Deutschlands meistgenutzte Incident-Response-Strategie: Ein deutsches KMU landet auf einer Ransomware-Leak-Site, die Daten werden veröffentlicht. Wochen und Monate vergehen. Das Unternehmen? Schweigt. Keine Pressemitteilung, kein Hinweis auf der Website, keine Information für die Kunden. Einfach nur Funkstille. Warum? Weil man hofft, dass es niemand merkt. Und weißt du was? Meistens funktioniert das sogar.

Die Wahrheit, die keiner hören will

Wenn morgen ein Automobilkonzern gehackt wird, berichtet die Tagesschau. Wenn der Maschinenbauer aus dem Nachbarort Opfer eines Ransomware-Angriffs wird? Dann interessiert das ungefähr so viele Menschen wie der neue Zaun beim Schützenverein. Das ist nicht böse gemeint. Das ist Realität.

Die Öffentlichkeit liest keine Leak-Sites

Die Öffentlichkeit weiß meistens nicht einmal, dass es Leak-Sites gibt. Sollte man deshalb einfach den Kopf einziehen und schweigen? Nein, aber genau das machen viele Unternehmen: „Keine schlafenden Hunde wecken und bloß keine Presse. Wenn wir nichts sagen, spricht nächste Woche niemand mehr darüber.“

Rein aus PR-Sicht ist das auf den ersten Blick gar nicht so dumm. Dumm ist nur, dass die Falschen davon erfahren und fortan alles mitlesen. Die Leak-Seiten lesen nämlich nicht deine Kunden aus Buxtehude, Bielefeld oder Hintertupfingen, sondern:

jeder Threat-Intelligence-Anbieter,
jede größere Security-Abteilung,
jeder halbwegs motivierte Cyberkriminelle,
und manchmal sogar dein größter oder wichtigster Kunde…und ich natürlich ;-)

Ironie kann so grausam sein

Die Menschen, vor denen du den Vorfall geheim halten möchtest, erfahren oft als Erste davon. Vielleicht wirst du nach einem Vorfall denken: „Halb so wild, wir standen doch nur im Darknet.“ Sorry, aber das ist genauso blöd und blauäugig wie: „Meine Haustür steht immer noch weit offen, aber eingebrochen ist bisher ja nur einer.“

Sobald Daten veröffentlicht werden, beginnt das eigentliche Problem:

• Verträge.
• E-Mail-Adressen.
• Passkopien.
• VPN-, Cloud- und Server-Konfigurationen.
• Kundendaten.
• Daten von Mitarbeitenden
• Alles kostenlos zum Download.

Diese Daten hat dann nicht nur die ursprüngliche Ransomware-Gruppe auf dem Schirm und auf ihren Servern. Nein, diese Daten sind per sofort für alle da! Cybercrime ist schließlich Sharing Economy.

Niemand verliert sein Gesicht, weil er Opfer wird…

…aber viele verlieren das ihnen entgegengebrachte Vertrauen, weil eine Kompromittierung verschwiegen wird. Unternehmen werden heute nicht mehr danach bewertet, ob sie Opfer eines Cyberangriffs werden, sondern danach, wie sie damit umgehen. Sicher, ein Angriff trifft Unternehmen in der Regel unverhofft aus heiterem Himmel, aber eine schlechte Krisenkommunikation ist dagegen eine sehr bewusste Entscheidung.

Das eigentliche Geschäftsmodell

Viele glauben immer noch Leak-Seiten seien Druckmittel. Nein, sind sie nicht! Leak-Seiten sind Schaufenster. Sie zeigen anderen Kriminellen: „Hier gibt es Daten, bedient euch bitte.“ Die eigentliche Ransomware-Gruppe zieht längst weiter zum nächsten Opfer. Aber die Daten bleiben und können weiterhin frei Haus heruntergeladen werden.

Passend zum Thema: „Uns hackt doch keiner!“ – Der Lieblingssatz deutscher Mittelständler kurz vor dem Incident

Die unangenehme Wahrheit

Die meisten KMU schweigen, weil sie überzeugt sind, dass davon sowieso niemand erfährt. Für die Tagesschau mag das stimmen, für die Lokalzeitung meistens auch, für die Leute, vor denen du deine Daten eigentlich schützen willst aber ganz bestimmt nicht. Denn die wissen oft schon Bescheid. Manchmal sogar viel früher als du selbst.

Vielleicht ist das größte Missverständnis deutscher Unternehmen gar nicht: „Uns hackt doch keiner!“, sondern: „Wenn wir gehackt werden, merkt es keiner.“

;-)