Wie man Ransomware-Angriffe verhindert

Wie man Ransomware-Angriffe verhindert, ist eine der wichtigsten Fragen der Cybersicherheit für Unternehmen, staatliche Organisationen und private Nutzer. Ein Ransomware-Angreifer blockiert den Zugriff auf Dateien und Systeme und fordert dann ein Lösegeld. Dieser Artikel erklärt, wie man das Risiko einer Infektion verringert, Backups schützt, Mitarbeiter schult, Computer richtig konfiguriert und einen Reaktionsplan vorbereitet. Das Hauptziel ist es, nicht nur ein Antivirus-Programm zu installieren, sondern einen mehrschichtigen Schutz aufzubauen, bei dem der Ausfall eines einzelnen Mittels nicht zu einer Katastrophe führt.

Was ist Ransomware und warum ist sie gefährlich?

Ransomware ist ein bösartiges Programm, das Dateien auf einem Computer, Server oder Netzwerk-Speicher verschlüsselt. Danach fordern die Angreifer Geld für den Entschlüsselungsschlüssel. Moderne Angriffe beinhalten häufig nicht nur die Sperrung von Daten. Kriminelle können im Voraus Dokumente, Korrespondenz, Kundendatenbanken und Buchhaltungsdateien stehlen und dann mit deren Veröffentlichung drohen.

Die Gefahr von Ransomware besteht darin, dass ein Angriff sofort mehrere Arbeitsebenen betrifft:

• Mitarbeiter können keine Dokumente und Anwendungen öffnen;
• Buchhaltung, CRM, ERP und E-Mail sind nicht verfügbar;
• Produktion, Logistik oder Verkauf werden gestoppt;
• Die Wiederherstellung erfordert Zeit, Fachkenntnisse und saubere Backups;
• Ein Datenleck kann rechtliche und reputationsschädigende Folgen haben.

Gleichzeitig gelangen Ransomware-Programme nicht immer über komplexe technische Schwachstellen ins Netzwerk. Oft reicht ein einziges Phishing-E-Mail, ein schwaches Passwort für den Fernzugriff oder ein nicht installbares Update. Daher muss die Prävention technische Maßnahmen, organisatorische Regeln und regelmäßige Überprüfungen kombinieren.

Wie Ransomware in das System gelangt

Um Ransomware-Angriffe effektiv zu verhindern, ist es wichtig, die typischen Infektionsszenarien zu verstehen. Die meisten Angriffe beginnen mit dem Erlangen des primären Zugriffs. Danach untersuchen die Angreifer das Netzwerk, erhöhen ihre Privilegien, deaktivieren den Schutz, suchen nach Backups und initiieren dann die Verschlüsselung.

Phishing-E-Mails und böswillige Anhänge

Phishing bleibt eine der häufigsten Eindringmethoden. Der Benutzer erhält eine E-Mail, die wie eine Rechnung, ein Protokoll, eine Benachrichtigung von einem Lieferservice, eine Anfrage von einem Partner oder eine Nachricht vom Vorgesetzten aussieht. Darin kann sich ein Anhang, ein Link zu einer gefälschten Website oder ein Archiv mit einer ausführbaren Datei befinden.

Besonders gefährlich sind Dokumente mit Makros, ISO-, LNK-, JS-, VBS-, EXE-Dateien und passwortgeschützte Archive. Das Passwort in der E-Mail hindert das Mail-Gateway daran, den Inhalt zu überprüfen. Daher müssen Organisationen solche Anhänge filtern und Mitarbeiter schulen, unerwartete Dateien nicht zu öffnen.

Schwache Passwörter und Fernzugriff

Offenes RDP, VPN ohne Mehrfaktorauthentifizierung, dieselben Passwörter und alte Konten bilden einen bequemen Zugang für Angreifer. Wenn ein Angreifer Zugriff auf ein Administrator-Konto erhält, kann er Ransomware schnell im Netzwerk verbreiten.

Es ist wichtig, den Fernzugriff nach IP-Adressen zu beschränken, MFA zu verwenden, überflüssige Ports zu schließen, regelmäßig Berechtigungen zu überprüfen und nicht genutzte Konten zu deaktivieren.

Schwachstellen in Software und ununterstützte Systeme

Nicht aktualisierte Betriebssysteme, Server, VPN-Gateways, E-Mail-Lösungen, Hypervisoren und Webanwendungen werden häufig zu einem Einstiegspunkt. Öffentliche Schwachstellen werden schnell von automatisierten Tools ausgenutzt. Wenn ein Patch bereits veröffentlicht, aber nicht installiert ist, steigt das Risiko erheblich.

