Ransomware-Angriff: Die ersten 24 Stunden entscheiden

Sofortmaßnahmen nach Entdeckung

• Betroffene Systeme isolieren, um die Ausbreitung zu stoppen
• Vorhandene Backups vom Netz trennen und schützen
• Verantwortliche und externe Unterstützung informieren
• Kommunikation intern und gegenüber Behörden vorbereiten

Ursachen verstehen, nicht nur Symptome bekämpfen

Im nächsten Schritt steht die forensische Analyse im Mittelpunkt. Ziel ist es, den Einstiegspunkt des Angriffs nachzuvollziehen und zu verstehen, welche Systeme tatsächlich betroffen sind.

Dazu gehören die Auswertung relevanter Logdaten, die Sicherung digitaler Spuren und die Identifikation der ausgenutzten Schwachstellen.

Wiederherstellung mit Augenmaß

• Systeme bereinigen oder neu aufsetzen
• Backups sorgfältig auf Integrität prüfen
• Schrittweise Wiederinbetriebnahme statt überstürzter Komplettrückkehr
• Sicherheitsrelevante Konfigurationen überprüfen

Lehren aus dem Vorfall ziehen

Nach der akuten Phase ist es wichtig, den Vorfall umfassend zu dokumentieren und gezielte Maßnahmen abzuleiten.

Häufig zeigt eine ehrliche Nachbetrachtung, dass mehrere kleine organisatorische und technische Verbesserungen den nächsten Vorfall verhindern können.

Die ersten 24 Stunden im Zeitraffer

Für die Praxis hilft ein grober zeitlicher Rahmen. Er ist kein starres Schema, aber er verhindert die zwei häufigsten Fehler: kopflose Sofortaktionen und stundenlanges Zögern.

• Stunde 0-2, Eindämmen und Ruhe bewahren: Betroffene Systeme vom Netz isolieren (nicht ausschalten, Arbeitsspeicher enthält wertvolle Spuren), Backups physisch oder logisch trennen, Notfall-Kontakte aktivieren, ein Lagebild-Dokument beginnen: Wer hat wann was festgestellt und entschieden?
• Stunde 2-6, Lage verstehen: Umfang klären: Welche Systeme sind verschlüsselt, welche nur erreichbar gewesen? Externe Unterstützung hinzuziehen, bevor Beweise durch gut gemeinte Aufräumarbeiten verloren gehen. Keine voreiligen Neuinstallationen.
• Stunde 6-12, Kommunikation ordnen: Interne Sprachregelung festlegen, Geschäftsführung und gegebenenfalls Datenschutzbeauftragte einbinden, Meldepflichten prüfen: DSGVO-Meldung binnen 72 Stunden bei Personenbezug, für NIS2-betroffene Unternehmen die Erstmeldung an das BSI binnen 24 Stunden.
• Stunde 12-24, Wiederanlauf vorbereiten: Backups auf Integrität und Infektionsfreiheit prüfen, Wiederanlauf-Reihenfolge nach Geschäftskritikalität festlegen, Zugangsdaten der betroffenen Bereiche zurücksetzen. Erst bereinigen und absichern, dann wiederherstellen.

Diese Fehler vergrößern den Schaden

• Sofort alles ausschalten: Damit gehen flüchtige Spuren im Arbeitsspeicher verloren, die für die Ursachenanalyse entscheidend sind. Isolieren statt ausschalten.
• Vorschnell aus dem Backup wiederherstellen: Wenn der Einstiegspunkt nicht geschlossen ist, wird die wiederhergestellte Umgebung erneut verschlüsselt, und das Backup ist möglicherweise selbst kompromittiert.
• Mit den Angreifern verhandeln, ohne Lage und Rechtsrahmen zu kennen: Lösegeldzahlung garantiert weder Entschlüsselung noch Verschwiegenheit und sollte nie ohne fachliche und rechtliche Beratung erwogen werden.
• Meldefristen verstreichen lassen: Verspätete Meldungen verschärfen die Lage gegenüber Behörden und Versicherern unnötig.
• Den Vorfall nach der Wiederherstellung abhaken: Ohne Ursachenanalyse bleibt der Einstiegspunkt offen, Wiederholungsangriffe auf bereits erpresste Unternehmen sind ein bekanntes Muster.

Häufige Fragen zum Ransomware-Ernstfall

Vorbereitung ist die halbe Reaktion

Ob die ersten 24 Stunden geordnet oder chaotisch verlaufen, entscheidet sich vor dem Angriff: mit kontinuierlicher Überwachung, die den Angriff früh erkennt (siehe Was macht ein Security Operations Center?), getesteten Backups und einem geübten Notfallplan. Im akuten Fall finden Sie Sofortmaßnahmen und die 24/7-Hotline auf unserer Notfall-Seite; zur Vorbereitung empfiehlt sich ein kostenloses Analysegespräch.