--- title: "Ransomware Angriffe auf IT Service Provider" url: "https://www.intersim.ch/insights/ransomware-angriffe-auf-it-service-provider" description: "Die Häufung von schwerwiegenden Ransomware Attacken in der Schweiz hat in den letzten Wochen ein neues Niveau erreicht. Namentlich die kürzlich erfolgten…" --- # Ransomware Angriffe auf IT Service Provider [Recht & Compliance](/insights/?filter=legal-compliance)[Technik & Innovation](/insights/?filter=technology-innovation) ![Ransomware Angriff Symbolbild](/_astro/ransomware-angriff-symbolbild.Z0bPZq5Z_Z1M91wV.jpg) Die Häufung von schwerwiegenden Ransomware Attacken in der Schweiz hat in den letzten Wochen ein neues Niveau erreicht. Namentlich die kürzlich erfolgten Angriffe auf IT-Cloud und Saas-Anbieter wie Xplain und Unico wirken bedrohlich und werfen die Frage auf, ob und wie man sich besser dagegen schützen kann. Autor:in Daniel Rüegg Veröffentlicht 19\. Juni 2023 ## Ransomware Angriffe - hohes Risiko, grosses Ausmass Aktuelle Studien und Beobachtungen von Experten zeigen seit längerem auf, dass Ransomware Angriffe stark zunehmen und an Gefährlichkeit zulegen. Diese Tendenz ist auch in der Schweiz stark spürbar. Die Verschlüsselungsrate fällt weltweit sogar überdurchschnittlich hoch aus. Dabei erreicht das **Schadensausmass** bei den neuesten Fällen eine neue Qualität. Grund dafür ist die Tatsache, dass jüngst gleich zwei Anbieter von Cloud Dienstleistungen Opfer eines Angriffs wurden. Dadurch erzielten die Angreifer eine grosse Hebelwirkung, da (in)direkt auch alle Kunden betroffen sind: - Bei **Unico** sind mehr als 100 Unternehmen und Organisationen direkt betroffen und können ihre Dienstleistungen seit nun 3 Wochen kaum oder nicht beziehen. Die Untersuchungs- und Wiederherstellungsarbeiten sind nach wie vor im Gange (Stand 16.6; Aktueller Status hier). - Bei **Xplain** sind mehrere Bundesämter, bundesnahe Stellen sowie kantonale Ämter und national bekannte Organisation mehrheitlich im Blaulichtbereich (Justiz, Polizei, Rettung) betroffen. In beiden Fällen steckt - wie beim Angriff auf die NZZ - die Ransomware Gruppe ‘Play’ hinter den Angriffen und hat in beiden Fällen mit Datenveröffentlichungen gedroht und in die Tat umgesetzt. ## Motivation von Ransomware Gruppen Um den Antrieb hinter den Angriffen zu verstehen, muss man sich die möglichen Geschäftsfelder von Ransomware Gruppen vor Augen halten. Diese umfassen hauptsächlich drei Bereiche: - Erpressung (Verschlüsselung) - Datenverkauf (Spionage und Datenklau) - Weiterverkauf von Methoden und Software (Engineering als Dienstleistung) **Erpressung und gleichzeitiger Datenverkauf** bringt die höchste Rendite. Dadurch ist meist zweifelhaft, ob die Entschlüsselung und/oder Datenveröffentlichung durch Verhandlung und allenfalls Lösegeldzahlung überhaupt verhindert werden könnte. Kommt hinzu, dass bei manchen Ransomware Gruppen die kriminelle Energie offenbar so weit geht, dass eine komplette Wiederherstellung auch nach Entschlüsselung verhindert wird. Aus genannten Gründen und um die Attraktivität nicht weiter zu steigern, **raten Experten und Behörden** denn auch einhellig **von Lösegeldzahlungen ab**. ## Schwerwiegende, unabsehbare Auswirkungen Die primäre Auswirkung der Angriffe bewirkt den **totalen Ausfall der IT-Infrastruktur** oder der bezogenen Services. Einer - den Autoren bekannten - Unternehmung sind sämtliche IT-Systeme seit dem Angriff nicht mehr produktiv zugänglich. Es dauerte beinahe drei Wochen, bis das Mailsystem wieder verfügbar war. Mit riesigem administrativem Aufwand, hoher personeller Belastung und viel Improvisation