IT-Sicherheit · Akutreaktion
Bei Ransomware-Verdacht zählt kontrollierte Geschwindigkeit: betroffene Systeme vom Netz trennen, weitere Ausbreitung begrenzen, sichere Kommunikation herstellen und den beobachteten Zustand festhalten. Hektisches Neustarten, Bereinigen oder Zurückspielen kann Spuren vernichten und eine zweite Verschlüsselung vorbereiten.
Verschlüsselte Dateien, umbenannte Dokumente oder eine Erpressernachricht sind deutliche Warnzeichen. Häufig beginnt der eigentliche Angriff jedoch früher: ungewöhnliche Administratorkonten, deaktivierter Virenschutz, verdächtige Fernzugriffe, massenhafte Dateiänderungen oder nicht mehr erreichbare Sicherungen können auf eine laufende Kompromittierung hinweisen.
Dieser Leitfaden beschreibt die erste Stunde für kleine Unternehmen ohne eigenes Incident-Response-Team. Er ersetzt keine fallbezogene Untersuchung, schafft aber eine klare Reihenfolge für Eindämmung, Kommunikation, Beweissicherung, Identitätsschutz, Backupschutz und Übergabe an qualifizierte Unterstützung.
Direkt zu: Warnzeichen · 0–5 Minuten · 5–15 Minuten · 15–30 Minuten · 30–60 Minuten · Beweise · Übergabe
1. Die erste Stunde verfolgt vier Ziele in fester Reihenfolge
Ausbreitung stoppen, Entscheidungsfähigkeit erhalten, verwertbare Spuren sichern und die Wiederherstellung vor voreiligen Eingriffen schützen.
| Ziel | Erste Handlung | Zu vermeiden |
|---|---|---|
| Eindämmen | Betroffene Geräte und bei breiter Lage betroffene Netzsegmente kontrolliert trennen. | Weiterarbeiten, nur Fenster schließen oder auf einzelne verschlüsselte Dateien fokussieren |
| Koordinieren | Geschäftsleitung, technische Bearbeitung und interne Koordination über sicheren Kanal zusammenbringen. | Unabgestimmte Einzelaktionen und Kommunikation über möglicherweise kompromittierte Konten |
| Beweise erhalten | Zeitpunkte, Warnungen, Geräte, Konten und sichtbare Veränderungen dokumentieren. | Logs löschen, Schadsoftware entfernen, Systeme zurücksetzen oder wahllos neu starten |
| Wiederherstellung schützen | Backupverwaltung und Sicherungsziele vor weiterer Verbindung oder Überschreibung schützen. | Backup sofort an ein ungeklärtes Produktionsnetz anbinden |
Diese Ziele können miteinander in Spannung stehen. Das Ausschalten eines Geräts kann eine laufende Verschlüsselung stoppen, vernichtet aber flüchtige Arbeitsspeicherdaten. CISA empfiehlt deshalb, betroffene Systeme zuerst vom Netzwerk zu isolieren und nur dann auszuschalten, wenn eine Trennung anders nicht möglich ist. Die konkrete Entscheidung hängt vom beobachteten Zustand, der Ausbreitung und verfügbaren Fachkenntnis ab.
Ein verschlüsselter Arbeitsplatz kann nur das sichtbare Ende des Angriffs sein
Ransomware-Akteure verschaffen sich häufig vorher Zugang, sammeln Rechte, untersuchen das Netz, greifen Sicherungen an und kopieren Daten. Die sichtbare Verschlüsselung beweist deshalb nicht, dass nur dieses Gerät betroffen ist. Auch ein scheinbar noch funktionierender Server oder ein nicht verschlüsseltes Administratorkonto kann kompromittiert sein. Wiederanlauf und Kennwortwechsel werden erst auf einer belastbaren Lageeinschätzung aufgebaut.
2. Verdacht und bestätigte Verschlüsselung werden getrennt erfasst
Die erste Meldung beschreibt Beobachtungen, ohne vorschnell eine Ursache zu behaupten. Trotzdem rechtfertigen bestimmte Signale sofortige Eindämmung.
