Ein Betriebsstillstand ist das Letzte, was sich ein Unternehmen wünscht, stellt aber bei einem Ransomware-Angriff ein sehr reales Risiko dar. Das musste der US-amerikanische Zahlungsdienstleister BridgePay schmerzlich erfahren.
Von Kate O'Flaherty
Im Februar wurde der US-amerikanische Zahlungsdienstleister BridgePay gegründet. von einem Ransomware-Angriff getroffen Dies führte zum Ausfall wichtiger Systeme und löste einen großflächigen Systemausfall aus.
Der Vorfall hatte weitreichende Folgen und beeinträchtigte viele BridgePay-Kunden wochenlang. Restaurants und Einzelhändler wurden gezwungen Um den Kunden mitzuteilen, dass sie keine Kartenzahlungen mehr annehmen können, wurde das Online-Zahlungsportal der Stadt Palm Bay, Florida, offline genommen.
BridgePay Der Stromausfall war eine Lektion in der Bedeutung von Resilienz, insbesondere in kritische Sektoren wie beispielsweise Finanzen„Der Angriff führte zu einem operativen Stillstand“, sagt Oliver Newbury, Chief Strategy Officer bei Halcyon. „Das zeigt, dass die Resilienz entweder nicht für dieses Szenario ausgelegt war oder nicht ausreichend trainiert wurde.“
Lehrbuch-Ransomware
Dies geschieht zu einem Zeitpunkt, an dem die Widerstandsfähigkeit gegen Ransomware auf der Tagesordnung steht, mit einem Britisches Verbot von Zahlungen für kritische nationale Infrastruktur und Organisationen des öffentlichen Sektors, die sich am Horizont abzeichnen. Untersuchungen von Verizon zu Datenschutzverletzungen Laut einer Studie entdeckten Unternehmen Ransomware in 44 % aller Cyberangriffe.
Unterdessen gaben 19 % der Befragten an, IO Stand der Informationssicherheit Laut Bericht hatten sie in den letzten 12 Monaten einen Ransomware-Angriff erlebt.
Wenn ein erheblicher Anteil der Organisationen Angriffe erlitten hat, die häufig Datenverschlüsselung und Erpressung beinhalten, steigen die Kosten dramatisch an, wenn Reaktion und Wiederherstellung ad hoc statt geplant erfolgen.
Im Fall von BridgePay handelte es sich laut Harry Mason, Leiter Kundenservice beim IT-Dienstleister Mason Infotech, um einen „Textfeld-Ransomware-Angriff“. „Die Identität eines Nutzers wurde kompromittiert, die Dienste vom Angreifer abgeschaltet und ein Lösegeld für die Wiederherstellung gefordert. Die Plattform war daraufhin drei Wochen lang nicht erreichbar, bevor sie wieder voll funktionsfähig war.“
Obwohl die Kundendaten sicher blieben, stiegen die Kosten des Vorfalls schnell an. „Es wurde viel Zeit und Geld für die Beauftragung der forensischen, Wiederherstellungs- und Sicherheitsspezialisten aufgewendet, die für die Wiederherstellung des Online-Zugangs benötigt wurden“, betont Mason.
Ransomware-Angriffe wie der auf BridgePay sind aufgrund von Kontrolllücken erfolgreich und verursachen erhebliche Störungen, so Rob O'Connor, EMEA CISO bei Insight. „Dazu gehören unklare Verantwortlichkeiten, unzureichend getestete Notfallpläne, ein schwaches Lieferantenrisikomanagement und eine ungenügende Überprüfung der Cyberresilienz.“
Systemisches Risiko
In vielen Organisationen führen Lücken zwischen Cybersicherheit, Geschäftskontinuität und Compliance zu systemischen Schwachstellen. Laut Newbury von Halcyon verschärft sich das Problem, wenn diese Funktionen nebeneinander bestehen, anstatt vollständig integriert zu sein.
Probleme treten oft „an den Schnittstellen zwischen Teams“ auf, erklärt Stewart Parkin, globaler CTO bei Assured Data Protection. IO„Die Sicherheitsabteilung will isolieren und eindämmen. Die Abteilung für Geschäftskontinuität will Systeme schnell wiederherstellen. Die Abteilung für Compliance will genaue Berichte und Benachrichtigungen an die Aufsichtsbehörden. Wenn diese Gespräche vor einem Vorfall nicht stattgefunden haben, werden sie währenddessen kollidieren.“
Erst wenn Ransomware zuschlägt, wird die Diskrepanz deutlich, bestätigt Newbury. „Entscheidungsbefugnisse verschwimmen, Prioritäten kollidieren und Eskalationswege versiegen. Die Folge: Ausfallzeiten ziehen sich in die Länge, nicht weil die Technologie nicht wiederhergestellt werden kann, sondern weil die Organisation nicht auf eine Reaktion vorbereitet war.“
Im Fall von BridgePay, wo Ransomware das Unternehmen und seine Kunden buchstäblich vom Netz nahm, zeigt sich, warum Ausfallzeiten in Zahlungssystemen heute als systemisches Risiko mit regulatorischen und reputationsbezogenen Folgen angesehen werden.
