Auf welcher Stufe der Ransomware-Kette greift Ihre Abwehr, und überstehen Ihre Backups den Angriff?
Eine Ransomware-Simulation spielt einen Erpressungsangriff kontrolliert durch, ausgehend von einem angenommenen Erstzugang (Assumed Breach): Ausbreitung und Datenabfluss bis zu dem Punkt, an dem verschlüsselt würde, entlang MITRE ATT&CK. Geschäftsführung, IT und SOC sehen, auf welcher Stufe die Abwehr greift und wie widerstandsfähig die Backups gegen einen gezielten Angriff sind. Sie erhalten für jede Stufe, ob Ihr Team den Angriff erkannt und richtig reagiert hat, und dazu passende Gegenmaßnahmen aus dem MITRE-Katalog D3FEND.
Ransomware ist kein einzelner technischer Angriff, sondern eine Kette: ein erster Zugang, eine unbemerkte Ausbreitung, das Abgreifen von Daten und am Ende die Verschlüsselung. An jeder Stelle dieser Kette entscheidet sich, ob aus einem Zwischenfall ein Betriebsstillstand wird. Wer nur die Verschlüsselung betrachtet, prüft das Ende und übersieht die Punkte, an denen der Angriff noch aufzuhalten gewesen wäre. Geschäftsleitung, Cyberversicherer und Kunden wollen deshalb wissen, ob die Erkennung rechtzeitig greift und ob die Backups einen gezielten Angriff überstehen.
Wir spielen diese Kette kontrolliert und in abgestimmten Grenzen durch. Wir setzen einen realistischen Ausgangspunkt voraus, bewegen uns wie ein Angreifer durch Ihr Netz, führen Schadcode kontrolliert aus und prüfen an jeder Stufe, ob Ihre Abwehr erkennt und reagiert. So sehen Sie nicht nur, ob es passieren könnte, sondern wo genau Ihre Verteidigung greift und wo nicht.
Wir setzen einen ersten Zugang voraus und prüfen, wie schnell sich daraus ein netzwerkweites Problem entwickelt.
Wir bewerten den Weg zu Domänencontrollern und besonders zu Ihren Backup-Systemen, denn deren Kompromittierung entscheidet über den Wiederanlauf.
Wir spielen die Ausführung von Schadcode gegen Ihre Schutzschichten durch und messen, wo erkannt, blockiert oder durchgelassen wird.
An jedem Schritt der Kette dokumentieren wir, ob Ihr Team den Angriff bemerkt und korrekt reagiert hätte.
Wir prüfen, ob Ihre Backups einem Angreifer standhalten, der gezielt versucht, sie unbrauchbar zu machen. Eine Wiederherstellung aus den Backups testen wir dabei nicht.
Eine Ransomware-Simulation stellt einen realen Erpressungsangriff in abgestimmten Grenzen nach. Als eigenständige Simulation startet sie immer von einem angenommenen Erstzugang (Assumed Breach) und reicht über die Ausbreitung und den Weg zu den Backup-Systemen bis zur Verschlüsselung, so weit die Rules of Engagement sie zulassen. Gedacht ist sie für Geschäftsführung, IT und SOC, die wissen wollen, auf welcher Stufe Erkennung und Reaktion greifen und ob die Backups einem gezielten Angriff standhalten. Breiter blickt die APT-Simulation (Red Teaming). Lücken in Erkennung und Reaktion werden danach geschlossen. Haben Sie ein SOC, bietet sich danach eine Purple-Team-Übung mit ProSec Defense an.
Wir legen Ausgangspunkt, Zielsysteme, die Grenzen der Schadcode-Ausführung und die Eskalationswege fest.
Der Test startet über einen kontrollierten Zugang, so wie ein Angreifer nach dem ersten Schritt stünde.
Wir bewegen uns durch das Netz und führen Schadcode kontrolliert aus, mit Vorankündigung kritischer Schritte. Wie weit die Verschlüsselung geht, legen die Rules of Engagement fest: Nachweis der Fähigkeit ohne Auslösen oder Live-Verschlüsselung eines freigegebenen, unkritischen Testsystems. Geschäftsdaten werden nie verschlüsselt.
Wir stellen unsere dokumentierten Aktionen Ihrer Erkennung gegenüber und bewerten je Stufe.
Sie erhalten die technische Darstellung und eine Einordnung für die Führungsebene.
Zuerst die technischen Erkenntnisse für Ihr IT-Team, dann der Plan für die Behebung, dann die Zusammenfassung für Ihre Geschäftsführung und auf Wunsch die Bescheinigung für Kunden, Auditoren oder Versicherer. Alles beruht auf denselben Befunden.
Die Angriffskette mit Nachweis und Zeitstempeln, die Erkennungszeitpunkte Ihrer Abwehr und die Befunde, die den Weg ermöglicht haben, qualitativ bewertet. Nachvollziehbar und in einem potenziellen Retest überprüfbar.
Im Debriefing besprechen wir die Ergebnisse mit Ihrem Steuerungsteam. Im Replay-Workshop gehen wir die Kette mit Ihrem Blue Team Stufe für Stufe durch und legen sie neben die eigene Telemetrie. Daraus entstehen priorisierte Behebungsempfehlungen für Erkennung, Reaktion und den Schutz der Backups, auf Wunsch vertieft im Technischen Workshop.
Lage, Risiko und Entscheidungsbedarf auf wenigen Seiten, verständlich ohne technisches Vorwissen. Damit nehmen Sie Geschäftsführung, Gremien und Fachbereiche mit, um das Ergebnis zu vermitteln und Handlungsbedarf aufzuzeigen.