| Beobachtung | Bedeutung | Erste Reaktion |
|---|---|---|
| Erpressernachricht oder neue Dateiendung | Starker Hinweis auf erfolgte Verschlüsselung | Gerät und erreichbare Freigaben sofort isolieren; weitere Systeme prüfen. |
| Viele Dateien werden gleichzeitig umbenannt oder unlesbar | Laufender Verschlüsselungsprozess möglich | Netzwerkzugang unterbrechen und technische Hilfe aktivieren. |
| Netzlaufwerke oder mehrere PCs betroffen | Ausbreitung über Konten, Server oder zentrale Verwaltung möglich | Betroffene Segmente koordiniert trennen; privilegierte Konten nicht weiterverwenden. |
| Virenschutz, EDR oder Backupdienst deaktiviert | Vorbereitende Angreiferaktivität oder Manipulation möglich | Als Sicherheitsvorfall behandeln und Änderungen nicht rückgängig klicken. |
| Unbekanntes Administratorkonto oder ungewöhnliche Anmeldung | Identitätskompromittierung möglich | Über sauberes Administrationssystem prüfen und Zugang kontrolliert eindämmen. |
| Nur eine Datei lässt sich nicht öffnen | Kann auch Beschädigung, Synchronisation oder Berechtigung sein | Keine Panik, aber Zeitpunkt, Dateiendung, weitere Dateien und Geräte prüfen. |
| Backupkonsole meldet Löschung oder fehlende Repositories | Angriff auf Wiederherstellungsfähigkeit möglich | Backupnetz und Verwaltung schützen; keine neuen Jobs unkontrolliert starten. |
| Erhöhte Serverlast und ungewöhnliche Dateizugriffe | Verschlüsselung oder Datenkopie möglich | Quelle, Benutzer und betroffene Freigabe schnell eingrenzen. |
Die erste Meldung enthält nur belastbare Beobachtungen
- Wer hat das Problem wann und auf welchem Gerät bemerkt?
- Welche konkrete Meldung, Dateiendung oder Veränderung ist sichtbar?
- Welche Anwendung, Freigabe oder Datei war unmittelbar davor in Benutzung?
- Wurde ein Link geöffnet, ein Anhang gestartet, ein Kennwort eingegeben oder Fernzugriff erlaubt?
- Sind weitere Geräte, Netzlaufwerke, Cloudspeicher oder Sicherungen betroffen?
- Welche Eindämmungsmaßnahme wurde bereits zu welchem Zeitpunkt ausgeführt?
3. Minute 0 bis 5: Verbindung trennen und Beobachtung festhalten
Die erste Person am betroffenen Arbeitsplatz stoppt die mögliche Netzwerkverbreitung, ohne eigenständig zu bereinigen oder Zugangsdaten auf dem verdächtigen Gerät zu ändern.
Schritt für Schritt: Das auffällige Gerät sofort behandeln
- Arbeit am Gerät sofort unterbrechen.
- Keine Erpressernachricht beantworten und keinen angegebenen Link, Chat oder QR-Code öffnen.
- Keine Datei umbenennen, kopieren oder testweise erneut öffnen.
- Ethernetkabel am Gerät abziehen.
- WLAN am Gerät deaktivieren, sofern dies ohne weitere Anmeldung oder Navigation möglich ist.
- Mobilfunk, Bluetooth-Tethering und aktive VPN-Verbindung trennen, soweit relevant.
- Angeschlossene externe Datenträger und Backupmedien nicht weiter beschreiben.
- USB-Medium nicht hektisch entfernen, wenn gerade erkennbar ein Schreibvorgang läuft; technische Anweisung einholen.
- Gerät zunächst eingeschaltet lassen, wenn die Netzwerkisolation sicher gelungen ist.
- Gerät nur ausschalten, wenn es nicht anders isoliert werden kann oder eine qualifizierte Incident-Anweisung dies verlangt.
- Bildschirm mit einem separaten, vertrauenswürdigen Gerät fotografieren.
- Erpressertext, Dateiendung, Uhrzeit und sichtbaren Gerätenamen erfassen.
- Keine Screenshots über das möglicherweise kompromittierte Konto oder Firmennetz versenden.
- Interne Notfallstelle oder bekannte technische Ansprechperson telefonisch informieren.
- Genaue eigene Handlung nennen: gesehen, geklickt, eingegeben, Datei geöffnet oder nur Fehler bemerkt.
- Am Gerät keine Administratoranmeldung, Kennwortänderung oder Virensuche starten.
- Auf weitere Anweisung warten und niemandem erlauben, das Gerät wieder mit dem Netz zu verbinden.
Netzwerktrennung ist nicht dasselbe wie Ausschalten
Durch das Ziehen des Netzwerkkabels und Abschalten drahtloser Verbindungen wird der weitere Zugriff auf Freigaben und andere Systeme begrenzt, während flüchtige Spuren zunächst erhalten bleiben. Ein hartes Ausschalten kann laufende Prozesse stoppen, vernichtet aber Arbeitsspeicherinhalte und kann verschlüsselte Datenträger oder Anwendungen in einen zusätzlichen Fehlerzustand bringen. Diese Abwägung gehört nach Möglichkeit in fachkundige Hände.
