IT-Sicherheit
Ransomware-Angriff: Was in den ersten Stunden zu tun ist
Bei einem Ransomware-Angriff zählen die ersten Stunden. Trennen Sie betroffene Systeme vom Netzwerk, aktivieren Sie Ihren Notfallplan, holen Sie Fachleute dazu und prüfen Sie Meldepflichten. Zahlen Sie kein Lösegeld, bevor die Lage geklärt ist.
Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Entschlüsselung Geld verlangt. Oft stehlen Angreifer vorher zusätzlich Daten und drohen mit Veröffentlichung.
Betroffene Systeme isolieren, aber nicht vorschnell ausschalten
Der wichtigste erste Schritt bei Ransomware ist, die Ausbreitung zu stoppen. Trennen Sie betroffene Rechner und Server vom Netzwerk, indem Sie das Netzwerkkabel ziehen, WLAN deaktivieren oder die Verbindung am Switch kappen. Je nach Lage kann es nötig sein, die Internetverbindung des ganzen Standorts oder Verbindungen zu anderen Standorten zu trennen.
Schalten Sie Geräte möglichst nicht einfach aus. Im Arbeitsspeicher laufender Systeme finden sich oft Spuren, die Fachleuten bei der Analyse helfen. Diese Spuren gehen beim Ausschalten verloren. Läuft die Verschlüsselung aber sichtbar weiter und lässt sich das System nicht isolieren, kann das Herunterfahren das kleinere Übel sein. Diese Abwägung trifft im Idealfall eine IT-Forensikerin oder ein IT-Forensiker.
Melden Sie sich nicht mit privilegierten Konten, also Administrator-Zugängen, an möglicherweise kompromittierten Systemen an. Angreifer könnten diese Zugangsdaten abgreifen.
Notfallplan aktivieren und Fachleute einbinden
Ein Notfallplan legt fest, wer im Ernstfall entscheidet, wer informiert wird und welche Systeme Vorrang haben. Wenn es einen solchen Plan gibt, setzen Sie ihn jetzt in Kraft und bilden Sie einen Krisenstab aus Geschäftsleitung, IT und Kommunikation.
Holen Sie früh externe Unterstützung durch einen IT-Dienstleister oder ein spezialisiertes Incident-Response-Team. Haben Sie eine Cyber-Versicherung, informieren Sie diese sofort. Viele Versicherungen stellen eigene Fachleute und haben Vorgaben für das weitere Vorgehen.
Dokumentieren Sie alles mit Uhrzeit: was Sie beobachtet haben, welche Systeme betroffen sind, welche Schritte wer unternommen hat. Nutzen Sie für die Kommunikation im Krisenstab Kanäle, die nicht über die möglicherweise kompromittierte IT laufen, etwa private Mobiltelefone.
Meldepflichten bei Ransomware prüfen und Polizei einschalten
Sind personenbezogene Daten betroffen, kann eine Meldung an die Datenschutz-Aufsichtsbehörde nach der DSGVO nötig sein. Dafür gilt eine Frist von 72 Stunden ab Kenntnis. Fällt Ihr Unternehmen unter NIS-2 oder andere Branchenvorschriften, kommen eigene Meldepflichten an die zuständige Behörde hinzu. Klären Sie das früh mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten und gegebenenfalls mit rechtlicher Beratung.
Erstatten Sie Anzeige bei der Polizei. In Deutschland haben die Landeskriminalämter Zentrale Ansprechstellen Cybercrime für Unternehmen, in Österreich gibt es entsprechende Stellen beim Bundeskriminalamt. Die Ermittler kennen oft die Tätergruppe und deren Vorgehen.
Lösegeld zahlen: warum Sie nicht vorschnell entscheiden sollten
Behörden wie das BSI raten davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder, dass die Entschlüsselung funktioniert, noch dass gestohlene Daten gelöscht werden. Sie finanziert außerdem weitere Angriffe und kann ein Unternehmen als zahlungsbereites Ziel markieren.
Prüfen Sie zuerst, ob sich Daten aus Backups wiederherstellen lassen und ob es für die Schadsoftware bereits frei verfügbare Entschlüsselungswerkzeuge gibt. Treffen Sie eine Entscheidung erst nach Rücksprache mit Fachleuten, Versicherung und rechtlicher Beratung.
Vorbereitung auf Ransomware und wie S.WERK unterstützt
Wie schwer ein Ransomware-Angriff ein Unternehmen trifft, entscheidet sich zum großen Teil vorher. Am wichtigsten sind Backups, die Angreifer nicht verschlüsseln oder löschen können, also offline gelagerte oder unveränderliche Kopien. Testen Sie regelmäßig, ob und wie schnell sich Systeme daraus wiederherstellen lassen.
Ein Notfallplan hilft nur, wenn er im Ernstfall greifbar ist und die Beteiligten ihn kennen. Bewahren Sie ihn auch auf Papier auf und üben Sie den Ablauf mindestens einmal im Jahr.
S.WERK unterstützt bei Backup-Konzepten mit Kopien in eigenen Rechenzentren in München, Nürnberg und Linz, bei der Notfallplanung und im Ernstfall bei der Wiederherstellung. Als nach ISO/IEC 27001 zertifiziertes Systemhaus arbeiten wir dabei nach dokumentierten Abläufen.
Mehr dazu: Backup und Notfallwiederherstellung · IT-Security bei S.WERK
Häufige Fragen
Soll ich bei einem Ransomware-Angriff den Computer ausschalten?
In der Regel nein. Trennen Sie das Gerät vom Netzwerk und lassen Sie es laufen, damit Spuren im Arbeitsspeicher erhalten bleiben. Nur wenn die Verschlüsselung weiterläuft und sich das Gerät nicht isolieren lässt, kann Ausschalten sinnvoll sein.
Muss ich einen Ransomware-Angriff melden?
Sind personenbezogene Daten betroffen, ist oft eine Meldung an die Datenschutz-Aufsicht innerhalb von 72 Stunden nötig. Unternehmen unter NIS-2 haben zusätzliche Meldepflichten. Eine Anzeige bei der Polizei ist in jedem Fall empfehlenswert.
Sollte man bei Ransomware Lösegeld zahlen?
Behörden raten davon ab. Eine Zahlung garantiert weder funktionierende Entschlüsselung noch die Löschung gestohlener Daten. Prüfen Sie zuerst Backups und Alternativen mit Fachleuten.
Wie schütze ich mein Unternehmen vor Ransomware?
Wichtig sind aktuelle Systeme, Mehr-Faktor-Authentifizierung, geschulte Mitarbeitende und vor allem Backups, die offline oder unveränderlich gespeichert sind und regelmäßig getestet werden.
Wie sieht das bei Ihnen aus?
Wie das bei Ihnen aussieht, klären wir am besten im Gespräch. Wir sagen Ihnen, was davon für Ihren Betrieb wichtig ist.