Wie man eine Infektion mit Ransomware vermeidet: praktische Anleitung zum Schutz

Wie man eine Infektion mit Ransomware vermeidet, ist eine der Hauptfragen für Benutzer, Administratoren und Geschäftsinhaber. Ransomware blockiert den Zugriff auf Dateien und fordert Lösegeld für die Entschlüsselung. In diesem Artikel sind praktische Maßnahmen zusammengestellt: Backup, Aktualisierungen, E-Mail-Schutz, Konfiguration von Berechtigungen, Kontrolle des Remote-Zugriffs und Aktionsplan bei Verdacht auf Infektion. Das Ziel ist einfach: die Wahrscheinlichkeit eines Angriffs zu verringern und Daten nicht zu verlieren, selbst wenn die Malware dennoch ins System gelangt.

Ransomware ist nicht nur gefährlich, weil sie Dokumente, Fotos, Datenbanken und Arbeitsprojekte beschädigt. Sie verbreitet sich oft im Netzwerk, deaktiviert Sicherheitswerkzeuge, löscht Schattenkopien und versucht, Backup-Speicher zu verschlüsseln. Daher reicht ein Antivirus-Programm nicht aus. Es bedarf eines mehrschichtigen Schutzes, bei dem jede Maßnahme einen bestimmten Angriffsweg schließt.

Was ist Ransomware und wie infiziert sie Geräte

Ransomware ist ein Malware-Programm, das Dateien verschlüsselt oder das System blockiert und dann eine Lösegeldforderung anzeigt. Angreifer versprechen, den Entschlüsselungsschlüssel nach der Zahlung zu liefern, aber es gibt keine Garantie. Selbst wenn der Schlüssel tatsächlich geschickt wird, könnten die Daten beschädigt sein, und die betreffende Organisation kann erneut angegriffen werden.

Normalerweise geschieht die Infektion nicht "von alleine". Oft gibt es einen konkreten Einstiegspunkt: eine E-Mail mit einem Anhang, ein Link zu einer gefälschten Website, eine Schwachstelle in alter Software, ein schwaches Passwort für den Remote-Desktop oder der Start eines Raubprogramms. Das Verständnis dieser Szenarien hilft, Schutzmaßnahmen ohne übermäßige Panik zu implementieren.

Hauptkanäle der Infektion

In der Praxis gelangt Ransomware am häufigsten über folgende Kanäle in das System:

• Phishing-E-Mails mit schädlichen Anhängen oder Links;
• Dokumente mit Makros, Skripten und passwortgeschützten Archiven;
• gehackte Konten und schwache Passwörter;
• ungeschütztes RDP, VPN oder Administrations-Panel;
• Schwachstellen im Betriebssystem, in Browsern, Office-Anwendungen und Servern;
• Raubkopierte Software, „Aktivatoren“, Keygens und fragwürdige Builds;
• infizierte USB-Sticks und Netzwerkordner mit weitreichenden Zugriffsrechten;
• Kompromittierung eines Anbieters oder externen Auftragnehmers.

Es ist wichtig zu beachten, dass der Angriff auch manuell erfolgen kann. In diesem Fall etabliert sich der Angreifer zunächst im Netzwerk, studiert die Infrastruktur, erhöht die Privilegien, deaktiviert den Schutz und startet erst dann die Verschlüsselung. Daher sollte die Prävention nicht nur den Schutz eines einzelnen Computers umfassen, sondern auch die Kontrolle von Konten, Netzwerkzugängen und Backups.

Kurzer Schutzplan gegen Ransomware

Wenn Sie eine schnelle Checkliste benötigen, beginnen Sie mit diesen Maßnahmen. Sie schließen die häufigsten Ursachen für Infektionen aus und helfen, ohne Zahlung des Lösegelds wiederherzustellen.

1. Richten Sie das Backup nach der 3-2-1-Regel ein.
2. Aktualisieren Sie regelmäßig das Betriebssystem, Browser, Office-Anwendungen und Server-Software.
3. Aktivieren Sie einen zuverlässigen Endgeräteschutz: Antivirus, EDR oder integrierte OS-Tools.
4. Beschränken Sie die Benutzerrechte und arbeiten Sie nicht ständig als Administrator.
5. Schützen Sie E-Mails vor Phishing, Anhängen mit Makros und verdächtigen Links.
6. Schließen Sie offenes RDP aus dem Internet oder verlagern Sie den Zugang über VPN mit MFA.
7. Verwenden Sie einzigartige komplexe Passwörter und Multi-Faktor-Authentifizierung.
8. Segmentieren Sie das Netzwerk und beschränken Sie den Zugriff auf Netzwerkordner.
9. Schulen Sie Mitarbeiter, um verdächtige E-Mails und Anfragen zu erkennen.
10. Bereiten Sie einen Notfallplan vor: wen benachrichtigen, was trennen, wo Backups suchen.