4. Minute 5 bis 15: Koordination und sichere Kommunikation herstellen
Eine kleine Entscheidungsgruppe verhindert widersprüchliche Maßnahmen und hält Geschäftsleitung, Technik und betroffene Arbeitsbereiche auf demselben Stand.
| Rolle | Erste Aufgabe | Entscheidungsgrenze |
|---|---|---|
| Einsatzkoordination | Zeitlinie, Aufgaben, Status und nächste Entscheidung führen | Änderungen nur abgestimmt auslösen |
| Technische Leitung | Eindämmung, Umfang, Spuren und sichere Administrationswege bewerten | Keine Wiederherstellung vor Lagebild |
| Geschäftsleitung | Betriebsprioritäten, Ausfalltoleranz und externe Unterstützung freigeben | Risiko- und Geschäftsentscheidungen treffen |
| Interne Kommunikation | Beschäftigte mit klarer, sicherer Handlungsanweisung informieren | Keine unbestätigten Ursachen oder Schuldzuweisungen verbreiten |
| Dokumentation | Zeitstempel, Beobachtungen, Entscheidungen und Maßnahmen erfassen | Originaldaten unverändert erhalten |
| Datenschutz und Recht | Mögliche Datenbetroffenheit und spätere Pflichten fachlich prüfen | Keine voreilige Außenmeldung ohne Sachstand |
Schritt für Schritt: Die Reaktion organisatorisch starten
- Geschäftsleitung und benannte technische Notfallstelle über einen bekannten Kanal informieren.
- Eine Person als Einsatzkoordination und eine zweite als Dokumentation festlegen.
- Telefon, privater Krisenchat oder anderer vorbereiteter Kanal außerhalb möglicherweise kompromittierter Konten verwenden.
- Keine sensiblen technischen Details in einen spontan gewählten öffentlichen Messenger kopieren.
- Zeitpunkt der ersten Beobachtung und aller bisherigen Maßnahmen erfassen.
- Betroffene Personen anweisen, Geräte nicht wieder zu verbinden oder selbst zu reparieren.
- Beschäftigte auffordern, ungewöhnliche Meldungen telefonisch zu melden und verdächtige Geräte unberührt zu lassen.
- Keine Rundmail aus möglicherweise kompromittiertem Microsoft-365-Konto versenden.
- Qualifizierte Incident-Response-Unterstützung über verifizierte Kontaktdaten aktivieren.
- Cyberversicherung nach vorgesehenem Meldeweg informieren, bevor kostenrelevante Maßnahmen beauftragt werden, soweit eine Police besteht.
- Datenschutzverantwortung beziehungsweise fachkundige Beratung frühzeitig einbeziehen.
- Entscheidungen, Verantwortliche und nächsten Statuszeitpunkt schriftlich festhalten.
Angreifer können E-Mail, Teams oder andere interne Kommunikationswege beobachten. Eine auffällige plötzliche Gegenreaktion kann weitere Verschlüsselung oder Löschung auslösen. Die Isolation mehrerer Systeme wird deshalb möglichst koordiniert durchgeführt. Bei sichtbar laufender Verschlüsselung hat schnelle Eindämmung Vorrang vor perfekter Heimlichkeit.
5. Minute 15 bis 30: Reichweite und kritische Abhängigkeiten bestimmen
Das Lagebild trennt bestätigt betroffene, verdächtige, derzeit unauffällige und noch ungeprüfte Systeme. „Nicht verschlüsselt“ bedeutet dabei noch nicht „sauber“.
