In den letzten Tagen stand bei uns das Telefon kaum still. Der Grund hat einen harmlos klingenden Namen: Locky. Der Locky-Trojaner verbreitet sich seit Mitte Februar in großem Tempo, Deutschland gehört zu den besonders betroffenen Ländern. Er verschlüsselt Dateien auf dem PC und im Netzwerk und verlangt dann Lösegeld. Hier erklären wir, wie die Masche funktioniert und welcher Schutz wirklich hilft, damit Locky und Co. bei Ihnen keine Chance haben.
So funktioniert Locky
Der Ablauf ist, nach allem, was bisher bekannt ist, so simpel wie wirkungsvoll:
- Eine E-Mail kommt an, oft mit einer angeblichen Rechnung, Bestellung oder Zahlungsaufforderung. Absender und Betreff wirken unauffällig, häufig auf Deutsch.
- Im Anhang steckt ein Word-Dokument. Beim Öffnen erscheint nur Zeichensalat und der Hinweis, man solle Makros aktivieren, damit der Inhalt richtig angezeigt wird.
- Wer das tut, startet ein Makro, das die eigentliche Schadsoftware aus dem Internet nachlädt.
- Locky verschlüsselt Dokumente, Bilder, Datenbanken und viele weitere Dateitypen. Betroffen sind nicht nur die Dateien auf dem PC, sondern auch Netzlaufwerke, auf die der Benutzer zugreifen kann.
- Am Ende erscheint eine Lösegeldforderung, zu zahlen in der Digitalwährung Bitcoin.
Die Täter passen ihre Methoden schnell an. Wer heute nur vor Word-Anhängen warnt, ist morgen vielleicht schon wieder hinterher. Deshalb kommt es auf mehrere Schutzschichten an.
Schutz vor Locky: Die wichtigsten Maßnahmen
Makros abschalten
Für die allermeisten Mitarbeiter gibt es keinen Grund, Makros in Office-Dokumenten aus E-Mails auszuführen. Stellen Sie Office so ein, dass Makros standardmäßig deaktiviert sind und nicht mit einem Klick aktiviert werden können. In Netzwerken mit Domäne geht das zentral über Gruppenrichtlinien.
Mitarbeiter sensibilisieren
Die beste Technik nützt wenig, wenn jemand die Warnungen wegklickt. Informieren Sie Ihr Team heute noch, kurz und konkret:
- Niemals Makros aktivieren, wenn ein Dokument aus einer E-Mail das verlangt.
- Bei unerwarteten Rechnungen und Mahnungen den Absender auf einem anderen Weg kontaktieren.
- Im Zweifel nicht öffnen, sondern die IT fragen. Lieber zehnmal zu viel gefragt als einmal zu wenig.
Datensicherung, die der Trojaner nicht erreicht
Das ist der wichtigste Punkt überhaupt. Eine Sicherung auf einem ständig verbundenen Laufwerk kann ebenfalls verschlüsselt werden. Sie brauchen mindestens eine Sicherung, die vom Netzwerk getrennt ist, etwa wechselnde externe Festplatten, oder ein Sicherungssystem, auf das normale Benutzer keinen Schreibzugriff haben. Und testen Sie, ob die Rücksicherung funktioniert.
Rechte einschränken
Locky verschlüsselt alles, was der angemeldete Benutzer bearbeiten darf. Wer mit Administratorrechten arbeitet oder Zugriff auf sämtliche Netzlaufwerke hat, vergrößert den Schaden. Geben Sie jedem nur die Rechte, die er für seine Arbeit braucht.
Updates und Virenschutz
Ein aktueller Virenschutz erkennt neue Varianten nicht immer sofort, fängt aber vieles ab. Betriebssystem, Office und Browser sollten ebenfalls immer aktuell sein.
E-Mail-Filter
Viele Mailserver und Filterdienste können Anhänge mit Makros oder ausführbaren Dateien blockieren oder in Quarantäne stellen. Prüfen Sie, ob Ihre Lösung das kann.
Drei gefährliche Irrtümer
In Gesprächen mit Unternehmern hören wir immer wieder dieselben Sätze, die in falscher Sicherheit wiegen:
- „Wir sind zu klein, uns greift niemand an.“ Locky wird massenhaft verschickt, die Täter wählen ihre Opfer nicht aus. Jedes Postfach ist ein Ziel, und kleine Betriebe haben oft den schwächsten Schutz.
- „Wir haben doch einen Virenscanner.“ Neue Varianten tauchen oft schneller auf, als die Signaturen aktualisiert werden. Ein Virenschutz ist eine Schicht, kein Schutzschild.
- „Unsere Daten liegen auf dem Server, nicht auf dem PC.“ Genau das macht Locky so gefährlich: Er verschlüsselt auch die Netzlaufwerke, die vom befallenen PC aus erreichbar sind.
Schutzmaßnahmen auf einen Blick
| Maßnahme | Aufwand | Schützt vor |
|---|---|---|
| Makros deaktivieren | gering | Infektion über Office-Anhänge |
| Mitarbeiter informieren | gering | vielen Varianten von Phishing und Trojanern |
| Getrennte Datensicherung | mittel | dauerhaftem Datenverlust |
| Zugriffsrechte einschränken | mittel | großflächiger Verschlüsselung |
| Updates, Virenschutz, Mailfilter | laufend | bekannten Schadprogrammen |
Was tun, wenn es passiert ist?
Erscheinen plötzlich Dateien mit seltsamen Endungen oder eine Lösegeldforderung, zählt jede Minute:
- Betroffenen Rechner sofort vom Netzwerk trennen, Netzwerkkabel ziehen, WLAN ausschalten.
- IT-Betreuer informieren und nichts auf eigene Faust löschen oder neu installieren.
- Prüfen, welche Laufwerke betroffen sind, und andere Rechner beobachten.
- Daten aus der Sicherung wiederherstellen, nachdem der Rechner bereinigt oder neu aufgesetzt wurde.
- Anzeige erstatten, auch wenn die Aussichten auf Ermittlungserfolge gering sind.
Und das Lösegeld? Sicherheitsexperten raten grundsätzlich davon ab, zu zahlen. Es gibt keine Garantie, die Daten zurückzubekommen, und jede Zahlung finanziert die nächste Welle. Wer eine funktionierende Sicherung hat, steht vor dieser Frage gar nicht erst.
Unser Fazit
Locky ist nicht der erste Erpressungstrojaner und wird nicht der letzte sein. Die gute Nachricht: Die wirksamsten Schutzmaßnahmen sind weder teuer noch kompliziert. Makros abschalten, Mitarbeiter informieren und eine Sicherung haben, die außer Reichweite liegt. Wer diese drei Dinge diese Woche erledigt, hat das Risiko erheblich reduziert. Alles Weitere, von Rechtekonzept bis Mailfilter, lässt sich dann in Ruhe in den nächsten Wochen angehen.
Wir helfen Ihnen gerne
Sie möchten prüfen lassen, ob Ihr Unternehmen gegen Locky und andere Erpressungstrojaner gewappnet ist? Das IT-Team der Mittelstandsoptimierer prüft Ihre Datensicherung, Rechte und Einstellungen und hilft im Ernstfall schnell. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