Ein solches Maßnahmenbündel garantiert keine absolute Sicherheit. Es erschwert jedoch einen Angriff erheblich und verringert den Schaden, wenn eine Infektion auftritt.

Backup als Hauptschutz der Daten

Backups sind die letzte Verteidigungslinie. Wenn Dateien verschlüsselt sind und saubere Kopien verfügbar sind, kann das Unternehmen oder der Benutzer sich ohne Zahlung des Lösegelds wiederherstellen. Aber Backups müssen richtig organisiert sein. Eine einfache Kopie auf einem angeschlossenen Netzlaufwerk könnte zusammen mit anderen Dateien verschlüsselt werden.

Verwenden Sie die 3-2-1-Regel

Die klassische 3-2-1-Regel sieht folgendermaßen aus:

• 3 Kopien von Daten: aktive Version und mindestens zwei Backups;
• 2 verschiedene Speichermedien oder -speicher: z.B. lokaler NAS und Cloud-Speicher;
• 1 Kopie außerhalb der Hauptinfrastruktur: Offline-Disk, Objektspeicher mit Unveränderlichkeit oder entferntes Gelände.

Für den Schutz vor Ransomware sind unveränderliche Backups besonders nützlich. Es handelt sich um Kopien, die während eines bestimmten Zeitraums nicht geändert oder gelöscht werden können. In Cloud-Umgebungen wird diese Funktion oft als Object Lock, Unveränderlichkeit oder Retention Lock bezeichnet. In der Unternehmensumgebung sollte sie für kritische Daten aktiviert werden.

Überprüfen Sie die Wiederherstellung, nicht nur die Erstellung von Kopien

Ein Fehler vieler Organisationen ist zu glauben, dass das Vorhandensein eines Backup-Jobs bereits Sicherheit bedeutet. Tatsächlich ist es wichtig, regelmäßig Wiederherstellungstests durchzuführen. Eine Kopie könnte unvollständig, beschädigt, veraltet oder aufgrund falscher Zugangsdaten nicht verfügbar sein.

Minimale Prüfungsanordnung:

1. Wählen Sie einige kritische Dateien, Datenbanken oder virtuelle Maschinen aus.
2. Stellen Sie diese in einer Testumgebung wieder her, ohne das Arbeitssystem zu beeinträchtigen.
3. Überprüfen Sie die Integrität der Daten und den Start der Anwendungen.
4. Notieren Sie die Wiederherstellungszeit.
5. Aktualisieren Sie die Anleitung, wenn Fehler entdeckt werden.

Für den Heimbenutzer ist die Prüfung einfacher: Öffnen Sie einige Dateien aus dem Backup, stellen Sie sicher, dass Fotos, Dokumente und Archive lesbar sind, und trennen Sie dann die externe Festplatte vom Computer.

Aktualisierungen und Patchen von Schwachstellen

Aktualisierungen schließen Fehler, die für externe Infektionen ausgenutzt werden können. Je länger das System ohne Patches arbeitet, desto höher ist das Risiko, dass eine bekannte Schwachstelle gegen es verwendet wird. Dies betrifft nicht nur Windows, macOS oder Linux, sondern auch Browser, Erweiterungen, Office-Pakete, Archivierungsprogramme, VPN-Gateways, CMS, Datenbankserver und Netzwerktechnologie.

Was zuerst aktualisieren

Prioritäten sollten nach Risiko gesetzt werden. Aktualisieren Sie zuerst:

• Betriebssysteme von Arbeitsstationen und Servern;
• Browser und E-Mail-Clients;
• Microsoft Office, LibreOffice und PDF-Viewer;
• VPN, RDP-Gateways, Firewalls und Router;
• Hypervisoren und Virtualisierungsplattformen;
• Backup-Systeme;
• öffentliche Webanwendungen, CMS und Plugins;
• Java, .NET, Python, Node.js und andere Laufzeitkomponenten, wenn sie verwendet werden.

In einer Geschäftsumgebung ist es hilfreich, ein Asset-Register zu führen. Es ist unmöglich, qualitativ hochwertige Updates für etwas durchzuführen, das niemand kennt. Selbst eine einfache Tabelle mit einer Liste von Servern, Softwareversionen und verantwortlichen Personen ist besser als keine Aufzeichnung.

Sicher aktualisieren

Für Heimgeräte genügt es in der Regel, automatische Updates zu aktivieren. Für Organisationen sollte der Ansatz gezielter sein: Testgruppe, Wartungsfenster, Backup vor kritischen Updates und Überwachung nach der Installation.

Dabei sollten Patches nicht endlos aufgeschoben werden aus Angst, "etwas zu brechen". Verwundbare VPN-Gateways, alte Mailserver und öffentliche Verwaltungsoberflächen sind häufig Einstiegspunkte für Ransomware. Der Balanceakt ist folgender: zuerst Test, dann schnelle Implementierung in kritischen Systemen.

