Erstzugriff über verwundbare Systeme
Ungepatchte VPN-Gateways und Firewalls, offene Fernzugänge wie RDP oder Wartungszugänge von Dienstleistern sind häufige Einfallstore.
Incident Response & Forensik
Ransomware-Angriff – was tun? Notfallhilfe bei Verschlüsselung
Erst eindämmen, dann wiederherstellen.
Ransomware-Angriff – was tun, wenn Daten verschlüsselt sind und eine Lösegeldforderung auf dem Bildschirm steht? Trennen Sie betroffene Systeme vom Netz, ohne sie auszuschalten, gehen Sie nicht auf die Forderung ein und holen Sie Hilfe. Wir unterstützen Sie remote und vor Ort dabei, den Angriff zu stoppen, die Ursache aufzuklären und Ihre Systeme sauber wiederherzustellen.
- 24/7-Notfall-Hotline
- Remote & vor Ort
- Abstimmung mit Cyber-Versicherern
Erste Orientierung
Ransomware-Angriff: Was tun, wenn Daten verschlüsselt sind?
Bei einem Ransomware-Angriff verschlüsseln Kriminelle Daten und Systeme und verlangen Lösegeld für den Schlüssel. Inzwischen ist es üblich, dass sie vorher Daten stehlen und mit deren Veröffentlichung auf einer Leak-Seite im Darknet drohen – Fachleute sprechen von doppelter Erpressung. Manche Gruppen erpressen sogar ganz ohne Verschlüsselung, allein mit gestohlenen Daten. Die Verschlüsselung ist meist der letzte Schritt: Oft waren die Täter da schon tage- oder wochenlang unbemerkt im Netz.
Die ersten Schritte: Ziehen Sie das Netzwerkkabel betroffener Systeme, schalten Sie sie aber nicht aus, und melden Sie sich dort nicht mit Administratorkonten an. Trennen Sie noch intakte Backups vom Netz, löschen Sie nichts – auch keine Erpresserschreiben – und nehmen Sie keinen Kontakt zu den Tätern auf, bevor das Vorgehen abgestimmt ist. Dokumentieren Sie Ihre Beobachtungen und holen Sie frühzeitig Unterstützung.
Und das Lösegeld? BSI, Polizei und die von Europol unterstützte Initiative No More Ransom raten grundsätzlich davon ab, zu zahlen. Lösegeldverhandlungen führen wir nicht. Wir arbeiten darauf hin, dass Sie ohne Zahlung wieder arbeitsfähig werden, und sagen Ihnen offen, was realistisch ist.
Unser Vorgehen
So helfen wir nach einem Ransomware-Angriff
Zuerst stoppen wir die Ausbreitung: Betroffene Systeme und Netzsegmente werden isoliert, Angreiferzugänge wie VPN-Konten, Fernwartungswerkzeuge und Command-and-Control-Verbindungen gesperrt und intakte Backups vor weiterem Zugriff geschützt. Parallel sichern wir flüchtige Spuren, bevor sie verloren gehen.
Dann bestimmen wir das Ausmaß: Welche Systeme und Konten sind kompromittiert, ist das Active Directory betroffen, welche Daten wurden abgezogen? Zudem identifizieren wir die Ransomware-Familie und prüfen, ob es ein kostenloses Entschlüsselungswerkzeug gibt.
Der Wiederanlauf beginnt möglichst erst, wenn Einfallstor und Hintertüren bekannt sind: priorisiert nach Ihren kritischen Geschäftsprozessen, aus geprüften Backups und in eine bereinigte Umgebung. Das BSI empfiehlt, infizierte Systeme grundsätzlich als vollständig kompromittiert zu betrachten und neu aufzusetzen – ein Virenscan allein genügt nicht. Orientierung gibt auch der IT-Grundschutz-Baustein DER.2.3 „Bereinigung weitreichender Sicherheitsvorfälle“.
Typischer Angriffsverlauf
Wie Ransomware-Angriffe ablaufen
Gestohlene Zugangsdaten und Phishing
Passwörter aus Datenlecks oder von Infostealern und präparierte E-Mail-Anhänge öffnen den Weg – besonders dort, wo keine Multi-Faktor-Authentifizierung greift.
Ausbreitung und Rechteausweitung
Mit legitimen Admin-Werkzeugen, erbeuteten Passwörtern und Schwachstellen im Active Directory arbeiten sich die Täter bis zum Domänen-Administrator vor.
Sabotage von Backups und Schutzsoftware
Vor der Verschlüsselung löschen die Täter Schattenkopien und erreichbare Backups und schalten Virenschutz oder EDR ab.
