Der Neustart zuerst, das Netzwerkkabel gar nicht
Ein Betrieb mit zwölf Mitarbeitern holt uns nach dem Vorfall dazu. Montag früh, kurz nach acht, lassen sich in einem Ordner die Dateien nicht mehr öffnen. Im selben Ordner liegt ein Erpresserschreiben. Die erste Vermutung im Betrieb geht Richtung Netzwerkstörung. Wer zuerst an das Netzwerk denkt, verliert genau die Minuten, in denen alles verbunden bleibt.
Fünfundzwanzig Minuten vergingen mit Deutung: ein Neustart, ein Blick aufs Nachbargerät, die Vermutung mit dem Netzwerk. Ursache: Getrennt hat in dieser Zeit niemand etwas. Die Verschlüsselung lief weiter und arbeitete sich durch alles, was von den übernommenen Konten aus erreichbar war. Als wir dazukamen, war auch die lokale Sicherungsplatte verschlüsselt.
Folge: Der Betrieb musste drei Tage zusperren. In diesen Tagen lagen Termine und Fristen von Kunden im Betrieb. Vertrösten musste er sie alle.
Die Wiederherstellung der Anlage war nur möglich, weil aus der Vorwoche noch ein Offline-Backup der Daten zur Verfügung stand. Wir mussten die gesamte Anlage neu aufsetzen und die Daten importieren. Ein langwieriger und sehr kostspieliger Prozess. Kostenpunkt: mehrere Technikertage. Verkürzt hätte den Prozess die richtige Reaktion am Anfang des Vorfalls: die Netzwerkverbindung komplett trennen.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Was im Betrieb schon vor dem Vorfall zu sehen ist
Die Sicherungsplatte am Gerät. Angesteckt hat sie jemand einmal, abgezogen hat sie seither niemand mehr. Das ist praktisch und fällt niemandem auf, solange nichts passiert. Wann sie zuletzt getrennt vom Gerät gelegen ist, weiß im Betrieb selten jemand.
Das Postfach, in das die Meldungen gehen. Schutzsoftware, Sicherung und Firewall schreiben ihre Meldungen irgendwohin. Oft ist das ein Sammelpostfach, das jemand beim letzten Personalwechsel mit übergeben hat und das seither ungelesen volläuft. Auffallen tut das erst, wenn jemand eine bestimmte Meldung sucht.
Und die Zugänge von außen, die niemand zählt. Fernwartung, Heimarbeitsplätze, ein Zugang für den Steuerberater: Jeder einzelne war bei seiner Einrichtung begründet. Wie viele es heute sind, steht nirgends. Aufgefallen ist das nie, weil jeder für sich funktioniert.
Für Technik-Interessierte Warum Trennen wirkt
Moderne Ransomware verschlüsselt selten nur das erste Gerät. Vier Punkte erklären, warum die Trennung die stärkste Sofortmaßnahme ist.
Deshalb entscheidet nicht die Menge der Backups über den Wiederanlauf, sondern ihre Erreichbarkeit für den Angreifer.
- Die seitliche Bewegung. Nach dem Einstieg, meist über ein Postfach oder einen offenen Fernzugang, sammeln Angreifer Zugangsdaten ein und bewegen sich durch das Netz, bis sie an zentrale Berechtigungen kommen. Erst dann verschlüsseln sie.
- Der Berechtigungsraum. Der Angriff reicht so weit wie die Rechte des übernommenen Kontos: verbundene Netzlaufwerke, Freigaben, häufig auch Sicherungen, wenn sie im selben Berechtigungsraum liegen.
- Die doppelte Wirkung des Trennens. Es stoppt die laufende Verschlüsselung und unterbricht die Steuerverbindung der Angreifer nach außen. Beides gleichzeitig, und beides sofort.
