Ransomware-Angriff: Beweise sichern vor dem Neuaufsetzen

Warum Spuren so wichtig sind

Nach einem Angriff stellen sich Fragen, die nur die Spuren beantworten: Wie sind die Angreifer hereingekommen? Seit wann waren sie im Netz? Wurden Daten nur verschlüsselt oder auch abgezogen? War die Datensicherung wirksam? Die Antworten brauchen Sie für Ihre Cyber-Versicherung, für eine mögliche Meldung an die Datenschutzaufsicht und vor allem, um das Einfallstor zu schließen. Wer neu aufsetzt, ohne die Ursache zu kennen, lädt die Angreifer oft ein zweites Mal ein.

Sofortmaßnahmen – in dieser Reihenfolge

Vom Netz trennen, nicht ausschalten: Netzwerkkabel ziehen bzw. WLAN trennen. Laufende Systeme enthalten Spuren im Arbeitsspeicher, die beim Ausschalten verloren gehen.
Sicherungen schützen: Backup-Laufwerke und -Server sofort vom Netz trennen, damit sie nicht ebenfalls verschlüsselt werden.
Nicht zahlen und nicht verhandeln, ohne sich vorher beraten zu lassen.
Dokumentieren: Lösegeldforderung fotografieren, Zeitpunkt der Entdeckung notieren, betroffene Geräte auflisten.
Fachleute einbeziehen: Ihren IT-Dienstleister, Ihre Versicherung und bei personenbezogenen Daten Ihren Datenschutzbeauftragten.

Welche Spuren gesichert werden sollten

Abbilder der betroffenen Datenträger (bitgenau, mit Prüfsumme dokumentiert)
Ereignisprotokolle von Servern, Domänencontrollern und Arbeitsplätzen
Protokolle von Firewall, VPN, Fernwartung und E-Mail-System
Anmeldeprotokolle von Microsoft 365 oder anderen Cloud-Diensten
Beispiele verschlüsselter Dateien und die Erpresser-Nachricht
Der Zustand der Datensicherung: Was war gesichert, wann zuletzt, ist sie unversehrt?

Mit Prüfsummen lässt sich später belegen, dass gesicherte Daten nicht verändert wurden. Diese Sorgfalt macht den Unterschied zwischen einer Vermutung und einer nachvollziehbaren Feststellung.

Wann ein Gutachten sinnvoll ist

Ein Gutachten zu Datenverlust und Sicherheitsvorfall rekonstruiert den Ablauf, benennt betroffene Systeme und Daten und bewertet die Wirksamkeit von Datensicherung, Updates und Zugangsschutz. Es dient Ihnen als Grundlage gegenüber der Versicherung, für die Abstimmung mit Ihrem Rechtsbeistand und für die Entscheidung, was technisch nachgebessert werden muss. Ob eine Meldung an Behörden nötig ist, klärt Ihr Rechtsbeistand bzw. Ihr Datenschutzbeauftragter – das Gutachten liefert die technischen Fakten.

Vorbeugen: was danach kommt

Die wirksamste Vorsorge ist eine Datensicherung, die Angreifer nicht erreichen können – getrennt vom Netz oder unveränderlich gespeichert –, ergänzt um zeitnahe Updates, Mehr-Faktor-Anmeldung und eine Überwachung, die Auffälligkeiten früh meldet. Mehr dazu: Backup & Datensicherheit und IT-Support & Monitoring.

Häufige Fragen

Können verschlüsselte Daten wiederhergestellt werden?

Am sichersten aus einer unversehrten Datensicherung. Für manche Schadsoftware gibt es Entschlüsselungswerkzeuge, verlassen kann man sich darauf nicht. Ob eine Wiederherstellung möglich ist, prüfen wir im Einzelfall.

Wie schnell müssen die Spuren gesichert werden?

So früh wie möglich. Protokolle werden überschrieben, und jeder Neustart verändert den Zustand. Wenn Sie den Betrieb dringend wiederherstellen müssen, sichern wir zuerst die wichtigsten Spuren und bauen dann neu auf.

Wer erstellt bei Erdea das Gutachten?

Giuseppe Marrali, Fachinformatiker für Systemintegration und IT-Sachverständiger, nicht öffentlich bestellt und vereidigt. Mehr unter IT-Sachverständiger.

Angriff oder Datenverlust?

Melden Sie sich – wir helfen beim Sichern der Spuren und klären, was passiert ist.

Vorfall melden ›

Ransomware-Angriff: Beweise sichern, bevor Sie neu aufsetzen