Ransomware: Was MFA wirklich stoppt – und was ehrlicherweise nicht

Fragen Sie einen Security-Anbieter nach Ransomware, und Sie erhalten meist dieselbe Antwort: Sein Produkt stoppt sie. Dieser Beitrag ist nicht diese Antwort. Die Verschlüsselung Ihrer Server geschieht weit unterhalb der Authentifizierungsschicht, und so ist die Frage berechtigt, ob ein Authentifizierungsprodukt überhaupt relevant ist. Die ehrliche Antwort lautet: für die Art, wie die meisten Ransomware-Vorfälle tatsächlich beginnen, ja – und für eine nennenswerte Minderheit von ihnen, nein. Zu wissen, was wohin gehört, ist zehn Minuten wert.

Ransomware bricht selten ein. Sie meldet sich an.

Jahr für Jahr findet Sophos’ State-of-Ransomware-Umfrage dieselben zwei Hauptursachen, die sich auf dem ersten Platz abwechseln: kompromittierte Zugangsdaten und ausgenutzte Schwachstellen. Mit anderen Worten: In rund der Hälfte der realen Vorfälle hat der Angreifer überhaupt keine Software überwunden. Er hat sich mit einem gültigen Passwort angemeldet – durch eine Vordertür, die nach nichts weiter fragte.

Drei gut dokumentierte Fälle zeigen, wie das in der Praxis aussieht.

• Colonial Pipeline, 2021. Der Angriff, der die größte Treibstoffpipeline der Vereinigten Staaten lahmlegte, begann mit einem einzigen Passwort für ein VPN-Altkonto. Das Konto war nicht mehr in aktiver Nutzung, funktionierte aber noch, das Passwort war in einem geleakten Datensatz aufgetaucht, und das VPN hatte keinen zweiten Faktor. Kein Exploit, keine Schadsoftware am Perimeter – ein Anmeldeformular tat genau das, was man ihm auftrug.
• Change Healthcare, 2024. Der Vorfall, der die Abwicklung medizinischer Zahlungen in den USA lahmlegte, begann damit, dass Angreifer sich mit gestohlenen Zugangsdaten an einem Citrix-Fernzugriffsportal anmeldeten. Die eigene Richtlinie des Unternehmens verlangte MFA auf externen Systemen; dieses Portal hatte keine. Die Angreifer verbrachten anschließend neun Tage damit, sich durch das Netzwerk zu bewegen, bevor sie die Ransomware ausrollten – mehr zu diesen neun Tagen weiter unten.
• MGM Resorts, 2023. Angreifer überredeten einen Helpdesk, Zugangsdaten zurückzusetzen – für einen Mitarbeiter, den sie zuvor auf LinkedIn recherchiert hatten – und rollten dann Ransomware aus, die Spielautomaten, Zimmerschlüssel und Reservierungen lahmlegte, zu Kosten, die MGM auf nahezu 100 Millionen US-Dollar bezifferte. Die Lektion reicht hier tiefer: MFA war vorhanden, aber jeder zweite Faktor, den ein Helpdesk mit einem einzigen Anruf zurücksetzen kann, ist nur so stark wie dieser Anruf.

Keiner dieser Fälle begann mit einem ungepatchten Server. Alle drei begannen mit einem Konto.

Die Tage dazwischen

Ransomware ist der letzte Schritt eines Einbruchs, nicht der erste. Bei Change Healthcare vergingen neun Tage zwischen der ersten Anmeldung und der Verschlüsselung. In diesem Fenster erledigen Angreifer die Arbeit, die Ransomware verheerend macht: sich lateral über RDP und SSH bewegen, Admin-Zugangsdaten einsammeln, die Backups erreichen.