Die Bestätigung der durchgeführten Prüfung, ohne technische Details preiszugeben. Für Kunden, Auditoren, Aufsicht und Ihre Cyberversicherung.
Der Musterbericht zeigt, welche Unterlagen zu einem Pentest gehören und was sie abdecken. Zuschnitt und Umfang der Unterlagen legen wir im Scoping fest. Auf Wunsch erläutern wir das für Ihre Testart in einem kurzen Gespräch, kontaktieren Sie uns hierzu gerne direkt.
„Wir haben klare Ergebnisse bekommen, die für uns sofort nachvollziehbar waren. Sowohl auf IT-, als auch auf Geschäftsleitungsebene konnten wir daraus nächste Schritte ableiten.“
Steffen Hackmann, Team Lead Microsoft Dynamics 365 CRM and Power Platform, TSO-DATA GmbH
Die Ransomware-Simulation folgt bewusst einem einzigen Szenario. Für den breiteren Blick auf die Innensicht, auf verdeckte Angriffe oder auf fehlende Erkennungsregeln gibt es passende Ergänzungen.
Wenn neben dem Ransomware-Szenario die gesamte innere Angriffsfläche offen ausgeleuchtet werden soll, ergänzt der interne Pentest die Simulation um alle weiteren Pfade.
Zur LeistungKombinierbar, sobald Sie wissen wollen, ob Ihre Abwehr einen verdeckten Angreifer ohne Ankündigung und über alle Vektoren erkennt.
Zur LeistungWenn die Simulation Erkennungslücken zeigt, prüft Detect & Respond systematisch, welche Regeln und Logquellen in EDR und SIEM fehlen.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Geschäftsdaten nie. Wie weit wir gehen, legen die Rules of Engagement fest: entweder der Nachweis der Fähigkeit ohne Auslösen, etwa durch belegten Schreibzugriff auf Zielsysteme und Backups, oder die Live-Verschlüsselung eines freigegebenen, unkritischen Testsystems. Für den Datenabfluss nutzen wir präparierte Testdaten. Kritische Schritte kündigen wir vorab an.
Ein Innentest sucht Schwachstellen und Angriffspfade. Die Ransomware-Simulation folgt bewusst dem Ablauf eines realen Ransomware-Angriffs, inklusive kontrollierter Schadcode-Ausführung und der Frage, ob Ihre Backups einem gezielten Angriff standhalten.
Sie brauchen eine Erkennungs- und Reaktionsfähigkeit: ein eigenes SOC, einen Dienstleister oder ein EDR, dessen Alarme jemand bearbeitet. Ohne sie gibt es auf den Stufen der Kette nichts zu messen. Dann ist ein Pentest der Internen Infrastruktur & Active Directory der sinnvollere erste Schritt.
Eine Ransomware-Simulation spielt den Ablauf eines realen Ransomware-Angriffs kontrolliert und in abgestimmten Grenzen durch. Sie startet von einem angenommenen Erstzugang und reicht über die Ausbreitung im Netz bis zur Verschlüsselung, so weit die Rules of Engagement sie zulassen: als Nachweis der Fähigkeit ohne Auslösen oder auf einem freigegebenen Testsystem. An jeder Stufe wird bewertet, ob Ihre Abwehr erkennt und reagiert.
Ransomware wird in keinem Regelwerk als eigener Test vorgeschrieben, die Anforderungen dahinter aber schon. NIS2 fordert unter anderem die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Die Simulation liefert einen nachvollziehbaren Beleg, auf welcher Stufe Erkennung und Reaktion greifen und ob die Backups einem gezielten Angriff standhalten. Einen Test der Wiederherstellung ersetzt sie nicht. Die regulatorische Einordnung übernimmt ProSec Governance.
Vorab brauchen wir einen realistischen Ausgangspunkt, die Freigabe der Zielsysteme und ein Steuerungsteam, das während der Simulation erreichbar ist und im Notfall eingreift. Ob Ihr SOC oder Dienstleister eingeweiht wird, entscheiden Sie, denn davon hängt ab, was die Simulation misst. Diese Punkte halten wir vor dem Start schriftlich fest.
Nein, den möglichen Datenabfluss belegen wir in der Regel mit präparierten Testdaten oder durch den Nachweis der Erreichbarkeit. Echte Geschäftsdaten verlassen Ihr Netz dafür nicht. Wie weit dieser Schritt geht, legen wir vorab schriftlich fest.
Vor allem von der Größe des Netzes, der Zahl der Zielsysteme und der Architektur Ihrer Backups. Auch die Einbindung eines SOC oder Dienstleisters und die Zahl der Standorte beeinflussen den Umfang. Als eigenständige Simulation liegt die Laufzeit je nach Umfang zwischen wenigen Tagen und mehreren Wochen. Als Szenario innerhalb eines Red Teamings richtet sie sich nach dessen Zeitplan.
Nach wesentlichen Änderungen an Backup-Konzept, Netzsegmentierung oder Erkennung und nach Abschluss der Maßnahmen aus der letzten Simulation. So belegen Sie, dass die umgesetzten Maßnahmen wirken. Ohne solche Änderungen lässt sich die Simulation in den regulären Testzyklus aufnehmen.
Das Risiko ist begrenzt, ganz ausschließen lässt es sich bei aktiven Tests nicht. Geschäftsdaten verschlüsseln wir nie, kündigen kritische Schritte vorab an und legen Zielsysteme und Grenzen der Schadcode-Ausführung im Scoping fest. Über die vereinbarten Eskalationswege lässt sich jeder Schritt jederzeit anhalten.
