Erfahrungen im erfolgreichen Kampf gegen Ransomware: praktische Anleitung

Die Erfahrungen im erfolgreichen Kampf gegen Ransomware zeigen: Der Sieg beginnt nicht am Tag des Angriffs, sondern lange davor. Unternehmen, die sich schnell von Ransomware-Vorfällen erholen, kennen im Voraus ihre kritischen Systeme, haben isolierte Backups, nutzen MFA, segmentieren das Netzwerk und trainieren regelmäßig ihr Reaktionsteam. In diesem Artikel werden wir behandeln, wie man bei einer Infektion handelt, was hilft, den Schaden zu begrenzen, wie man die Wiederherstellung organisiert und welche Fehler häufig einen verwalteten Vorfall in lange Ausfallzeiten verwandeln.

Ein Ransomware-Programm ist eine Schadsoftware, die den Zugriff auf Daten oder Systeme blockiert und ein Lösegeld für die Entschlüsselung verlangt. Moderne Gruppen handeln oft nach dem Schema der doppelten Erpressung: Zuerst stehlen sie Daten, dann verschlüsseln sie die Infrastruktur und drohen mit deren Veröffentlichung. Daher ist der Kampf gegen Ransomware nicht nur eine Frage des Antivirenprogramms. Es ist eine Kombination aus technischen Maßnahmen, Prozessen, rechtlicher Bereitschaft und Disziplin innerhalb des Unternehmens.

Was als erfolgreicher Kampf gegen Ransomware betrachtet wird

Erfolg bedeutet nicht immer, dass der Angriff vollständig verhindert wurde. In der Praxis gilt ein Szenario als erfolgreich, wenn das Unternehmen:

• verdächtige Aktivitäten schnell entdeckt hat;
• infizierte Knoten bis zur massenhaften Verschlüsselung isoliert hat;
• Beweismittel für die Untersuchung gesichert hat;
• kritische Dienste aus sauberen Backups wiederhergestellt hat;
• kein Lösegeld gezahlt hat oder nicht von den Versprechungen der Angreifer abhängig war;
• den ursprünglichen Angriffsvektor geschlossen hat;
• die Kunden, Partner und Regulierungsbehörden benachrichtigt hat, wenn dies gesetzlich erforderlich war;
• den Schutz nach dem Vorfall verbessert hat.

Mit anderen Worten, das Ziel ist nicht, heldenhaft „das Feuer zu löschen“, sondern die Geschäftsprozesse aufrechtzuerhalten, Ausfallzeiten zu minimieren und eine Wiederholung des Angriffs zu vermeiden. Selbst wenn ein Teil der Daten verschlüsselt wurde, kann eine kompetente Reaktion den Ruf, Geld und die Handhabbarkeit bewahren.

Warum Ransomware-Schutzmaßnahmen nicht wirken

Ein verbreiteter Fehler ist, zu glauben, dass Ransomware plötzlich auftritt. In der Praxis entwickelt sich der Angriff oft schrittweise. Zuerst verschaffen sich die Angreifer Zugriff, dann festigen sie sich, erhöhen ihre Privilegien, erkunden das Netzwerk, schalten Sicherheitsmaßnahmen aus, löschen Backups und initiieren erst dann die Verschlüsselung.

Die häufigsten Einstiegspunkte:

• Phishing-E-Mails mit schadhaften Anhängen oder Links;
• gestohlene Anmeldedaten für VPN, RDP, E-Mails oder Cloud-Dienste;
• ungeschützter Fernzugriff;
• anfällige öffentliche Webanwendungen;
• schwache Passwörter und fehlende Mehrfaktorauthentifizierung;
• Kompromittierung von Auftragnehmern oder Lieferanten;
• veraltete Server ohne Sicherheitsupdates.

Daher sollte der Schutz gegen Ransomware auf der Annahme basieren: Eines Tages wird der Angreifer trotzdem eindringen. Die Frage ist, wie weit er kommen kann und wie schnell das Team es bemerkt.