| Systemgruppe | Schnelle Prüffrage | Schutzmaßnahme |
|---|---|---|
| Arbeitsplätze | Welche Geräte zeigen Verschlüsselung, Alarm oder ungewöhnliche Prozesse? | Betroffene Geräte isolieren; unauffällige Geräte nicht für Adminarbeit verwenden. |
| Dateiserver und NAS | Welche Freigaben ändern Dateien massenhaft und durch welches Konto? | Betroffene Freigabe oder Segment kontrolliert trennen; Zugriffsprotokolle erhalten. |
| Identität | Gibt es neue Admins, ungewöhnliche Anmeldungen oder veränderte MFA-Methoden? | Über sauberes System privilegierte Zugänge eingrenzen und Beweise sichern. |
| Microsoft 365 und Cloud | Sind E-Mail-Regeln, App-Berechtigungen, Freigaben oder Sitzungen auffällig? | Verdächtige Sitzungen und Zugänge kontrolliert widerrufen. |
| Backup | Sind Repositories erreichbar, unverändert und administrativ geschützt? | Vor weiterer Verbindung schützen; keine ungeprüfte Wiederherstellung starten. |
| Virtualisierung | Sind Hypervisor, Verwaltung und zentrale Speicher betroffen? | Privilegierte Verwaltung isolieren und keine Massenneustarts auslösen. |
| Netzwerk und Firewall | Gibt es ungewöhnliche VPN-, RDP- oder Fernwartungsverbindungen? | Angriffsweg begrenzen, aber Protokolle und notwendige Incident-Zugänge erhalten. |
| Fachanwendungen | Welche Geschäftsprozesse und Datenbanken hängen von betroffenen Systemen ab? | Priorität für sichere Ersatz- und Wiederanlaufplanung festlegen. |
Schritt für Schritt: Eine erste Systemliste anlegen
- Aktuelles Geräte-, Server-, Netzwerk- und Cloudinventar öffnen.
- Bestätigt betroffene Geräte mit Beobachtung und Isolationszeit markieren.
- Systeme mit Sicherheitsalarm oder Kontakt zum betroffenen Konto als verdächtig markieren.
- Unauffällige Systeme nur dann so kennzeichnen, wenn ein tatsächlicher Prüfhinweis vorliegt.
- Nicht erreichbare oder ausgeschaltete Geräte als ungeprüft führen.
- Konten erfassen, die auf betroffenen Geräten angemeldet waren oder Freigaben nutzten.
- Administrationskonten, Dienstkonten und Fernwartungszugänge gesondert aufnehmen.
- Betroffene Dateifreigaben, Cloudbibliotheken und Synchronisationsordner auflisten.
- Kritische Geschäftsprozesse und abhängige Systeme zuordnen.
- Systeme für Gesundheit, Sicherheit, Kommunikation, Umsatz und gesetzlichen Betrieb priorisieren.
- Keine Kategorie „sauber“ vergeben, bevor technische Untersuchung dies trägt.
- Liste mit Uhrzeit, Quelle der Information und verantwortlicher Person versionieren.
Privilegierte Anmeldung auf einem verdächtigen Gerät vermeiden
Ein Administratorkonto kann beim Anmelden auf einem kompromittierten System abgegriffen oder missbraucht werden. Das BSI warnt ausdrücklich vor privilegierten Anmeldungen auf potenziell infizierten Systemen im Produktivnetz. Für Untersuchung und Identitätsmaßnahmen wird ein vorbereiteter, vertrauenswürdiger Administrationsweg verwendet. Ist ein solcher Weg nicht vorhanden, entscheidet die Incident-Response-Unterstützung über das geringste verbleibende Risiko.
6. Minute 30 bis 60: Identitäten, Backups und externe Unterstützung absichern
Die zweite Hälfte der ersten Stunde schafft einen kontrollierten Übergang von spontaner Eindämmung zu fachlicher Incident-Response.
Schritt für Schritt: Die wichtigsten Folgeaufgaben ordnen
- Qualifizierte Incident-Response mit Zeitlinie, Systemliste und bisherigen Maßnahmen versorgen.
- Sicheren Administrationsrechner und getrennten Kommunikationsweg festlegen.
- Alle privilegierten Konten und deren letzte Nutzung erfassen.
- Unbekannte oder nicht mehr benötigte Administratorkonten zunächst dokumentieren und dann kontrolliert sperren.
- Verdächtige aktive Sitzungen und Zugriffstoken aus einem vertrauenswürdigen System widerrufen.
- MFA-Methoden, App-Berechtigungen und Fernwartungszugänge auf Manipulation prüfen.
- Keine pauschale Kennwortänderung von möglicherweise kompromittierten Geräten auslösen.
- Reihenfolge für sichere Kontowiederherstellung und neue Geheimnisse planen.
- Backupverwaltung, Repositories, immutable oder offline Kopien und letzte erfolgreiche Jobs prüfen.
- Schreibzugänge der Produktionsumgebung zu geschützten Backups begrenzen.
- Alter, Vollständigkeit und mögliche Kompromittierung der jüngsten Sicherungen bewerten.
- Backup nicht mit Produktivsystem verbinden und nicht auf ungeprüfte Systeme zurückspielen.
- Mindestens ein repräsentatives betroffenes System und relevante flüchtige Daten für forensische Sicherung auswählen.
- Firewall-, VPN-, EDR-, Identitäts-, Server- und Cloudprotokolle vor Ablauf oder Überschreiben exportieren.
