Ransomware - US-Versicherungen forcieren Probleme

Die Erpressungswirtschaft – wie Versicherungsgesellschaften einen Anstieg der Ransomware-Angriffe vorantreiben, gibt Anlass zu Sorge. Selbst wenn öffentliche Stellen und von Ransomware betroffene Unternehmen ihre Daten selbst wiederherstellen könnten, ziehen es die Versicherer vor, das Lösegeld zu zahlen. Warum? Die Angriffe sind gut für das Geschäft.

Datenschutzanwalt informiert: Der Fall von Lake City

Am 24. Juni 2019 versammelten sich der Bürgermeister und der Rat von Lake City zu einer Notsitzung. Gemeinsam sollte entschieden werden, wie ein Ransomware-Angriff gelöst werden kann, der die Computerdateien der Stadt in den vergangenen zwei Wochen gesperrt hatte. Die Ratsmitglieder ließen sich dabei von Stadtmanager Joseph Helfenberger beraten. Er empfahl, dass die Stadt ihrem Cyberversicherer erlaubt, das Lösegeld von 42 Bitcoin zu zahlen. Das waren etwa 460.000 Dollar. Lake City wäre nur für einen Selbstbehalt von 10.000 Dollar verantwortlich. Im Austausch für das Lösegeld würde der Hacker einen Schlüssel zur Verfügung stellen, um die Dateien zu entsperren. Der Bürgermeister und der Rat beschlossen die Zahlung des Lösegeldes. Die sechsstellige Zahlung machte nationale Schlagzeilen.

Datenschutzanwalt informiert: Alternative war da

Die IT-Mitarbeiter der Stadt verfolgten zusammen mit einem externen Anbieter einen alternativen Ansatz. Nach dem Angriff versuchten sie die Backup-Dateien wiederherzustellen, die während des Vorfalls gelöscht wurden. Auf Empfehlung des Versicherers entschied sich die Stadt für die Zahlung des Lösegeldes, weil die Kosten die 1-Million-Dollar-Grenze überschritten hätten, und weil sie den normalen Dienst so schnell wie möglich wieder aufnehmen wollte. Im Grunde hat die Versicherung die verhängnisvolle Entscheidung getroffen. Am Ende lief es auf eine rein geschäftliche Entscheidung der Versicherung hinaus. Sie verglichen, wie viel es kostet, es selbst zu reparieren oder das Lösegeld zu zahlen. Der Bürgermeister erklärte, dass er sich der Bemühungen um die Wiederherstellung von Backup-Dateien bewusst sei, es aber vorzog, den Versicherer das Lösegeld zahlen zu lassen, weil es für die Stadt billiger sei.

Datenschutzanwalt informiert: Ein wesentlicher Beteiligter wurde übersehen

Ransomware breitet sich weltweit aus und deaktiviert Computersysteme von Unternehmen, Stadtverwaltungen, Schulen und Polizeibehörden. Bei der Beobachtung der Ransomware wird die Rolle einer Branche übersehen, die sowohl bezahlt als auch davon profitiert: die Versicherungen. In den letzten Jahren sind die an Unternehmen verkauften Cyberversicherung auf einen zweistelligen Milliardenmarkt angewachsen. Während die Versicherer keine Informationen über Lösegeldzahlungen freigeben, haben Beobachter festgestellt, dass sie oft den Forderungen der Angreifer nachkommen, auch wenn Alternativen wie gespeicherte Backup-Dateien verfügbar sind.

Datenschutzanwalt informiert: Versicherer profitieren

Sicherheitsforscher sagen, dass das Zahlen von Lösegeldern zur Rentabilität und Verbreitung der Cyberkriminalität beiträgt und in einigen Fällen wohl auch undemokratische Regime finanziert. Aber für Versicherer ist es finanziell sinnvoll, sagten Brancheninsider. Es hält deren Kosten niedrig, indem es unter anderem die Ausgaben für Berater, die bei der Datenwiederherstellung helfen, vermeidet. Und durch die Belohnung von Hackern werden mehr Ransomware-Angriffe gefördert, was wiederum mehr Unternehmen und Regierungsbehörden Angst macht, entsprechende Policen zu kaufen.

Datenschutzanwalt informiert: Offene Fragen

Was passiert, wenn man an Kriminelle zahlt? Dazu passt die etwas weiter hergeholte Frage, ob man zukünftig auch Betrüger gewähren lässt, weil es billiger ist, als die Kosten eines Strafverfahrens zu tragen. Ein Sprecher von Lloyd's, das etwa ein Drittel des globalen Cyberversicherungsmarktes zeichnet, sagte, dass die Deckung darauf abzielt, Verluste zu mildern und sich vor zukünftigen Angriffen zu schützen, und dass die Opfer entscheiden, ob sie Lösegeld zahlen. Die Abdeckung umfasse im Falle eines Angriffs auch den Zugang zu Experten, die helfen, die durch einen Cyberangriff verursachten Schäden zu beheben und anschließend sicherzustellen, dass die Schwächen im Cyberschutz beseitigt werden. Die Entscheidung, ob man ein Lösegeld zahlt, fällt die angegriffene Firma. Die Praxis sieht offensichtlich anders aus.