Veraltete Systeme ohne Herstellerunterstützung sollten isoliert, ersetzt oder durch zusätzliche Maßnahmen gesichert werden. Man sollte nicht annehmen, dass ein alter Server sicher ist, nur weil er lange funktioniert und niemanden stört.

Kompromittierte Websites und Drittanbieter

Manchmal erfolgt eine Infektion über eine gehackte Website, ein gefälschtes Update, bösartige Werbung oder ein Konto eines Auftragnehmers. Wenn der Anbieter Zugang zu Ihrer Infrastruktur hat, wird dessen Sicherheit Teil Ihrer Sicherheit. Daher ist es wichtig, den Drittzugang zu kontrollieren, klare Vereinbarungen zu treffen und die minimal notwendigen Berechtigungen zu gewähren.

Prinzip des mehrschichtigen Schutzes

Zuverlässiger Schutz gegen Ransomware basiert auf dem Prinzip der tiefen Verteidigung. Das bedeutet, dass Sie mehrere unabhängige Barrieren haben. Wenn ein Mitarbeiter dennoch eine bösartige E-Mail öffnet, sollten E-Mail-Filterung, EDR, Beschränkung von Berechtigungen, Netzsegmentierung und Backups den Schaden verringern.

Der mehrschichtige Schutz umfasst:

• Verhinderung der Einschleusung bösartiger Codes;
• schnelles Erkennen verdächtiger Aktivitäten;
• Begrenzung der Verbreitung im Netzwerk;
• Beibehaltung unveränderlicher Backups;
• einen bereitgestellten Wiederherstellungsplan;
• Schulung der Mitarbeiter und Überprüfung der Prozesse.

Der größte Fehler besteht darin, sich auf ein einzelnes Werkzeug zu verlassen. Antivirus ist wichtig, ersetzt jedoch nicht das Backup. Backups sind wichtig, bieten jedoch keinen Schutz vor Datenlecks. MFA reduziert das Risiko eines Passwortdiebstahls, beseitigt jedoch nicht die Notwendigkeit von Updates und Berechtigungsüberprüfungen.

Schritt-für-Schritt-Plan zur Prävention von Ransomware-Angriffen

Im Folgenden finden Sie einen praktischen Plan, den Sie als Checkliste verwenden können. Er eignet sich für kleine Unternehmen, Büros, Remote-Teams und Heimnetzwerke. Der Umfang der Implementierung wird unterschiedlich sein, aber die Logik bleibt gleich.

Schritt 1. Machen Sie eine Bestandsaufnahme der Vermögenswerte

Man kann nichts schützen, was man nicht kennt. Erstellen Sie eine Liste von Geräten, Servern, Cloud-Diensten, Konten, Netzwerkspeichern, Datenbanken und kritischen Anwendungen. Markieren Sie separat Systeme, die über das Internet erreichbar sind.

Die minimalen Bestandsaufnahme sollte Folgendes umfassen:

1. Name des Geräts oder Dienstes;
2. Eigentümer oder zuständiger Mitarbeiter;
3. Betriebssystem und Version der Software;
4. Kritikalitätsstufe für das Geschäft;
5. Vorhandensein eines Backups;
6. Art des Fernzugriffs;
7. Datum der letzten Aktualisierung.

Danach wird es einfacher sein zu verstehen, wo die Hauptgefahren liegen: ein alter Server, ein vergessenes Konto, offenes RDP oder ein Netzwerk-Laufwerk ohne Backup.

Schritt 2. Aktivieren Sie die Mehrfaktorauthentifizierung

MFA ist eine der effektivsten Maßnahmen gegen Kontoübernahmen. Aktivieren Sie sie für E-Mail, VPN, Cloud-Dashboards, Administrator-Konten, Systeme für den Fernzugriff und kritische Geschäftsanwendungen.

Es ist besser, Authenticator-Apps, Hardware-Token oder Push-Bestätigungen mit zusätzlicher Verifizierung zu verwenden. SMS sind besser als gar keine MFA, aber sie sind weniger resistent gegen einige Angriffe. Für Administratoren sollten strengere Methoden angewendet werden.

Schritt 3. Beschränken Sie die Benutzerrechte

Ein Benutzer sollte nicht mit einem Administratorkonto arbeiten. Je weniger Rechte ein kompromittiertes Konto hat, desto schwieriger ist es für den Angreifer, die Sicherheitsmaßnahmen abzuschalten, Netzwerkressourcen zu verschlüsseln und sich weiter auszubreiten.

Wenden Sie den Grundsatz der minimalen Berechtigungen an:

• Gewähren Sie Rechte nur für spezifische Aufgaben;
• Überprüfen Sie regelmäßig die Zugriffsrechte;
• Trennen Sie normale und administrative Konten;
• Deaktivieren Sie lokale Administratoren dort, wo sie nicht benötigt werden;
• Verwenden Sie keine gemeinsamen Passwörter für mehrere Geräte;
• Löschen Sie Konten von ausgeschiedenen Mitarbeitern sofort.

