Plötzlich lassen sich Dateien nicht mehr öffnen, ungewöhnliche Dateiendungen erscheinen oder auf einem Bildschirm wird eine Erpressungsnachricht angezeigt. In dieser Situation ist überlegtes, schnelles Handeln wichtiger als hektische Einzelmaßnahmen.
Dieser Leitfaden dient der organisatorischen Vorbereitung. Bei einem laufenden Vorfall sollte unverzüglich ein qualifizierter IT-Sicherheitsdienstleister eingebunden werden.
Minute 0 bis 10: Betroffene Systeme isolieren
Trennen Sie auffällige Geräte sofort vom Netzwerk. Ziehen Sie das Netzwerkkabel oder deaktivieren Sie WLAN und mobile Netzwerkverbindungen. Das Gerät sollte nicht unkontrolliert neu gestartet oder weiterverwendet werden, weil dadurch wichtige Spuren verloren gehen können.
- Betroffene Arbeitsplätze vom Netzwerk trennen
- Keine externen Datenträger anschließen
- Keine Dateien weiterleiten oder auf andere Systeme kopieren
- Zeitpunkt und sichtbare Meldungen dokumentieren
Wenn mehrere Systeme gleichzeitig betroffen sind, muss geprüft werden, ob zentrale Netzwerkverbindungen, Freigaben oder VPN-Zugänge vorübergehend getrennt werden müssen. Diese Entscheidung sollte koordiniert erfolgen, damit nicht versehentlich wichtige Systeme oder Beweismittel verändert werden.
Minute 10 bis 20: Notfallkontakte aktivieren
Informieren Sie die festgelegten internen Verantwortlichen und den betreuenden IT-Dienstleister. Nutzen Sie im Zweifel einen Kommunikationsweg, der nicht von der möglicherweise betroffenen IT abhängt, beispielsweise Telefon oder vorbereitete Mobilnummern.
Benennen Sie eine Person, die Maßnahmen koordiniert und dokumentiert. Einzelne Mitarbeiter sollten nicht eigenständig Programme deinstallieren, Systeme zurücksetzen oder vermeintliche Bereinigungswerkzeuge aus dem Internet laden.
Minute 20 bis 30: Ausbreitung und Umfang einschätzen
Jetzt muss geklärt werden, welche Benutzer, Geräte, Freigaben, Server oder Cloud-Konten betroffen sein könnten. Hilfreiche Fragen sind:
- Auf welchem Gerät wurde das Problem zuerst bemerkt?
- Welche Netzlaufwerke oder Cloud-Speicher waren verbunden?
- Wurden verdächtige E-Mails, Anhänge oder Anmeldungen beobachtet?
- Gibt es weitere Geräte mit ähnlichen Symptomen?
- Sind Administrator- oder Dienstkonten möglicherweise betroffen?
Eine vorschnelle Entwarnung ist gefährlich. Nicht jedes kompromittierte System zeigt sofort sichtbare Symptome.
Minute 30 bis 40: Zugangsdaten und Konten absichern
Wenn ein Diebstahl von Zugangsdaten möglich ist, müssen besonders kritische Konten kontrolliert werden. Dazu gehören globale Administratoren, Backup-Konten, VPN-Zugänge, E-Mail-Konten und Konten für Fernwartung.
Kennwortänderungen sollten von einem nachweislich sauberen Gerät erfolgen. Prüfen Sie aktive Sitzungen, Weiterleitungsregeln, neu angelegte Konten und ungewöhnliche Anmeldungen. Bei Microsoft 365 können Sitzungen widerrufen und Konten vorübergehend gesperrt werden.
Minute 40 bis 50: Backup-Umgebung schützen
Backups sind häufig das wichtigste Mittel für den Wiederanlauf. Deshalb muss verhindert werden, dass der Vorfall auf Sicherungssysteme übergreift. Trennen oder schützen Sie Backup-Ziele nach dem vorgesehenen Notfallverfahren. Löschen oder überschreiben Sie keine Sicherungsstände, bevor ihr Zustand geprüft wurde.
Ein Backup ist erst dann belastbar, wenn festgestellt wurde, dass es zeitlich vor dem Vorfall liegt, vollständig ist und sich in einer isolierten Umgebung wiederherstellen lässt.
Minute 50 bis 60: Wiederanlauf und weitere Schritte planen
Nach der ersten Eindämmung beginnt die strukturierte Analyse. Legen Sie fest, welche Systeme für den Geschäftsbetrieb am wichtigsten sind und in welcher Reihenfolge sie wiederhergestellt werden müssen. Häufig stehen Identitätsdienste, Netzwerk, zentrale Anwendungen, Dateidienste und Kommunikation weit oben auf der Prioritätenliste.
Bevor Systeme wieder produktiv gehen, müssen Ursache, betroffene Konten und mögliche Persistenzmechanismen untersucht werden. Ein einfaches Zurückspielen von Daten auf ungeprüfte Systeme kann zu einem erneuten Vorfall führen.
Was Sie nicht tun sollten
- Keine Lösegeldzahlung oder Kontaktaufnahme ohne abgestimmte Beratung
- Keine betroffenen Geräte formatieren, bevor notwendige Beweise gesichert sind
- Keine Backups unkontrolliert mit möglicherweise kompromittierten Systemen verbinden
- Keine öffentliche Kommunikation ohne festgelegte Verantwortlichkeit
- Keine Zugangsdaten über möglicherweise betroffene Geräte ändern
Kommunikation und Meldepflichten
Abhängig vom Vorfall können Kunden, Geschäftspartner, Versicherer, Datenschutzverantwortliche oder Behörden einzubeziehen sein. Ob eine konkrete Meldepflicht besteht, muss anhand der betroffenen Daten und der rechtlichen Situation geprüft werden. Dokumentieren Sie Entscheidungen, Zeitpunkte und bekannte Auswirkungen nachvollziehbar.
Vorbereitung ist der entscheidende Unterschied
Unternehmen, die Ansprechpartner, Offline-Kontaktdaten, Systemprioritäten, Backup-Verfahren und Kommunikationswege vorab festgelegt haben, können wesentlich strukturierter reagieren. Regelmäßige Wiederherstellungstests und eine gepflegte IT-Dokumentation reduzieren die Dauer eines Ausfalls.
Fazit
Bei Ransomware zählt zuerst die Eindämmung: Systeme isolieren, Verantwortliche aktivieren, Konten und Backups schützen und jeden Schritt dokumentieren. Erst danach folgt der kontrollierte Wiederanlauf. Nexus Systems Kleer unterstützt Unternehmen im Ruhrgebiet bei Notfallplanung, Absicherung, Backup-Konzepten und der technischen Betreuung.