9 Es ist offiziell: Ransomware ist heute die größte Cyberbedrohung (auf Englisch) für Unternehmen weltweit. Cyberkriminelle gehen immer raffinierter vor und starten gezielte Angriffe, die Unternehmen lahmlegen und kritische Abläufe stören können. „Selbst während in der Ukraine ein Krieg tobt, ist Ransomware nach wie vor die größte globale Cyberbedrohung, mit der wir konfrontiert sind. Das sagt einiges über das Ausmaß des Problems. Ransomware-Angriffe treffen hart und schnell. Sie entwickeln sich rasant weiter, sind allgegenwärtig und werden zunehmend von Banden als Service angeboten – was die Einstiegshürde in die Cyberkriminalität senkt.“Lindy Cameron, CEO, National Cyber Security Centre Angesichts wachsender Bedrohungen raten Experten Unternehmen dringend zu einem Sicherheitsparadigma namens Cyberresilienz. Anders als klassische Cybersicherheitsstrategien, die auf die Verhinderung von Angriffen abzielen, legen die Prinzipien der Cyberresilienz den Schwerpunkt darauf, sich schnell von Vorfällen zu erholen und ihre Auswirkungen zu minimieren. Die vielversprechendste Technologie für Cyberresilienz ist unveränderlicher Backup-Speicher. Unveränderlichkeit macht es Angreifern unmöglich, Backup-Daten zu verschlüsseln, zu ändern oder zu löschen, sodass Unternehmen stets ein sauberes Backup für die Wiederherstellung haben. Mit schnellem Zugriff auf ein sauberes Backup wird die Möglichkeit des Angreifers, sein Opfer zu erpressen, neutralisiert. 3 kritische Schwächen des heutigen, auf Unveränderlichkeit fokussierten Cyberresilienz-Paradigmas Das Versprechen „Ransomware-sicherer“ Daten hat unveränderlichen Speicher weltweit zur zentralen Säule von Cyberresilienz-Strategien gemacht. Tatsächlich ergab eine aktuelle Umfrage, dass 94 % der IT-Fachleute inzwischen auf unveränderlichen Speicher setzen, um sich vor Ransomware zu schützen. Doch trotz der weiten Verbreitung vermeintlich „Ransomware-sicherer“ Speicherlösungen haben sich die Lösegeldzahlungen 2023 auf mehr als 1,1 Mrd. $ verdoppelt (auf Englisch). Das muss man wiederholen: „Ransomware-sichere“ Lösungen sind heute weit verbreitet und allgegenwärtig – und dennoch war Ransomware nie profitabler. Wenn Sie denken, dass hier etwas nicht zusammenpasst, haben Sie recht. Es zeigt sich, dass das heutige, auf Unveränderlichkeit fokussierte Cyberresilienz-Paradigma drei kritische Schwächen hat, durch die Ransomware-Akteure weiterhin florieren – trotz der weiten Verbreitung von Lösungen für unveränderliche Backups. Problem 1: Nicht alle „unveränderlichen“ Speichersysteme sind wirklich unveränderlich Unveränderlichkeit ist großartig – in der Theorie. Leider bleiben in der Praxis die meisten „unveränderlichen“ Speicherlösungen weit hinter dem Versprechen eines wirklich Ransomware-sicheren Schutzes zurück. Die Gründe dafür sind vielfältig. Manche Systeme machen Daten über geplante, periodische Snapshots unveränderlich und lassen dabei Zeitfenster der Verwundbarkeit offen. Andere Lösungen scheitern, weil sie Unveränderlichkeit nur auf API-Ebene umsetzen, nicht aber in der zugrunde liegenden Architektur. Einfach gesagt: Sie versuchen, ein unveränderliches Backup-System auf Softwareebene zu bauen, setzen es aber auf eine Kernarchitektur, die selbst nicht inhärent unveränderlich ist. Das eröffnet einem versierten Angreifer mehrere gangbare Wege, die Schutzmechanismen des Systems mit gängigen Taktiken wie Rechteausweitung und Zeitverschiebungsangriffen zu umgehen. Eine ausführliche Analyse dieser Probleme finden Sie in diesem Blogbeitrag– hier