Schritt 4. Richten Sie Backups nach der 3-2-1-Regel ein

Backups sind die letzte Verteidigungslinie, wenn die Prävention fehlgeschlagen ist. Die 3-2-1-Regel besagt: Bewahren Sie mindestens drei Kopien von Daten auf, auf zwei verschiedenen Medientypen und eine Kopie außerhalb der Hauptinfrastruktur. Um sich vor Ransomware zu schützen, sind insbesondere Offline-Kopien oder unveränderbares Speicher erforderlich.

Überprüfen Sie nicht nur die Verfügbarkeit von Backups, sondern auch die Wiederherstellungsmöglichkeiten. Ein Backup, das niemand getestet hat, kann am Tag des Angriffs nutzlos sein.

Schritt 5. Aktualisieren Sie Systeme und schließen Sie Schwachstellen

Erstellen Sie einen regelmäßigen Prozess für die Installation von Updates. Die Systeme, die über das Internet zugänglich sind, sollten Priorität haben: VPN, E-Mail-Server, Web-Server, Fernzugriffsgateways, Hypervisoren und Steuerungsbildschirme.

Für Unternehmen ist es hilfreich, ein Protokoll für Updates und die Fristen zur Installation kritischer Patches zu führen. Wenn ein System nicht sofort aktualisiert werden kann, ergreifen Sie vorübergehende Maßnahmen: Deaktivieren Sie die verwundbare Funktion, beschränken Sie den Zugriff nach IP, isolieren Sie den Server oder aktivieren Sie zusätzliche Überwachungsmaßnahmen.

Schritt 6. Schützen Sie E-Mail und Webverkehr

Der E-Mail-Gateway sollte Anhänge, Links und Absenderdomains überprüfen. Richten Sie SPF, DKIM und DMARC für Geschäftsmail ein, um das Risiko von Domainfälschungen zu verringern. Blockieren Sie gefährliche Dateitypen, wenn sie nicht für die Arbeit benötigt werden.

Für den Webverkehr verwenden Sie DNS-Filterung, Schutz vor bösartigen Domains und Einschränkungen beim Herunterladen ausführbarer Dateien. Dies wird nicht alle Probleme lösen, aber die Anzahl zufälliger Infektionen verringern.

Schritt 7. Implementieren Sie EDR oder modernen Endgerätsschutz

Ein reguläres Antivirus-Programm überprüft Dateien anhand von Signaturen und Verhaltensweisen. EDR verfolgt zusätzlich Prozesse, Startketten, Netzwerkverbindungen, Versuche der massenhaften Dateiänderung und Aktivitäten mit Anmeldeinformationen. Für Organisationen ist dies eine wichtige Schutzschicht.

Achten Sie bei der Auswahl einer Lösung nicht nur auf den Produktnamen, sondern auch auf den Reaktionsprozess. Wer erhält Benachrichtigungen? Wer analysiert Vorfälle nachts oder an Feiertagen? Wie schnell kann ein infizierter Computer vom Netzwerk isoliert werden?

Schritt 8. Segmentieren Sie das Netzwerk

Wenn sich alle Geräte in einem flachen Netzwerk befinden, kann sich die Ransomware leichter verbreiten. Teilen Sie die Infrastruktur in Segmente: Arbeitsstationen, Server, Buchhaltung, Produktion, Gäste-Wi-Fi, Kameras, Testumgebungen und Verwaltung.

Zwischen den Segmenten sollten Zugriffsregeln bestehen. Zum Beispiel benötigt eine Arbeitsstation eines Managers keinen direkten Zugriff auf einen Hypervisor oder Domänencontroller. Je weniger überflüssige Verbindungen vorhanden sind, desto kleiner ist die Angriffsfläche.

Schritt 9. Bereiten Sie einen Reaktionsplan vor

Ein Reaktionsplan ist vor einem Angriff notwendig, nicht in Zeiten der Panik. Er sollte Kontakte der Verantwortlichen, das Verfahren zur Isolierung von Geräten, eine Liste kritischer Systeme, Kommunikationsregeln und ein Szenario zur Wiederherstellung aus Backups enthalten.

Ein guter Plan beantwortet Fragen wie:

• Wer trifft die Entscheidung, ein Netzwerksegment zu deaktivieren;
• Wie kann man das Team kontaktieren, wenn die Unternehmens-E-Mail nicht verfügbar ist;
• Wo befindet sich die Liste der Backups und Notzugangs-Passwörter;
• Wer informiert die Geschäftsleitung, Juristen, Kunden und Aufsichtsbehörden;
• Welche Systeme werden zuerst wiederhergestellt;
• Wie werden Beweise für die Untersuchung gesichert.