- Die Architektur der Sicherung. Wirksam ist, was ein übernommenes Administratorkonto nicht löschen kann: unveränderbare oder physisch getrennte Sicherungsstände mit eigener Anmeldung. Die Größe der Sicherung spielt hier keine Rolle.
„Die Angreifer haben einen Plan, die meisten Betriebe keinen. Das dreht man in einer ruhigen Stunde vorher um, nicht am Montag um acht.“
Der Weg zurück führt über Sicherungen
In den ersten Minuten. Betroffene Geräte kommen vom Netzwerk, Kabel gezogen, WLAN aus. Ausschalten oder neu starten Sie dabei nichts. Im Arbeitsspeicher liegen je nach Schädling noch Schlüssel, mit denen sich Daten ohne Zahlung zurückholen lassen, dazu die Spuren, die den Einstiegsweg zeigen. Beides ist nach dem Abschalten weg, und manche Schädlinge schließen ihre Verschlüsselung erst beim Neustart ab. Ist unklar, was betroffen ist, trennen Sie großzügig statt zögerlich, Heimarbeitsplätze und Außenstellen mit Datenverbindung ins Büro mitgedacht. Der Anruf bei der IT-Betreuung läuft in denselben Minuten, nicht erst, wenn man mehr weiß. Löschen, formatieren und auf eigene Faust bereinigen Sie nichts. Mit den Erpressern spricht niemand, und niemand zahlt. Diese Handgriffe sind der ganze Teil, den Ihr Betrieb selbst leisten muss.
Am selben Tag. Die IT-Betreuung beurteilt, wie weit der Befall reicht und über welchen Weg der Einstieg erfolgte. Ohne diese Antwort führt jeder Wiederaufbau zurück in denselben Vorfall.
In den Tagen danach. Die IT-Betreuung bereinigt die Systeme oder setzt sie neu auf, dann kommen die Daten zurück, aus Sicherungen von vor dem Befall. Ein Backup, dessen Wiederherstellung nie jemand geprobt hat, ist bis zum Beweis des Gegenteils eine Vermutung.
Vorher, damit all das kürzer wird. Eine Überwachung und Schutzsoftware mit Verhaltenserkennung schlagen oft an, bevor ein Mensch etwas bemerkt. Das ist der Unterschied zwischen fünfundzwanzig Minuten Deutung und einer Meldung, bevor am Montag jemand den ersten Ordner öffnet.
Notfallnummer, Zuständigkeiten und die ersten Handgriffe können Sie heute selbst regeln. Alles ab dem Anruf gehört in professionelle Hände: die Beurteilung des Befalls, die Aufarbeitung des Einstiegswegs und der Wiederaufbau in der richtigen Reihenfolge. Wer hier improvisiert, verlängert den Stillstand, statt ihn zu verkürzen.
„Dafür sind wir zu klein“
Das ist der Einwand, den wir am häufigsten hören, und er beruht auf einer nachvollziehbaren Annahme: Wer nichts zu holen hat, wird nicht ausgesucht. Nur sucht hier niemand aus. Die Einstiegsversuche laufen automatisiert gegen alles, was erreichbar ist, und was hängen bleibt, schauen sich die Angreifer danach an.
Wer nachts Türklinken probiert, liest vorher auch nicht das Namensschild. Für einen Betrieb mit zwölf Mitarbeitern ist ein Vorfall daher nicht unwahrscheinlicher, nur folgenreicher, weil weniger Leute da sind, die ihn auffangen.
Vier Fragen, und was Sie selbst tun können.
Wer an dieser Stelle nichts vorlegen kann, hat Ihren Betrieb auf den Ernstfall nie vorbereitet, sondern ihn nur verwaltet.
Nach dem Notfallablauf gefragt.Und kein einziges Protokoll gesehen?
Dann entscheidet am Montag um acht die Improvisation über Ihre nächste Woche. Reden wir eine halbe Stunde darüber. Wir sehen uns Ihren Notfallablauf an und sagen Ihnen, wer darin heute fehlt.
