Ransomware-Angriff: die ersten Stunden

Wie Ransomware-Angriffe ablaufen

Das BSI beschreibt in seinem Dokument «Ransomware: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall» vor allem Angriffe, bei denen Schadsoftware zunächst das Netz übernimmt und anschließend die Daten verschlüsselt. Die Verschlüsselung ist damit oft nur das sichtbare Ende eines Angriffs, der schon länger im Netz läuft. Daraus folgt: Auch Systeme ohne sichtbare Verschlüsselung können betroffen sein, und Zugangsdaten sind wahrscheinlich in fremder Hand.

Die erste Stunde: eindämmen

Netz trennen, Geräte nicht ausschalten

Trennen Sie betroffene Systeme vom internen Netz und vom Internet. Bei großflächigem Befall kann es sinnvoll sein, den Internetzugang des gesamten Standorts zu kappen. Fahren Sie die Geräte nicht herunter, wenn eine Analyse geplant ist, und starten Sie keine Virenscanner, bevor Spuren gesichert sind.

Backups in Sicherheit bringen

Angreifer zielen gezielt auf Sicherungen. Trennen Sie Backup-Server, NAS-Systeme und angeschlossene Sicherungsmedien, die noch nicht betroffen sind. Prüfen Sie erst danach in Ruhe, welche Sicherungen sauber und vollständig sind. Online erreichbare Sicherungen können ebenfalls manipuliert sein.

Keine privilegierten Anmeldungen

Melden Sie sich auf möglicherweise infizierten Systemen nicht mit Administrator- oder Domänenkonten an. Gehen Sie davon aus, dass gespeicherte oder nach der Infektion eingegebene Zugangsdaten kompromittiert sind. Ist das Active Directory betroffen, gilt das gesamte Netz als kompromittiert.

Protokoll führen

Notieren Sie ab der ersten Minute, was wann beobachtet und entschieden wurde. Fotografieren Sie Erpresserbotschaften. Das Protokoll braucht später die Polizei, die Versicherung und gegebenenfalls die Datenschutzaufsicht.

Die ersten Stunden: organisieren

• Krisenstab bilden: Geschäftsführung, IT-Verantwortliche oder Dienstleister, Datenschutzbeauftragte, eine Person für Kommunikation.
• Fachleute hinzuziehen: Das BSI empfiehlt, frühzeitig IT-Sicherheitsexperten oder spezialisierte Dienstleister einzubinden.
• Versicherung informieren: Viele Cyber-Versicherungen verlangen eine schnelle Anzeige und vermitteln Forensik-Dienstleister.
• Anzeige erstatten: Das BSI nennt die Landeskriminalämter, praktisch erreichen Sie dort die Zentralen Ansprechstellen Cybercrime.
• Meldepflichten prüfen: Bei möglichem Abfluss personenbezogener Daten die Datenschutz-Aufsichtsbehörde, bei NIS-2-Einrichtungen zusätzlich das BSI, jeweils mit eigenen Fristen.
• Notbetrieb organisieren: Welche Abläufe müssen weiterlaufen, notfalls auf Papier oder über Ersatzgeräte?

Lösegeld: die Haltung des BSI

Das BSI rät grundsätzlich davon ab, auf Lösegeldforderungen einzugehen. Eine Zahlung garantiert nicht, dass ein funktionierender Schlüssel geliefert wird oder dass kopierte Daten nicht trotzdem veröffentlicht werden. Sie macht Erpressung außerdem lukrativ und erhöht das Risiko, erneut angegriffen zu werden. Empfohlen wird, die Infektion zu beseitigen, die Daten aus Sicherungen wiederherzustellen und jeden Erpressungsversuch anzuzeigen. Kontaktieren Sie die Angreifer nicht auf eigene Faust.

Wiederherstellung: sauber statt schnell

Neu aufsetzen

Infizierte Systeme gelten als vollständig kompromittiert, in der Regel ist eine Neuinstallation nötig. Wiederhergestellt wird in ein bereinigtes Netz, nicht in die alte Umgebung.

Reihenfolge nach Wichtigkeit

Stellen Sie zuerst die Systeme wieder her, ohne die nichts läuft, etwa Verzeichnisdienst, Netzwerk und Datensicherung, dann die zeitkritischen Fachanwendungen. Wer vorher Wiederanlaufzeiten und Abhängigkeiten festgelegt hat, spart hier viel Zeit.

Alle Zugangsdaten erneuern

Passwörter aller Konten ändern, besonders von Administratoren, Dienstkonten, Fernzugängen und Cloud-Diensten. Zusätzlich die Zwei-Faktor-Authentifizierung prüfen.

Einfallstor schließen

Ohne Kenntnis des Einfallstors droht ein erneuter Angriff. Häufige Wege sind Phishing-Mails, ungepatchte Systeme am Internet und schwach geschützte Fernzugänge. Das IT-Grundschutz-Kompendium behandelt die vollständige Bereinigung im Baustein DER.2.3 Bereinigung weitreichender Sicherheitsvorfälle.

Vorsorge, die im Ernstfall trägt

Das BSI bietet mit dem Maßnahmenkatalog Ransomware und den Top-10-Ransomware-Maßnahmen konkrete Vorsorgelisten. Für den Ernstfall entscheidend sind vor allem Offline- oder unveränderliche Sicherungen, ein getesteter Wiederherstellungsablauf und ein Notfallplan mit Kontakten auf Papier.

Notbetrieb während der Wiederherstellung

Die Wiederherstellung nach einem Ransomware-Angriff dauert oft länger als erwartet. Klären Sie deshalb früh, wie der Betrieb in der Zwischenzeit weiterarbeitet:

• Welche Abläufe lassen sich auf Papier oder mit Ersatzgeräten fortführen, etwa Auftragsannahme, Terminvergabe oder Lieferscheine?
• Welche Daten liegen außerhalb des betroffenen Netzes vor, zum Beispiel in Cloud-Diensten, beim Steuerberater oder in Ausdrucken?
• Welche Kunden und Lieferanten müssen erfahren, dass es zu Verzögerungen kommt?

Ersatzgeräte dürfen nicht in das noch nicht bereinigte Netz eingebunden werden. Arbeiten Sie im Notbetrieb mit neuen Zugangsdaten und getrennt von den befallenen Systemen.

Nach dem Angriff

Ist der Betrieb wieder arbeitsfähig, beginnt die Nacharbeit: den Ablauf dokumentieren, die Abschlussmeldungen abgeben, Versicherungsfragen klären und die Lehren in den Notfallplan übernehmen. Typische Folgemaßnahmen sind Offline-Sicherungen, Zwei-Faktor-Authentifizierung für Fernzugänge und E-Mail, ein konsequentes Patch-Management und eine getrennte Verwaltung von Administratorkonten. Beobachten Sie das Netz in den Wochen danach besonders aufmerksam, denn Angreifer versuchen mitunter, über verbliebene Zugänge zurückzukehren.