- Externe Kommunikation einschließlich Kunden, Partnern und Medien zentral abstimmen.
- Mögliche Betroffenheit personenbezogener Daten mit Datenschutzverantwortung prüfen.
- Versicherung, Rechtsberatung und Strafverfolgung nach vorgesehenem Verfahren einbeziehen.
- Geschäftskritische manuelle Ersatzprozesse aktivieren, ohne verdächtige Systeme wieder anzuschließen.
- Prioritäten für Analyse, Bereinigung und spätere Wiederherstellung schriftlich festlegen.
- Nächsten Lagebericht mit Uhrzeit, Entscheidungsbedarf und Verantwortlichen terminieren.
Wie weit muss die Isolation reichen?
Die kleinste wirksame Trennung ist nicht immer das einzelne sichtbare Gerät. Wenn eine Person nur auf ihrem Notebook eine verdächtige Datei geöffnet hat und keine weiteren Signale vorliegen, kann dessen sofortige Isolation zunächst angemessen sein. Ändern sich gleichzeitig Dateien auf einer Serverfreigabe, muss zusätzlich die Quelle der Schreibvorgänge, das verwendete Konto und der Serverzugang eingegrenzt werden. Sind mehrere Arbeitsplätze, Server oder Standorte betroffen, kann eine Trennung am Switch, VPN-Gateway oder Segment schneller und sicherer sein als das Suchen einzelner Kabel.
| Lage | Mögliche Isolation | Vor der Umsetzung prüfen |
|---|---|---|
| Ein Arbeitsplatz, keine weiteren Signale | Ethernet, WLAN, VPN und angeschlossene Freigaben dieses Geräts trennen | Gerätename, Benutzer, letzte Handlung und sichtbare Dateiziele erfassen. |
| Eine Freigabe wird massenhaft verändert | Schreibzugriff des verursachenden Kontos und betroffene Freigabe begrenzen | Quelle und Zeitstempel sichern; andere Geschäftsprozesse auf derselben Freigabe kennen. |
| Mehrere Geräte im selben Bereich | VLAN, Switchports oder Standortsegment koordiniert trennen | Telefonie, Sicherheitsanlagen, Backup und notwendige Krisenkommunikation berücksichtigen. |
| Verdächtiger VPN- oder Fernwartungszugang | Konto, Sitzung und betroffenen Zugangspfad sperren | Protokolle exportieren und alternativen sicheren Adminzugang bereithalten. |
| Domänenweite Adminaktivität | Breite Netzwerk- und Identitätseindämmung unter Incident-Leitung | Keine Anmeldung mit denselben Adminrechten auf weiteren Systemen durchführen. |
| Backup wird gelöscht oder verschlüsselt | Backupverwaltung und Repositories vom Produktionszugriff isolieren | Unveränderbare und Offlinekopien geschützt lassen; keine Jobs überschreiben. |
Die technische Maßnahme und ihre geschäftliche Nebenwirkung werden gemeinsam protokolliert. Eine unterbrochene Telefonanlage, Zutrittssteuerung oder medizinische beziehungsweise sicherheitsrelevante Funktion kann ein eigenes Risiko erzeugen. Bei solchen Abhängigkeiten entscheidet die Einsatzleitung mit der zuständigen Fachverantwortung über Reihenfolge und Ersatzverfahren. Dass ein System betriebswichtig ist, ist jedoch kein Grund, es trotz aktiver Verschlüsselung unkontrolliert verbunden zu lassen.
| Status | Bedeutung | Nächster Schritt |
|---|---|---|
| Job erfolgreich | Software meldet abgeschlossene Sicherung. | Unveränderbarkeit, Inhalt und Wiederherstellbarkeit gesondert prüfen. |
| Repository erreichbar | Speicher antwortet im Netzwerk. | Nicht als positiv werten; Angreiferzugriff und Manipulation untersuchen. |
| Offline oder immutable Kopie vorhanden | Kann besser vor nachträglicher Verschlüsselung geschützt sein. | Isolation erhalten und kontrollierten Lesetest vorbereiten. |
| Snapshot vorhanden | Schneller technischer Rückpunkt möglich | Prüfen, ob Snapshot im gleichen kompromittierten Verwaltungsbereich liegt. |
| Dateien sichtbar | Datenstruktur ist vorhanden. | Integrität, Alter, Vollständigkeit und Schadsoftwarefreiheit noch unbewiesen. |
| Testwiederherstellung erfolgreich | Bestimmter Stand ließ sich in isolierter Umgebung lesen. | Abhängigkeiten und vollständigen Geschäftsprozess weiter prüfen. |
7. Beweise werden erhalten, ohne die Eindämmung zu verzögern
Dokumentation dient nicht nur einer späteren Anzeige. Sie hilft zu verstehen, welche Systeme und Zugänge bereinigt werden müssen, damit der Angriff nicht zurückkehrt.
