Ransomware: Die ersten Schritte im Ernstfall

Ransomware verschlüsselt Dateien und verlangt Lösegeld für die Entschlüsselung. Was in den ersten Minuten passiert, entscheidet oft mit darüber, wie groß der Schaden am Ende wirklich wird — im Guten wie im Schlechten.

Sofort: Verbindung trennen, nicht ausschalten

Der erste Reflex ist oft, den Rechner sofort auszuschalten. Besser ist es, das Gerät vom Netzwerk zu trennen — Netzwerkkabel ziehen oder WLAN deaktivieren — statt es herunterzufahren. Damit wird verhindert, dass sich die Verschlüsselung auf andere Geräte im Netzwerk ausbreitet, während gleichzeitig Spuren erhalten bleiben, die später bei der Analyse helfen können.

Was auf keinen Fall passieren sollte

• Nicht bezahlen — es gibt keine Garantie, dass die Daten danach wirklich entschlüsselt werden, und es finanziert weitere Angriffe.
• Nicht in Panik alle Systeme neu aufsetzen, bevor klar ist, welche Geräte überhaupt betroffen sind — sonst gehen möglicherweise noch rettbare Daten verloren.
• Nicht versuchen, die Verschlüsselung selbst mit Tools aus dem Internet rückgängig zu machen, ohne zu wissen, um welche Ransomware-Variante es sich handelt — im schlimmsten Fall wird dabei noch mehr zerstört.

Der eigentliche Rettungsanker: das Backup

Genau an dieser Stelle zeigt sich, warum ein sauber getrenntes Backup (siehe 3-2-1-Prinzip) keine Formsache ist. Ist eine aktuelle, unverschlüsselte Sicherung vorhanden, ist der Weg zurück meist überschaubar: betroffene Systeme bereinigen oder neu aufsetzen, Daten aus dem Backup zurückspielen, fertig. Ohne Backup bleibt oft nur die Wahl zwischen Zahlen und Datenverlust — beides schlechte Optionen.

Melden nicht vergessen

Ein Ransomware-Vorfall sollte der Polizei gemeldet werden (Zentrale Ansprechstellen Cybercrime der Länder, kurz ZAC), und je nachdem, ob personenbezogene Daten betroffen sind, unter Umständen auch der zuständigen Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden. Das wird in der Aufregung leicht vergessen, ist aber rechtlich relevant.

Der beste Zeitpunkt, sich vorzubereiten, ist vorher

Ein Ransomware-Vorfall lässt sich im Nachhinein selten komplett schadenfrei auflösen — er lässt sich aber deutlich entschärfen, wenn vorher ein paar Dinge stimmen: aktuelle, getrennte Backups, zeitnah eingespielte Sicherheitsupdates, und ein grobes Vorgehen, das im Ernstfall nicht erst erfunden werden muss.

Der Unterschied zwischen "ärgerlicher Tag" und "existenzbedrohender Vorfall" ist meistens ein sauberes Backup.