E-Mail- und Browserschutz

Phishing bleibt eine der bequemsten Methoden zur Verbreitung von malware. Eine E-Mail kann wie eine Rechnung, akt, Benachrichtigung von einem Lieferdienst, Lebenslauf, Anfrage vom Vorgesetzten oder Nachricht von der Bank aussehen. Manchmal kopieren Angreifer den Stil eines echten Geschäftspartners und verwenden eine ähnliche Domain.

Wie man eine Phishing-E-Mail erkennt

Achten Sie auf Risikenignale:

• unerwartete Datei oder Link, insbesondere wenn der Absender drängt;
• Archiv mit einem Passwort, das in der E-Mail angegeben ist;
• Bitte, Makros zu aktivieren oder "Bearbeitung zu erlauben";
• Absenderadresse, die dem echten ähnlich ist, aber unnötige Symbole enthält;
• Text, der auf Angst, Dringlichkeit oder Drohungen drängt;
• Link führt zu einer Domain, die nicht mit der offiziellen übereinstimmt;
• Anhang hat eine doppelte Erweiterung, z.B. rechnung.pdf.exe;
• E-Mail stammt von einer bekannten Person, aber ist in einem ungewöhnlichen Stil verfasst.

Wenn Sie Zweifel haben, ist es besser, den Absender über einen anderen Kanal zu kontaktieren: anrufen, in einer Messenger schreiben oder eine neue E-Mail an die bekannte Adresse verfassen. Antworten Sie nicht direkt auf eine verdächtige E-Mail, da die Adresse möglicherweise gefälscht wurde.

Einstellungen, die das Infektionsrisiko über E-Mail verringern

Für Organisationen sind technische Maßnahmen nützlich:

• Filterung von Anhängen nach Dateitypen;
• Blockierung von ausführbaren Dateien in Archiven;
• Prüfung von Links und Anhängen in einer Sandbox;
• Einrichtung von SPF, DKIM und DMARC für die Domain;
• Verbot von Makros aus dem Internet;
• Warnungen über E-Mails von externen Absendern;
• spezielle Regeln für Finanzdokumente und Zahlungsanfragen.

Auch für private E-Mails gibt es einfache Schritte. Verwenden Sie einen modernen E-Mail-Dienst, aktivieren Sie die Zwei-Faktor-Authentifizierung, öffnen Sie keine verdächtigen Anhänge und geben Sie kein Passwort ein, nachdem Sie auf einen Link in einer E-Mail geklickt haben. Es ist besser, die Website im Browser selbst zu öffnen und sich über ein Lesezeichen oder manuell eingegebene Adresse einzuloggen.

Kontrolle von Zugriffsrechten und Konten

Ransomware verschlüsselt normalerweise nur die Dateien, auf die der gestartete Prozess Zugriff hat. Wenn der Benutzer Berechtigungen für alle Netzwerkordner hat, wird der Schaden viel größer sein. Daher ist das Prinzip minimaler Privilegien eine der wichtigsten Methoden zum Schutz vor Ransomware.

Arbeiten Sie nicht ständig als Administrator

Das Alltagskonto sollte keine Administratorrechte haben. Administrative Rechte werden nur zum Installieren von Software, Ändern von Systemeinstellungen und Wartung benötigt. Für diese Aufgaben sollten separate Konten verwendet werden.

In Unternehmen sollten Rollen getrennt werden:

• Normaler Benutzer — Zugriff nur auf seine Arbeitsdaten;
• Lokaler Administrator — eingeschränkt und auf Anfrage;
• Domänenadministrator — nur für Verwaltungsaufgaben der Domäne;
• Dienstkonten — mit minimalen Berechtigungen und ohne interaktive Anmeldung;
• Konten von Auftragnehmern — mit begrenzter Dauer.

Ein solcher Ansatz verringert die Wahrscheinlichkeit, dass eine infizierte Arbeitsstation zur Verschlüsselung des gesamten Netzwerks führt.

Aktivieren Sie die Multi-Faktor-Authentifizierung

MFA schützt das Konto selbst im Falle eines Passwortlecks. Besonders wichtig ist die Aktivierung der Multi-Faktor-Authentifizierung für:

• E-Mail;
• VPN;
• Cloud-Speicher;
• Administrations-Panels;
• Backup-Systeme;
• Konten von Administratoren;
• Remote-Zugriff für Auftragnehmer.

Es ist besser, Authenticator-Apps, Hardware-Schlüssel oder Push-Bestätigungen mit Schutz gegen Erschöpfungsangriffe zu verwenden. SMS sind besser als das Fehlen eines zweiten Faktors, für kritische Konten sind jedoch verlässlichere Methoden anzuwenden.

Sichere Remote-Zugriffe

Offenes RDP im Internet ist ein häufiger Kompromittierungsgrund. Angreifer scannen Adressen, erraten Passwörter, verwenden gestohlene Zugangsdaten oder greifen Schwachstellen an. Nach dem Login können sie den Schutz deaktivieren, das Netzwerk untersuchen und Ransomware manuell starten.

