Letzte Nacht hat Ransomware alle Firmenserver verschlüsselt – was genau tun in den ersten Stunden?

Sofort im gesamten Büro alle LAN-Kabel ziehen und WLAN deaktivieren! Die befallenen Rechner aber NICHT einfach über die Steckdosenleiste ausschalten oder herunterfahren, nur das Netzwerk trennen. Beim Ausschalten gehen flüchtige Schlüssel im Arbeitsspeicher und wertvolle forensische Spuren verloren.

Kopiert euch ein, zwei verschlüsselte Beispieldateien und die Ransom-Note auf einen sauberen USB-Stick und checkt das Ganze an einem isolierten Rechner. Ihr müsst herausfinden, um welche Malware-Familie es sich genau handelt. Bei manchen Varianten bleibt der Schlüssel im RAM liegen oder Sicherheitsforscher haben dafür längst Decryptor veröffentlicht.

Wer glaubt, durch die Zahlung des Lösegelds seine Dateien zu retten wird meistens bitter enttäuscht. Ein Logistikunternehmen in Madrid in einer ähnlichen Lage zahlte 30.000 Euro, doch der gelieferte Decryptor hat die Hälfte der Daten zerschossen – und zwei Wochen später nutzten sie dieselbe Sicherheitslücke und verlangten wieder Geld. Auf keinen Fall zahlen!

Letztes Jahr wurde unser Speicher durch einen ähnlichen Angriff lahmgelegt. Wir haben 5.500 Euro für einen externen Incident-Response-Experten gezahlt. Wir hatten noch ein zwei Wochen altes Offline-Tape-Backup, haben das eingespielt und die Rechnungen dazwischen händisch nacherfasst. Wir hatten zwar 4 Tage Stillstand, aber den Erpressern keinen einzigen Cent gezahlt.

Wisst ihr denn schon wie die Angreifer überhaupt reingekommen sind? War ein RDP-Port nach außen offen oder hat jemand aus dem Team einen Mailanhang geöffnet? Gibt es im Netzwerk wirklich kein komplett isoliertes Backup oder eins in der Cloud mit älteren Versionen?

Bitte achten Sie darauf, die Meldefrist bei der spanischen Datenschutzbehörde (AEPD) nicht zu versäumen. Die Erstmeldung muss innerhalb der 72-Stunden-Frist erfolgen, selbst wenn die technische Analyse noch läuft; sobald das Ausmaß des Schadens und die Zahl der Betroffenen feststehen, kann ein Nachbericht eingereicht werden.

erstmal mein Beileid, ich kenne dieeses Gefühl der absoluten Hilflosigkeit nur zu gut wenn man morgens ins Büro kommt und so einen Bildschirm sieht dann bringt erst mal Ruhe ins Team vertröstet die Kunden am besten mit "technischen Wartungsarbeiten" und kümmert euch direkt um professionelle Hilfe.

Wenn die Netzwerkkabel gezogen sind, bloß nichts formatieren und sofort einen professionellen Incident-Response-Berater hinzuziehen.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Das allein zu versuchen, ist der teuerste Weg.

An deiner Stelle würde ich so vorgehen.

Ich möchte kurz warnen. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Viel Erfolg.

Du hast recht.

Dabei gibt es einen sehr häufigen Fehler. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn es jemand anders macht, würde mich das auch interessieren.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen. Nur als Notiz, könnte nützlich sein.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Überstürzte Entscheidungen sind oft solche die man sechs Monate später korrigieren muss.

Ich hoffe, das hilft dir weiter.

Ich würde mich freuen, wenn du das Ergebnis postest. Scheut euch nicht zu fragen wer nicht fragt, zahlt am Ende mehr.

Wenn es jemand anders macht würde mich das auch interessieren.

Mich interessiert das auch.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Aus Erfahrung weiß ich das.