Seit Monaten schwirrt dieses Szenario in meinem Kopf herum, und jetzt wurde es auch Ende November 2016 von Heimdal Security in deren Blog bestätigt. Das Schema von Ransomware, also Malware die Daten eines Unternehmen verschlüsselt und nur gegen Zahlung freikaufen lässt, ändert sich.
Das Prinzip bleibt das Gleiche: Angriff, Verschlüsselung, dann Erpressung zur Zahlung. Die Erpressung ändert sich dabei aber.
Ab sofort wird immer häufiger gedroht, wenn die Bezahlung von sagen wir € 300,00 nicht durchgeführt wird, werden diese Daten und die damit verbundene Databreach (Datenlücke) veröffentlicht. Heimdal Security schreib im Blog über das neue Gesetz der EU „Protection of Personal Data“ das 2016 eingeführt wurde, und die damit verbundenen Pflichten jedes Unternehmers, als auch die Strafen die vergebenen werden können:
- Der Datendiebstahl muss sofort gemeldet werden.
- Die Firma kann wegen des Datenlecks verklagt werden. (Kunden)
- Es könnte zu einer Strafe bis zu € 20 Millionen oder bis zu 4% des weltweiten jährlichen Umsatz des vergangenen Jahres kommen (das größere der beiden zutreffend).
Betrüger tun sich hier sehr leicht, ein effizientes Druckmittel einzusetzen, das Gesetz selber. Eines wurde hier jedoch nicht erwähnt. Der Imageschaden einer Marke oder Firma der mit einer Veröffentlichung solcher Daten mit sich kommt.
Wie wir selbst schon aus den Medien gehört haben, zahlten sogar Polizeistationen, Krankenhäuser und andere öffentliche Dienste Ransomware Betrüger nur um so an ihre Daten wieder zu kommen.
In der Zukunft werden solche Attacken aber viel spezifischer auf Unternehmen durchgeführt werden. Und ich rede hier nicht von den Großen. Firmen ab 5 Mitarbeiter haben oft schon so viele Daten über die Jahren angehäuft das sich das allemal für Kriminelle auszahlt. Bei diesen Firmengrößen bis zu 50 oder sagen wir 100 Mitarbeiter, gibt es meistens kein „Cyber-Security“ Training des Büropersonals. Hier sollte man nicht sparen, denn die Zukunft ist auf diesem Gebiet der Ransomware, denke ich für uns alle nicht so rosig.
PS: Und weil gerade das Gastgewerbe in Salzburg in aller Munde ist, zwecks Personalmangels: Hier nur ein Gedankenspiel. Jährlich wechseln hier tausende Mitarbeiter den Arbeitsplatz (besonders auch an der Rezeption), haben Zugriff zu sensiblen Gästedaten und mit Sicherheit großteils kein Training.