Ransomware-Angriff: Was Sie zuerst tun sollten

Bei einem Ransomware-Angriff trennen Sie den betroffenen Rechner oder Server sofort vom Netzwerk, bewahren verschlüsselte Dateien und die Lösegeldforderung auf und spielen ein sauberes Backup ein, das der Angreifer nicht erreichen konnte. Ransomware sperrt Ihre Dateien und fordert Geld für den Schlüssel. Eine Zahlung garantiert nichts. Deshalb zählt vor allem das Backup, das Sie vor dem Angriff angelegt haben.

Was ist Ransomware, und wie unterscheidet sie sich von Website-Malware?

Ransomware ist Schadsoftware, die Ihre Dateien verschlüsselt und Geld für den Schlüssel fordert. Meist merken Sie es an einer Nachricht auf dem Bildschirm und an Dateien, die sich nicht mehr öffnen lassen oder ungewöhnliche Endungen tragen.

Eine gehackte Website ist ein anderes Problem, auch wenn beides oft verwechselt wird. Typische Website-Malware schleust Spam ein, leitet Besucher um oder greift Daten ab. Verschlüsselt wird dabei selten etwas. Ransomware trifft vor allem Rechner und Server: Ihren Laptop, den Dateiserver im Büro oder einen Server, den Sie selbst verwalten. Läuft Ihre Website auf einem eigenen VPS, kann es auch dort passieren.

Verhält sich nur Ihre Website merkwürdig, lesen Sie stattdessen Website gehackt? Die ersten 60 Minuten.

Was tun Sie in den ersten Minuten nach einem Ransomware-Angriff?

Stellen Sie sich vor, Sie öffnen am Montagmorgen Ihren Laptop. Jedes Dokument hat eine fremde Endung, und eine Textdatei fordert Sie zur Zahlung auf. Gehen Sie dann in dieser Reihenfolge vor.

1. Trennen. Ziehen Sie das Netzwerkkabel, schalten Sie das WLAN aus und trennen Sie externe Laufwerke und die Cloud-Synchronisation. Ransomware verbreitet sich über Netzlaufwerke und angeschlossene Geräte.
2. Andere Rechner nicht einschalten und nicht zurücksetzen, bis klar ist, was befallen ist. Lassen Sie das betroffene Gerät so, wie es ist.
3. Beweise sichern. Fotografieren Sie den Bildschirm, bewahren Sie die Lösegeldforderung und einige verschlüsselte Beispieldateien auf. Sie helfen, die Ransomware-Familie zu bestimmen.
4. Passwörter von einem sauberen Gerät aus ändern. Beginnen Sie mit E-Mail, Hosting, Online-Banking und Administrator-Konten. Gehen Sie davon aus, dass der Angreifer gespeicherte Passwörter gesehen haben könnte.
5. Die richtigen Stellen informieren. Das sind Ihre IT-Betreuung oder Ihr Hoster, Ihre Bank, falls Zahlungsdaten gefährdet sind, und die Polizei. Cyberkriminalität können Sie in der Regel bei der Polizei anzeigen.

Sollten Sie das Lösegeld zahlen?

Polizei und Sicherheitsbehörden raten in der Regel von einer Zahlung ab. Dafür gibt es drei Gründe: Es gibt keine Garantie, dass der Schlüssel funktioniert, Sie finanzieren weitere Angriffe, und Sie könnten als zahlungsbereit gelten.

Schauen Sie vor jeder Entscheidung bei No More Ransom vorbei, einem kostenlosen Projekt von Europol und Partnern, das für manche Ransomware-Familien Entschlüsselungswerkzeuge anbietet. Es deckt nicht alles ab, der Blick kostet aber nichts. Als Unternehmen können Sie sich zusätzlich Hilfe bei Polizei und Behörden holen, in Deutschland etwa beim BSI. Wenn personenbezogene Daten betroffen sind, kann außerdem eine Meldepflicht an die Datenschutzaufsicht eine Rolle spielen. Das ist eine Rechtsfrage, und wir geben dazu keine Rechtsberatung. Klären Sie sie bitte mit einer Anwältin oder einem Anwalt.