| Spur | Warum wichtig | Sichere Erfassung |
|---|---|---|
| Zeitlinie | Verknüpft Benutzerbeobachtung, Alarme und technische Ereignisse. | Mit Zeitzone, Quelle und verantwortlicher Person protokollieren. |
| Erpressernachricht | Kann Variante, Kontaktweg und betroffene Systeme zuordnen. | Foto oder forensische Kopie; nicht über enthaltene Links kommunizieren. |
| Dateiendung und Beispieldatei | Hilft bei Identifikation und Entschlüsselungsprüfung. | Nur kontrolliert kopieren; Original unverändert lassen. |
| Arbeitsspeicher | Kann Prozesse, Verbindungen und Schlüsselmaterial enthalten. | Durch qualifizierte Fachperson vor Ausschalten erfassen. |
| Systemabbild | Erhält Dateisystem, Schadsoftware und Persistenz. | Forensisch nachvollziehbar und schreibgeschützt sichern. |
| Identitätsprotokolle | Zeigen Anmeldungen, Token, MFA und Rechteänderungen. | Über saubere Verwaltung exportieren und Zeitraum sichern. |
| EDR- und Antivirusdaten | Zeigen Prozessketten, Alarme und Eindämmung. | Rohdaten und Zeitstempel exportieren, Alarm nicht bloß schließen. |
| Firewall, VPN und Fernwartung | Zeigen Einstieg, externe Verbindung und laterale Bewegung. | Vor Rotation exportieren; Zeitsynchronisation beachten. |
| Backupprotokolle | Zeigen Löschung, Manipulation und letzten intakten Stand. | Verwaltung schützen und Protokolle unabhängig speichern. |
Dokumentationsvorlage für jede Maßnahme
- Zeitpunkt mit Zeitzone
- Auslösende Beobachtung oder Entscheidung
- Betroffenes Gerät, Konto, System oder Segment
- Ausgeführte Maßnahme und verantwortliche Person
- Verwendetes Werkzeug oder Administrationssystem
- Unmittelbares Ergebnis und neue Beobachtung
- Gesicherte Dateien, Protokolle oder Fotos mit Ablageort
- Nächster Schritt, Eigentümer und Entscheidungstermin
Fotos und Notizen werden auf einem vertrauenswürdigen, vom Vorfall getrennten Gerät erfasst. Dateien erhalten nachvollziehbare Namen und werden nicht verändert. Wo eine gerichtsfeste forensische Sicherung relevant sein kann, übernimmt eine qualifizierte Stelle die genaue Beweiskette. Kleine Unternehmen sollten dennoch sofort sauber dokumentieren, statt auf perfekte Spezialwerkzeuge zu warten.
8. Bestimmte Schnellmaßnahmen verschlechtern die Lage
Die größte Versuchung besteht darin, sichtbare Symptome sofort zu beseitigen. Bei einem schweren Vorfall muss zuerst klar sein, welche Zugänge und Systeme der Angreifer tatsächlich kontrolliert.
| Maßnahme | Risiko | Besseres Vorgehen |
|---|---|---|
| Lösegeld zahlen oder Kontakt aufnehmen | Keine Garantie für Wiederherstellung; zusätzliche rechtliche und operative Risiken | Geschäftsleitung, Incident-Response, Versicherung, Recht und Behörden einbeziehen. |
| Alle Geräte pauschal ausschalten | Verlust flüchtiger Beweise und unnötiger Ausfall | Betroffene Systeme isolieren und Abschaltung fachlich priorisieren. |
| Virenscan und automatische Bereinigung starten | Verändert Spuren und kann nur sichtbare Schadkomponente entfernen. | Zustand sichern, Reichweite analysieren, danach kontrolliert bereinigen. |
| Backups sofort zurückspielen | Wiederinfektion, Überschreiben guter Sicherungen oder Rückkehr in kompromittierte Identität | Saubere Zielumgebung, Angriffsweg und Sicherungsintegrität zuerst prüfen. |
| Alle Kennwörter vom normalen Arbeitsplatz ändern | Neue Geheimnisse können erneut abgegriffen werden. | Sauberes Administrationssystem und geplante Reihenfolge verwenden. |
| Erpresserdatei löschen | Verlust von Zuordnungs- und Beweisinformation | Unverändert sichern und nur in kontrollierter Umgebung analysieren. |
| Öffentlich kommunizieren | Falsche Angaben, Angreiferinformation und Vertrauensschaden | Zentrale, sachlich bestätigte Kommunikation vorbereiten. |
| Ein Gerät neu installieren und Betrieb fortsetzen | Andere Hintertüren, Konten oder Systeme bleiben bestehen. | Gesamtumfang und Eintrittsweg vor Wiederanlauf klären. |
9. Interne Kommunikation gibt konkrete, sichere Handlungen vor
Beschäftigte benötigen keine technischen Spekulationen, sondern eindeutige Anweisungen zu Geräten, Kontakten und Arbeitsfortsetzung.
