Der erste Tag eines Ransomware-Vorfalls entscheidet darüber, wie viel Sie verlieren, wie lange die Wiederherstellung dauert und ob Sie später erklären können, was passiert ist. Der erste Impuls ist, alles abzuschalten und mit der Wiederherstellung zu beginnen. Gehen Sie gerade so viel langsamer vor, dass Sie den Angriff eindämmen, ohne die Beweise zu vernichten, die Sie noch brauchen werden.
Stunde 0 bis 1: eindämmen, ohne Beweise zu vernichten
Trennen Sie betroffene Systeme vom Netzwerk: Kabel ziehen, WLAN deaktivieren, Switch-Port abschalten oder die Isolationsfunktion Ihres Endpoint-Tools nutzen. Wenn mehrere Systeme oder ganze Subnetze betroffen scheinen, isolieren Sie auf Switch-Ebene statt Rechner für Rechner.
Schalten Sie Rechner nicht aus, es sei denn, Sie können sie nicht vom Netz trennen. Der #StopRansomware Guide der CISA sieht das Abschalten nur als Notlösung für Geräte vor, die sich nicht vom Netz nehmen lassen, denn beim Herunterfahren gehen Beweise im Arbeitsspeicher verloren. Löschen Sie auch noch nichts, setzen Sie keine Systeme neu auf und lassen Sie keine Bereinigungstools laufen.
Lassen Sie die Erpresserbotschaft und die verschlüsselten Dateien, wo sie sind. Fotografieren Sie Bildschirme, auf denen die Botschaft zu sehen ist.
Kommunikation auf einen separaten Kanal verlegen
Gehen Sie davon aus, dass der Angreifer Ihre E-Mails und Chats mitlesen kann. Die CISA empfiehlt Out-of-Band-Kanäle wie Telefonate, um die Reaktion abzustimmen, ohne ihn zu warnen. Richten Sie eine Telefonkonferenz oder eine Messenger-Gruppe auf Geräten ein, die nicht zur betroffenen Umgebung gehörten.
Benennen Sie eine Person, die den Vorfall leitet. Beginnen Sie ein schriftliches Protokoll mit Zeitstempeln für jede Entscheidung und jede Maßnahme. Sie brauchen es für Behörden, Versicherer und Ihre eigene Nachbereitung.
Beweise sichern
Bevor irgendetwas neu aufgebaut wird, sichern Sie, was die Untersuchung brauchen wird:
- ein Festplatten-Image und ein Speicherabbild von einer Auswahl betroffener Rechner, wie es die CISA empfiehlt
- Logs von Firewalls, VPN, Endpoint-Schutz, Domänencontrollern, E-Mail- und Cloud-Diensten
- die Erpresserbotschaft, einige verschlüsselte Dateien und die Dateiendung, die die Malware angehängt hat
Logs auf betroffenen Systemen wurden womöglich verändert oder gelöscht. Der Europäische Datenschutzausschuss (EDSA) warnt, dass ein fehlender Logeintrag nicht beweist, dass keine Daten abgeflossen sind, und empfiehlt, Logs an einen zentralen Server weiterzuleiten. Exportieren Sie, was Sie haben, bevor Aufbewahrungseinstellungen es überschreiben.
Das Ausmaß ermitteln
Die verschlüsselten Dateien zeigen, wo der Angriff endete, nicht wo er begann. Die CISA rät, nach Malware aus früheren Angriffsphasen und nach Anzeichen für Datendiebstahl zu suchen. Versuchen Sie, vier Fragen zu beantworten:
- Welche Systeme und Daten sind verschlüsselt oder betroffen?
- Welche Konten hat der Angreifer genutzt? Achten Sie auf neue Konten, Konten mit neu erweiterten Rechten und ungewöhnliche Aktivitäten von Administratoren.
- Wie ist er eingedrungen? Prüfen Sie etwa Fernzugänge ohne MFA, ungepatchte, aus dem Internet erreichbare Systeme und aktuelle Phishing-Mails.
- Wurden Daten nach außen kopiert? Prüfen Sie Firewall- und Proxy-Logs auf große ausgehende Übertragungen.
Die letzte Frage bestimmt einen großen Teil Ihrer rechtlichen Lage. Behandeln Sie jede Unsicherheit daher als „möglicherweise ja“, bis Sie es ausschließen können.
Zugangsdaten in der richtigen Reihenfolge zurücksetzen
Gehen Sie davon aus, dass jede Zugangsinformation, die auf einem betroffenen System verwendet oder gespeichert wurde, dem Angreifer bekannt ist. Setzen Sie sie von einem sauberen Gerät aus zurück, nie von einem Rechner im betroffenen Netz.
Setzen Sie Passwörter zurück, solange der Angreifer noch Zugang hat, übergeben Sie ihm womöglich einfach die neuen. Die Checkliste der CISA sieht das vollständige Zurücksetzen erst vor, nachdem die Umgebung bereinigt und neu aufgebaut wurde. Für die mächtigsten Konten kann trotzdem schon früher ein Notfall-Reset nötig sein, um den Zugang zu kappen. Stimmen Sie die Reihenfolge mit Ihren Incident-Respondern ab. Eine sinnvolle Abfolge ist:
- Administratoren der Domäne und der Cloud-Identitäten sowie Notfallkonten (Break-Glass-Konten)
- Administratoren für Backup, Hypervisor und Speicher
- Administratoren für Fernzugang, VPN und Firewall
- Dienstkonten, besonders solche mit weitreichenden Rechten
- Im Active Directory das Konto
krbtgt, und zwar zweimal. Der Leitfaden zur Gesamtstrukturwiederherstellung von Microsoft erklärt, warum zwei Resets nötig sind und wie lange Sie dazwischen warten sollten. - Alle übrigen Benutzer, wobei bestehende Sitzungen und Tokens widerrufen werden
Backups prüfen, bevor Sie sich darauf verlassen
Die CISA weist darauf hin, dass viele Ransomware-Varianten nach erreichbaren Backups suchen und sie löschen oder verschlüsseln. Bevor Sie die Wiederherstellung planen, klären Sie, welche Backup-Kopien intakt sind, wann die letzte saubere erstellt wurde und ob Sie daraus wiederherstellen können.