Die ersten Minuten des Vorfalls: Schritt-für-Schritt-Plan

Bei der Entdeckung von Ransomware ist das Wichtigste: Nicht zu panikieren und nicht zu improvisieren. Es braucht einen im Voraus genehmigten Reaktionsplan. Unten ist eine praktische Sequenz aufgeführt, die für die meisten Organisationen geeignet ist.

Schritt 1. Bestätigen Sie den Vorfall, aber verlieren Sie keine Zeit

Überprüfen Sie die Anzeichen eines Angriffs: massive Änderungen der Dateierweiterungen, Notizen mit Lösegeldforderungen, plötzlicher Anstieg von Schreibvorgängen, Deaktivierung des Antivirenprogramms, ungewöhnliche Anmeldungen von Administratoren, Nichtverfügbarkeit von Netzlaufwerken. Wenn die Anzeichen übereinstimmen, handeln Sie wie bei einem bestätigten Vorfall. Das Warten auf „volle Klarheit“ kann dem Ransomware-Angreifer zusätzliche Stunden geben.

Schritt 2. Isolieren Sie infizierte Systeme

Trennen Sie infizierte Arbeitsstationen und Server vom Netzwerk. Es ist besser, die Netzwerkverbindung zu unterbrechen, als sofort die Stromversorgung abzuschalten, wenn es die Möglichkeit gibt, betriebliche Daten für die Untersuchung zu sichern. Bei aktiver massenhafter Verschlüsselung ist jedoch ein abruptes Ausschalten zulässig, um die Ausbreitung zu stoppen.

Wichtig: Löschen Sie keine Dateien, Erpressernotizen und Protokolle. Diese können helfen, die Familie der Ransomware, den Angriffsweg und mögliche Wiederherstellungsschlüssel zu bestimmen.

Schritt 3. Stoppen Sie die Ausbreitung

Deaktivieren Sie vorübergehend gemeinsame Netzwerkressourcen, sperren Sie verdächtige Konten, erzwingen Sie das Zurücksetzen von Passwörtern für privilegierte Benutzer, stoppen Sie verdächtige Aufgaben im Scheduler und blockieren Sie bekannte Indikatoren für Kompromittierungen in Firewalls, EDR und Proxys.

Wenn die Infrastruktur groß ist, segmentieren Sie die Reaktion: Schützen Sie zuerst kritische Dienste, dann Bürosektoren, danach die Peripherie.

Schritt 4. Bilden Sie eine Krisengruppe

In die Gruppe sollten IT, Informationssicherheit, Management, Juristen, PR, der Inhaber kritischer Geschäftsprozesse und gegebenenfalls externe Experten für Incident Response aufgenommen werden. Eine Person sollte die Entscheidungen koordinieren. Andernfalls beginnen verschiedene Teams mit der Wiederherstellung, dem Löschen und dem Neustarten von Systemen, ohne die Gesamtübersicht zu haben.

Schritt 5. Dokumentieren Sie die Fakten

Führen Sie ein Protokoll des Vorfalls: Zeitpunkt der Entdeckung, betroffene Knoten, Handlungen der Administratoren, Änderungen der Regeln, Sperrungen von Konten, Kommunikation mit externen Parteien. Ein solches Protokoll hilft bei der Untersuchung, den Versicherungsverfahren, dem rechtlichen Schutz und der anschließenden Analyse von Fehlern.

Schritt 6. Eilen Sie nicht zur Wiederherstellung über die Infektion hinweg

Es ist nicht möglich, einfach ein Backup in dieselbe kompromittierte Umgebung wiederherzustellen. Wenn der Angreifer den Zugriff behalten hat, wird er die wiederhergestellten Systeme erneut verschlüsseln. Zuerst muss der ursprüngliche Vektor gefunden und geschlossen, privilegierte Konten überprüft und die Infrastruktur bereinigt werden, und erst dann sollten die Dienste wiederhergestellt werden.

