Dem Erpressungstrojaner ist es egal, dass das die Babyfotos Ihrer Kinder sind

Am Nachmittag des Freitags, 12. Mai 2017, sahen die Empfangskräfte in Krankenhäusern in ganz England zu, wie ihre Bildschirme rot wurden. Ein Fenster erschien: Ihre Dateien wurden verschlüsselt; senden Sie 300 Dollar in Bitcoin; der Preis verdoppelt sich in drei Tagen. Operationen wurden abgesagt. Krankenwagen umgeleitet.

Der Angriff hieß WannaCry. Innerhalb eines Tages hatte er rund 200.000 Computer in 150 Ländern erreicht. Und er lehrte eine Lektion, die die Sicherheitsbranche seither wiederholt, weil sie niemand hören will: Für Erpressungssoftware sind Ihre Daten nicht kostbar. Sie sind Warenbestand.

Für Verschlüsselung ist alles nur Bytes

Das ist das Erste, was man verstehen muss, und das, was Erpressungssoftware von jeder früheren Art von Computerkriminalität unterscheidet. Ein Dieb stiehlt, was Wert hat, und lässt den Rest liegen. Erpressungssoftware verschlüsselt ohne Unterschied – Babyfotos, Steuererklärungen, Hochzeitsvideos, die Ladepläne einer Reederei –, weil die Verschlüsselung nicht wissen muss, was irgendetwas ist. Sie geht durch das Dateisystem, findet Dateien an ihren Endungen und verwürfelt sie mit Kryptografie militärischer Güte, die niemand brechen wird.

Die Grausamkeit ist strukturell, nicht persönlich. Niemand hatte es auf das Krankenhaus abgesehen; Sie wurden verschlüsselt, weil Sie erreichbar waren – eine ungepatchte Maschine im Netz, mit einer verwundbaren Version des SMB-Protokolls zur Dateifreigabe. WannaCry verbreitete sich über EternalBlue, einen Exploit, den die NSA entwickelt hatte und der einen Monat zuvor von einer Gruppe namens Shadow Brokers geleakt worden war. Ihre Erinnerungen waren Kollateralschaden in einem fremden Waffenprogramm.

Sechs Wochen später kam NotPetya – als Erpressungssoftware getarnt, als Wiper gebaut –, gelangte über ein kompromittiertes Update für M.E.Doc, ein ukrainisches Programm zur Steuerbuchhaltung, ins Innere und bewegte sich dann mit denselben gestohlenen Exploits seitwärts durch Unternehmensnetze, wobei es die Master Boot Records verschlüsselte, sodass die Maschinen nicht einmal mehr starteten. Es war egal, was die Dateien waren. Es zählte nur, dass sie da waren.

Das 300-Millionen-Dollar-Babyfoto

Das lehrreichste Opfer von NotPetya war Maersk, der dänische Schifffahrtsriese – das Unternehmen, das rund ein Fünftel der weltweiten Seefracht bewegt. Am Morgen des 27. Juni 2017 sahen Maersks Mitarbeiter zu, wie ihre Bildschirme schwarz wurden, einer nach dem anderen, in Büros auf der ganzen Welt. Telefone wurden abgeklemmt. Die Buchungssysteme, die Containerschiffe disponieren, fielen aus. Zehn Tage lang lief ein erheblicher Teil des globalen Betriebs auf Papier, WhatsApp und gebrüllten Anweisungen.

Die Wiederherstellung war einer der größten IT-Wiederaufbauten, die je unter Feuer versucht wurden: rund 4.000 Server, 45.000 PCs und 2.500 Anwendungen, von Grund auf neu installiert. Die Endrechnung wurde auf 200 bis 300 Millionen Dollar geschätzt. Die europäische FedEx-Tochter TNT Express verlor durch denselben Angriff rund 300 Millionen Dollar. Der Pharmakonzern Merck verlor etwa 670 Millionen Dollar.

Hier ist das Detail, auf das es in dieser Geschichte ankommt: Maersk wurde zum Teil durch Glück und durch Getrenntsein gerettet. Ein einziger Domänencontroller in Ghana – im entscheidenden Moment wegen eines lokalen Stromausfalls offline – überlebte, während jede verbundene Maschine verschlüsselt wurde. Dieser eine unerreichbare Server wurde zum Samen, aus dem die gesamte Netzwerkidentität des Unternehmens wieder aufgebaut wurde. Die Kopie, die überlebte, war die Kopie, die die Angreifer nicht erreichen konnten – nicht das edelste Backup-System, sondern das, das zufällig ausgesteckt war.

Ihr Backup steht auch auf der Liste

Die Backup-Strategie der meisten Menschen, sofern sie überhaupt eine haben, sieht so aus: eine externe Platte, die am Computer hängt, oder ein Ordner, der in die Cloud synchronisiert. Beides ist erreichbar. Und Erreichbarkeit ist genau das, was Erpressungssoftware jagt.

Moderne Erpressungssoftware verschlüsselt nicht nur Ihre Dokumente. Sie zählt Netzwerkfreigaben auf. Sie verschlüsselt die USB-Platte auf Ihrem Schreibtisch. Sie löscht die Windows-Schattenkopien – die eigenen Wiederherstellungspunkte des Systems –, bevor Sie sie nutzen können. Manche Varianten sitzen wochenlang still da und verschlüsseln langsam die cloud-synchronisierten Ordner, sodass beschädigte Versionen sich auf jedes Gerät ausbreiten und die Versionsgeschichte vergiften. Ihr Backup, Ihre Synchronisation, Ihr „ist schon gut, es ist in der Cloud" – alles hängt am selben Netz, hinter denselben Zugangsdaten, eine Seitwärtsbewegung entfernt.