Stellen Sie zuerst in einer isolierten Umgebung wieder her. Die CISA warnt, dass Dropper-Malware und ähnliche Werkzeuge aus früheren Angriffsphasen gefunden werden müssen, bevor Sie aus Backups neu aufbauen. Sonst stellen Sie das Problem womöglich zusammen mit den Daten wieder her.
Rechtliche und regulatorische Fristen
Mehrere Fristen können in dem Moment beginnen, in dem Sie von dem Vorfall erfahren. Sie laufen parallel.
| Regelung | Gilt, wenn | Frist | Meldung an |
|---|---|---|---|
| Art. 33 DSGVO | Personenbezogene Daten betroffen sind, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Personen | Unverzüglich und möglichst binnen 72 Stunden | Datenschutzaufsichtsbehörde |
| Art. 23 NIS2 | Sie eine wesentliche oder wichtige Einrichtung sind und der Vorfall erheblich ist | Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats | Nationales CSIRT oder zuständige Behörde |
| KVKK (Türkei) | Nach türkischem Recht verarbeitete personenbezogene Daten betroffen sind | Unverzüglich, spätestens binnen 72 Stunden | Türkische Datenschutzbehörde (Personal Data Protection Board) |
Ransomware ist meist eine Verletzung der Verfügbarkeit, oft auch der Vertraulichkeit. In den Fallbeispielen des EDSA muss ein Angriff mit gutem Backup und ohne Datenabfluss unter Umständen nicht gemeldet, aber nach Art. 33 Abs. 5 DSGVO trotzdem intern dokumentiert werden. Ein Angriff ohne nutzbares Backup oder mit gestohlenen Daten ist in der Regel meldepflichtig. Besteht ein hohes Risiko für die Betroffenen, etwa durch gestohlene Ausweisdokumente, müssen auch sie informiert werden.
Sie brauchen keine vollständigen Antworten, um diese Fristen einzuhalten. Die Meldungen nach NIS2 sind bewusst gestuft, und nach Art. 33 Abs. 4 DSGVO können Informationen schrittweise ohne unangemessene weitere Verzögerung nachgereicht werden. Prüfen Sie außerdem Ihre Cyberversicherung, die eigene Meldepflichten vorsehen kann, und erstatten Sie Anzeige bei der Polizei.
Zahlen oder nicht zahlen
Das britische NCSC und die britischen Strafverfolgungsbehörden raten von einer Zahlung ab und billigen sie nicht. Eine Zahlung garantiert nicht, dass Sie Ihre Daten zurückbekommen. Ihre Systeme bleiben infiziert, und Sie können erneut zum Ziel werden. Das Projekt No More Ransom, unterstützt von Europol und der niederländischen Polizei, veröffentlicht kostenlose Entschlüsselungstools für einige Ransomware-Familien – prüfen Sie dort zuerst.
Eine Zahlung kann auch rechtswidrig sein. Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums hat gewarnt, dass Lösegeldzahlungen an sanktionierte Personen gegen US-Sanktionsvorschriften verstoßen können. Zivilrechtliche Strafen können dabei verschuldensunabhängig verhängt werden. Die EU-Verordnung 2019/796 über Cyberangriffe verbietet es, den dort gelisteten Personen Gelder zur Verfügung zu stellen. Jede Entscheidung über eine Zahlung gehört in die Hände von Geschäftsleitung, Rechtsberatung und Strafverfolgungsbehörden, nicht des IT-Teams mitten in der Nacht.
Was Sie nicht tun sollten
- Schalten Sie keine Rechner aus, es sei denn, Sie können sie nicht isolieren.
- Verbinden Sie keine Systeme wieder und stellen Sie keine wieder her, bevor Sie wissen, wie der Angreifer eingedrungen ist.
- Verhandeln Sie nicht mit dem Angreifer und antworten Sie ihm nicht ohne fachlichen und rechtlichen Rat.
- Besprechen Sie den Vorfall nicht über Firmen-E-Mail oder -Chat, die möglicherweise überwacht werden.
- Löschen Sie nichts, auch nicht die Erpresserbotschaft.
Wo Sie anfangen – bevor es passiert
- Drucken Sie Ihren Notfallplan und Ihre Kontaktliste aus und bewahren Sie Kopien außerhalb des Netzwerks auf.
- Legen Sie im Voraus fest, wer anordnen darf, Systeme vom Netz zu nehmen.
- Halten Sie mindestens eine Backup-Kopie vor, die sich mit Administrator-Zugangsdaten nicht löschen lässt, und testen Sie Wiederherstellungen.
- Notieren Sie schon jetzt Ihre Meldekontakte für DSGVO, NIS2 und KVKK.
- Sichern Sie sich Unterstützung für Incident Response, bevor Sie sie brauchen.
Wenn Sie gerade mit einem Vorfall zu tun haben, hilft Ihnen unser Incident-Response-Team, ihn einzudämmen und diese Schritte abzuarbeiten.
