Ransomware kann nicht verschlüsseln, was sie nicht erreichen kann

Shannon-Entropieanalyse

Jede Datei wird auf ihre Informationsdichte mittels Shannon-Entropie gemessen (0–8 Bits pro Byte). Normaler E-Mail-Inhalt erreicht 4,0–5,5. Komprimierte Dateien erreichen 6,0–7,0. Ransomware-verschlüsselte Daten erreichen 7,8–8,0 — praktisch nicht von Zufallsrauschen zu unterscheiden.

Dies funktioniert, weil Verschlüsselungsalgorithmen (AES, RSA, ChaCha20) pseudo-zufällige Ausgaben erzeugen, die die Entropie maximieren — ein mathematischer Fingerabdruck, der nicht verborgen werden kann.

Kompressionsraten-Analyse

Zufällige Daten können nicht komprimiert werden — dies ist ein fundamentales Gesetz der Informationstheorie. Normaler E-Mail-Inhalt wird mit modernen Algorithmen 40–70% komprimiert. Ransomware-verschlüsselter Inhalt wird weniger als 5% komprimiert.

Diese Erkennung ist algorithmusunabhängig. Ob wir Zstandard, gzip oder einen anderen Kompressor verwenden — verschlüsselte Daten werden immer schlecht komprimiert. Ein plötzlicher Abfall der Kompressionsrate über einen Backup-Lauf ist ein starker Indikator für Ransomware-Aktivität.

Statistische Anomalieerkennung

Jeder Backup-Lauf wird mit einer rollierenden 30-Tage-Baseline des normalen Postfachverhaltens verglichen. Massenlöschungen, Massenänderungen und Volumenspitzen werden mit robusten Statistiken bewertet, die Ausreißer nicht verzerren können.

• Massenlöschungs- & Massenänderungs-Erkennung: meldet ungewöhnliches Änderungsvolumen pro Postfach
• Robuste Per-Postfach-Baselines: medianbasierte Statistiken, die einzelne Ausreißer nicht verfälschen
• Restore-bewusst: kürzliche Wiederherstellungen werden erkannt — Recovery löst keine Fehlalarme aus
• Proportionale Schweregrade MEDIUM / HIGH / CRITICAL — anomale Läufe fließen nicht in künftige Baselines ein

Entropie-Gleichförmigkeitsprüfung

Ein normales Postfach enthält vielfältige Inhalte: Klartext-E-Mails (Entropie ~4,0), HTML-Newsletter (~5,5), PDF-Anhänge (~6,5) und Bilder (~7,0). Dies erzeugt natürliche Variation der Entropiewerte.

Ransomware beseitigt diese Variation. Wenn alle Dateien gleichförmig hohe Entropie zeigen (Durchschnitt > 7,0, Standardabweichung < 0,1), bedeutet das, dass jede Datei mit demselben Algorithmus verschlüsselt wurde — ein klares Zeichen für Ransomware, selbst wenn einzelne Entropiewerte allein keinen Alarm auslösen würden.

Ransomware-IOC-Abgleich

Anhang- und Dateinamen werden gegen einen kuratierten Feed bekannter Ransomware-Indikatoren abgeglichen: über 100 Dateiendungen von Familien wie LockBit, Akira oder BlackCat sowie Dateinamensmuster von Erpresserschreiben.

Ein IOC-Treffer ist das präziseste Signal überhaupt — ein Erpresserschreiben in einem Backup ist praktisch nie legitim. Treffer eskalieren den Lauf sofort und bestätigen die statistischen Befunde.

Multi-Signal-Korroboration

Drastische Maßnahmen erfordern Übereinstimmung. Snapshots werden nur bei einem kritischen Befund eingefroren — oder wenn mindestens zwei unabhängige Signalfamilien in dieselbe Richtung zeigen. Eine einzelne verrauschte Metrik sperrt niemals Ihre Daten.

Die Erkennung korreliert auch über Postfächer hinweg: Werden mehrere Postfächer eines Tenants innerhalb derselben Stunde anomal, löst Backup Shield einen tenant-weiten kritischen Alarm aus — die Signatur eines echten Ransomware-Vorfalls oder eines kompromittierten Kontos.