die wichtigste Erkenntnis: Echte Unveränderlichkeit lässt sich nur mit Lösungen erreichen, die das Überschreiben und Löschen von Daten auf der grundlegendsten Ebene unterbinden. Alles andere lässt Lücken, die ein raffinierter Angreifer ausnutzen kann, um Ihre Schutzmechanismen zu umgehen und Ihre Daten als Geisel zu nehmen. Da sich Speichersysteme mit lückenhafter Unveränderlichkeit weiter am Markt verbreiten, werden Angreifer immer geschickter darin, ihre Schwächen auszunutzen. Problem 2: Der Aufstieg von Exfiltrationsangriffen Während klassische Ransomware-Angriffe vor allem auf die Verschlüsselung von Daten abzielen, haben moderne Ransomware-Banden ihrem Repertoire eine neue Variante hinzugefügt: die Datenexfiltration. Bei diesen auch als „doppelte Erpressung“ bekannten Angriffen werden sensible Daten aus dem Netzwerk eines Unternehmens gestohlen, und es wird gedroht, sie zu veröffentlichen oder an den Meistbietenden zu verkaufen, sofern kein Lösegeld gezahlt wird. Heute beinhalten erschreckende 91 % der Ransomware-Angriffe eine Datenexfiltration Früher selten, haben Exfiltrationsangriffe in den letzten Jahren explosionsartig zugenommen. Heute beinhalten erschreckende 91 % der Ransomware-Angriffe (auf Englisch) eine Datenexfiltration. Dieser rasante Anstieg lässt sich als direkter Versuch der Angreifer werten, den Schutz durch Unveränderlichkeit zu umgehen. Da Exfiltrationsangriffe nicht auf das Verschlüsseln, Ändern oder Löschen von Daten angewiesen sind, um Lösegeld zu erpressen, reicht Unveränderlichkeit allein nicht aus, um sie zu stoppen. Die Abwehr der Datenexfiltration erfordert einen mehrschichtigen Ansatz, der sensible Daten überall schützt, wo sie zu finden sind – in den Produktionsdaten eines Unternehmens, bei der Übertragung über ein Netzwerk und sogar in gespeicherten Backups. Leider haben die meisten Anbieter von Backup-Speicher nur zögerlich auf diese neue Bedrohung reagiert und ihre Lösungen nicht gegen gängige Exfiltrationstechniken gehärtet. Problem 3: KI-gestützte Ransomware erhöht den Einsatz Die oben beschriebenen Probleme 1 und 2 werden nun durch Problem 3 dramatisch verstärkt – den Aufstieg KI-gestützter Ransomware-Bedrohungen. In der Cyberkriminalität wirkt KI als Kraftverstärker. Behörden wie das National Cyber Security Centre des Vereinigten Königreichs warnen (auf Englisch), dass KI es Angreifern ermöglichen wird, mehr Ziele wirksamer, schneller und mit zunehmender Raffinesse anzugreifen. Zu den konkreten Anwendungsfällen zählen der Einsatz großer Sprachmodelle (LLMs), um Umfang und Präzision von Phishing-Angriffen massiv zu steigern, die Entwicklung adaptiver Malware, die ihren eigenen Code verändert, um Erkennungsalgorithmen zu umgehen und bösartigen Netzwerkverkehr zu verschleiern, und sogar KI-gestützte Tools, die Passwörter aus scheinbar harmlosen Daten erraten können – etwa aus dem Geräusch beim Tippen auf Ihrer Tastatur (auf Englisch). KI wird es Angreifern ermöglichen, mehr Ziele wirksamer, schneller und mit zunehmender Raffinesse anzugreifen. Und das ist keineswegs nur Theorie: Im Jahr nach der öffentlichen Veröffentlichung von ChatGPT kam es zu einem erstaunlichen Anstieg der Phishing-Aktivitäten um 1.265 % (auf Englisch) und einem Plus von 95 % bei erfolgreichen Ransomware-Angriffen. Das Zeitalter KI-gestützter Ransomware steht nicht bevor – es ist bereits da. CORE5: ein neuer Standard für cyberresilienten Speicher Angesichts der beschriebenen Probleme ist klar, dass unveränderliche Backups allein nicht mehr ausreichen, um