Wie erfolgreiches Reagieren in der Praxis aussieht

Betrachten wir ein typisches Szenario ohne Bezug zu einem bestimmten Unternehmen. Die Organisation bemerkt, dass der Dateiserver begann, Dokumente umzubenennen, und die Nutzer sehen Notizen mit Lösegeldforderungen. Der diensthabende Administrator trennt schnell den Server vom Netzwerk und informiert die Reaktionsgruppe. Parallel dazu zeigt EDR verdächtige Anmeldungen von einem Konto eines ehemaligen Auftragnehmers.

Das Team sperrt das Konto, prüft die VPN-Protokolle, schränkt den Zugriff zwischen Segmenten ein und schaltet Netzlaufwerke ab. Danach stellen die Spezialisten fest, dass das Konto des Auftragnehmers nicht widerrufen wurde und dass für diese Benutzergruppe keine MFA angewendet wurde. Die Backups des Dateiservers wurden in einem separaten Repository im unveränderlichen Speicher Modus aufbewahrt, sodass die Angreifer sie nicht löschen konnten.

Die Wiederherstellung beginnt mit den Domaincontrollern und Authentifizierungssystemen, dann werden die Dateiresourcen in einem isolierten Segment hochgefahren, gescannt und schrittweise den Nutzern wieder zugänglich gemacht. Das Unternehmen verliert einen Teil des Arbeitstags, zahlt aber kein Lösegeld und erholt sich nicht über Wochen.

Die Schlüssel zum Erfolg sind einfach: frühzeitige Entdeckung, Isolation, deaktivierte überflüssige Konten, funktionierende Backups, klarer Wiederherstellungsprozess und das Fehlen chaotischer Handlungen.

Backups als das Hauptargument gegen Lösegeld

Backups sind keine Formalität, sondern die letzte Verteidigungslinie. Allerdings helfen nicht alle Backups bei Ransomware. Wenn die Kopien aus demselben Domänenkonto verfügbar sind, sich auf einem ständig verbundenen Netzlaufwerk befinden oder jahrelang nicht getestet wurden, können Angreifer sie als erste verschlüsseln.

Eine zuverlässige Strategie basiert auf dem Prinzip 3-2-1-1-0:

• 3 Kopien der Daten: eine Hauptkopie und mindestens zwei Backups;
• 2 verschiedene Arten von Medien oder Speichermedien;
• 1 Kopie außerhalb des Hauptstandorts;
• 1 unveränderliche oder Offline-Kopie;
• 0 Fehler bei der regelmäßigen Wiederherstellungstestung.

Was in der Backup-System überprüft werden sollte

Die minimale Checkliste sieht so aus:

1. Gibt es separate Konten für die Verwaltung der Backups?
2. Ist die Backup-Konsole mit MFA geschützt?
3. Kann man Kopien aus der Domäne im Fall einer Kompromittierung des Administrators löschen?
4. Gibt es unveränderlichen Speicher, WORM-Modus oder Offline-Medien?
5. Wurde die Wiederherstellung in den letzten Monaten getestet?
6. Ist die Wiederherstellungszeit für kritische Systeme bekannt?
7. Werden Konfigurationen von Netzwerkgeräten und Schutzmaßnahmen gespeichert?
8. Ist der Wiederherstellungsprozess der Abhängigkeiten dokumentiert?

Der letzte Punkt ist besonders wichtig. Man kann ein ERP nicht wiederherstellen, wenn DNS, Active Directory, Datenbank, Lizenzierung und Netzwerk-Routen nicht verfügbar sind. Daher sollte die Datensicherung mit einer Servicekarte verknüpft sein.