Datenschutzanwalt informiert: Weitere Vorwürfe

Ein Chief Technology Officer sagte, dass ihn kürzlich ein Unternehmen konsultierte, das von Ransomware angegriffen wurde. Nachdem feststand, dass die Wiederherstellung von Dateien aus Backups Wochen dauern würde, drängte der Versicherer darauf, das Lösegeld zu zahlen. Der Versicherer wollte vermeiden, dem Opfer Einnahmeverluste infolge von Betriebsunterbrechungen bei der Wiederherstellung von Backup-Dateien zu erstatten. Das Unternehmen stimmte zu, dass der Versicherer das Lösegeld von etwa 100.000 Dollar zahlen sollte. Die Zahlung des Lösegeldes war für den Versicherer viel billige. Die Cyberversicherung hält Ransomware am Leben. Es ist eine problematische Verknüpfung, weil die Versicherer alles bezahlen, solange es billiger ist.

Datenschutzanwalt informiert: Erwartungen der Kriminellen steigen, ihre Möglichkeiten auch

Da die Versicherungsgesellschaften im vergangenen Jahr sechs- und siebenstellige Lösegeldzahlungen genehmigt haben, sind die Ansprüche der Kriminellen gestiegen. Die durchschnittlich geforderte Summe pro Lösegeldzahlung hat sich innerhalb weniger Monate versechsfacht. Forscher berichten, dass der Anstieg der Zahlungen durch Cyberversicherer mit einem Wiederaufleben von Ransomware korreliert, nachdem es vor etwa zwei Jahren eigentlich begonnen hatte, zu fallen. Der Manager einer Cybersicherheitsfirma sagte, dass seine Firma vom FBI informiert wurde, dass Hacker speziell solche Unternehmen erpressen, von denen sie wissen, dass sie eine Cyberversicherung haben. Nachdem ein kleiner Versicherer auf seiner Website die Namen einiger seiner Cyberversicherungsnehmer hervorgehoben hatte, wurden drei von ihnen von Ransomware angegriffen. Hacker könnten auch versicherte Ziele aus öffentlichen Einreichungen identifizieren.

Datenschutzanwalt informiert: US-Städte reagieren

Selbst wenn die Angreifer nicht wissen, dass die Versicherer die Rechnung bezahlen, geben ihnen die wiederholten Kapitulationen ihrer Forderungen das Vertrauen, immer höhere Summen zu verlangen. Im vergangenen Jahr wurden Dutzende von öffentlichen Einrichtungen in den USA durch Ransomware gelähmt. Viele haben die Lösegelder entweder aus eigenen Mitteln oder durch Versicherungen bezahlt. Andere haben sich mit der Begründung verweigert, dass es unmoralisch ist, Kriminelle zu belohnen. Statt im Mai ein Lösegeld von 76.000 Dollar zu zahlen, opferte die Stadt Baltimore bisher mehr als 5,3 Millionen Dollar an Wiederherstellungskosten. Ähnlich lehnte Atlanta eine Lösegeldforderung von 51.000 Dollar im vergangenen Jahr ab und hat etwa 8,5 Millionen Dollar ausgegeben, um auf den Angriff zu reagieren und Dateien wiederherzustellen. Angeregt durch diese und andere Städte verabschiedete die US-Bürgermeisterkonferenz in diesem Sommer eine Resolution, keine Lösegelder mehr zu zahlen.

Datenschutzanwalt informiert: Profiteure und Falschspieler

Ransomware ist eine der häufigsten Cyberkriminalität der Welt. Obwohl es oft als ausländisches Problem betrachtet wird, weil Hacks eher aus Ländern wie Russland und dem Iran stammen, hat die westliche Industrie ihre Verbreitung gefördert. Im Mai wurde über zwei Ransomware-Datenrettungsfirmen berichtet, die behaupteten, ihre eigene Technologie zu verwenden, um Ransomware zu deaktivieren, aber in Wirklichkeit nur die Angreifer bezahlten. Eine der Firmen versprach den Opfern auf ihrer Website, dass die Versicherung wahrscheinlich die Kosten für die Wiederherstellung von Ransomware übernehmen wird. Lloyd's of London, der weltweit größte Spezialversicherer hat 1999 den Weg für die erste Cyber-Haftpflichtversicherung geebnet. Achtzig Prozent der bei Lloyd's abgeschlossenen Cyberversicherung sind für Unternehmen mit Sitz in den USA bestimmt. Lloyd's ist bekannt für die Versicherung komplexer, risikoreicher und ungewöhnlicher Risiken, wie den Folgen des Klimawandels, arktische Entdeckern oder Bruce Springsteens Stimme.

Resch Datenschutz – Experten für DSGVO und Expertise im Datenschutz

Wenn Sie Fragen zur DSGVO oder allgemein zum Datenschutz haben, rufen Sie an unter 030 885 9770, oder füllen Sie den Fragebogen aus. Sie erhalten dann eine kostenlose erste Einschätzung Ihres Falles.