vor dem gesamten Spektrum aktueller und künftiger Ransomware-Bedrohungen zu schützen. Deshalb fordern wir die Speicherbranche auf, über das Paradigma einfacher Unveränderlichkeit hinauszugehen und einen neuen, umfassenderen Standard durchgängiger Cyberresilienz zu übernehmen. Dieser Ansatz umfasst nicht nur die stärkste Form echter Unveränderlichkeit, sondern auch robusten, mehrschichtigen Schutz vor Datenexfiltration und anderen neuen Angriffsvektoren wie KI-gestützter Malware. Das bedeutet, Schutzmechanismen auf jeder Ebene des Systems einzubauen – von der API bis zur Architektur –, um so vielen Angriffsvektoren wie möglich die Tür zu verschließen. Bei Scality haben wir fünf entscheidende Schutzebenen identifiziert, die nötig sind, um diesen anspruchsvollen Standard der Cyberresilienz zu erreichen. Wir nennen sie CORE5. Resilienz auf API-EbeneDie Einführung der Unveränderlichkeits-API von Amazon (AWS S3 Object Lock) im Jahr 2018 hat die Speicherbranche auf den Kopf gestellt. Sie bot nicht nur durch die Umsetzung des WORM-Modells (Write Once, Read Many) erstklassigen Schutz vor verschlüsselungsbasierten Ransomware-Angriffen, sondern schuf auch eine De-facto-Standardschnittstelle für gängige Datenschutzanwendungen wie die Veeam Data Platform. Zudem ermöglicht die feingranulare Steuerung der Unveränderlichkeit über die S3-API Unternehmen die Einhaltung selbst strengster branchenspezifischer Aufbewahrungsvorschriften. Diese beeindruckenden Fähigkeiten sind in einem modernen Speichersystem schlicht unverzichtbar. Deshalb steht die Unveränderlichkeit auf API-Ebene an der Spitze des CORE5-Frameworks für Cyberresilienz, und deshalb ist jedes Scality-Produkt vollständig mit S3 Object Lock kompatibel. Resilienz auf DatenebeneEbene 2 des CORE5-Frameworks konzentriert sich voll und ganz auf ein Ziel: die Verhinderung von Datenexfiltration. Das bedeutet, strenge Datensicherheitsprotokolle überall dort umzusetzen, wo sensible Daten zu finden sind. Eine entsprechend gehärtete Speicherlösung sollte mit mehreren Ebenen der Datensicherheit konzipiert sein, darunter umfassendes Identitäts- und Zugriffsmanagement (IAM) und kryptografische Funktionen, damit Backup-Daten nicht von Unbefugten abgefangen oder abgerufen werden können. Bei Scality bedeutet das eine Zero-Trust-Architektur, AWS-kompatible Authentifizierung und IAM-Funktionen nach AWS-Vorbild, sichere Terminierung von S3-Endpunkten, automatisierte Konfiguration von Firewall-Regeln und AES-256-Bit-Verschlüsselung ruhender Daten. Resilienz auf SpeicherebeneGelingt es einem raffinierten Angreifer, Root-Zugriff auf einen Speicherserver zu erlangen, lassen sich übergeordnete Schutzmechanismen auf API-Ebene umgehen – mit uneingeschränktem Zugriff auf alle Daten auf dem Server. Fortschrittliche, KI-gestützte Methoden zur Überwindung von Authentifizierungskontrollen – etwa das Ermitteln von Passwörtern allein anhand des Tastaturgeräuschs – drohen solche Angriffe immer schwerer abwehrbar zu machen.Um gegen diese sich rasant entwickelnden Bedrohungen resilient zu sein, muss ein Speichersystem sicherstellen, dass Daten selbst dann geschützt sind, wenn ein Angreifer bis in die tiefste Ebene Ihres Speichersystems vordringt. Scality-Lösungen lösen dieses Problem mit verteiltem Erasure Coding. Diese fortschrittliche Technik macht Daten auf Speicherebene für Angreifer nicht nur unverständlich (und damit bei einer Exfiltration wertlos), sondern ermöglicht auch die vollständige Rekonstruktion aller Daten, die bei einem Angriff beschädigt wurden