Ransomware: Ein Recovery-Plan, der tatsächlich funktioniert

Ransomware ist für moderne Unternehmen die größte Einzelbedrohung für die Business Continuity. Die Frage ist nicht nur, wie man sich schützt, sondern wie man den Betrieb innerhalb weniger Stunden wiederherstellt, wenn sich der Schutz als unvollständig erweist. Dieser Artikel ist ein praktischer Wiederherstellungsplan.

TL;DR — Die wichtigsten Punkte

• Unveränderbare (Immutable) Backups sind die einzige zuverlässige Abwehr gegen die Verschlüsselung von Sicherungen.
• Der Plan muss ausgedruckt vorliegen — während eines Vorfalls gibt es oft keinen Zugriff auf digitale Systeme.
• Der erste Schritt ist Isolation, nicht Abschaltung; Beweise sind wichtig.
• Keine Lizenz ersetzt einen regelmäßigen Wiederherstellungstest.

Wie ein Angriff abläuft

Ein typischer Angriff beginnt mit dem erlangten Zugriff (Phishing, gestohlenes Passwort, exponiertes RDP), gefolgt von einer stillen Phase von mehreren Tagen oder Wochen, in der der Angreifer den Zugriff erweitert, Backups sucht und Daten exportiert. Erst dann erfolgt die Verschlüsselung — zu diesem Zeitpunkt ist der Großteil des Schadens bereits angerichtet.

Daher ist die Erkennung in der stillen Phase am wertvollsten: EDR, Überwachung ungewöhnlicher Anmeldungen und Alarme beim Löschen von Backups stoppen Angriffe oft, bevor die Verschlüsselung überhaupt beginnt.

Warum ein Backup allein nicht ausreicht

Angreifer zielen heute gezielt auf Backups ab, da sie wissen, dass diese das größte Hindernis für eine Erpressung darstellen.

• Ein Backup auf einer Netzwerkfreigabe mit Domänennutzern wird zusammen mit dem Rest verschlüsselt.
• Ohne Wiederherstellungstest wissen Sie nicht, wie lange die Recovery dauert — entscheidend für die Entscheidung über eine Lösegeldzahlung.
• Abgeflossene Daten bedeuten eine Meldepflicht gemäß DSGVO, unabhängig von der Wiederherstellung.
• Ohne schriftliche Prioritäten stellt das Team zuerst die falschen Systeme wieder her.

Vorgehensweise — der empfohlene Prozess

1. Isolieren Sie betroffene Systeme vom Netzwerk, schalten Sie diese aber nicht sofort aus.
2. Aktivieren Sie das Krisenteam und informieren Sie die Geschäftsführung, die Rechtsabteilung und gegebenenfalls die Versicherung.
3. Bewerten Sie das Ausmaß: Welche Systeme, welche Daten, kam es zum Datenabfluss?
4. Prüfen Sie die Integrität der Backups in einer isolierten Umgebung.
5. Stellen Sie nach Priorität wieder her: Identität, E-Mail, ERP, Dateidienste.
6. Ändern Sie nach der Wiederherstellung alle Passwörter und Keys und führen Sie eine Ursachenanalyse durch.

Prioritäten der Wiederherstellung

Die häufigsten Fehler

Der häufigste Fehler ist das sofortige Ausschalten der Server. Damit zerstören Sie Daten im Arbeitsspeicher, die oft entscheidend sind, um den Eintrittspunkt zu finden — und damit das Risiko einer Wiederholung zu senken.

Ein weiterer Fehler ist die Wiederherstellung in dieselbe Umgebung, ohne die Ursache zu beheben. Wenn der Angreifer noch über gültige Zugangsdaten verfügt, wiederholt sich der Angriff innerhalb weniger Tage.

Wie VitalIT unterstützt

Bei VitalIT richten wir Backups nach dem 3-2-1-Prinzip mit unveränderbaren Kopien ein, führen EDR ein und erstellen einen schriftlichen Wiederherstellungsplan inklusive Test. Informieren Sie sich über unsere Services in den Bereichen Cybersicherheit und IT-Infrastruktur.

Lesen Sie auch 3-2-1 Backup: So sichern Sie Unternehmensdaten richtig und SIEM und zentrale Sicherheitsüberwachung.

Häufig gestellte Fragen (FAQ)

Sollen wir das Lösegeld bezahlen?

In der Regel nein. Eine Zahlung garantiert keine Wiederherstellung, finanziert weitere Angriffe und entbindet nicht von der Meldepflicht des Vorfalls.

Wie oft sollte man die Wiederherstellung testen?

Mindestens vierteljährlich für kritische Systeme und einmal jährlich als umfassende Übung.

Was sind unveränderbare (Immutable) Backups?

Kopien, die über einen bestimmten Zeitraum hinweg selbst mit Administratorrechten nicht geändert oder gelöscht werden können.

Müssen wir den Vorfall melden?

Wenn personenbezogene Daten betroffen sind, gilt eine 72-Stunden-Frist gemäß DSGVO; für NIS2-pflichtige Unternehmen gelten zusätzliche Fristen.

Wie lange dauert eine typische Wiederherstellung?

Zwischen einem Tag und zwei Wochen — der Unterschied liegt fast immer in der Vorbereitung, nicht in der Technologie.