Wie man RDP, VPN und Admin-Panels schützt

Verwenden Sie die folgende Reihenfolge:

1. Entfernen Sie den direkten Zugriff auf RDP aus dem Internet.
2. Erlauben Sie Verbindungen nur über VPN oder ein gesichertes Gateway.
3. Aktivieren Sie MFA für alle Remote-Zugänge.
4. Beschränken Sie den Zugriff nach IP, wenn möglich.
5. Richten Sie eine Sperrung bei mehrfachen fehlgeschlagenen Anmeldeversuchen ein.
6. Verwenden Sie komplexe einzigartige Passwörter oder Schlüssel-Authentifizierung.
7. Führen Sie Login-Protokolle und überprüfen Sie regelmäßig auf Anomalien.
8. Schließen Sie die Konten ehemaliger Mitarbeiter und Auftragnehmer sofort nach Beendigung der Arbeit.

Wenn Server remote verwaltet werden, sollten separate Admin-Konten eingerichtet werden. Verwenden Sie nicht einen gemeinsamen Login für das gesamte Team. Andernfalls wird es bei einem Vorfall schwierig sein zu verstehen, wer zu welchem Zeitpunkt welche Aktionen ausgeführt hat.

Schutzsoftware, EDR und integrierte Systemfunktionen

Antivirus sollte nicht die einzige Verteidigungslinie sein, ist aber notwendig. Moderne Schutzmittel überprüfen Dateien, das Verhalten von Prozessen, Netzverbindungen, Skripte und Versuche der massenhaften Datenänderung. In Unternehmensumgebungen hilft EDR, verdächtige Aktivitäten zu erkennen: Start von PowerShell mit gefährlichen Parametern, Deaktivierung von Schutzdiensten, Brute-Force-Angriffe auf Konten, Löschung von Schattenkopien.

Welche Funktionen aktiviert werden sollten

Für Arbeitsstationen und Server sind folgende Funktionen nützlich:

• Echtzeitschutz;
• Cloud-Reputation-Prüfung von Dateien;
• Kontrolle des Skripstarts;
• Schutz vor Exploits;
• Zugriffskontrolle auf Ordner;
• Erkennung von massenhaften Dateiänderungen;
• Verbot der Deaktivierung des Schutzes ohne Bestätigung durch den Administrator;
• zentrale Benachrichtigungen über Sicherheitsereignisse.

In Windows sollte auf integrierte Mechanismen geachtet werden, wie Microsoft Defender, Controlled Folder Access, SmartScreen, BitLocker, AppLocker oder Windows Defender Application Control. Auch in macOS und Linux ist es wichtig, die betriebsinternen Updates, Zugriffsrechte, Protokollierung und bewährte Schutzmittel zu verwenden.

Deaktivieren Sie den Schutz nicht wegen Bequemlichkeit

Ransomware versucht häufig, Antivirus zu deaktivieren, Backups zu löschen und Sicherheitsdienste zu stoppen. Daher sollten Benutzer nicht die Möglichkeit haben, den Schutz ohne Grund zu deaktivieren. Wenn ein Programm die Arbeit stört, ist es besser, eine Ausnahme gezielt einzustellen, nachdem eine Analyse erfolgt ist, anstatt alles vollständig auszuschalten.

Ausnahmen im Antivirus sollten minimal sein. Es ist nicht erlaubt, den gesamten Download-Ordner, E-Mail-Anhänge, Netzlaufwerke oder Verzeichnisse, in die Benutzer Dateien speichern können, in die Ausnahmen hinzuzufügen.

Netzwerktrennung und Schutz gemeinsamer Ordner

Wenn sich alle Geräte in einem einzigen flachen Netzwerk befinden, kann Ransomware einfacher verbreitet werden. Die Segmentierung begrenzt die Bewegung innerhalb der Infrastruktur. Selbst wenn eine Arbeitsstation infiziert wird, wird es für die Malware schwieriger, die Server, Backup-Speicher und kritischen Datenbanken zu erreichen.

Was im Netzwerk geteilt werden sollte

Mindestens sollten folgende Dinge getrennt werden:

• Arbeitsstationen der Mitarbeiter;
• Server mit kritischen Daten;
• Buchhaltungs- und Finanzsysteme;
• Backup-Systeme;
• Gäste-WLAN;
• Internet-of-Things-Geräte;
• Test- und Produktionsumgebungen;
• Administrator-arbeitsstationen.

Der Zugriff zwischen Segmenten sollte nur über die benötigten Ports und nur für die Nutzer oder Dienste, die ihn wirklich benötigen, erlaubt sein. Beispielsweise benötigt ein Buchhalter keinen Zugriff auf den Entwicklungsserver, und das Gäste-WLAN sollte keine internen Dateiresourcen sehen.

