Über den Sommer war es ruhig um Emotet geworden. Doch die Ruhe war trügerisch: Sicherheitsforscher berichten, dass die Server hinter der Schadsoftware wieder aktiv sind, und rechnen mit neuen Wellen verseuchter Mails. Für Unternehmen heißt das: Jetzt ist der richtige Moment, den eigenen Emotet-Schutz zu überprüfen. Denn bei Emotet reicht ein einziger falscher Klick, um tagelangen Ärger auszulösen.
Was ist Emotet und warum ist es so gefährlich?
Emotet ist seit Jahren bekannt. Ursprünglich als Banking-Trojaner gestartet, hat er sich zu einem der gefährlichsten Werkzeuge von Cyberkriminellen entwickelt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat wiederholt vor ihm gewarnt. Seine Gefährlichkeit hat mehrere Gründe:
- Täuschend echte Mails: Emotet liest auf infizierten Rechnern E-Mails und Adressbücher aus. Die Täter antworten dann auf echte Mailverläufe, mit echten Namen und Betreffzeilen. Die Mail scheint von einem bekannten Geschäftspartner zu kommen und bezieht sich auf ein tatsächliches Gespräch.
- Türöffner für weitere Schadsoftware: Emotet lädt häufig weitere Schadprogramme nach, etwa zum Ausspähen von Zugangsdaten oder Verschlüsselungstrojaner, die Daten unbrauchbar machen und Lösegeld fordern.
- Ausbreitung im Netzwerk: Einmal im Firmennetz, versucht Emotet, sich auf weitere Rechner auszubreiten.
Am Ende einer Infektion stehen im schlimmsten Fall verschlüsselte Server, ein tagelanger Stillstand und die Frage, ob die Backups noch zu gebrauchen sind.
So kommt Emotet ins Unternehmen
Der typische Weg ist eine E-Mail mit einem Word-Dokument im Anhang oder einem Link zum Download. Das Dokument fordert dazu auf, „Inhalte zu aktivieren“ oder „Bearbeitung zu aktivieren“, angeblich weil es mit einer anderen Version erstellt wurde. Wer klickt, erlaubt das Ausführen von Makros, und die Schadsoftware wird nachgeladen. Häufige Tarnungen sind Rechnungen, Lieferscheine, Bewerbungen, Zahlungsavisos oder Antworten auf frühere Anfragen.
Warnsignale für Ihre Mitarbeitenden
| Warnsignal | Was dahinter stecken kann |
|---|---|
| Dokument verlangt „Inhalt aktivieren“ | Makro soll Schadsoftware nachladen |
| Antwort auf alten Mailverlauf, der Text passt aber nicht recht | ausgelesene Mails eines infizierten Partners |
| Absendername bekannt, Mailadresse dahinter fremd | gefälschter Absender |
| Unerwartete Rechnung oder Mahnung | klassischer Köder |
| Ungewöhnlicher Zeitdruck | soll vom Nachdenken abhalten |
Die wichtigste Regel für alle im Betrieb: Im Zweifel nicht klicken, sondern beim Absender telefonisch nachfragen, mit der Nummer aus dem eigenen Adressbuch, nicht aus der Mail.
Emotet-Schutz: Die wichtigsten Maßnahmen
Einen hundertprozentigen Schutz gibt es nicht. Mit mehreren Schichten an Maßnahmen senken Sie das Risiko aber erheblich und begrenzen den Schaden, falls doch etwas passiert.
- Makros einschränken: Stellen Sie Office zentral so ein, dass Makros aus dem Internet oder aus Mailanhängen nicht ausgeführt werden. Wer Makros für die Arbeit braucht, bekommt sie gezielt freigegeben, etwa nur für signierte Dokumente.
- Updates einspielen: Betriebssystem, Office, Browser und alle anderen Programme aktuell halten. Emotet nutzt für die Ausbreitung im Netz auch bekannte Sicherheitslücken.
- Keine Admin-Rechte im Alltag: Mitarbeitende arbeiten mit normalen Benutzerkonten. Administrative Konten werden nur für Verwaltungsaufgaben genutzt.
- Mailfilter und Virenschutz: Ein guter Spamfilter, der verdächtige Anhänge wie Office-Dokumente mit Makros prüft oder in Quarantäne legt, fängt viel ab.
- Backups offline: Mindestens eine Sicherung muss vom Netz getrennt sein, damit ein Verschlüsselungstrojaner sie nicht erreicht. Testen Sie regelmäßig die Wiederherstellung.
- Netzwerk segmentieren: Nicht jeder Rechner muss jeden anderen erreichen. Eine Trennung von Bereichen bremst die Ausbreitung.
- Mitarbeitende schulen: Kurze, regelmäßige Hinweise wirken besser als eine einmalige Pflichtveranstaltung. Zeigen Sie echte Beispiele.
„Wir sind doch viel zu klein“
Diesen Satz hören wir oft, und er ist leider falsch. Emotet sucht sich seine Opfer nicht gezielt aus, sondern verschickt Mails massenhaft. Kleine Betriebe sind sogar besonders attraktiv, weil sie seltener eine eigene IT-Abteilung haben, Backups nicht prüfen und Updates schleifen lassen. Gleichzeitig trifft ein Ausfall von mehreren Tagen ein kleines Unternehmen oft härter als einen Konzern. Und über die ausgelesenen Mails wird Ihr Betrieb unfreiwillig zum Absender für Angriffe auf Ihre Kunden.
Was tun, wenn es doch passiert ist?
Wenn ein Mitarbeiter meldet, dass er ein verdächtiges Dokument geöffnet hat, zählt jede Minute. Und bitte: Bedanken Sie sich für die Meldung. Wer Angst vor Ärger hat, meldet beim nächsten Mal nicht.
- Betroffenen Rechner sofort vom Netzwerk trennen, Netzwerkkabel ziehen und WLAN aus
- IT-Dienstleister oder interne IT informieren
- Prüfen, ob weitere Rechner betroffen sind
- Passwörter ändern, die auf dem Rechner verwendet oder gespeichert wurden, von einem sauberen Gerät aus
- Geschäftspartner warnen, deren Mailverläufe möglicherweise missbraucht werden
- Prüfen, ob eine Meldung an die Datenschutzaufsicht nötig ist, da personenbezogene Daten betroffen sein können
Ein wichtiger Hinweis aus unserer Erfahrung: Ein mit Emotet infizierter Rechner sollte nicht nur „bereinigt“, sondern vollständig neu aufgesetzt werden. Zu groß ist das Risiko, dass nachgeladene Schadsoftware unentdeckt bleibt.
Unser Fazit
Emotet ist zurück, und es wird wieder Mails geben, die selbst aufmerksame Mitarbeitende täuschen. Guter Emotet-Schutz besteht deshalb aus Technik und Menschen: Makros einschränken, Updates einspielen, Backups vom Netz trennen und das Team sensibilisieren. Wer das jetzt angeht, ist vorbereitet, wenn die nächste Welle durch die Postfächer rollt.
Wir helfen Ihnen gerne
Sie möchten wissen, wie gut Ihr Firmennetz gegen Emotet und ähnliche Angriffe aufgestellt ist? Das IT-Team der Mittelstandsoptimierer prüft Ihre Einstellungen, richtet Makro-Richtlinien und Backups ein und schult Ihr Team. Im Notfall erreichen Sie uns unter 06131 144928-0.
Herzliche Grüße aus Mainz