Fast all diese Bewegung geschieht mit gestohlenen Konten, denn Anmelden ist leiser als Exploits. Das heißt: Jede interne Anmeldung, die eine phishing-resistente Bestätigung verlangt, ist nicht nur ein Schloss – sie ist ein Stolperdraht. Eine Bestätigungsanfrage, die auf dem Telefon eines Administrators für eine Anmeldung eintrifft, die er nie gestartet hat, ist eines der frühesten und klarsten Einbruchssignale, die eine Organisation bekommen kann – zu einem Zeitpunkt, an dem der Vorfall noch eine unautorisierte Anmeldung ist und noch keine Lösegeldforderung.

Was MFA ehrlicherweise nicht stoppen kann

Nun die andere Hälfte der Wahrheit. 2023 fuhr die Gruppe Cl0p eine Massenerpressungskampagne über eine SQL-Injection-Zero-Day-Lücke in MOVEit Transfer, einem Produkt für verwaltete Dateiübertragung. Tausende Organisationen waren betroffen. Keine Zugangsdaten wurden abgephisht und keine Aufforderungen bestätigt, denn der Exploit berührte die Authentifizierungsschicht überhaupt nicht.

Authentifizierung kann nicht helfen, wenn der Angreifer um die Anmeldung herumgeht statt durch sie hindurch: eine nicht authentifizierte Remote-Code-Execution-Lücke in einer exponierten Appliance, ein Kernel-Exploit, der auf einer bereits erreichten Maschine die Rechte ausweitet. Dieses Terrain gehört dem Patchen, der Netzwerksegmentierung, der Endpoint-Erkennung und den Offline-Backups – die vollständige Checkliste liefert CISAs #StopRansomware-Leitfaden. Ein Authentifizierungsanbieter, der behauptet, Ransomware schlechthin zu „stoppen“, verkauft über die Grenze dessen hinaus, was Authentifizierung leistet.

Wo Notakey ins Bild passt

Notakey deckt die Eintrittswege ab, auf denen die obigen Fälle aufbauten – als eine Schicht einer gestaffelten Verteidigung, nicht als Ersatz für die anderen.

• Die häufigsten Vordertüren bekommen einen echten zweiten Faktor. VPN über RADIUS, Windows-Anmeldungen einschließlich Remotedesktop, Linux SSH – die praxisnahen Anleitungen behandeln 2FA für ein VPN, Windows-Remotedesktop und SSH über PAM. Ein geleaktes VPN-Passwort allein – der gesamte Einstieg bei Colonial Pipeline – öffnet nichts.
• Bestätigungen sind lesbar, sodass unerwartete auffallen. Jede Anfrage zeigt genau, was bestätigt wird: welches System, welche Aktion, von wo. Eine Aufforderung, die der Nutzer nie ausgelöst hat, ist sichtbar nicht die seine – der Stolperdraht aus dem Abschnitt oben, in den Tagen, in denen sich ein Einbruch noch stoppen lässt.
• Der Schlüssel lässt sich nicht per Anruf zurücksetzen. Er wird in der sicheren Hardware des Telefons erzeugt und verlässt sie nie. Es gibt kein gemeinsames Geheimnis, das ein Helpdesk einem überzeugenden Anrufer vorlesen könnte – genau die Lücke, die die MGM-Angreifer nutzten.

Was Notakey nicht tut: Ihre Citrix-Appliance patchen, einen Kernel-Exploit erkennen oder Ihre Backups wiederherstellen. Wenn ein Anbieter Ihnen erzählt, ein einziges Produkt könne all das, behalten Sie die Hand am Portemonnaie.

Überzeugen Sie sich selbst

Am schnellsten beurteilen Sie den Bestätigungsablauf, wenn Sie ihn einmal nutzen: indem Sie eine konkrete Aktion auf Ihrem eigenen Telefon lesen und signieren, statt eine kontextlose Aufforderung wegzutippen.

Testen Sie die Live-Demo und signieren Sie eine in etwa zwei Minuten, oder fordern Sie eine Demo an, und wir bilden Ihre VPN-, SSO- oder Windows-Anmeldungen in einem Pilotprojekt auf Ihrer eigenen Infrastruktur ab.