen behaupten, von einer Strafverfolgungsbehörde zu stammen, die mit Konsequenzen droht, wenn eine beabsichtigte Maßnahme nicht ergriffen wird.

Andere behaupten, von Gesundheitsbehörden zu stammen, die dringende Informationen im Zusammenhang mit der Pandemie weitergeben.

Dieser Beitrag kann verwendet werden, um Mitarbeiter in den Details von E-Mail-Phishing zu schulen.

Dieser Beitrag kann verwendet werden, um die besten E-Mail-Sicherheitspraktiken zu implementieren.

Soziale Medien sind ein weiterer aufkommender Angriffsvektor, der mit Aufklärung angegangen werden kann. Mitarbeiter sollten sich immer von Unternehmenskonten abmelden, um Session-Hijacking zu vermeiden, und niemals auf Links klicken, die von anfragenden "Kunden" gesendet werden.

2. Halten Sie Software von Drittanbietern auf dem neuesten Stand

Drittanbieter veröffentlichen regelmäßig Sicherheitspatches, um ausnutzbare Schwachstellen zu beheben. Diese Patches sind in der Regel über die neuesten Software-Updates verfügbar.

Stellen Sie sicher, dass Sie alle Software auf dem neuesten Stand halten, insbesondere Antivirensoftware, da Updates ihre Überwachungsmaschinen über die neuesten Cyberbedrohungen auf dem Laufenden halten.

Die Datenbank "Common Vulnerabilities & Exposures" sollte ebenfalls regelmäßig aufgerufen werden, um Schwachstellen zu entdecken, die von den Betroffenen noch nicht behoben wurden.

3. Implementieren Sie eine Lösung zur Überwachung der Angriffsfläche

Eine Lösung zur Überwachung der Angriffsfläche scannt die gesamte Angriffsfläche eines Unternehmens auf Schwachstellen, die Ransomware-Angriffe und Datenschutzverletzungen erleichtern könnten.

Durch die Identifizierung und Behebung dieser Schwachstellen, bevor sie von Cyberkriminellen ausgenutzt werden, können stark regulierte Unternehmen, wie z. B. Gesundheitsdienstleister, die Möglichkeit von Datenschutzverletzungen minimieren und die Einhaltung gesetzlicher Vorschriften sicherstellen.

4. Verwalten Sie die Sicherheit von Drittanbietern mit Risikobewertungen

Kompromittierte Drittanbieter sind für mehr als 60 % der Datenschutzverletzungen verantwortlich. Es ist daher unerlässlich, die Sicherheitslage Ihres gesamten Anbieternetzwerks kontinuierlich zu überwachen.

Risikobewertungen sollten regelmäßig verteilt werden, um etwaige Mängel in Bezug auf die einschlägigen Cybersicherheitsrahmen zu ermitteln. Um eine maximale Wirksamkeit zu erzielen, sollten auch Sicherheitsbewertungen herangezogen werden, um die Legitimität der Reaktionen auf die Risikobewertung und der Abhilfemaßnahmen zu überprüfen.

5. Einstufung aller Drittanbieter

Beim Anbieter-Tiering werden Anbieter basierend auf ihrem Sicherheitsrisiko kategorisiert. Dies führt zu einer effizienteren Verteilung der Risikomanagementbemühungen, so dass die Anbieter mit der höchsten Wahrscheinlichkeit einer Kompromittierung mit größerer Aufmerksamkeit verwaltet werden.

Ein solcher intelligenter Ansatz für das Third-Party Risk Management (TPRM) mindert das Potenzial von Ransomware- und Datenschutzverletzungsangriffen erheblich, die über die komplexeste Angriffsfläche - das Drittanbieternetzwerk - erfolgen.

Lernen Sie eine Strategie kennen, mit der Sie Ransomware-Angriffsversuche verschleiern können.