Wir wurden vor einem Ransomware-Risiko auf unserem Server gewarnt – wie beugen wir vor, bevor etwas passiert?

Den RDP-Port von 3389 auf einen anderen Port umzuleiten bringt keine echte Sicherheit, das hält automatisierte Bots vielleicht ein paar Stunden auf. Die einzig saubere Lösung: RDP komplett vom Internet abschotten und den Zugang nur über ein VPN mit IP-Beschränkung und Zwei-Faktor-Authentifizierung (MFA) freigeben. Schon dieser Schritt minimiert das Angriffsrisiko massiv.

Backups auf ein NAS im selben lokalen Netz abzulegen ist praktisch dasselbe, als hätte man gar kein Backup. Ransomware scannt nach dem Erstzugriff sofort das Netzwerk, findet die Windows-Freigaben und löscht oder verschlüsselt gezielt als Erstes die Sicherungsdateien. Das Backup-Ziel darf keinerlei direkte Netzwerkverbindung zur Produktivumgebung haben.

Letztes Jahr sind sie auf genau dieselbe Weise über RDP in den Lagerserver eines Kunden eingedrungen. Nachts um 02:00 Uhr ging es los, und als die Buchhaltung morgens reinkam hatte die gesamte Rechnungsdatenbank die Endung '.locked'. Das Backup des letzten Jahres auf dem NAS war ebenfalls gelöscht. Vier Tage lang ging kein einziges Paket raus, der Schaden belief sich auf mehrere hunderttausend Rial.

Was ihr heute sofort tun solltet: Zieht ein komplettes Systemabbild und ein Datenbank-Backup des Servers auf eine externe USB-Festplatte, schließt die Platte im Tresor ein und lasst sie dort liegen. Das ist die einzige Garantie, dass ihr selbst bei einem Angriff heute Nacht mit maximal einem Tag Datenverlust weitermachen könnt.

wenn schon die warnung da ist haben die angreifer den port wahrscheinlich längst entdeckt und probieren passwörter durch. ändert ohne zeitverlust alle admin-passwörter auf mindestens 16 stellen mit sonderzeichen und benennt den standard-account 'administrator' im system sofort um.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Im Rahmen der organisatorischen Vorbereitung sollte intern ein Notfallplan (Incident-Response-Plan) erstellt werden. Es muss vorab schriftlich geregelt sein, wer im Verdachtsfall entscheidungsbefugt ist, wie die Internetverbindung physisch getrennt wird und nach welchem Protokoll die Wiederherstellung der Daten erfolgt.

Wiegt euch bloß nicht wegen eines Antivirenprogramms in falscher Sicherheit. Moderne Ransomware wird erst ausgeführt nachdem die Angreifer administrative Rechte erlangt und den Antivirus im System lautlos deaktiviert haben. Sicherheitssoftware ist wie ein Schild – aber wenn die Haustür sperrangelweit offen steht, nützt auch das beste Schild nichts mehr.

Da verstehe ich etwas nicht ganz. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Wenn es jemand anders macht, würde mich das auch interessieren.

Vielen Dank, das hat mir sehr geholfen. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Das war's, entschuldige, wenn ich zu lang war.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Viel Erfolg.

Bei uns ist es genauso. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Man sollte der Reihe nach vorgehen. Ein nicht getestetes Backup ist kein Backup.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Kurzfassung für Neueinsteiger: Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Viel Erfolg.

mich interessiert das auch.

Vielen Dank, ich werde es heute testen.

Vielen Dank, das hat mir sehr geholfen.

Ich schreibe mal meine Erfahrung auf. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Wenn wir ins Detail gehen: Das allein zu versuchen, ist der teuerste Weg.