Warum entscheiden Backups außer Haus über den Ausgang?

Mit einem sauberen Backup wird Ransomware zu einem teuren Nachmittag. Ohne Backup wird sie zu einer Geschäftsentscheidung unter Druck.

Ein Backup hilft aber nur, wenn der Angreifer es nicht ebenfalls verschlüsseln konnte. Ransomware sucht gezielt nach verbundenen Laufwerken und Netzfreigaben. Eine dauerhaft angesteckte Backup-Platte oder ein synchronisierter Ordner kann mit dem Rest verschlüsselt werden.

Das ist die bekannte 3-2-1-Regel der Datensicherung. Ergänzen Sie eine weitere Gewohnheit: Bewahren Sie mehrere Versionen auf, damit Sie auf einen Stand vor der Infektion zurückkönnen. Ein einziges Backup, das jede Nacht überschrieben wird, enthält bei einem Tag Verspätung schon die verschlüsselten Dateien.

• Tägliche Backups an einem anderen Ort, getrennt von Server und Netzwerk.
• Mehrere Versionen, nicht nur der jüngste Stand.
• Zugang zum Backup mit eigenem Passwort und Zwei-Faktor-Authentifizierung.
• Ein Test der Wiederherstellung mehrmals im Jahr. Ein Backup, das Sie nie ausprobiert haben, ist eine Vermutung.

Was gilt, wenn Ihre Website oder Ihr Onlineshop betroffen ist?

Liegt Ihre Website im Shared Hosting, kümmert sich meist der Hoster um den Server. Ihr Risiko ist dann eher eine gehackte als eine verschlüsselte Website. Betreiben Sie einen eigenen VPS oder dedizierten Server, tragen Sie die Verantwortung für dessen Sicherheit, und Ransomware ist möglich.

Ist Ihre Website bereits gehackt, beginnt unsere Reparatur gehackter Websites mit einer kostenlosen Diagnose und einem Festpreis (ab 450 € netto). Vor jeder Änderung sichern wir ein Backup.

Wie gelangt Ransomware ins System, und wie senken Sie das Risiko?

Die übliche Tür ist kein Einbruch wie im Film. Es ist eine Phishing-E-Mail mit Anhang oder Link, ein Fernzugang mit schwachem Passwort oder Software, die nicht aktualisiert wurde. Deshalb schützen dieselben Gewohnheiten vor den meisten Bedrohungen.

• Seien Sie bei unerwarteten Anhängen misstrauisch und schulen Sie Ihr Team entsprechend. Wie das geht, lesen Sie in Phishing erkennen: So schützen Sie Ihre Website.
• Aktualisieren Sie Betriebssysteme, Plugins und Server-Software.
• Nutzen Sie Zwei-Faktor-Authentifizierung, und öffnen Sie Fernzugänge nie ohne sie.
• Geben Sie Personen nur den Zugriff, den ihre Arbeit braucht.

Zur Vorsorge gehört auch, für den Ernstfall zu planen. Wie Sie Datenverlust vorbeugen und sich davon erholen, lesen Sie in Datenverlust auf der Website: vorbeugen und retten.

Wie können wir helfen?

Wir können nicht versprechen, eine Verschlüsselung rückgängig zu machen, und tun auch nicht so. Wir sorgen dafür, dass das Problem nicht wiederkommt: tägliche Backups außerhalb Ihres Hostings, Erreichbarkeitsprüfungen, sichere Updates mit Rollback und Sicherheitsprüfungen sind Teil unserer Wartungspläne (ab 99 € netto pro Monat). Ist an Ihrer Website schon etwas passiert, schreiben Sie uns für eine kostenlose Diagnose.