Ransomware: richtig handeln vorher, währenddessen und danach
Ransomware verschlüsselt Ihre Dateien und verlangt ein Lösegeld für ihre Freigabe. Der Schaden hängt vor allem davon ab, was vor dem Angriff vorbereitet wurde, und von den ersten Entscheidungen.
Redaktionsteam von Kayzen Security3 Min. Lesezeit
Vorher: Risiko und Folgen verringern
- Regelmäßige Backups, davon mindestens eine vom Netzwerk getrennte Kopie, und eine getestete Wiederherstellung.
- Zügige Updates für Systeme, Software und aus dem Internet erreichbare Geräte (VPN, E-Mail, Fernzugriff).
- Mehrfaktor-Authentifizierung für Fernzugriffe, E-Mail und Administratorkonten.
- Begrenzte Rechte: Nutzer arbeiten nicht mit einem Administratorkonto.
- Schutz der Rechner (Virenschutz, Filterung schädlicher Websites) und Vorsicht bei Anhängen.
- Ein schriftlicher Notfallplan: wen anrufen, wie isolieren, wo die Backups liegen, wie im Notbetrieb arbeiten.
Währenddessen: die ersten Minuten
- Trennen Sie das Gerät vom Netzwerk (Kabel, WLAN), um die Ausbreitung zu begrenzen. Formatieren Sie es nicht: Es enthält Spuren, die für die Ermittlungen nützlich sind.
- Informieren Sie sofort Ihren IT-Dienstleister oder Ihren Sicherheitsverantwortlichen.
- Trennen Sie noch angeschlossene Backups, um sie zu schützen.
- Zahlen Sie das Lösegeld nicht: Das ist die beständige Empfehlung der Behörden. Nichts garantiert die Wiederherstellung der Daten, und es finanziert die Angreifer.
- Notieren Sie die Uhrzeit, die angezeigten Meldungen und die durchgeführten Schritte.
Danach: melden, untersuchen, neu starten
- Erstatten Sie Anzeige bei Polizei oder Gendarmerie und lassen Sie sich von 17Cyber (17cyber.gouv.fr) an Dienstleister in Ihrer Nähe vermitteln.
- Sind personenbezogene Daten betroffen, prüfen Sie die Pflicht, die CNIL innerhalb von 72 Stunden zu benachrichtigen (Artikel 33 DSGVO), und bei hohem Risiko die betroffenen Personen zu informieren.
- Fällt Ihre Organisation unter NIS2, gelten besondere Meldefristen gegenüber der zuständigen Behörde.
- Besuchen Sie die Website No More Ransom (Europol und Partner): Sie bietet kostenlose Entschlüsselungstools für bestimmte Ransomware-Familien.
- Ermitteln Sie das Einfallstor, schließen Sie es, setzen Sie Passwörter zurück und stellen Sie dann aus sauberen Backups wieder her.
- Gegen Cyberrisiken versicherte Unternehmen: Das französische Versicherungsgesetzbuch (Artikel L.12-10-1) macht die Entschädigung von einer Anzeige abhängig, die spätestens 72 Stunden nach Entdeckung des Angriffs erstattet wird. Erstatten Sie umgehend Anzeige und informieren Sie dann Ihren Versicherer. Mit Ihrem Versicherer oder einer Fachkraft zu klären.
Offizielle Quellen
- 17Cyber (neuer Tab) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- Cybermalveillance.gouv.fr (neuer Tab) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- No More Ransom (neuer Tab) — Outils de déchiffrement gratuits (Europol et partenaires)
- CNIL (neuer Tab) — Commission nationale de l'informatique et des libertés
- ANSSI (neuer Tab) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Die genannten Quellen werden von ihren Urhebern in ihrer Originalsprache veröffentlicht. Kayzen ist mit keiner dieser Stellen verbunden.
Dieser Leitfaden dient der allgemeinen Information. Er ersetzt weder eine Rechtsberatung noch das Eingreifen einer Fachkraft für IT-Sicherheit.