Vergleich der wichtigsten Schutzmaßnahmen

Diese Tabelle hilft, Prioritäten zu setzen. Es ist besser, die Maßnahmen umfassend zu implementieren, aber wenn die Ressourcen begrenzt sind, beginnen Sie mit den kritischsten: Backups, MFA, Updates, Berechtigungsbeschränkungen und E-Mail-Schutz.

Schutzmaßnahme	Was sie verhindert	Schwierigkeitsgrad der Implementierung	Was wichtig ist zu überprüfen
Backup 3-2-1	Datenverlust nach der Verschlüsselung	Mittel	Gibt es eine Offline- oder unveränderliche Kopie, wurde die Wiederherstellung getestet?
MFA für E-Mail, VPN und Administratoren	Kontoübernahme	Niedrig oder Mittel	Gibt es Ausnahmen für alte Protokolle und Dienstkonten?
Regelmäßige Updates	Ausnutzung bekannter Schwachstellen	Mittel	Werden öffentliche Dienste zuerst gepatcht?
Berechtigungsbeschränkungen	Massenverbreitung und Deaktivierung von Schutzmaßnahmen	Mittel	Arbeiten die Nutzer ohne Administratorrechte?
E-Mail-Filterung	Phishing und bösartige Anhänge	Niedrig oder Mittel	Werden gefährliche Dateitypen und Links blockiert?
EDR und Überwachung	Versteckte Aktivitäten von Angreifern	Mittel oder hoch	Gibt es einen Verantwortlichen für die Alarmanalyse?
Netzwerksegmentierung	Schnelle Verbreitung innerhalb der Infrastruktur	Mittel oder hoch	Sind überflüssige Verbindungen zwischen den Segmenten verboten?
Schulung der Mitarbeiter	Fehler beim Umgang mit E-Mails und Dateien	Niedrig	Werden regelmäßige Übungen durchgeführt und Beispiele analysiert?

Wie man Backups vor Ransomware schützt

Viele Ransomware-Programme suchen zuerst nach Backups und zerstören sie. Daher reicht es nicht aus, einfach eine externe Festplatte oder einen Netzwerkspeicher anzuschließen. Wenn das Backup von einem infizierten Computer aus beschreibbar ist, kann es ebenfalls verschlüsselt werden.

Verwenden Sie unveränderliche und Offline-Kopien

Ein unveränderliches Speicher erlaubt es nicht, eine Kopie innerhalb eines bestimmten Zeitraums zu ändern oder zu löschen. Eine Offline-Kopie ist physisch oder logisch von dem Hauptnetzwerk getrennt. Beide Ansätze helfen, Daten selbst im Falle eines Kontenkompromisses zu bewahren.

Praktische Optionen:

• externe Festplatte, die nur während des Kopierens angeschlossen wird;
• Cloud-Speicher mit Versionierung und Löschsperre;
• WORM-Modus oder Objektsperre in kompatiblen Speichern;
• separater Backup-Server in einem isolierten Segment;
• Backup-Konten ohne Rechte für interaktiven Zugriff.

Trennen Sie den Zugriff auf Daten und Backups

Das Administrator-Konto der Domain sollte nicht automatisch vollständigen Zugriff auf die Backups haben. Wenn ein Passwort alle Türen öffnet, wird ein Angriff schnell kritisch. Verwenden Sie separate Konten, verschiedene Passwörter, MFA und protokollieren Sie Aktivitäten.

Es ist auch nützlich, die Einstellungen des Backup-Systems und die Wiederherstellungsanleitungen separat zu speichern. In einer Krisensituation sollte das Team wissen, wo die Kopien sind und wie Dienstleistungen ohne Zugriff auf die gewöhnliche Dokumentation wiederhergestellt werden können.

Testen Sie die Wiederherstellung

Die Überprüfung der Wiederherstellung erfolgt regelmäßig. Der Test kann einfach sein: Einmal im Monat einige Dateien wiederherstellen und einmal pro Quartal einen kritischen Server in einer isolierten Umgebung. Für Unternehmen ist es wichtig, RPO (Recovery Point Objective) und RTO (Recovery Time Objective) zu kennen. RPO zeigt, wie viel Daten zeitlich verloren gehen können. RTO zeigt, wie schnell der Dienst wiederhergestellt werden muss.

Wenn ein Unternehmen diese Werte nicht kennt, kann es die Auswirkungen eines Angriffs nicht realistisch bewerten und einen effektiven Kopierzeitplan korrekt festlegen.

Konfiguration von Arbeitsstationen und Servern

Die meisten Angriffe beginnen mit einem normalen Computer oder einem verwundbaren Server. Daher spielt die grundlegende Hygiene der Endgeräte eine Schlüsselrolle.

