Woran Sie einen Angriff erkennen
- Dateien mit neuen, unbekannten Endungen, die sich nicht mehr öffnen lassen
- Textdateien oder Bildschirmhinweise mit Lösegeldforderung in vielen Ordnern
- Ungewöhnlich hohe Festplatten- und Netzwerkaktivität, Systeme werden träge
- Antivirenprogramm deaktiviert, Schattenkopien gelöscht, Backup-Jobs schlagen fehl
- Anmeldungen zu ungewöhnlichen Zeiten, neue Administratorkonten, die niemand angelegt hat
Sofortmaßnahmen: die ersten Minuten
- Betroffene Geräte vom Netzwerk trennen: Netzwerkkabel ziehen, WLAN aus. Nicht ausschalten, der Arbeitsspeicher kann Spuren enthalten, die die Analyse brauchen
- Bei Unsicherheit das ganze Netz vom Internet trennen (Router oder Firewall), um Nachladen und Datenabfluss zu stoppen
- Backup-Systeme sofort schützen: externe Festplatten abziehen, NAS und Backup-Server vom Netz nehmen, Cloud-Backup-Zugänge nicht auf infizierten Geräten öffnen
- Mitarbeiter informieren: keine Anmeldungen mehr, keine USB-Sticks, keine eigenmächtigen Neustarts
- Fotos vom Erpresserschreiben und den Bildschirmen machen, Uhrzeiten notieren
- IT-Dienstleister oder Notfallkontakt anrufen, nicht per E-Mail vom betroffenen System
Was Sie nicht tun sollten
Kein Lösegeld zahlen, jedenfalls nicht ohne Beratung: Es gibt keine Garantie auf funktionierende Entschlüsselung, und Zahlungen finanzieren die nächste Welle. Keine Dateien löschen und keine Systeme neu installieren, bevor die Ursache bekannt ist, sonst kommt der Angreifer über dieselbe Lücke zurück. Keine Entschlüsselungstools aus dem Internet ausprobieren, sie sind oft selbst Schadsoftware. Und nicht in Panik alles ausschalten: Ein gezieltes Vorgehen ist schneller als Aktionismus.
Wiederherstellung
Nach der Eindämmung wird geklärt, wie der Angreifer hereingekommen ist: meist über Phishing-Mails, offene Fernwartungszugänge oder ungepatchte Systeme. Dann werden die betroffenen Systeme sauber neu aufgebaut und die Daten aus einem Backup wiederhergestellt, das vor dem Angriff liegt. Passwörter aller Konten werden geändert, Fernzugänge geprüft, Mehrfaktor-Anmeldung aktiviert. Erst danach geht das Netz wieder ans Internet. Mit funktionierenden Backups dauert das für ein kleines Unternehmen ein bis drei Tage, ohne Backups deutlich länger oder es gelingt gar nicht.
Meldepflichten
- DSGVO: Sind personenbezogene Daten betroffen, muss die Datenschutzbehörde innerhalb von 72 Stunden informiert werden, in Österreich die Datenschutzbehörde, in Deutschland die Landesbehörde
- Cyberversicherung: sofort melden, viele Policen verlangen die Meldung innerhalb von 24 Stunden und stellen Forensiker
- Polizei: Anzeige erstatten, in Österreich beim Cybercrime Competence Center (C4) über jede Polizeidienststelle, in Deutschland bei der Zentralen Ansprechstelle Cybercrime des jeweiligen Landes
- Kunden und Partner informieren, wenn deren Daten betroffen sind oder Rechnungen mit falschen Bankdaten verschickt worden sein könnten
Vorbeugen
Die wirksamsten Maßnahmen sind unspektakulär: getestete Backups mit einer unveränderbaren Kopie, Mehrfaktor-Anmeldung für E-Mail, VPN und Fernzugänge, zeitnahe Updates, keine Administratorrechte im Alltag, Schulung der Mitarbeiter gegen Phishing und ein Notfallplan mit Telefonnummern, der ausgedruckt im Schrank liegt. Wer diese Punkte umsetzt, übersteht einen Angriff als Betriebsstörung statt als Existenzkrise.
Häufige Fragen dazu
Sollen wir den Server ausschalten?
Nein, zuerst vom Netzwerk trennen. Beim Ausschalten gehen flüchtige Spuren verloren, und manche Schadsoftware verschlüsselt beim Neustart weiter. Trennen stoppt die Ausbreitung, Ausschalten nicht unbedingt.
Wie schnell müssen wir die Datenschutzbehörde informieren?
Innerhalb von 72 Stunden nach Bekanntwerden, wenn personenbezogene Daten betroffen sein könnten. Eine vorläufige Meldung mit Nachreichung ist erlaubt und besser als eine verspätete vollständige.
Helfen Sie auch im laufenden Vorfall?
Ja. Erste Einschätzung per Telefon oder WhatsApp, danach Eindämmung, Analyse und Wiederherstellung, remote oder in Wien vor Ort.
Hilfe bei der Umsetzung? Ich setze das für Sie um, remote oder vor Ort in Wien, mit Festpreis oder nach Aufwand. Anfrage senden →