Uns hat ein Ransomware-Angriff erwischt – was wir in den ersten 24 Stunden getan und falsch gemacht haben

Das NAS unter Windows einfach als Netzlaufwerk mit Laufwerksbuchstaben einzubinden, war der größte technische Fehler überhaupt. Das Backup-System muss komplett von der primären Domäne (Active Directory) getrennt sein, darf nur über einen separaten Service-Account ansprechbar sein und sollte im Idealfall als 'Write Once, Read Many' bzw. immutable konfiguriert werden.

Vergesst auf keinen Fall die 72-Stunden-Meldepflicht bei der KVKK. Selbst wenn ihr euch noch nicht sicher seid, ob Daten nach außen abgeflossen sind: Füllt das Online-Formular der Behörde für eine Erstmeldung aus. Sonst drohen euch selbst nach überstandenem Systemcrash noch empfindliche Bußgelder.

Bevor ihr das 16 Tage alte Offline-Backup einspielt, stellt unbedingt sicher dass ihr die Systeme komplett neu aufsetzt. Die Angreifer nisten sich meistens schon 2–3 Wochen vor der eigentlichen Verschlüsselung ein und warten ab. Wenn die schon drin waren, als das Backup gezogen wurde, steht ihr direkt nach dem Restore wieder verschlüsselt da.

Wir haben das vor zwei Jahren in unserem Textilbetrieb mit 120 Mitarbeitern durchgemacht. Ein Kollege von uns hat damals aus Panik das Lösegeld gezahlt; der Decryptor war fehlerhaft und die halbe Datenbank war hinüber das Geld war natürlich auch weg. Lasst euch niemals auf Verhandlungen ein. Auch wenn es wehtut: Das saubere Backup einspielen und die Lücke manuell nachtragen ist immer der sicherste Weg.

Bei uns fehlten damals die Rechnungen und Lieferscheine von 10 Tagen. Wir haben mit einem 8-köpfigen Team 4 Tage lang Tag und Nacht alles anhand der Papierbelege manuell nachgetragen. Hat die Firma durch Überstunden und Umsatzausfall rund 350.000 TL gekostet, aber wir haben den Erpressern keinen Cent gegeben.

Beim Lesen kam der ganze Stress von damals direkt wieder hoch mein Beileid! Ohne die externe Festplatte im Tresor hättet ihr den Laden wohl dichtmachen können. Da seid ihr echt noch mal mit einem blauen Auge davongekommen.

Erste-Hilfe-Zusammenfassung für solche Fälle: 1) Netzwerk physisch trennen, aber Server nicht einfach ausschalten, 2) Offline-Backups auf keinen Fall ans bestehende Netzwerk hängen, 3) Erst das Einfallstor finden und schließen, bevor Backups eingespielt werden, 4) Offizielle Meldung an KVKK und die zuständigen Behörden machen.

das nas wie ne externe festplatte an den pc zu hängen ist leider der klassische kmu-fehler. nachdem es uns ähnlich zerlegt hat sind wir in der cloud auf immutable backups umgestiegen, erst seitdem schlafen wir wieder ruhig.

richtig.

Ich habe mich lange damit beschäftigt. Wenn die Differenz zwischen Forderungsumschlag und Verbindlichkeitsumschlag in Tagen wächst rettet dich der Umsatz nicht.

Mich interessiert das auch.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

An deiner Stelle würde ich so vorgehen.

Der am häufigsten übersehene Punkt bei ransomware ist dieser: Sobald ihr von einem einzigen Kunden abhängig seid, bestimmt ihr nicht mehr den Preis.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Nur als Notiz, könnte nützlich sein.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Das eigene Gehalt zu kürzen ist eine vorübergehende Taktik; nach sechs Monaten bricht es dir das Genick.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich werde das Gegenteil vertreten, bitte nicht böse sein. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

An deiner Stelle würde ich so vorgehen.

Hier ist etwas zu beachten. naja wenn man versucht alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf nicht nur das Beste.

Das habe ich auch erlebt.

Ich bin in derselben Situation deshalb frage ich. naja wenn man versucht alles gleichzeitig zu ändern etabliert sich nichts richtig.

Schreibt mir wenn ihr Fragen habt, ich antworte so gut ich kann.