Ransomware im Betrieb: Was in den ersten 24 Stunden zu tun ist

Woran erkennen Sie einen Ransomware-Angriff?

Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Entschlüsselung ein Lösegeld verlangt. Immer öfter drohen die Täter zusätzlich damit, vorher entwendete Daten zu veröffentlichen. Typische Anzeichen: Dateien lassen sich nicht mehr öffnen und tragen eine unbekannte Endung, in Ordnern oder auf dem Bildschirm erscheint eine Erpressungsnachricht, Server und Fachanwendungen fallen gleichzeitig aus.

Wer so etwas sieht, meldet es sofort der zuständigen Person im Betrieb und arbeitet an dem Gerät nicht weiter. Die IT-Notfallkarte des BSI fasst das für Mitarbeitende in drei Botschaften zusammen: die Ansprechpartner für IT-Notfälle kennen, entscheidende Informationen sofort weitergeben und Gegenmaßnahmen nur nach Absprache mit den Zuständigen ergreifen.

Was ist in der ersten Stunde zu tun?

Die erste Stunde entscheidet, wie weit sich der Schaden ausbreitet. Die Reihenfolge folgt den Empfehlungen des BSI im Arbeitspapier „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ und im Maßnahmenkatalog zum Notfallmanagement:

1. 01

   Betroffene Geräte vom Netz trennen

   Netzwerkkabel ziehen, bei Notebooks das WLAN am Gerät deaktivieren. Das BSI empfiehlt ausdrücklich, das Gerät nicht herunterzufahren oder auszuschalten: Im laufenden Gerät lässt sich bei Bedarf noch ein Speicherabbild für die forensische Analyse sichern, nach dem Ausschalten ist der Inhalt des Arbeitsspeichers verloren.

2. 02

   Zuständige und IT-Dienstleister anrufen

   Informieren Sie sofort die verantwortliche Person im Betrieb und Ihren IT-Dienstleister. Wer keinen Dienstleister hat, findet beim BSI eine Liste qualifizierter APT-Response-Dienstleister, also von Firmen, die auf die Bewältigung gezielter Angriffe spezialisiert sind.

3. 03

   Spuren sichern, nichts löschen

   Protokolle, Log-Dateien, Notizen und Fotos von Bildschirminhalten sichern, bevor jemand an den Systemen zu analysieren beginnt. Fotografieren Sie die Erpressungsnachricht. Diese Daten braucht die forensische Auswertung, und sie braucht die Strafanzeige.

4. 04

   Protokoll führen

   Eine Person schreibt mit: Wer hat wann was bemerkt, welche Geräte wurden getrennt, wer wurde informiert? Das BSI empfiehlt, alle Sachverhalte rund um den Notfall fortlaufend zu dokumentieren. Dieses Protokoll braucht später auch die Versicherung.

Wen müssen Sie in den ersten 24 Stunden informieren?

Nach der ersten Stunde geht es um Meldungen. Einige haben gesetzliche Fristen, andere entscheiden über den Versicherungsschutz:

Die Versicherung zuerst, weil sie den weiteren Ablauf mitbestimmt. Die unverbindlichen Musterbedingungen des GDV (Stand Februar 2024) verlangen, den Schaden unverzüglich anzuzeigen, Weisungen des Versicherers einzuholen und das Schadenbild so lange unverändert zu lassen, bis der Versicherer eine Veränderung gestattet. Sind Veränderungen unumgänglich, ist das Schadenbild nachvollziehbar zu dokumentieren. Das Trennen vom Netz ist eine solche Veränderung — halten Sie es deshalb mit Uhrzeit im Protokoll fest. Ihre eigenen Bedingungen können abweichen. Welche Pflichten schon vor dem Schadenfall gelten, beschreibt der Ratgeber Cyberversicherung: Welche IT-Maßnahmen Versicherer voraussetzen.

Die Polizei hat für Unternehmen eigene Ansprechstellen, die Zentralen Ansprechstellen Cybercrime (ZAC). In Niedersachsen ist sie beim Landeskriminalamt angesiedelt und per E-Mail an zac@lka.polizei.niedersachsen.de erreichbar. Das LKA sichert zu, dass alle Informationen vertraulich behandelt werden und der laufende Betrieb der IT-Systeme durch die Ermittlungen nicht beeinträchtigt wird.