Maßnahmen für Arbeitscomputer

Für Arbeitsstationen wenden Sie das Standard-Sicherheitsprofil an:

• Deaktivieren Sie die Autostart-Funktion von externen Speichermedien;
• Verbieten Sie das Ausführen von Makros aus dem Internet, wenn sie nicht benötigt werden;
• Zeigen Sie die Dateierweiterungen im Explorer an;
• Begrenzen Sie das Ausführen von Programmen aus temporären Ordnern und Benutzerprofilen;
• Verwenden Sie Anwendungsüberwachung, wo immer es möglich ist;
• Aktivieren Sie die lokale Firewall;
• Verschlüsseln Sie die Festplatten von Laptops;
• Sperren Sie den Bildschirm automatisch;
• Entfernen Sie überflüssige Software und Browsererweiterungen.

Besonderes Augenmerk sollte auf Benutzer gelegt werden, die mit einer Vielzahl von externen Dokumenten arbeiten: Buchhaltung, Vertrieb, HR, Einkauf und Sekretariat. Diese erhalten häufig Anhänge von neuen Absendern.

Maßnahmen für Server

Server sollten minimalistisch sein. Je weniger unnötige Dienste vorhanden sind, desto geringer ist das Risiko. Trennen Sie die Rollen: Domänencontroller, Dateiserver, Datenbank, Webserver und Backup-System sollten nicht unnötig auf einer Maschine zusammengefügt werden.

Für Server ist es wichtig:

• Deaktivieren Sie nicht verwendete Dienste und Ports;
• Beschränken Sie die Verwaltung auf ein separates Subnetz oder VPN;
• Aktivieren Sie das Protokollieren von Anmeldungen und Änderungen;
• Verwenden Sie sichere Passwörter und MFA, wo immer möglich;
• Überwachen Sie die Administratorgruppen;
• Halten Sie das Betriebssystem und Anwendungen zeitnah auf dem neuesten Stand;
• Speichern Sie Geheimnisse nicht in Skripten und Textdateien, sondern in einem sicheren Speicher.

Schutz von Konten und Passwörtern

Die Kompromittierung von Anmeldeinformationen ist oft gefährlicher als die Infektion einer Datei. Erhält ein Angreifer das Passwort, kann er wie ein legitimer Benutzer handeln und viele der Schutzsysteme umgehen.

Passwortpolitik ohne unnötige Komplikationen

Passwörter sollten lang und einzigartig sein. Es ist besser, Passwortsätze und einen Passwort-Manager zu verwenden, als die Leute zu zwingen, komplexe kurze Kombinationen zu erstellen, die sie auf Papier notieren. Für jeden Dienst ist ein separates Passwort erforderlich.

Empfehlungen:

• Die minimale Länge ist wichtiger als künstliche Komplexität;
• Verbieten Sie die Wiederverwendung von Unternehmenspasswörtern in persönlichen Diensten;
• Überprüfen Sie Passwörter auf das Vorhandensein von bekannten Leaks;
• Senden Sie keine Passwörter über Messenger und E-Mails;
• Verwenden Sie einen Passwort-Manager für das Team;
• Ändern Sie das Passwort sofort bei Verdacht auf Kompromittierung.

Privilegierte Konten

Administrator-Konten erfordern eine gesonderte Kontrolle. Verwenden Sie separate Konten für die alltägliche Arbeit und die Verwaltung. Öffnen Sie E-Mails und Websites nicht mit einem Administratorkonto. Begrenzen Sie den Zugang von Administratoren nur auf die erforderlichen Systeme.

Für eine reife Infrastruktur sind PAM-Lösungen nützlich, die Privilegien temporär vergeben, Sitzungen aufzeichnen und das Risiko von dauerhaften Super-Rechten reduzieren.

Schulung der Mitarbeiter ohne Formalitäten

Menschen sind kein schwaches Glied, sondern Teil des Schutzsystems. Aber die Schulung sollte praktisch sein. Eine lange Präsentation einmal im Jahr ändert selten das Verhalten. Es ist besser, kurze regelmäßige Schulungen durchzuführen, reale Beispiele von E-Mails zu zeigen und zu erklären, wo man Verdachtsfälle melden kann.

Mitarbeiter sollten in der Lage sein, Anzeichen von Phishing zu erkennen:

• Druck durch Dringlichkeit und Angst;
• die Bitte um Öffnung einer unerwarteten Datei;
• merkwürdige Absenderadresse;
• ein Link, der zu einer ähnlichen, aber fremden Domain führt;
• die Bitte um Eingabe des Passworts nach dem Klick auf den Link;
• ein passwortgeschütztes Archiv;
• eine ungewöhnliche Anfrage vom Vorgesetzten oder Partner.