Der BridgePay-Vorfall hatte so große Auswirkungen, weil „nur eine Handvoll wichtiger Akteure“ mittlerweile „einen bedeutenden Anteil“ des globalen digitalen Zahlungsverkehrs abwickeln, sagt Luke Fardell, leitender Cyberanalyst im Bereich Cyber-Underwriting bei Tokio Marine Kiln.
Dies bedeutet, dass eine einzelne Störung „gleichzeitig Auswirkungen auf mehrere Sektoren und Branchen haben kann“ und potenziell Einzelhändler, Versorgungsunternehmen, öffentliche Dienste sowie kleine und mittlere Unternehmen (KMU) betrifft, erklärt Fardell.
Um derartige Störungen in kritischen Branchen zu vermeiden, fordern Regulierungsbehörden zunehmend Maßnahmen, die über die reine Abwehr von Angriffen hinausgehen. „Selbst mit exzellenten Firewalls kann man offline gehen“, erklärt Parkin von Assured Data Protection. „Die Behörden wollen nun den Nachweis sehen, dass eine ordnungsgemäße Wiederherstellung innerhalb festgelegter Fristen möglich ist.“
Die EU-Gesetz zur digitalen operativen Resilienz (Die DORA-Verordnung ist ein Paradebeispiel. Sie schreibt vor, dass Unternehmen wie Banken und Versicherungen nachweisen müssen, dass sie innerhalb eines festgelegten Zeitraums wieder zum Normalbetrieb zurückkehren können.
„Ein wesentlicher Bestandteil davon ist die regelmäßige Durchführung von Stresstests, bei denen die Systeme an spezifischen Zielen für die Wiederaufnahme des Betriebs und die Wiederherstellung des Ausgangszustands gemessen werden“, erklärt Mason von Mason Infotech.
Strukturierte, für den Vorstand transparente Resilienz-Governance.
Der BridgePay-Vorfall und seine weitreichenden Folgen verdeutlichen die gravierenden Kosten von Ausfallzeiten infolge von Ransomware-Angriffen. Um ein ähnliches Schicksal zu vermeiden, müssen Finanzinfrastrukturen nun ein strukturiertes, für die Geschäftsleitung transparentes Resilienz-Governance-System implementieren.
Vereinfacht ausgedrückt bedeutet dies laut Parkin von Assured Data Protection, dass der Vorstand genau verstehen muss, welche Dienste am wichtigsten sind und wie lange deren Ausfall toleriert werden kann. „Das heißt, Abhängigkeiten müssen präzise erfasst, die Wiederherstellung regelmäßig getestet und Lieferanten an klare Ausfallsicherheitsstandards gebunden sein. Entscheidungen müssen gut durchdacht und dürfen nicht improvisiert werden.“
Für optimale Ergebnisse ist eine umfassende Schulung unerlässlich, die „das gesamte Geschäftsspektrum“ abdeckt, so Mason von Mason Infotech. Die Führungsebene müsse wissen, was von ihr erwartet werde und wie sie entsprechend handeln solle, fügt er hinzu. „Jeder muss die Risiken der Lieferkette verstehen“, mit „besonderem Augenmerk auf Abhängigkeiten von Tier-1-Lieferanten und den Notfallplan für den Fall, dass diese ausfallen“.
Gleichzeitig werden Rahmenwerke wie ISO 27001 kann Unternehmen dabei helfen, potenzielle Bedrohungen zu erkennen, zu bewerten und ihnen zu begegnen, und gewährleistet so einen robusten Schutz sensibler Daten und die Einhaltung internationaler Standards.
Regelmäßige Berichterstattung und Risikobewertung sind entscheidend, um sicherzustellen, dass ein Unternehmen bereit ist, im Falle eines Ransomware-Angriffs „morgen wieder online zu gehen“, fügt Mason hinzu. „Das sieht so aus, als würde man …“ RTO und RPO Es müssen Zeitpläne erstellt und regelmäßig getestet werden, um deren Einreichbarkeit sicherzustellen. Im Falle eines Angriffs muss außerdem ein System zur Meldung von Vorfällen vorhanden sein.“
Aus dem BridgePay-Vorfall lassen sich zahlreiche Lehren ziehen, doch letztendlich erinnert er uns daran, dass es bei Ransomware nicht mehr nur um verschlüsselte Dateien geht, so Newbury von Halcyon. „Im Zahlungsverkehr ist er ein direkter Test dafür, ob die Sicherheits- und Wiederherstellungsmechanismen stark genug sind, um den Geschäftsbetrieb aufrechtzuerhalten, wenn Präventionsmaßnahmen versagen.“
Erweitern Sie Ihr Wissen
Podcast: Phishing-Fallen – Folge 09: Was man im Katastrophenfall auf keinen Fall tun sollte