Wie man gemeinsame Ordner einrichtet

Gemeinsame Ordner werden häufig zu einem Hauptziel der Verschlüsselung. Daher sollten Berechtigungen in Gruppen vergeben und nicht manuell an jeden Benutzer ausgegeben werden. Veraltete Berechtigungen sollten entfernt und regelmäßig überprüft werden, wer Schreibzugriff hat.

Gute Praxis:

• Schreibzugriff nur an diejenigen zu geben, die tatsächlich Dateien bearbeiten;
• Archive von aktuellen Arbeitsordnern zu trennen;
• Protokollierung von Änderungen für kritische Verzeichnisse zu aktivieren;
• Quotas und Kontrolle anormalen Verhaltens zu verwenden;
• Backups nicht als reguläre Netzlaufwerke anzuschließen;
• den Zugriff von Dienstkonten zu beschränken.

Wenn ein Benutzer lediglich Anweisungen oder Vorlagen lesen möchte, braucht er kein Änderungsrecht. Diese einfache Regel verringert den möglichen Schaden erheblich.

Sicherer Umgang mit Dateien, USB-Sticks und Software

Viele Infektionen beginnen mit natürlichen Aktionen: eine Datei herunterladen, ein Archiv öffnen, eine "nützliche Anwendnung" installieren, einen USB-Stick anschließen oder ein unbekanntes Installationsprogramm starten. Daher ist digitale Hygiene nicht weniger wichtig als technische Einstellungen.

Überprüfen Sie die Quellen von Software

Laden Sie Anwendungen nur von offiziellen Websites, geprüften Geschäften oder internen Unternehmensportalen herunter. Vermeiden Sie raubkopierte Software, „Aktivatoren“, gehackte Versionen und Builds von zufälligen Foren. Solche Dateien werden häufig als nützliche Werkzeuge getarnt, enthalten jedoch Trojaner, Styler und Ransomware.

Stellen Sie sich vor der Installation drei Fragen:

1. Ist dieses Programm für die Arbeit notwendig?
2. Vertraue ich der Quelle?
3. Hat die Datei eine digitale Signatur oder Reputation?

Wenn die Antwort negativ ist, starten Sie den Installer besser nicht. In einem Unternehmen sollte die Installation neuer Software über einen Antrag oder ein vereinbartes Anwendungs-Repository erfolgen.

Deaktivieren Sie Auto-Start und verwenden Sie USB-Devices vorsichtig

USB-Sticks können Malware zwischen Geräten übertragen. Für den persönlichen Computer reicht es aus, den Auto-Start zu deaktivieren und die Medien mit Antivirus zu überprüfen. In Unternehmen sollten sie eine Richtlinie einführen: nur vertrauenswürdige USB-Sticks erlauben, unbekannte Geräte zu verbieten und eine Buchführung von Medien mit wichtigen Daten zu führen.

Wenn Mitarbeiter Dateien mit Partnern austauschen, ist es besser, ein sicheres Cloud-Portal oder einen Unternehmensspeicher zu verwenden, anstatt zufällige Archive in E-Mails und unkontrollierte USB-Sticks zu nutzen.

Vergleich von Schutzmaßnahmen gegen Ransomware

Hier ist eine kurze Tabelle, die hilft, Prioritäten zu setzen. Sie ist nützlich, wenn man schnell herausfinden möchte, wo man beginnen soll.

Schutzmaßnahme	Wovor schützt sie	Was ist wichtig zu überprüfen
3-2-1 Backups	Datenverlust nach Verschlüsselung	Gibt es eine Offline- oder unveränderliche Kopie, Wiederherstellung wurde getestet
Software Updates	Ausnutzung bekannter Schwachstellen	Patches sind auf OS, Browser, VPN, Server und Anwendungen installiert
MFA	Zugang mit gestohlenem Passwort	Zweiter Faktor ist für E-Mail, VPN, Administratoren und Cloud aktiviert
Rechte einschränken	Massenverschlüsselung von Netzwerkordnern	Benutzer haben keine überflüssigen Schreibrechte
E-Mail-Schutz	Phishing und schädliche Anhänge	Makros aus dem Internet sind blockiert, Anhänge werden gefiltert
RDP und VPN-Schutz	Hack des Remote-Zugriffs	Kein offenes RDP, MFA und Protokollierung sind aktiviert
EDR oder Antivirus	Ausführen schädlicher Prozesse	Schutz ist aktiviert, Ereignisse werden zentral überwacht
Netzwerktrennung	Verbreitung des Angriffs im Netzwerk	Kritische Server sind getrennt, der Zugriff ist eingeschränkt
Mitarbeiterschulung	Fehler im Umgang mit E-Mails und Dateien	Es gibt klare Anleitungen und regelmäßige Wissenschecks

Beginnen Sie mit Backups, Updates, MFA und E-Mail-Schutz. Gehen Sie dann zu Segmentierung, EDR, Anwendungsüberwachung und detaillierterer Rechtekonfiguration über.