Es ist wichtig, eine Kultur zu schaffen, in der Menschen keine Angst haben, einen Fehler zu melden. Wenn ein Mitarbeiter eine verdächtige Datei öffnet, könnte ein schneller Anruf bei IT das gesamte Netzwerk retten. Bestrafung und Scham dagegen lassen die Menschen schweigen.

Überwachung und frühe Entdeckung

Prävention ist wichtig, aber man muss darauf vorbereitet sein, dass einige Angriffe die ersten Barrieren durchbrechen. Frühe Entdeckung verringert den Schaden. Achten Sie auf Anzeichen, die auf eine bevorstehende Verschlüsselung hinweisen könnten.

Anzeichen eines möglichen Angriffs

Verdächtige Signale:

• Massenumbenennung oder -änderung von Dateien;
• plötzlicher Anstieg von Zugriffsfehlern auf Dateien;
• Anmeldungen zu ungewöhnlichen Zeiten oder aus ungewöhnlichen Ländern;
• Erstellung neuer Administrator-Konten;
• Deaktivierung des Antivirus oder von Protokollen;
• Start von Remote-Administrations-Tools ohne Abstimmung;
• Netzwerküberwachung vom Benutzercomputer aus;
• Zugriffsversuche auf Backups von einem untypischen Konto aus.

Richten Sie die zentralisierte Protokollsammlung mindestens für kritische Systeme ein: Domänencontroller, VPN, E-Mail, EDR, Backup-Server und Dateispeicher. Wenn keine eigene Monitoring-Teams existieren, ziehen Sie die Dienste eines externen SOC oder MSSP in Betracht.

Was tun bei den ersten Anzeichen einer Infektion

Wenn Sie Anzeichen von Ransomware bemerken, schalten Sie keine Systeme chaotisch aus. In einigen Fällen kann das plötzliche Ausschalten die Untersuchung erschweren, aber ein Zögern ist ebenfalls riskant. Handeln Sie nach Plan:

1. Isolieren Sie das verdächtige Gerät vom Netzwerk: Trennen Sie das Kabel, deaktiveren Sie Wi-Fi oder sperren Sie den Port.
2. Löschen Sie keine Dateien und installieren Sie das System nicht neu, bevor die wesentlichen Daten sichergestellt sind.
3. Informieren Sie die Verantwortlichen für IT und Sicherheit.
4. Sperren Sie die kompromittierten Konten.
5. Überprüfen Sie benachbarte Geräte und Netzwerkressourcen.
6. Stoppen Sie die Verbreitung: Deaktivieren Sie geteilte Ordner oder Segmente, falls erforderlich.
7. Speichern Sie Protokolle und Muster von bösartigen Dateien zur Analyse.
8. Stellen Sie Systeme nur aus sauberen und geprüften Backups wieder her.

Sollten Sie das Lösegeld zahlen?

Eine Zahlung garantiert nicht die Wiederherstellung der Daten. Angreifer könnten den Schlüssel nicht senden, ein nicht funktionierendes Werkzeug senden oder erneut die Organisation angreifen. Zudem unterstützt die Zahlung die kriminelle Wirtschaft und kann je nach Rechtsordnung und Empfänger rechtliche Risiken mit sich bringen.

Die Entscheidung über die nächsten Schritte sollte unter Einbeziehung der Geschäftsführung, Juristen, Sicherheitsspezialisten und, falls notwendig, der Strafverfolgungsbehörden getroffen werden. Aber die beste Strategie ist es, im Voraus sicherzustellen, dass das Lösegeld nicht die einzige Option ist. Zu diesem Zweck sind zuverlässige Backups, ein Wiederherstellungsplan und die Minimierung des Datenlecks notwendig.

Besonderheiten zum Schutz kleiner Unternehmen

Kleine Unternehmen haben häufig kein großes IT-Team, aber grundlegende Maßnahmen sind trotzdem verfügbar. Beginnen Sie mit einem einfachen und messbaren Set:

• Aktivieren Sie MFA für E-Mail, Bank, CRM, Cloud und Fernzugang;
• Richten Sie automatische Backups mit einem separaten geschützten Backup ein;
• Kaufen oder konfigurieren Sie einen zuverlässigen Endgeräteschutz;
• Aktualisieren Sie Computer, Router, NAS und Server;
• Verbieten Sie das Arbeiten mit Administratorrechten für alltägliche Aufgaben;
• Schulen Sie Mitarbeiter im Umgang mit E-Mails und Anhängen;
• Halten Sie eine Kontaktliste für den Fall eines Vorfalls bereit;
• Überprüfen Sie, wer Zugriff auf gemeinsame Ordner hat.