musste mühsam auf ‘Handbetrieb’ umgestellt werden, um das Tagesgeschäft einigermassen aufrechtzuerhalten. Die **wirtschaftlichen Konsequenzen sind massiv** und werden über längere Zeit nachklingen. Noch schlimmer ist die Hilflosigkeit, was die Wiederherstellung der Systeme und Daten einerseits, sowie die drohende Datenveröffentlichung andererseits betrifft. Die möglichen Konsequenzen sind sehr schwer zu antizipieren und können für lange Zeit nachwirken - und wenn der Imageschaden noch einbezogen wird - sogar letal sein für ein Unternehmen. Was die genannten Fälle zudem vor Augen führt ist die Tatsache, dass man als Kunde von IT- und Cloud-Diensten quasi auf dem Beifahrersitz in den Abgrund gerissen werden kann. Dies **stellt die Partnerschaft** zwischen Kunden und Service Provider **auf eine harte Probe** und wirft mutmasslich auch einige **komplexe, juristische Fragen** auf. Es wird sich weisen, wie sich die Konsequenzen in den oben genannten Fällen auswirken werden. ## Was kann man tun? Die genannten Beispiele zeigen, dass man sich zwar bestmöglich verhalten, schützen und absichern kann, aber trotzdem mit dem Risiko leben und kalkulieren muss, dass es passieren kann! Neben dem konsequenten Einsatz der bekannten, bewährten und etablierten technischen Massnahmen für die Absicherung von IT-Systemen und Cloud-Services, gilt weiterhin das besondere Augenmerk den bekannten, primären Einfallstoren: - **Sicherheitslücken** durch schnelle Updates auf allen Systemen schliessen - Gesicherte Zugänge (Multi Faktor Authentifizierung) und hohe **Passwortkomplexität** - Restriktives Rechtemanagement - Angriffsflächen minimieren (Fernzugänge, Server Ports, Schnittstellen, verschlüsselte Kanäle) - **Risiken minimieren beim Benutzerverhalten**: Benutzer sensibilisieren, Wissen vermitteln und Verhaltensempfehlungen abgeben Für den Fall, dass es trotzdem passiert, müssen die möglichen Konsequenzen aktiv gemanagt werden, um den möglichen Schaden zu minimieren: - Compliance (Datenschutz) - Vertragsgestaltung mit dem Service Provider sowie mit den eigenen Kunden - **Verschlüsselung/Anonymisierung** von sensiblen Daten - **Backups/System Kopien** an anderem/2-tem Ort lagern - Systeme aufteilen/verteilen auf mehrere Service Provider ## Verwandte Themen Weiterführende Projekte und Inhalte zum Thema [Website](/projects/?filter=web) [Coaching](/projects/?filter=coach) ## Quellen und Links zum Thema Generell zum Thema [Inside IT – Podcast: Voll auf Angriff](https://www.inside-it.ch/podcast-voll-auf-angriff-20230609) [IT Magazine – «Schweizer Unternehmen unter hohem Ransomeware-Beschuss»](https://www.itmagazine.ch/artikel/79745/Schweizer_Unternehmen_unter_hohem_Ransomware-Beschuss.html%C2%A0) [Sophos – The State of Ransomware 2023](https://www.sophos.com/en-us/content/state-of-ransomware) Berichterstattung zu den neuesten Angriffen in der Schweiz [Inside IT – «Angriff auf IT-Dienstleister Unico zieht weite Kreise»](https://www.inside-it.ch/angriff-auf-it-dienstleister-unico-zieht-weite-kreise-20230602) [Netzwoche – «Update: Xplain-Hack betrifft auch operative Daten der Bundesverwaltung»](https://www.netzwoche.ch/news/2023-06-05/ransomware-angriff-auf-it-dienstleister-trifft-auch-bundesstellen) [Watson – «Hacker leaken fast 1 Terabyte an Daten von Schweizer IT-Firma Xplain - Bund reagiert»](https://www.watson.ch/digital/schweiz/534924956-hacker-leaken-fast-1-terabyte-an-daten-von-schweizer-it-firma-xplain) [Inside IT – «Standortverband Vaud Promotion bestätigt Cyberangriff»](https://www.inside-it.ch/standortverband-vaud-promotion-bestaetigt-cyberangriff-20230608)