Schritt-für-Schritt-Schutz für Heimbenutzer

Heimbenutzern wird keine komplexe Unternehmensinfrastruktur benötigt. Aber grundlegende Maßnahmen sind unverzichtbar, wenn auf dem Computer wichtige Dokumente, Fotos, Lernmaterialien oder Arbeitsdateien gespeichert sind.

1. Aktivieren Sie automatische Updates. Aktualisieren Sie das OS, den Browser, Office-Anwendungen und Messenger.
2. Richten Sie Backups ein. Verwenden Sie eine externe Festplatte und Cloud-Speicher. Trennen Sie die externe Festplatte nach dem Kopieren.
3. Überprüfen Sie Antivirus. Stellen Sie sicher, dass der Echtzeitschutz aktiviert und die Datenbanken aktualisiert sind.
4. Verwenden Sie kein Raubkopien-Software. Besonders gefährlich sind Aktivatoren, unbekannte Builds und "kostenlose" Versionen kostenpflichtiger Software.
5. Aktivieren Sie die Zwei-Faktor-Authentifizierung. Beginnen Sie mit E-Mail, da darüber der Zugang zu anderen Diensten wiederhergestellt werden kann.
6. Seien Sie vorsichtig beim Öffnen von Anhängen. Starten Sie keine Dateien aus unerwarteten E-Mails und Passwort-geschützten Archiven.
7. Erstellen Sie ein separates Konto ohne Administratorrechte. Verwenden Sie es für die alltägliche Arbeit.
8. Deaktivieren Sie den Auto-Start von Medien. Überprüfen Sie USB-Sticks vor dem Öffnen von Dateien.
9. Speichern Sie wichtige Passwörter in einem Passwort-Manager. Verwenden Sie kein Passwort auf verschiedenen Websites.
10. Notieren Sie einen Wiederherstellungsplan. Wo liegen die Kopien, welches Passwort für die Cloud, wie das System neu installiert wird.

Diese Schritte dauern etwas Zeit, erhöhen jedoch deutlich die Widerstandsfähigkeit gegenüber Ransomware-Infektionen.

Schritt-für-Schritt-Schutz für kleine Unternehmen

Kleine Unternehmen denken oft, dass sie für Angreifer uninteressant sind. In der Praxis können die Angriffe automatisiert sein und die Konsequenzen ernsthaft: Verkaufsstop, Nichterreichbarkeit der Buchhaltung, Verlust von Kundendokumenten, Ausfallzeiten der Mitarbeiter. Daher ist ein einfacher, aber systematischer Plan notwendig.

1. Bestimmen Sie einen Sicherheit Verantwortlichen. Dies kann ein interner Experten, ein externer Administrator oder der Prozessinhaber sein.
2. Erstellen Sie eine Liste kritischer Daten. Buchhaltung, CRM, Kundendatenbanken, Verträge, Produktionsdateien, E-Mails.
3. Richten Sie Backups mit unveränderlicher Kopie ein. Überprüfen Sie die Wiederherstellung mindestens nach wesentlichen Änderungen an der Infrastruktur.
4. Aktivieren Sie MFA für E-Mail, VPN und Administratoren. Schieben Sie diesen Schritt nicht auf.
5. Schließen Sie direktes RDP ab. Verwenden Sie VPN, Einschränkungen nach IP und Protokollierung der Zugriffe.
6. Aktualisieren Sie Server und Netzwerktechnologie. Besonders öffentliche Dienste und VPN.
7. Beschränken Sie Mitarbeiterrechte. Der Zugriff auf Ordner sollte der Rolle entsprechen und nicht „für alle Fälle“ vergeben werden.
8. Richten Sie den E-Mail-Schutz ein. Blockieren Sie gefährliche Anhänge, Makros und gefälschte Domains.
9. Implementieren Sie zentralisierten Antivirus oder EDR. Es ist wichtig, den Zustand aller Geräte zu sehen.
10. Führen Sie eine kurze Schulung durch. Erklären Sie den Mitarbeitern, wohin verdächtige E-Mails gesendet werden sollen und was nicht geöffnet werden sollte.
11. Bereiten Sie einen Notfallplan vor. Wer schaltet das Netzwerk ab, wer kontaktiert den Auftragnehmer, wer trifft die Entscheidung über die Wiederherstellung.

Das Wichtigste ist, nicht zu versuchen, alles an einem Tag perfekt zu machen. Es ist besser, Maßnahmen nach Prioritäten einzuführen und den Fortschritt festzuhalten.

Was tun bei Verdacht auf Infektion

Wenn Sie seltsame Dateiendungen, eine Lösegeldforderung, plötzliche Verlangsamung des Systems, massenhaftes Umbenennen von Dokumenten oder Warnungen des Schutzes bemerken, handeln Sie schnell. Ziel ist es, die Ausbreitung zu stoppen und Beweise zur Analyse zu sichern.