oder verloren gingen – selbst wenn mehrere Laufwerke oder ein ganzer Server physisch zerstört werden. Resilienz auf geografischer EbeneAn einem einzigen Standort gespeicherte Daten sind besonders anfällig für Cyberbedrohungen. Durch Angriffe auf lohnende Ziele wie Rechenzentren versuchen Cyberkriminelle, mehrere Organisationen gleichzeitig zu erpressen, und erhöhen so ihre Chancen, tatsächlich Lösegeld zu kassieren. Zum Schutz vor den Schwachstellen eines einzelnen Standorts sehen aktuelle Best Practices für Speicher mehrere geografisch getrennte externe Backups vor. Eine moderne, cyberresiliente Speicherlösung muss dies nicht nur möglich, sondern auch praktikabel machen. Deshalb ist jedes Scality-Produkt von Grund auf so konzipiert, dass geografische Redundanz über mehrere Standorte einfach zu verwalten und kostengünstig umzusetzen ist. Resilienz auf ArchitekturebeneSo wie ein Gebäude nur so stabil ist wie sein Fundament, ist ein Speichersystem nur so sicher wie die Architektur, auf der es aufbaut. Deshalb konzentriert sich die fünfte und letzte Ebene des CORE5-Frameworks darauf, Schwachstellen in der Kernarchitektur des Systems zu beseitigen.Bei einem laufenden Ransomware-Angriff gehört die Ausweitung der eigenen Rechte zu den ersten Prioritäten des Angreifers. Gelingt es ihm, Admin-Zugangsdaten zu erlangen, kann er damit die Unveränderlichkeitsmechanismen auf API-Ebene deaktivieren oder anderweitig umgehen. Basiert Ihr Speichersystem auf einer inhärent veränderlichen Architektur wie einem herkömmlichen Dateisystem, sind Ihre Daten völlig ungeschützt. Angesichts der rasanten Verbreitung KI-gestützter Hacking-Tools und Malware ist jedes Speichersystem auf einer solch verwundbaren Architektur zunehmend durch Ransomware-Angriffe auf Architekturebene gefährdet. Die Lösungen von Scality basieren dagegen auf einer nativen Objektspeicherarchitektur. Das bedeutet, dass Daten intrinsisch unveränderlich bleiben – selbst für einen Angreifer mit Superadmin-Rechten –, weil das System Schreibvorgänge auf das Laufwerk entsprechend handhabt. Die Wirkung ist einfach: keine Löschungen oder Überschreibungen, niemals. Zudem unterbinden alle Scality-Produkte standardmäßig den Root-Zugriff und verringern so die Anfälligkeit für gängige Schwachstellen (CVEs) und ein breites Spektrum an Bedrohungen. Um unzerstörbar zu werden, müssen wir über Unveränderlichkeit hinausgehen Angetrieben durch Fortschritte in der KI nehmen Ransomware-Angriffe an Häufigkeit und Raffinesse weiter zu. Gleichzeitig setzen Angreifer auf neue Strategien wie Datenexfiltration, um den Schutz heutiger Lösungen für unveränderliche Backups zu umgehen. Das CORE5-Framework ist die Antwort von Scality auf diese neuen Bedrohungen. Doch CORE5 ist mehr als nur unsere Arbeitsweise bei Scality – so sollten es unserer Meinung nach alle machen. Die neue Ära der Ransomware erfordert einen neuen Standard der Cyberresilienz. Organisationen auf der ganzen Welt kämpfen täglich gegen Angreifer, die ihre Geheimnisse stehlen, ihre Daten als Geisel nehmen und ihren Betrieb lahmlegen wollen. Und offen gesagt: Die Guten verlieren. Die neue Ära der Ransomware erfordert einen neuen Standard der Cyberresilienz. Wenn wir im Kampf gegen Ransomware das Blatt wenden wollen, müssen wir über Unveränderlichkeit hinausgehen. Deshalb fordern wir die Speicherbranche heraus, sich zu steigern und den CORE5-Standard zu erfüllen. Wenn das gelingt, können wir das gesamte Internet zu einem sichereren Ort für Geschäfte machen. Der Fehdehandschuh ist geworfen.