Muster für eine interne Erstinformation
Wir untersuchen derzeit einen möglichen IT-Sicherheitsvorfall.
Bitte lassen Sie Firmencomputer und Mobilgeräte in ihrem aktuellen Zustand. Verbinden Sie ausgeschaltete oder getrennte Geräte nicht mit dem Firmennetz, VPN oder Cloudspeicher.
Wenn Sie verschlüsselte Dateien, eine Erpressernachricht, ungewöhnliche Anmeldungen oder Sicherheitswarnungen sehen, trennen Sie das betroffene Gerät vom Netzwerk und rufen Sie die intern bekannte Notfallnummer an.
Führen Sie keine eigenen Reparaturen, Virenscans, Kennwortänderungen oder Wiederherstellungen durch. Verwenden Sie ausschließlich den mitgeteilten sicheren Kommunikationsweg.
Die nächste bestätigte Information erfolgt um [Uhrzeit].Die Nachricht wird an den tatsächlichen Vorfall angepasst. Wenn bestimmte Systeme nachweislich sicher weiterlaufen können, wird dies ausdrücklich benannt. Ein pauschales Arbeitsverbot kann unnötige Schäden erzeugen; eine pauschale Freigabe kann die Ausbreitung fortsetzen. Entscheidungen werden deshalb nach Systemgruppe und belastbarem Lagebild getroffen.
Kommunikationsregeln während der Reaktion
- Eine Stelle veröffentlicht bestätigte interne Lageinformationen.
- Technische Vermutungen werden als unbestätigt gekennzeichnet.
- Personennamen und Schuldzuweisungen gehören nicht in Lageupdates.
- Jedes Update enthält Zeitpunkt, gültige Handlung und nächsten Meldetermin.
- Kunden- und Partnerkommunikation wird mit Geschäftsleitung, Datenschutz und Recht abgestimmt.
- Medien- oder Angreiferanfragen werden nicht von einzelnen Beschäftigten beantwortet.
10. Eine strukturierte Übergabe beschleunigt die fachliche Untersuchung
Incident-Response benötigt keine perfekte Diagnose, sondern verlässliche Ausgangsdaten, unveränderte Systeme und einen erreichbaren Entscheider.
| Bereich | Erforderlicher Inhalt |
|---|---|
| Zeitlinie | Erste Beobachtung, Alarm, Isolierung, Kommunikation und jede administrative Maßnahme |
| Systeme | Bestätigt betroffen, verdächtig, unauffällig geprüft und noch ungeprüft |
| Identitäten | Betroffene Benutzer, Admins, Dienstkonten, MFA-Änderungen und aktive Sitzungen |
| Netz | Standorte, Segmente, VPN, Fernwartung, Server, Freigaben und Isolationszustand |
| Backups | System, letzte Jobs, Speicherorte, Unveränderbarkeit, Offlinekopien und Zugriffsstatus |
| Beweise | Fotos, Erpressertext, Beispielendung, Logs, Alarme und gesicherte Systeme |
| Geschäft | Kritische ausgefallene Prozesse, zulässige Ausfallzeit und manuelle Ersatzverfahren |
| Externe Stellen | Versicherung, Datenschutz, Recht, Dienstleister und Behörden mit aktuellem Kontaktstatus |
| Offene Entscheidungen | Weitere Isolation, Abschaltung, forensische Sicherung, Kommunikation und Wiederanlaufpriorität |
Qualitätskontrolle vor der Übergabe
- Alle Zeitangaben besitzen eine einheitliche Zeitzone.
- Beobachtung und Schlussfolgerung sind sprachlich getrennt.
- Jedes isolierte System ist eindeutig bezeichnet.
- Keine Maßnahme wird nur aus Erinnerung weitergegeben.
- Gesicherte Dateien und Protokolle besitzen einen dokumentierten Ablageort.
- Geschäftsleitung und technischer Entscheider sind erreichbar.