Deshalb ziehen Sicherheitsleute eine harte Linie zwischen einem Backup und einem Backup mit Luftspalt. Ein Backup ist eine Kopie. Ein Backup mit Luftspalt ist eine Kopie, die nicht erreicht werden kann – nicht von Ihnen in einem Moment der Bequemlichkeit und deshalb auch nicht von einem Angreifer in einem Moment der Gelegenheit. Die Unbequemlichkeit ist der Schutz. Jede Abkürzung, die ein Backup leichter erreichbar macht, macht es auch leichter zerstörbar.

Die Physik von „Von hier aus kommt man da nicht hin"

Es gibt einen Grund, warum sich der Goldstandard der Branche für die Wiederherstellung nach Erpressungssoftware in dreißig Jahren kaum verändert hat: eine Offline-Kopie, an einem getrennten Ort, per Wiederherstellung getestet. Bandbibliotheken. Abgeklemmte Festplatten. Einmal beschreibbare Medien. Die Technik ist bewusst unglamourös, denn Glamour ist Angriffsfläche.

Überlegen Sie, was der Angreifer tun müsste, um eine sauber luftgetrennte Kopie zu zerstören. Er erreicht sie nicht übers Netz, weil sie in keinem ist. Er verschlüsselt sie nicht mit gestohlenen Zugangsdaten, weil kein Passwort ein Laufwerk freischaltet, das in einem versiegelten Beutel auf einem Regal liegt. Er müsste das Gebäude physisch finden, an der Tür vorbei und die Hände an das Medium bekommen. Das verwandelt einen skalierbaren Software-Angriff – ein Exploit, 200.000 Opfer – in einen Einbruch. Einbrüche skalieren nicht. Das ist das ganze Spiel: Erpressungssoftware ist eine Ökonomie der Masse, und der Luftspalt bricht diese Ökonomie.

Epikur hatte ein Wort für den Zustand, der dabei entsteht: Ataraxie, meist als Seelenruhe übersetzt – die Ruhe, die nicht daher kommt, dass man glaubt, nichts Schlimmes werde geschehen, sondern daher, dass man die Dinge so geordnet hat, dass das Schlimme, falls es geschieht, das Wichtige nicht erreichen kann. Die meisten Sicherheitsprodukte verkaufen Ihnen die erste Art von Ruhe: Vertrauen Sie uns, wir passen auf. Eine Offline-Kopie verkauft Ihnen die zweite: Es ist egal, wer aufpasst, denn es gibt nichts zu sehen.

Die unglamouröse Disziplin

Nichts davon ist neu. Die 3-2-1-Regel – drei Kopien, zwei Medientypen, eine extern und offline – ist Jahrzehnte älter als WannaCry. Was die Ära der Erpressungssoftware verändert hat, sind die Kosten dafür, den letzten Schritt auszulassen. 2010 bedeutete der Verzicht auf die Offline-Kopie, einen Hausbrand oder eine tote Platte zu riskieren. 2017 und danach bedeutet er, einen Gegner zu riskieren, der aktiv nach Ihren Kopien jagt.

Und der letzte Schritt ist immer noch der, den niemand tut, weil er der einzige ist, der sich der Automatisierung widersetzt. Einen Luftspalt kann man nicht per Kontrollkästchen herstellen. Jemand muss die Platte abziehen, sie irgendwohin bringen, sie zweimal im Jahr einschalten, die Daten prüfen und sie zurücklegen. Es ist Hausmeisterarbeit – nummerieren, versiegeln, protokollieren, kontrollieren –, nach Plan, für immer.

Genau deshalb scheitert sie als persönliche Gewohnheit und gelingt als Beruf. Die Besten darin sind die, für die es keine lästige Pflicht zwischen anderen Pflichten ist, sondern der gesamte Job: das Medium entgegennehmen, es mit einem nummerierten Band versiegeln, das Siegel fotografieren, die Kopien an zwei Orten lagern, die Siegel nach Plan kontrollieren, protokollieren, wiederholen – und ein Laufwerk nur dann zur Prüfung einschalten, wenn sein Eigentümer schriftlich darum bittet. Langweilig, dokumentiert und – wenn an einem Freitagnachmittag die Bildschirme rot werden – der Unterschied zwischen einer Unterbrechung und einem Ende.

Ihre Babyfotos sind nicht sicherer, weil Erpressungssoftware ein Herz hätte. Sie sind sicherer, wenn es schlicht keinen Weg vom Angreifer zum Laufwerk gibt. Kein Weg, kein Lösegeld. Das ist kein Verkaufsargument. Das ist Physik.

Everkeep bietet Offline-Verwahrung für verschlüsselte Laufwerke, die Ihnen gehören und die Sie selbst verschlüsseln: nummerierte Siegel, Fotoprotokolle, zwei Kopien an zwei getrennten Orten, Siegelprüfungen nach Plan – und eine Prüfung mit Einschalten nur auf Ihre schriftliche Bitte hin. 199 $/Jahr pro Geräte-Slot.