Ransomware im Betrieb – die ersten Schritte

Schritt 1: Ausbreitung stoppen

Ransomware verbreitet sich im Netzwerk weiter, solange sie Verbindung hat. Trennen Sie deshalb betroffene Geräte physisch vom Netz: Netzwerkkabel ziehen, WLAN abschalten. Bei mehreren betroffenen Systemen kann es sinnvoll sein, gleich ganze Netzsegmente oder die Internetverbindung zu kappen.

Lassen Sie die Geräte dabei eingeschaltet. Beim Herunterfahren gehen Daten im Arbeitsspeicher verloren, die für die spätere Analyse wichtig sind – in seltenen Fällen finden sich dort sogar Schlüsselreste, die eine Wiederherstellung ermöglichen. Die Entscheidung über das Abschalten trifft idealerweise die Person, die später forensisch untersucht.

Schritt 2: Backups retten

Das ist der Punkt, an dem die meisten Unternehmen den entscheidenden Schaden erleiden. Moderne Ransomware sucht gezielt nach erreichbaren Sicherungen und verschlüsselt sie mit. Trennen Sie deshalb sofort alle Backup-Systeme vom Netz: externe Festplatten abziehen, NAS-Systeme trennen, Zugänge zu Cloud-Backups sperren.

Prüfen Sie erst danach – und ausschließlich auf einem sauberen, isolierten System –, ob die Sicherungen intakt sind. Schließen Sie ein Backup-Medium niemals an einen möglicherweise infizierten Rechner an.

Schritt 3: Hilfe holen

Ein Verschlüsselungsangriff ist kein Fall für Eigenversuche. Informieren Sie parallel:

• Ihren IT-Dienstleister oder einen spezialisierten Incident-Response-Dienstleister.
• Die Geschäftsführung – das ist ab jetzt eine Leitungsentscheidung, keine IT-Angelegenheit.
• Die Polizei. Jedes Bundesland hat eine Zentrale Ansprechstelle Cybercrime (ZAC) für Unternehmen; in Bayern erreichen Sie diese über das Landeskriminalamt. Die Anzeige ist meist auch Voraussetzung für Versicherungsleistungen.
• Ihre Cyber-Versicherung, sofern vorhanden. Viele Policen verlangen eine unverzügliche Meldung und stellen eigene Krisenteams.
• Ihren Datenschutzbeauftragten, wegen der 72-Stunden-Frist.

Schritt 4: Meldepflichten klären

Sind personenbezogene Daten betroffen, greift Art. 33 DSGVO: Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden ab Kenntnis. Da heutige Angriffe fast immer mit einem Datenabfluss einhergehen – die Täter kopieren Daten, bevor sie verschlüsseln, um zusätzlich mit einer Veröffentlichung zu drohen –, sollten Sie von Betroffenheit ausgehen, solange das Gegenteil nicht belegt ist. Kommt ein hohes Risiko für die Betroffenen hinzu, kann nach Art. 34 DSGVO auch deren Benachrichtigung erforderlich werden.

Je nach Sektor und Unternehmensgröße können weitere Meldepflichten bestehen, etwa aus der NIS-2-Umsetzung. Klären Sie das nicht im Nachhinein, sondern jetzt.

Schritt 5: Dokumentieren

Führen Sie ab der ersten Minute ein Protokoll: Wann wurde was bemerkt, wer wurde informiert, welche Maßnahme wurde wann ergriffen. Fotografieren Sie den Bildschirm mit der Lösegeldforderung, sichern Sie die Erpressernachricht und notieren Sie betroffene Systeme. Diese Dokumentation brauchen Sie für die Behörde, die Versicherung, die Strafverfolgung – und für den Nachweis, dass die Geschäftsführung sorgfältig reagiert hat.

Zur Lösegeldfrage

BSI und Strafverfolgungsbehörden raten von Zahlungen ab, und dafür gibt es gute Gründe: Eine Zahlung garantiert weder eine funktionierende Entschlüsselung noch die Löschung bereits gestohlener Daten. Sie finanziert weitere Angriffe und markiert Ihr Unternehmen als zahlungsbereit, was Folgeangriffe wahrscheinlicher macht. Hinzu kommt, dass Zahlungen an sanktionierte Gruppierungen rechtliche Probleme nach sich ziehen können.

Gleichzeitig wäre es unehrlich, die Frage als einfach darzustellen: Unternehmen, deren Backups mitverschlüsselt wurden, stehen vor einer existenziellen Lage. Genau deshalb gehört diese Entscheidung niemals allein in die IT und niemals ohne anwaltliche Begleitung getroffen. Und genau deshalb ist eine getrennt aufbewahrte, regelmäßig getestete Sicherung die wichtigste Vorsorgemaßnahme überhaupt.

Was Sie beim Wiederanlauf beachten sollten

Der häufigste Fehler nach einem Angriff ist ein zu schneller Neustart. Wenn Sie Systeme wiederherstellen, ohne den Einstiegsweg geschlossen zu haben, sind Sie in wenigen Tagen erneut betroffen – das kommt regelmäßig vor. Vor dem Wiederanlauf sollten deshalb geklärt sein: Wie sind die Angreifer hereingekommen? Welche Konten wurden übernommen? Sind noch Zugänge offen, etwa über verbliebene Fernwartungszugänge oder Benutzerkonten, die die Täter angelegt haben?

Setzen Sie beim Wiederanlauf alle Passwörter neu, auch die von Dienst- und Administratorkonten, und aktivieren Sie Zwei-Faktor-Authentifizierung überall dort, wo es möglich ist.

Wie Angreifer typischerweise hineinkommen

Der Einstieg erfolgt meist unspektakulär: über einen geöffneten Mailanhang, über ungepatchte Systeme mit Internetzugang – oder über gültige Zugangsdaten, die aus einem Datenleck stammen. Der letzte Weg ist besonders tückisch, weil er für die Systeme wie eine normale Anmeldung aussieht und keinerlei Alarm auslöst. Ein Passwort, das ein Mitarbeiter vor Jahren bei einem später gehackten Onlinedienst verwendet hat und das heute noch für den Fernzugang gilt, reicht aus.

Wie Sie prüfen, ob ein Konto bereits übernommen wurde, steht im Ratgeber E-Mail-Konto gehackt? Diese 9 Anzeichen verraten es. Was bei einem Phishing-Klick zu tun ist, erklärt der Ratgeber Auf einen Phishing-Link geklickt.

Häufige Fragen

Dieser Beitrag gibt allgemeine Hinweise für den Notfall und ersetzt keine forensische oder rechtliche Beratung. Ziehen Sie bei einem akuten Vorfall spezialisierte Fachleute, die Polizei und Ihren Datenschutzbeauftragten hinzu.