- Offene Risiken und nächste Schritte sind priorisiert.
11. Wiederherstellung beginnt erst nach Eindämmung und Ursachenklärung
Ein funktionierendes Backup ist notwendig, aber kein Beweis dafür, dass Identitäten, Administrationswege und Zielsysteme wieder vertrauenswürdig sind.
| Voraussetzung | Zu bestätigender Zustand |
|---|---|
| Angriffsweg | Wahrscheinlicher Einstieg und wesentliche Persistenz sind verstanden und geschlossen. |
| Identitäten | Privilegierte Konten, MFA, Token, Dienstkonten und Geheimnisse wurden sicher erneuert. |
| Zielumgebung | Systeme wurden kontrolliert neu aufgebaut oder nachweisbar bereinigt und gehärtet. |
| Backup | Ausgewählter Stand ist vollständig, lesbar, ausreichend alt und isoliert geprüft. |
| Netzwerk | Segmentierung, Fernzugänge und Überwachung begrenzen erneute Ausbreitung. |
| Geschäftsfunktion | Abhängigkeiten und Reihenfolge für Identität, Netzwerk, Server, Anwendungen und Clients sind festgelegt. |
| Überwachung | Erhöhte Kontrolle erkennt wiederkehrende Verbindung, Konto- oder Prozessaktivität. |
| Abnahme | Technische und fachliche Verantwortliche bestätigen jeden wiederhergestellten Dienst. |
Die erste Stunde entscheidet noch nicht über Lösegeld, vollständige Neuinstallation oder die endgültige Meldung an Betroffene. Sie sorgt dafür, dass diese späteren Entscheidungen auf einem belastbaren Lagebild beruhen. Das Unternehmen dokumentiert, welche Annahmen vorläufig sind und welche Informationen noch fehlen.
Häufige Fragen bei Ransomware-Verdacht
Soll das betroffene Gerät sofort ausgeschaltet werden?
Vorrangig wird es vom Netzwerk getrennt. Ausschalten kann weitere Verschlüsselung stoppen, vernichtet aber flüchtige Arbeitsspeicherspuren. CISA empfiehlt das Herunterfahren, wenn eine Netzwerkisolation anders nicht möglich ist. Bei sicher isoliertem Gerät sollte eine qualifizierte Fachperson über Speichererfassung oder Abschaltung entscheiden.
Soll man sofort alle Kennwörter ändern?
Nicht von möglicherweise kompromittierten Geräten. Zuerst wird ein vertrauenswürdiger Administrationsweg hergestellt. Dann werden privilegierte und betroffene Konten in geplanter Reihenfolge gesichert, Sitzungen widerrufen und Geheimnisse erneuert. Eine unkoordinierte Massenänderung kann Dienste unterbrechen und neue Kennwörter erneut offenlegen.
Kann ein sauberes Backup sofort zurückgespielt werden?
Erst wenn Zielumgebung, Identitäten und Angriffsweg ausreichend kontrolliert sind. Andernfalls kann das wiederhergestellte System erneut kompromittiert oder ein intakter Sicherungsstand überschrieben werden. Das Backup wird isoliert auf Integrität, Alter, Vollständigkeit und Geschäftsfunktion geprüft.
Muss die Polizei informiert werden?
Eine Strafanzeige und die Einbindung der Zentralen Ansprechstellen Cybercrime der Polizeien werden mit Geschäftsleitung, Rechtsberatung und Incident-Response abgestimmt. Beweise sollten unabhängig davon früh erhalten werden. Zusätzlich können vertragliche, datenschutzrechtliche, aufsichtsrechtliche oder versicherungsbezogene Meldungen relevant sein und müssen anhand des konkreten Sachverhalts geprüft werden.
Soll Lösegeld bezahlt werden?
Eine Zahlung garantiert weder Entschlüsselung noch Löschung kopierter Daten und kann erhebliche rechtliche, finanzielle und operative Risiken haben. Darüber wird nicht spontan aus der Erpressernachricht heraus entschieden. Incident-Response, Versicherung, Rechtsberatung, Geschäftsleitung und zuständige Behörden werden einbezogen.
Weiterführende fachliche Grundlagen
Ransomware-Reaktion vorbereiten, bevor jede Minute zählt
fra.digital unterstützt kleine Unternehmen in Frankfurt bei Notfallkarten, System- und Kontaktinventar, sicheren Administrationswegen, Backupprüfung und Übungen für die erste Reaktion. Bei einem laufenden schweren Vorfall wird der Bedarf an spezialisierter Incident-Response klar eingeordnet.