Wenn kein interner Administrator vorhanden ist, sollte ein zuverlässiger Dienstleister für das Audit hinzugezogen werden. Es ist wichtig, nicht nur Programme zu installieren, sondern sicherzustellen, dass Backups wiederhergestellt werden, MFA tatsächlich aktiviert ist und der Fernzugriff nicht für das gesamte Internet geöffnet ist.

Besonderheiten zum Schutz von Heimanwendern

Heimanwender sind ebenfalls von Ransomware bedroht. Das Risiko wird durch Raubkopien, Cracks, fragwürdige Downloads, deaktivierte Updates und fehlende Backups erhöht.

Praktische Maßnahmen für zu Hause:

• Verwenden Sie lizenzierte Software und laden Sie Programme von offiziellen Websites herunter;
• Aktivieren Sie automatische Updates für Windows, macOS, Browser und Anwendungen;
• Speichern Sie Kopien wichtiger Fotos und Dokumente in der Cloud mit Versionierung;
• Machen Sie regelmäßig eine Offline-Kopie auf einer externen Festplatte;
• Deaktivieren Sie den integrierten Schutz des Systems nicht ohne Grund;
• Öffnen Sie keine verdächtigen Anhänge;
• Nutzen Sie einen Passwort-Manager und MFA für die E-Mail;
• Erstellen Sie ein separates Konto ohne Administratorrechte für alltägliche Aufgaben.

Es ist nützlich, den Kindern und älteren Verwandten die grundlegenden Regeln zu erklären. Eine heruntergeladene Datei kann geteilte Ordner, angeschlossene Festplatten und Familienarchive verschlüsseln.

Häufige Fehler beim Schutz vor Ransomware

Selbst Organisationen mit guten Absichten machen Fehler. Einige davon scheinen geringfügig zu sein, erhöhen jedoch das Risiko erheblich.

Ein Backup ist immer mit dem Netzwerk verbunden

Wenn eine Festplatte oder ein Netzwerkspeicher ständig beschreibbar ist, kann die Ransomware darauf zugreifen. Es sollte eine separate Kopie geben, die nicht aus dem gewöhnlichen Netzwerk geändert werden kann.

MFA ist nicht überall aktiviert

Manchmal wird MFA für das Management aktiviert, aber Administratoren, VPNs, alte E-Mail-Protokolle oder Dienstkonten werden vergessen. Angreifer suchen genau nach diesen Ausnahmen.

Alle Benutzer haben zu viele Rechte

Wenn ein Mitarbeiter Zugriff auf alle gemeinsamen Ordner hat, könnte eine Infektion seines Computers Daten mehrerer Abteilungen beschädigen. Die Berechtigungen sollten an die Rolle angepasst sein.

Keine Überprüfung der Wiederherstellung

Ein Backup kann unvollständig, beschädigt oder zu alt sein. Regelmäßige Tests zur Wiederherstellung sind ein unverzichtbarer Teil des Schutzes, kein zusätzliches Feature.

Vorfälle werden aus Angst verborgen

Wenn Mitarbeiter Angst vor Bestrafung haben, melden sie verdächtige Aktivitäten zu spät. Dadurch gewinnen Angreifer Zeit. Es ist besser, schnelle Meldungen zu fördern und Fehler ohne öffentlichen Druck zu besprechen.

FAQ: Antworten auf häufige Fragen

Wie erkenne ich, dass ein Computer mit Ransomware infiziert ist?

Typische Anzeichen sind: Dateien lassen sich nicht mehr öffnen, es treten neue Erweiterungen auf, auf dem Desktop oder in Ordnern liegt eine Notiz mit einer Lösegeldforderung, der Computer läuft ungewöhnlich langsam und das Antivirus meldet eine Massenänderung von Dateien. Bei Verdacht isolieren Sie das Gerät sofort vom Netzwerk und wenden Sie sich an einen Experten.

Kann Antivirus eine Ransomware-Attacke vollständig verhindern?

Nein. Moderner Endgeräteschutz ist wichtig, bietet jedoch keine absolute Garantie. Notwendig sind Backups, MFA, Updates, Berechtigungsbeschränkungen, E-Mail-Filterung, Netzwerksegmentierung und ein Reaktionsplan.

Wie oft sollten Backups gemacht werden?

Die Häufigkeit hängt davon ab, wie viele Daten Sie bereit sind zu verlieren. Wenn der Verlust eines Tages kritisch ist, sind Backups öfter als einmal am Tag notwendig. Für wichtige Datenbanken kann es erforderlich sein, mehrmals täglich oder nahezu kontinuierlich zu replizieren. Das Wichtigste ist, mindestens eine geschützte Kopie außerhalb der Reichweite der Ransomware zu haben.

Schützt die Cloud vor Ransomware?