Die Datenschutzaufsicht muss nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden informiert werden, wenn personenbezogene Daten verschlüsselt oder abgeflossen sind — außer die Verletzung führt voraussichtlich zu keinem oder nur geringem Risiko für die Betroffenen. Wer noch nicht alles weiß, gibt zur Fristwahrung eine vorläufige Meldung ab und ergänzt sie später; das sieht der Landesbeauftragte für den Datenschutz Niedersachsen ausdrücklich vor. Dieser Ratgeber ersetzt keine Rechtsberatung: Ob im Einzelfall eine Meldepflicht besteht, klären Sie mit Ihrem Datenschutzbeauftragten, falls Sie einen haben, oder mit einem Rechtsanwalt — wegen der kurzen Frist noch am ersten Tag.

Das BSI ist für Einrichtungen zuständig, die unter NIS2 fallen: Sie müssen einen erheblichen Sicherheitsvorfall binnen 24 Stunden als frühe Erstmeldung, binnen 72 Stunden als Meldung und spätestens einen Monat danach abschließend melden. Ob Ihr Betrieb dazugehört, klärt der Ratgeber NIS2: Sind Sie betroffen?.

Sollten Sie Lösegeld zahlen?

Das BSI rät grundsätzlich davon ab, auf die Erpressung einzugehen, und empfiehlt stattdessen, die Daten aus Datensicherungen in ein sauberes Netz zurückzuspielen. Die Polizei rät ebenso ab: Ob die Daten nach einer Zahlung tatsächlich entschlüsselt werden, ist nicht sicher, und es können weitere Forderungen folgen.

Zwei weitere Gründe werden im Moment der Erpressung leicht übersehen. Mit einer Zahlung finanzieren Sie nach Einschätzung des BSI möglicherweise weitere Angriffe auf andere; das BSI rät, eine etwaige Zahlung in jedem Fall mit den Ermittlungsbehörden und einem Rechtsanwalt abzustimmen. Und eine Zahlung schließt die Tür nicht, durch die die Täter gekommen sind. Ist die zentrale Benutzerverwaltung kompromittiert, empfiehlt das BSI, das Netz komplett neu aufzubauen — mit oder ohne Zahlung.

Auch die Versicherung ist kein Ausweg: In den Musterbedingungen des GDV ist die Zahlung von Löse- oder Erpressungsgeldern vom Versicherungsschutz ausgeschlossen. Was im Einzelfall gilt, regelt Ihre Police; sie kann von den Musterbedingungen abweichen.

Wie stellen Sie die Systeme sicher wieder her?

Wiederherstellen heißt nicht, die Daten zurückzuspielen, sobald eine Sicherung gefunden ist. Nach einem Ransomware-Angriff ist die Reihenfolge wichtiger als das Tempo:

1. Sicherungen prüfen, bevor sie angeschlossen werden: Angreifer bewegen sich nach Erkenntnissen des BSI teilweise mehrere Wochen im Netz, bevor sie verschlüsseln, und können so bereits in die Sicherung gelangt sein. Das BSI empfiehlt, vorher zu prüfen, ob saubere, nicht kompromittierte Sicherungen vorhanden sind, und wenn möglich mit Kopien der Sicherungen zu arbeiten.
2. Neu aufbauen statt reinigen: Das BSI empfiehlt, infizierte Systeme als vollständig kompromittiert zu betrachten. Sie werden neu aufgesetzt, dann werden die geprüften Daten eingespielt.
3. In der richtigen Reihenfolge: zuerst Netzwerk, Firewall und Benutzerverwaltung, dann die Anwendungen, ohne die das Geschäft nicht läuft, zuletzt der Rest. Diese Reihenfolge sollte vorher in der IT-Dokumentation stehen.
4. Alle Passwörter ändern: Zugangsdaten, die auf betroffenen Systemen gespeichert oder nach der Infektion eingegeben wurden, gelten laut BSI als kompromittiert — auch die im Browser und im E-Mail-Programm gespeicherten. Geändert wird von einem sauberen Gerät aus.
5. Die Einfallstür schließen: nicht benötigte Fernzugänge sperren, den Netzwerkverkehr beobachten und die Ursache beheben, bevor die Systeme wieder ans Internet gehen.