Tabelle der Schutzmaßnahmen gegen Ransomware

Unten finden Sie den Vergleich der grundlegenden Maßnahmen. Die Tabelle hilft dabei, schnell zu verstehen, welche Maßnahmen die maximale Wirkung erzielen und wo oft Schwachstellen auftreten.

Maßnahme	Was sie bringt	Häufiger Fehler	Priorität
MFA für VPN, E-Mail und Administratoren	Senkt das Risiko des Zugriffs über gestohlene Passwörter	MFA nur für einen Teil der Nutzer aktiviert	Hoch
EDR oder XDR	Erkennt verdächtiges Verhalten und laterale Bewegungen	Agenten sind auf den Servern nicht installiert	Hoch
Netzwerksegmentierung	Begrenzung der Ausbreitung des Angriffs	Alle Server sind aus dem Bürobetrieb erreichbar	Hoch
Isolierte Backups	Ermöglichen eine Wiederherstellung ohne Lösegeld	Kopien sind aus der Domäne erreichbar	Kritisch
Schwachstellenmanagement	Schließt bekannte Einstiegspunkte	Patches werden nur auf Arbeitsstationen angewendet	Hoch
Prinzip der minimalen Privilegien	Verringert den Schaden durch ein gehacktes Konto	Benutzer sammeln über Jahre hinüberflüssige Rechte	Hoch
Protokolle und SIEM	Helfen bei der Untersuchung des Angriffs	Protokolle werden zu kurz aufbewahrt	Mittel
Übungen zur Reaktion	Beschleunigen Entscheidungen in Krisensituationen	Es gibt einen Plan, aber niemand hat ihn getestet	Hoch

Wie man die Infrastruktur vor einem Angriff vorbereitet

Die Vorbereitung ist die kostengünstigste Phase im Kampf gegen Ransomware. Während eines Vorfalls kostet jede Entscheidung mehr: Das Geschäft steht still, Daten sind nicht verfügbar, das Management fordert Fristen und das Team arbeitet unter Druck.

Inventarisierung der Vermögenswerte

Man kann nicht schützen, was man nicht kennt. Erstellen Sie eine Liste von Servern, Arbeitsstationen, Cloud-Ressourcen, Datenbanken, Netzwerkgeräten, externen Services und Konten. Markieren Sie separat die kritischen Systeme: die, ohne die das Geschäft innerhalb von Stunden stoppt.

Für jedes Asset sollten idealerweise der Besitzer, das Kritikalitätsniveau, Abhängigkeiten, der Speicherort der Backups und die zulässige Ausfallzeit bekannt sein.

Zugangskontrolle

Ransomware nutzt oft legitime Konten. Daher sollte der Zugang eingeschränkt und kontrolliert werden. Löschen Sie Konten von entlassenen Mitarbeitern und Auftragnehmern. Trennen Sie gewöhnliche und administrative Konten. Aktivieren Sie MFA für den Remote-Zugriff, E-Mails, Cloud-Panels und Verwaltungssysteme.

Es ist auch nützlich, PAM zu implementieren oder zumindest vorübergehend Administratorrechte zu vergeben. Je weniger permanente Privilegien, desto schwieriger wird es für Angreifer, schnell die Domäne zu erobern.

Segmentierung und Kontrolle der lateralen Bewegungen

Wenn eine infizierte Arbeitsstation alle Server sehen kann, breitet sich der Angriff schnell aus. Teilen Sie das Netzwerk in Zonen auf: Benutzer, Server, Administration, Backup, Produktionssysteme, Gäste-Netzwerke. Erlauben Sie nur die erforderlichen Verbindungen.

Besondere Aufmerksamkeit sollte den Protokollen RDP, SMB, WinRM, SSH und den Mitteln zur Fernadministration geschenkt werden. Diese sind praktisch für die IT, aber genauso praktisch für Angreifer.