Die Cloud ist hilfreich, wenn Versionierung, MFA, Berechtigungsbeschränkungen und Schutz vor Löschung aktiviert sind. Aber die Synchronisierung allein ist kein vollwertiges Backup. Wenn verschlüsselte Dateien in die Cloud synchronisiert werden, könnten Sie ohne Versionen und Papierkorb saubere Kopien verlieren.

Was tun, wenn Ransomware bereits Dateien verschlüsselt hat?

Trennen Sie die infizierten Geräte vom Netzwerk, zahlen Sie nicht sofort und führen Sie keine zufälligen Entschlüsselungsprogramme aus dem Internet aus. Speichern Sie die Erpressernotiz und Musterdateien, wenden Sie sich an Experten, überprüfen Sie die Verfügbarkeit von Backups und die Wiederherstellung in einer sauberen Umgebung. Ändern Sie auch Passwörter und überprüfen Sie, ob es zu einem Datenleck gekommen ist.

Sollte ich das Internet während eines Angriffs ausschalten?

Manchmal hilft das vorübergehende Trennen des externen Zugangs oder bestimmter Netzwerksegmente, die Verbreitung zu stoppen. Aber es ist besser, nach einem im Voraus vorbereiteten Plan zu handeln. Wichtig ist, dass infizierte Geräte isoliert werden, Protokolle gesichert und Beweise bewahrt werden, die helfen, den Umfang des Vorfalls zu verstehen.

Minimale Checkliste für die nächsten 7 Tage

Wenn Sie das Risiko schnell senken müssen, beginnen Sie mit einem kurzen Plan. Er ersetzt kein vollständiges Sicherheitsprogramm, bietet aber schnelle Ergebnisse.

1. Überprüfen Sie, ob es Backups kritischer Daten gibt und ob mindestens eine Datei wiederhergestellt werden kann.
2. Machen Sie eine Offline- oder unveränderliche Kopie der wichtigsten Daten.
3. Aktivieren Sie MFA für E-Mail, VPN, Cloud-Dienste und Administratoren.
4. Schließen Sie offenes RDP und andere unnötige Dienste aus dem Internet.
5. Installieren Sie kritische Updates auf öffentlichen Systemen und Arbeitsstationen.
6. Entfernen Sie die lokalen Administratorrechte von normalen Benutzern.
7. Überprüfen Sie, wer Zugriff auf gemeinsame Ordner und Backups hat.
8. Richten Sie eine Filterung gefährlicher Anhänge in den E-Mails ein.
9. Führen Sie eine kurze Schulung durch: wie man Phishing erkennt und wo man Meldungen macht.
10. Notieren Sie Kontakte und Aktionsabläufe für den Fall einer Infektion.

Wie kann ich meine Bereitschaft für einen Angriff prüfen?

Eine nützliche Frage ist: Was passiert, wenn morgen früh die Hälfte der Server verschlüsselt ist? Wenn die Antwort unklar ist, muss die Vorbereitung verbessert werden. Führen Sie ein Desktop-Exercise durch. Versammeln Sie IT, Management, Rechtsberatung, Eigentümer von Schlüsselfunktionen und gehen Sie ein Szenario ohne tatsächliche Deaktivierung der Systeme durch.

Überprüfen Sie:

• Wer entdeckt den Angriff und wie schnell;
• Welche Dienste werden zuerst gestoppt;
• Welche Daten werden als erstes wiederhergestellt;
• Wo liegen die Anleitungen, wenn der Dateiserver nicht verfügbar ist;
• Gibt es saubere Konten für die Wiederherstellung;
• Wie viel Zeit benötigt wird, um eine minimal funktionsfähige Infrastruktur zu starten;
• Wie kommunizieren Sie mit Mitarbeitern und Kunden.

Eine solche Übung deckt oft einfache, aber kritische Lücken auf: Es gibt keinen Backup-Kommunikationskanal, Notfallzugangspasswörter werden nur in der verschlüsselten Umgebung aufbewahrt und der für die Backups zuständige Mitarbeiter ist im Urlaub und niemand kennt das Wiederherstellungsverfahren.

Fazit

Es ist unmöglich, Ransomware-Angriffe vollständig zu verhindern, aber man kann die Wahrscheinlichkeit einer Infektion erheblich senken und sich auf eine schnelle Wiederherstellung vorbereiten. Beginnen Sie mit der Bestandsaufnahme, MFA, Updates, Berechtigungsbeschränkungen und geschützten Backups. Fügen Sie dann E-Mail-Filterung, EDR, Netzwerksegmentierung, Überwachung und regelmäßige Schulungen hinzu. Verzögern Sie nicht: Wählen Sie drei Maßnahmen aus der Checkliste, benennen Sie Verantwortliche und implementieren Sie sie in der kommenden Woche.