Double Extortion

Warum reichen Backups gegen Double Extortion nicht aus?

Backups lösen genau eine Hälfte des Problems: Sie stellen verschlüsselte Systeme wieder her. Gegen die zweite Drohung - die Veröffentlichung kopierter Kundendaten, Verträge, Personalakten oder Konstruktionszeichnungen im Darknet - sind sie wirkungslos. Genau darauf zielt Double Extortion: Der Erpressungshebel verlagert sich von der Verfügbarkeit der Daten auf deren Vertraulichkeit.

Für ein mittelständisches Unternehmen kann die Veröffentlichung schwerer wiegen als der Betriebsausfall selbst: Kunden verlieren Vertrauen, Auftraggeber fordern Sicherheitsnachweise, Datenschutzbehörden werden aktiv, und die Meldepflichten bei IT-Sicherheitsvorfällen setzen enge Fristen.

Wie läuft ein Double-Extortion-Angriff ab?

Bevor die Verschlüsselung startet, exfiltrieren die Angreifer über Tage oder Wochen gezielt die wertvollsten Datenbestände. Viele Opfer erfahren erst aus der Lösegeldforderung, welche Daten abgeflossen sind - oder entdecken es nie vollständig, weil Protokollierung und Monitoring fehlen. Einige Gruppen erweitern die Masche um eine dritte Stufe („Triple Extortion”) und setzen zusätzlich Kunden oder Partner des Opfers unter Druck.

Wie schützen sich Unternehmen?

Neben den klassischen Ransomware-Maßnahmen braucht es Kontrolle über abfließende Daten: Netzwerksegmentierung, Überwachung ungewöhnlicher Datenbewegungen, restriktive Zugriffsrechte und Verschlüsselung sensibler Bestände, damit kopierte Daten für Erpresser wertlos sind. Wie stark die Bedrohungslage gerade den deutschen Mittelstand trifft, zeigt die Analyse zur Cyber-Erpressung im Mittelstand.