Am Freitag Nachmittag kamen erste Meldungen aus Großbritannien: Mehrere Krankenhäuser mussten Patienten nach Hause schicken und Operationen absagen. Grund war der Ausfall von Computersystemen in mehr als vierzig Kliniken. Sie waren mit einer sogenannten Ransomware infiziert.

Ransomware verschlüsselt die Daten auf allen befallenen Speichermedien und verlangt Lösegeld (englisch ransom) für die Entschlüsselung der Daten. Die aktuelle Variante ist unter dem Namen WannaCry bekannt.

Auch deutsche Unternehmen betroffen

Inzwischen liegen Schadensmeldungen aus aller Welt vor, auch Deutschland ist betroffen: Neben Parkhausautomaten und etlichen Bankenrechnern sollen Computer zur Steuerung von Anzeigetafeln bei der Deutschen Bahn befallen sein. Laut Meldungen von Nachrichtenagenturen wurde ein europäisches Werk des Autoherstellers Nissan so stark infiziert, dass die Produktion eingestellt werden musste. Der spanische Netzbetreiber Telefónica hat mit der Schad-Software genauso zu kämpfen, wie das US-Logistikunternehmen FedEx.

Solche Schadprogramme verbreiten sich normalerweise über Links in E-Mails und den sozialen Netzwerken. Diesmal gingen die Angreifer einen anderen Weg: Sie nutzten einen Fehler im SMB-Protokoll von Microsoft, über das sogenannte Freigaben und Shares von Laufwerken und Dateien gesteuert werden. Dadurch kann sich die Malware ohne Zutun des Nutzers verbreiten.

Das bedeutet: Alle an das Internet angeschlossenen Windows-Computer, auf denen SMB-Freigaben eingerichtet wurden, sind mit hoher Wahrscheinlichkeit gefährdet.

NSA als Werkzeuglieferant?

Die Angreifer nutzten für ihre Attacke die Werkzeuge des US-Geheimdienstes NSA: Vor kurzem hatte eine Hackergruppe digitale Spionagewerkzeuge der NSA erbeutet und versucht, diese zu verkaufen. Darunter auch ein Programm, das die hier verwendete Sicherheitslücke ausnutzt.

Microsoft hat die Lücke daraufhin umgehend geschlossen und Aktualisierungen ausgeliefert, jedoch nur für aktuelle Windows-Versionen. Aufgrund des immensen Schadensausmaßes hat Microsoft am Samstag sogar noch eine Aktualisierung für das ausgelaufene Windows XP und für alte Windows-Server-Versionen zur Verfügung gestellt.

Laut aktuellen Meldungen konnte die Angriffswelle vorerst gestoppt werden. Sicherheitsforscher haben eine Art Notausschalter in der Schad-Software entdeckt. Der Schädling verschlüsselt erst dann Daten, wenn er eine bestimmte Webseite nicht erreichen kann. Da diese Webseite nicht existierte, verrichtete er ungehindert sein bösartiges Werk. Die Forscher haben daraufhin diese Webseite erstellt und registrieren lassen und damit die Malware entschärft. Sie bleibt jedoch als Schläfer auf den infizierten Systemen, und sobald die Webseite einmal nicht erreicht wird, legt der Bösewicht los. Besonders fatal ist zudem, dass laut Medienberichten Antivirus-Software die Verbindung zu dieser Webseite unterbindet und dadurch den Schädling irrtümlich aktiviert.

Erste Hilfe: Backup

Wenn Sie nicht wissen, ob Ihre Computer gefährdet sein könnten, führen Sie sofort ein Backup durch. Trennen Sie die Computer keinesfalls vom Internet. Bringen Sie Ihre Systeme auf einen aktuellen Stand, indem Sie die Updates von Microsoft installieren. Zum jetzigen Zeitpunkt existiert noch keine allgemein verfügbare Möglichkeit, den Schädling von betroffenen Systemen zu entfernen. Erstellen Sie daher in kurzen Abständen regelmäßig Backups.

iOS- und Android-Nutzer und -Nutzerinnen können aufatmen: Diese Geräte sind nicht betroffen.