Erste Schritte

1. Trennen Sie das Gerät vom Netzwerk. Ziehen Sie das Ethernet-Kabel ab, deaktivieren Sie das WLAN oder isolieren Sie den Port am Switch.
2. Schalten Sie den Computer nicht ohne Not aus. Manchmal können nützliche Daten für die Untersuchung im Speicher sein. Wenn die Verschlüsselung aktiv ist und nicht gestoppt werden kann, hängt die Entscheidung von der Situation ab.
3. Schließen Sie keine Backup-Disk an. Sonst könnten diese ebenfalls verschlüsselt werden.
4. Melden Sie den Vorfall an die verantwortliche Person. Dies ist der IT-Administrator, der Sicherheitsdienst oder ein externer Auftragnehmer.
5. Dokumentieren Sie die Symptome. Fotografieren Sie die Lösegeldnachricht, notieren Sie die Uhrzeit, den Namen des Geräts, den Benutzer und die letzten Aktionen.
6. Zahlen Sie das Lösegeld nicht hastig. Eine Zahlung garantiert nicht die Wiederherstellung und kann zu weiteren Forderungen führen.
7. Überprüfen Sie andere Geräte. Suchen Sie nach ähnlichen Anzeichen, verdächtigen Anmeldungen und neuen Konten.
8. Stellen Sie nur aus sauberen Kopien wieder her. Vergewissern Sie sich vor der Wiederherstellung, dass die Infektionsquelle beseitigt wurde.

Heimbenutzern wird nach der Isolation des Geräts geraten, einen Fachmann zu Rate zu ziehen oder auf vertrauenswürdige Ressourcen zurückzugreifen, um die Familie der Ransomware zu bestimmen. Manchmal gibt es für alte Varianten kostenlose Entschlüsselungstools, jedoch ist das Ausführen zufälliger „Entschlüsselungstools" aus dem Internet gefährlich.

Was man nicht tun sollte

Benennen Sie nicht massenhaft verschlüsselte Dateien um und löschen Sie die Lösegeldnachricht nicht vor der Analyse. Formatieren Sie die Festplatte nicht, wenn es eine Chance auf Wiederherstellung oder Untersuchung gibt. Geben Sie keine Zugangsdaten auf dem infizierten Gerät ein. Schließen Sie keine Cloud-Ordner, externen Festplatten und Telefone daran an.

Wenn der Vorfall in einem Unternehmen aufgetreten ist, ist es wichtig, Protokolle aufzubewahren: Anmeldeereignisse, Netzwerkprotokolle, Antivirus-Protokolle, VPN, E-Mail-Gateway und Backup-System. Diese helfen zu verstehen, wo der Einstiegspunkt ist, und zu vermeiden, dass die verwundbare Konfiguration erneut wiederhergestellt wird.

Häufige Fehler, die das Risiko erhöhen

Selbst bei vorhandenen Schutzwerkzeugen können Fehler in den Prozessen zu Infektionen führen. Die gefährlichsten werden oft wiederholt.

Ein Backup auf dem angeschlossenen Laufwerk

Wenn die Backup-Disk ständig an den Computer oder Server angeschlossen ist, kann Ransomware darauf zugreifen. Kopien müssen isoliert sein: offline, im separaten Segment, mit separaten Zugangsdaten oder im Unveränderlichkeitsmodus.

Ein Passwort für verschiedene Dienste

Ein Passwort zu wiederholen macht Angriffe einfacher. Ein gestohlenes Passwort von einer alten Website kann den Zugang zu E-Mail, Cloud oder VPN freigeben. Verwenden Sie einen Passwort-Manager und einzigartige Passwörter für jeden Dienst.

Überflüssige Rechte auf Netzwerkordner

„Schreibrechte für alle“ sind praktisch, aber gefährlich. Wenn ein Computer infiziert wird, kann die Malware die gemeinsamen Dokumente der gesamten Abteilung verschlüsseln. Rechte sollten regelmäßig überprüft werden.

Verzögerte Updates ohne Frist

Updates werden manchmal aus Beschäftigung oder Angst vor Inkompatibilität aufgeschoben. Aber wenn ein öffentlicher Dienst monatelang anfällig bleibt, steigt das Risiko. Es wird ein klarer Prozess für die Installation von Patches benötigt.

Fehlende Reaktionspläne

In der Zeit eines Vorfalls sind die Menschen nervös und treffen chaotische Entscheidungen. Eine fertige Anleitung spart Zeit: Wer isoliert die Geräte, wer prüft die Backups, wer kommuniziert mit dem Management und den Kunden.

FAQ zur Vermeidung von Ransomware-Infektionen

Ist es möglich, sich vollständig vor Ransomware zu schützen?