Datenabfluss
Große Datenmengen wandern zu Cloud-Speichern oder Servern der Täter – die Grundlage für die spätere Drohung mit Veröffentlichung.
Verschlüsselung von Servern und Hypervisoren
Statt einzelner Rechner verschlüsseln die Täter bevorzugt Dateiserver und Virtualisierungshosts – so stehen auf einen Schlag viele Systeme still.
Erpressung über Leak-Seiten
Die Lösegeldforderung kommt mit Frist, oft begleitet von einem Eintrag auf einer Leak-Seite und Druck auf Kunden oder Partner.
Ausgangslagen
Drei Lagen, drei Prioritäten
Akut
Der Angriff läuft noch
Die Täter sind im Netz, erste Systeme werden verschlüsselt oder Schutzsoftware schlägt an. Jetzt geht es darum, den Schaden zu begrenzen.
- Isolation betroffener Systeme und Segmente
- Sperren von Angreiferkonten und Fernzugängen
- Schutz der Backups vor Verschlüsselung
Nach der Verschlüsselung
Systeme sind verschlüsselt
Der Betrieb steht ganz oder teilweise still. Jetzt zählen Aufklärung und ein sicherer Wiederanlauf.
- Scoping und forensische Beweissicherung
- Bewertung von Backups und Entschlüsselungsoptionen
- Priorisierter Wiederaufbau kritischer Prozesse
Datendiebstahl
Erpressung ohne Verschlüsselung
Die Systeme laufen, doch die Täter drohen mit der Veröffentlichung gestohlener Daten. Jetzt zählen Fakten über den Abfluss.
- Analyse, welche Daten abgeflossen sind
- Grundlage für Meldungen und Benachrichtigungen
- Schließen des Einfallstors
Ablauf
Unser Vorgehen bei einem Ransomware-Angriff
Wie im gesamten Bereich Incident Response & Forensik arbeiten wir entlang der bewährten Phasen der Vorfallsbehandlung und stimmen jeden Schritt mit Ihrem Krisenstab ab. Den Umfang legen wir individuell mit Ihnen fest.
-
01
Erstkontakt & Sofortmaßnahmen
Über die Notfall-Hotline oder das Notfall-Formular schildern Sie die Lage. Wir empfehlen erste Schritte und klären Auftragsumfang und Einsatzform.
-
02
Eindämmung
Wir stoppen die Ausbreitung, schließen Angreiferzugänge und schützen intakte Backups.
-
03
Analyse & Scoping
Wir sichern Spuren, identifizieren die Ransomware und klären Einfallstor, Ausbreitung und Datenabfluss.
-
04
Beseitigung
Hintertüren werden entfernt, kompromittierte Systeme neu aufgebaut und alle Zugangsdaten zurückgesetzt – bei kompromittiertem Active Directory bis hin zum zweifachen Zurücksetzen des KRBTGT-Kennworts oder einem Neuaufbau.
-
05
Wiederherstellung
Priorisierter Wiederanlauf aus geprüften Backups in eine bereinigte Umgebung, mit erhöhter Aufmerksamkeit für erneute Täteraktivität.
-
06
Nachbereitung
Abschlussbericht, Lessons Learned und ein Maßnahmenplan gegen künftige Angriffe.
Abschlussbericht
Der Incident-Report: Fakten für Geschäftsleitung, Behörden und Versicherer
Unser Bericht hält fest, wie der Angriff abgelaufen ist, was betroffen war und welche Maßnahmen ergriffen wurden. Er ist so aufgebaut, dass Sie ihn für Meldungen, für Ihren Versicherer und – wenn Sie Anzeige erstatten – für die Ermittlungsbehörden nutzen können.
- Management Summary mit Ursache, Ausmaß und Status
- Zeitleiste vom Erstzugriff über den Datenabfluss bis zur Verschlüsselung
- Ransomware-Familie und Indicators of Compromise (IoCs)
- Betroffene Systeme, Konten und – soweit feststellbar – abgeflossene Daten
- Dokumentation von Beweissicherung und Wiederherstellung
- Lessons Learned und priorisierte Maßnahmen
Verschlüsselt? Rufen Sie uns an, bevor Sie entscheiden.
Entscheidungen über Lösegeldforderung, Wiederaufbau und Kommunikation brauchen Fakten. Unter +49 2932 465265-0 erreichen Sie uns – außerhalb der Geschäftszeiten über unsere 24/7-Notfall-Hotline.
