Vor zehn Tagen, am Freitag, dem 12. Mai, ging es los: Innerhalb weniger Stunden verbreitete sich eine Erpressersoftware namens WannaCry rund um den Globus. In Großbritannien mussten Krankenhäuser Patienten abweisen, Produktionsbänder standen still, und auch in Deutschland zeigten Anzeigetafeln an Bahnhöfen statt Abfahrtszeiten eine Lösegeldforderung. Für uns ist der Fall vor allem eines: eine eindrucksvolle Lektion über Updates. Denn der wirksamste Schutz vor WannaCry war seit Wochen verfügbar, er war nur nicht überall installiert.
Was ist passiert?
WannaCry ist eine sogenannte Ransomware. Sie verschlüsselt Dateien auf dem befallenen Rechner und verlangt für die Freigabe ein Lösegeld in Bitcoin, zunächst rund 300 US-Dollar, nach einigen Tagen mehr. Das Besondere: WannaCry verbreitete sich nicht nur über E-Mail-Anhänge, sondern wie ein Wurm selbstständig weiter. Ein einziger infizierter Rechner konnte so andere Rechner im selben Netzwerk und über das Internet angreifen.
Dafür nutzte die Schadsoftware eine Schwachstelle in einem alten Netzwerkprotokoll von Windows für Datei- und Druckerfreigaben (SMB in Version 1). Werkzeuge zum Ausnutzen dieser Lücke waren im April öffentlich geworden. Microsoft hatte die Lücke allerdings bereits im März 2017 mit einem regulären Sicherheitsupdate geschlossen. Wer seine Windows-Systeme seitdem aktualisiert hatte, war gegen diese Form der Verbreitung geschützt.
Gebremst wurde die Welle zunächst durch Zufall: Ein Sicherheitsforscher entdeckte im Code eine Art Notschalter in Form einer Internetadresse und registrierte sie. Darauf verlassen sollte man sich nicht. Inzwischen kursieren Varianten, und das Prinzip lässt sich jederzeit wiederholen.
Warum so viele Systeme betroffen waren
- Updates nicht installiert: Das Märzupdate fehlte auf vielen Rechnern, teils aus Bequemlichkeit, teils aus Sorge um Kompatibilität.
- Veraltete Systeme: Windows XP und Windows Server 2003 erhalten seit Jahren keine regulären Updates mehr. Microsoft hat nach dem Angriff ausnahmsweise Notfallupdates für diese Systeme veröffentlicht, ein ungewöhnlicher Schritt.
- Offene Netzwerkdienste: Rechner, die Dateifreigaben direkt ins Internet anboten, wurden von außen angegriffen.
- Flache Netzwerke: Wo alle Rechner ungehindert miteinander sprechen können, breitet sich ein Wurm ungebremst aus.
Was Unternehmen jetzt sofort tun sollten
- Updates einspielen: Prüfen Sie, ob auf allen Windows-Rechnern und Servern die aktuellen Sicherheitsupdates installiert sind, insbesondere das Update vom März. Vergessen Sie Rechner nicht, die selten eingeschaltet werden.
- Alte Systeme identifizieren: Gibt es noch Windows XP, Vista oder Server 2003 im Netz, etwa an Messgeräten, Kassen oder Maschinensteuerungen? Diese Geräte brauchen besonderen Schutz oder Ersatz. Für Vista ist der Support übrigens seit April ebenfalls beendet.
- SMBv1 abschalten: Das alte Protokoll wird in den meisten modernen Umgebungen nicht mehr gebraucht. Prüfen Sie mit Ihrem IT-Betreuer, ob es deaktiviert werden kann.
- Firewall prüfen: Dateifreigaben gehören nicht ins Internet. Der entsprechende Port muss am Router bzw. an der Firewall nach außen geschlossen sein.
- Datensicherung kontrollieren: Gibt es eine aktuelle Sicherung, die nicht ständig mit dem Netzwerk verbunden ist? Eine Sicherung auf einer dauerhaft angeschlossenen Festplatte wird von Ransomware gleich mit verschlüsselt.
Die eigentliche Lektion: Update-Management als Routine
WannaCry war kein raffinierter Angriff auf eine unbekannte Lücke. Er traf vor allem Systeme, die zwei Monate lang nicht aktualisiert worden waren. Das zeigt: Viele Unternehmen haben kein Problem mit fehlender Technik, sondern mit fehlender Routine. Unsere Empfehlungen für ein schlankes Update-Management:
| Bereich | Empfehlung |
|---|---|
| Arbeitsplätze | Automatische Updates aktiv, Neustart spätestens nach wenigen Tagen erzwingen |
| Server | Fester monatlicher Wartungstermin nach dem Microsoft-Patchday, mit Sicherung vorher |
| Anwendungen | Browser, PDF-Reader, Office und Java ebenfalls aktuell halten |
| Netzwerkgeräte | Firmware von Router, Firewall, NAS mindestens quartalsweise prüfen |
| Altsysteme | Liste führen, vom übrigen Netz trennen, Ablösung planen |
| Kontrolle | Monatlich prüfen, ob Updates tatsächlich auf allen Geräten angekommen sind |
Die Sorge, ein Update könne etwas kaputt machen, ist nicht unbegründet. Die Antwort darauf ist aber nicht, Updates wegzulassen, sondern sie kontrolliert einzuspielen: zuerst auf einem Testrechner, dann auf allen anderen, mit einer Sicherung im Rücken.
Mitarbeiter einbeziehen
Auch wenn WannaCry sich vor allem selbstständig im Netzwerk verbreitet hat: Die meisten Erpressertrojaner kommen nach wie vor per E-Mail ins Haus, als angebliche Rechnung, Bewerbung oder Paketbenachrichtigung. Nutzen Sie die aktuelle Aufmerksamkeit für eine kurze Runde im Team. Drei Botschaften reichen:
- Keine unerwarteten Anhänge öffnen, auch nicht von scheinbar bekannten Absendern, und bei Office-Dokumenten keine Makros aktivieren.
- Updatehinweise nicht wegklicken, sondern zeitnah neu starten.
- Ungewöhnliches sofort melden: Dateien mit seltsamen Endungen, Lösegeldhinweise, plötzlich langsame Rechner. Lieber einmal zu viel als zu spät.
Eine Meldung in den ersten Minuten kann den Unterschied machen zwischen einem befallenen Rechner und einem lahmgelegten Unternehmen.
Und wenn es doch passiert?
Trennen Sie betroffene Rechner sofort vom Netzwerk, Kabel ziehen und WLAN aus. Schalten Sie sie nicht unüberlegt aus, sondern holen Sie Fachleute dazu. Informieren Sie Ihren IT-Dienstleister, und prüfen Sie, ob personenbezogene Daten betroffen sind, denn dann können Meldepflichten bestehen. Ob man Lösegeld zahlen sollte, wird oft gefragt. Die Sicherheitsbehörden raten davon ab, auch weil es keine Garantie gibt, die Daten zurückzubekommen. Die beste Antwort auf Ransomware bleibt eine funktionierende, getrennte Datensicherung.
Wir helfen Ihnen gerne
Sie sind unsicher, ob Ihre Rechner und Server auf dem aktuellen Stand sind, oder möchten Ihr Update-Management und Ihre Datensicherung einmal prüfen lassen? Das IT-Team der Mittelstandsoptimierer unterstützt Sie schnell und pragmatisch. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