Wie lange die Wiederherstellung dauert, hängt von der Größe der Umgebung, dem Zustand der Sicherungen und davon ab, ob der Wiederanlauf geübt wurde. Eine seriöse Zeitangabe gibt es erst nach der Analyse. Wie eine Sicherung aufgebaut sein muss, die einen Angriff übersteht, steht im Ratgeber zum Backup-Konzept nach 3-2-1.

Wie informieren Sie Mitarbeitende und Kunden?

Wenn E-Mail oder Telefonanlage mit betroffen sind, braucht der Betrieb einen Kommunikationsweg, der nicht über die angegriffenen Systeme läuft: eine Telefonkette über Mobilnummern, einen Aushang, eine feste Uhrzeit für Lagebesprechungen. Für jede Gruppe gilt etwas anderes:

• Mitarbeitende: was passiert ist, welche Geräte nicht benutzt werden dürfen, wie bis zur Wiederherstellung gearbeitet wird und wer Fragen beantwortet.
• Kunden und Geschäftspartner: was betroffen ist, was nicht, und wann es neue Informationen gibt. Das BSI weist darauf hin, dass sich Pflichten zur Information von Vertragspartnern auch aus Verträgen ergeben können.
• Presse und Öffentlichkeit: Nur eine Person spricht nach außen. Das BSI rät, Regeln für die Kommunikation nach innen und außen vorab festzulegen, weil gute Krisenkommunikation einen Imageschaden begrenzen kann.

Sagen Sie, was Sie wissen, und auch, was Sie noch nicht wissen. Eine Meldung, die später zurückgenommen werden muss, kostet mehr Vertrauen als der Satz „Wir wissen es noch nicht, die nächste Information kommt morgen um zehn Uhr“.

Was Sie heute vorbereiten sollten

Fast alles, was in den ersten 24 Stunden nach einem Ransomware-Angriff hilft, muss vorher erledigt sein. Diese Punkte sind die Grundlage:

• Notfallkarte aushängen: die IT-Notfallkarte des BSI mit den eigenen Ansprechpartnern ausfüllen und aufhängen, so wie den Aushang für den Brandfall.
• Notfallkontakte ausdrucken: IT-Dienstleister, Versicherung mit Vertragsnummer, ZAC, Datenschutzbeauftragter, Geschäftsleitung. Im Ernstfall sind Adressbuch und E-Mail möglicherweise verschlüsselt; das BSI rät deshalb, notwendige Dokumente und Kontaktdaten auch ausgedruckt vorzuhalten.
• Eine Datensicherung vom Netz trennen: Das BSI empfiehlt, zumindest eine Kopie offline zu halten, getrennt von allen anderen Systemen, und regelmäßig zu prüfen, ob die Trennung wirkt.
• Wiederherstellung üben: Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung. Das BSI rät, auch den Wiederanlauf aller Systeme zu planen und zu üben.
• Administratorkonten schützen: getrennte Konten für die Verwaltung, Zwei-Faktor-Anmeldung für Administratoren und Fernzugänge. Für Microsoft 365 steht das Vorgehen im Ratgeber Microsoft 365 absichern.
• Wiederanlaufreihenfolge festlegen: Welche Geschäftsprozesse sind kritisch, und welche Systeme brauchen sie zwingend?
• Versicherungsbedingungen lesen: Welche Obliegenheiten gelten, welche Schadenhotline gilt, und gibt der Versicherer Dienstleister vor?
• Meldewege klären: Das BSI empfiehlt, Meldewege für externe Meldepflichten vorab vorzubereiten, damit Fristen im Notfall eingehalten werden.

Einen Angriff verhindert diese Liste nicht mit Sicherheit, aber sie verkürzt die Zeit, in der niemand weiß, was zu tun ist. Datensicherung nach dem 3-2-1-Prinzip mit Wiederherstellungstests und eine dokumentierte Wiederanlaufreihenfolge gehören bei uns zum Umfang der IT-Betreuung.