FAQ
Häufige Fragen zu Ransomware-Angriffen
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Sollten wir das Lösegeld zahlen?
Wir raten davon ab – wie BSI und Polizei. Wer zahlt, hat keine Gewähr für einen funktionierenden Schlüssel oder für die Löschung gestohlener Daten; zudem finanziert jede Zahlung weitere Angriffe und kann Sie zum wiederholten Ziel machen. Eine Zahlung kann außerdem rechtliche Fragen aufwerfen, etwa wenn die Täter Sanktionen unterliegen. Die Entscheidung trifft Ihre Geschäftsleitung – in Abstimmung mit Rechtsberatung und Ermittlungsbehörden. Lösegeldverhandlungen führen wir nicht, liefern aber die Fakten zu Backups, Ausmaß und Alternativen.
Können wir unsere Daten ohne Lösegeld zurückbekommen?
Wenn unversehrte Backups vorhanden sind – etwa vom Netz getrennte oder unveränderbare Sicherungen –, meist ja. Für manche Ransomware-Familien gibt es zudem kostenlose Entschlüsselungswerkzeuge, etwa über No More Ransom; ob eines passt, prüfen wir für Ihren Fall. Sind Backups mitverschlüsselt oder unvollständig, lassen sich manche Daten allerdings nicht wiederherstellen – das kann seriös niemand ausschließen.
Wurden auch Daten gestohlen?
Davon sollten Sie ausgehen, bis das Gegenteil belegt ist – das BSI weist darauf hin, dass Täter inzwischen üblicherweise auch Daten kopieren. Die Analyse von Firewall-, Proxy- und Systemprotokollen kann zeigen, ob und welche Daten abgeflossen sind. Das ist entscheidend für Meldungen nach Art. 33 und 34 DSGVO und für die Information von Kunden. Ob Unternehmensdaten später auf Leak-Seiten auftauchen, lässt sich mit unserem automatisierten Darknet Monitoring im Blick behalten.
Müssen wir einen Ransomware-Angriff melden?
Häufig ja. Sind personenbezogene Daten betroffen – auch wenn sie „nur“ verschlüsselt und damit nicht verfügbar sind –, kann eine Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO nötig sein: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Einrichtungen unter NIS2 – auch Betreiber kritischer Anlagen – melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK, beginnend mit einer frühen Erstmeldung binnen 24 Stunden; Finanzunternehmen melden schwerwiegende IKT-bezogene Vorfälle nach DORA an ihre Aufsicht. Zusätzlich empfehlen wir eine Strafanzeige, etwa über die Zentrale Ansprechstelle Cybercrime (ZAC) Ihres Landes.
Können wir die Systeme einfach aus dem Backup zurückspielen?
Nicht ohne Vorarbeit. Backups können Schadsoftware oder Hintertüren enthalten, die vor der Verschlüsselung angelegt wurden, und ohne geschlossenes Einfallstor droht ein erneuter Angriff. Deshalb prüfen wir Backups auf Spuren der Täter, bereinigen die Umgebung und setzen Zugangsdaten zurück, bevor zurückgespielt wird – möglichst mit Kopien der Backups, damit die Originale unverändert bleiben.
Wie lange dauert es, bis wir wieder arbeiten können?
Das hängt vom Ausmaß, vom Zustand der Backups und von der Vorbereitung ab. Für eine vollständige Kompromittierung nennt das BSI Erfahrungswerte von zwei bis vier Wochen, in denen große Teile des Betriebs eingeschränkt sein können. Ein Notbetrieb für Kernprozesse ist oft früher möglich – darauf richten wir den Wiederanlauf aus.
Wie schützen wir uns künftig vor Ransomware?
Zu den wirksamsten Hebeln gehören zeitnahe Updates für Systeme am Perimeter, Multi-Faktor-Authentifizierung für alle Fernzugänge, eine segmentierte Infrastruktur, getrennte Administratorkonten und regelmäßig getestete, vom Netz getrennte Backups. Ob Einfallstore offen sind, zeigen eine Schwachstellenanalyse und ein Netzwerk-Penetrationstest. Mit Forensic Readiness sorgen Sie dafür, dass im Ernstfall die nötigen Protokolle vorliegen.
Weiterführende Seiten
Ransomware-Vorfall melden
Schildern Sie kurz die Lage und hinterlassen Sie eine Rückrufnummer. Wenn es eilt, rufen Sie uns zusätzlich an: +49 2932 465265-0 – außerhalb der Geschäftszeiten erreichen Sie unter dieser Nummer unsere 24/7-Notfall-Hotline.