Das Risiko kann nicht vollständig ausgeschlossen werden. Aber die Wahrscheinlichkeit einer Infektion kann erheblich verringert werden und man kann sich auf die Wiederherstellung vorbereiten. Dazu sind Backups, Aktualisierungen, MFA, Rechteeinschränkungen, E-Mail-Schutz und Kontrolle des Remote-Zugriffs erforderlich.

Hilft Antivirus gegen Ransomware?

Ein Antivirus hilft, viele Bedrohungen zu erkennen, ersetzt jedoch nicht die anderen Maßnahmen. Wenn der Benutzer selbst eine schädliche Datei startet oder der Angreifer über ein gestohlenes Passwort eintritt, könnte ein einzelner Schutz nicht ausreichen. Verwenden Sie Antivirus zusammen mit Backups, Updates und MFA.

Sollte man Lösegeld für die Entschlüsselung von Dateien zahlen?

Die Zahlung des Lösegelds ist riskant. Es gibt keine Garantie, dass Sie einen funktionierenden Schlüssel erhalten oder dass die Angreifer kein Geld verlangen werden. Trennen Sie zunächst die Geräte, überprüfen Sie die Backups, bestimmen Sie die Art der Ransomware und wenden Sie sich an Fachleute.

Schützt Cloud-Speicher vor Ransomware?

Die Cloud kann helfen, wenn sie eine Versionshistorie, einen Papierkorb und Schutz vor massenhaften Löschungen hat. Aber der synchronisierte Ordner kann auch verschlüsselte Versionen von Dateien erhalten. Daher ist es wichtig, die Versionierung zu aktivieren und ein separates Backup zu haben.

Welche Dateien werden am häufigsten verschlüsselt?

Ransomware zielt normalerweise auf Dokumente, Tabellen, Präsentationen, Datenbanken, Fotos, Archive, Projekte und Dateien auf Netzlaufwerken ab. Einige Varianten versuchen auch, Datenbanken zu stoppen und virtuelle Maschinen zu verschlüsseln.

Wie erkennt man, dass eine E-Mail gefährlich ist?

Eine gefährliche E-Mail fordert häufig eine dringende Handlung, enthält einen unerwarteten Anhang, bittet darum, Makros zu aktivieren oder leitet zu einer seltsamen Domain weiter. Wenn es um Zahlungen, Strafen, Lieferungen oder Anfragen von Vorgesetzten geht, überprüfen Sie sie über einen anderen Kanal.

Was jetzt als wichtigstes zu tun ist

Wenn die Zeit knapp ist, tun Sie drei Dinge: Überprüfen Sie die Backups, aktivieren Sie MFA für die E-Mail und aktualisieren Sie das System. Schließen Sie anschließend den direkten Remote-Zugriff und beschränken Sie die Zugriffsrechte auf gemeinsame Ordner.

Praktische Checkliste für die Woche

Um sich nicht zu überlasten, verteilen Sie die Aufgaben auf mehrere Tage.

Tag 1: Backups

Überprüfen Sie, welche Daten kritisch sind. Richten Sie Kopien ein. Stellen Sie sicher, dass mindestens eine Kopie für den normalen Benutzer nicht zugänglich ist und nicht ständig angeschlossen ist.

Tag 2: Updates

Aktualisieren Sie das OS, Browser, Office-Anwendungen, VPN und Netzwerktechnologie. Entfernen Sie Programme, die nicht mehr verwendet werden.

Tag 3: Konten

Aktivieren Sie MFA. Ändern Sie wiederholte Passwörter. Löschen Sie alte Konten. Trennen Sie normale und administrative Rechte.

Tag 4: E-Mails und Dateien

Überprüfen Sie die Filtereinstellungen. Verbieten Sie Makros aus dem Internet. Erklären Sie den Benutzern, wie sie verdächtige E-Mails melden.

Tag 5: Remote-Zugriff

Schließen Sie offenes RDP ab. Richten Sie VPN, MFA, IP-Beschränkung und Protokollierung der Zugriffe ein.

Tag 6: Netzwerkordner

Überprüfen Sie die Schreibrechte. Entfernen Sie den Zugriff "für alle". Trennen Sie wichtige Kataloge und aktivieren Sie die Protokollierung von Änderungen.

Tag 7: Notfallplan

Notieren Sie eine kurze Anleitung: wen zu benachrichtigen, wie das Gerät isoliert werden kann, wo die Kopien sind, wer die Entscheidung über die Wiederherstellung trifft. Führen Sie einen Testlauf durch.

Fazit

Um eine Infektion mit Ransomware zu vermeiden, verlassen Sie sich nicht auf eine einzige Maßnahme. Richten Sie Backups ein, aktualisieren Sie Systeme regelmäßig, schützen Sie E-Mails, aktivieren Sie MFA, beschränken Sie Rechte und schließen Sie Schwachstellen im Remote-Zugriff. Beginnen Sie heute mit der Überprüfung der Backups und der Aktivierung der Zwei-Faktor-Authentifizierung und stärken Sie schrittweise die anderen Schutzebenen.