Ransomware ist Schadsoftware beziehungsweise eine Erpressungsoperation, bei der Angreifer Systeme oder Daten unbrauchbar machen und Lösegeld verlangen. Moderne Gruppen stehlen Daten häufig vor der Verschlüsselung („Double Extortion“) und drohen zusätzlich mit Veröffentlichung, Kundenkontakt oder Denial-of-Service. Ransomware ist daher nicht nur ein Backup-, sondern ein Identitäts-, Netzwerk- und Incident-Response-Thema.
Typischer Ablauf einer Ransomware-Operation
- Initial Access:
Phishing, gestohlene Zugänge, exponierte Fernwartung oder ausgenutzte Schwachstellen. - Ausbreitung:
Privilege Escalation, Credential Dumping und Lateral Movement. - Vorbereitung:
Sicherheitswerkzeuge stören, Backups suchen, Daten sammeln und exfiltrieren. - Impact:
Dateien und Systeme verschlüsseln, Dienste stoppen und Wiederherstellung erschweren. - Erpressung:
Lösegeldforderung, Fristsetzung und Drohung mit Datenveröffentlichung.
Welche Maßnahmen reduzieren das Risiko?
| Bereich | Konkrete Maßnahme |
|---|---|
| Identitäten | Phishing-resistente MFA, getrennte Adminkonten, minimale Rechte, Schutz von Servicekonten. |
| Angriffsfläche | Internetdienste inventarisieren, bekannte ausgenutzte Lücken priorisieren, Fernzugriffe begrenzen. |
| Netzwerk | Segmentierung, Managementpfade trennen und Ost-West-Verkehr überwachen. |
| Backups | 3-2-1-Prinzip, immutable/offline Kopie, getrennte Credentials und regelmäßig getestete Wiederherstellung. |
| Erkennung | Ungewöhnliche Adminwerkzeuge, Massenänderungen, Exfiltration und deaktivierte Kontrollen alarmieren. |
Was ist im Ernstfall zu tun?
- - Incident-Response-Team aktivieren, Entscheidungen und Zeitpunkte dokumentieren.
- - Betroffene Systeme kontrolliert isolieren, aber flüchtige Beweise und kritische Prozesse berücksichtigen.
- - Identitäten, Tokens und Schlüssel aus einer sauberen Umgebung widerrufen beziehungsweise rotieren.
- - Umfang, Initialzugang, Persistenz und Datenabfluss forensisch bestimmen.
- - Melde-, Versicherungs-, Vertrags- und Kommunikationspflichten mit zuständigen Experten prüfen.
- - Wiederherstellung aus verifizierten, sauberen Backups priorisieren; Systeme vor Wiederanschluss härten.
Eine Lösegeldzahlung garantiert weder Entschlüsselung noch Löschung gestohlener Daten und kann rechtliche Risiken besitzen. Entscheidungen gehören in einen vorbereiteten Krisenprozess mit Geschäftsführung, Forensik, Rechtsberatung und zuständigen Behörden.
Nützliche Open-Source-Werkzeuge
Velociraptor unterstützt Endpoint-Suche und Forensik, YARA klassifiziert verdächtige Dateien und Sigma beschreibt portable Log-Erkennungen. Chainsaw durchsucht Windows-Ereignisse mit Sigma-Regeln. Werkzeuge sollten Teil vorbereiteter Playbooks sein; eine hektische Erstinstallation während des Vorfalls kann Beweise verändern.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.