Schutz von E-Mails und Schulung der Nutzer

Phishing bleibt einer der häufigsten Kanäle für den Ersteinstieg. Technische Filter sind notwendig, aber sie ersetzen nicht die Schulung. Benutzer sollten verstehen, wie verdächtige Anhänge aussehen, warum sie kein Passwort eingeben dürfen, nachdem sie einem Link aus einer E-Mail gefolgt sind, und an wen sie sich bei verdächtigen Aktivitäten wenden können.

Schulungen wirken besser, wenn sie kurz, regelmäßig und an realen Szenarien orientiert sind. Man sollte sie nicht in eine formale jährlich einmal stattfindende Vorlesung umwandeln.

Wiederherstellung nach einem Angriff: richtige Reihenfolge

Die Wiederherstellung sollte als eigenes Projekt geplant werden. Wenn man die Dienste chaotisch wiederherstellt, kann man Zeit verlieren und die Infrastruktur erneut infizieren.

Empfohlene Reihenfolge:

1. Bestimmen Sie das Ausmaß des Vorfalls und die Liste der betroffenen Systeme.
2. Isolieren Sie eine saubere Umgebung für die Wiederherstellung.
3. Überprüfen Sie die Backups auf Malware und Anzeichen einer Kompromittierung.
4. Stellen Sie grundlegende Dienste wieder her: Netzwerk, DNS, Benutzerdatenbank, Zugriffskontrolle.
5. Setzen Sie Passwörter zurück und erstellen Sie die Schlüsselprivilegierten Konten neu.
6. Stellen Sie kritische Geschäftssysteme nach einem zuvor genehmigten Prioritätsplan wieder her.
7. Führen Sie ein Scanning durch und überwachen Sie die wiederhergestellten Knoten.
8. Stellen Sie die Benutzer schrittweise wieder her, beginnend mit den wichtigsten Abteilungen.
9. Behalten Sie eine verstärkte Überwachung mindestens einige Wochen lang bei.

Dabei ist es wichtig, zwei Aufgaben zu unterscheiden: die Arbeit wiederherzustellen und eine Untersuchung durchzuführen. Sie laufen parallel, sollten sich aber nicht gegenseitig behindern. Beispielsweise sollte man keine Beweise auf allen Servern löschen, um die Geschwindigkeit zu erhöhen, wenn ein Teil der Infrastruktur zur Bestimmung der Eintrittsstellen benötigt wird.

Soll man Lösegeld an die Ransomware-Zulieferer zahlen?

In den meisten Fällen ist die Zahlung von Lösegeld keine zuverlässige Lösung. Es gibt mehrere Gründe. Erstens gibt es keine Garantie dafür, dass die Angreifer ein funktionierendes Entschlüsselungsprogramm bereitstellen. Zweitens kann die Entschlüsselung großer Datenmengen lange dauern und mit Fehlern enden. Drittens kann die Tatsache der Zahlung das Unternehmen zum Ziel weiterer Angriffe machen. Viertens können rechtliche Einschränkungen auftreten, insbesondere wenn der Zahlungsempfänger mit Sanktionslisten verbunden ist.

Entscheidungen über Verhandlungen werden manchmal in Krisensituationen bedacht, in denen das Leben von Menschen, kritische Infrastrukturen oder das Fehlen jeglicher Backups auf dem Spiel steht. In einem solchen Fall sollte man nicht eigenständig handeln. Juristen, Reaktionsspezialisten, Management und rechtliche Risikoprüfungen sind erforderlich.

Selbst wenn Verhandlungen begonnen haben, sollte das technische Team die Untersuchung und die Wiederherstellung fortsetzen. Die Zahlung des Lösegelds schließt keine Sicherheitslücke und hebt nicht das Risiko eines Datenlecks auf.

Rechtliche und kommunikative Maßnahmen

Ein Ransomware-Vorfall überschreitet fast immer die IT. Wenn persönliche Daten, Geschäftsgeheimnisse oder Kundendaten betroffen sind, können Informationspflichten gegenüber Regulierungsbehörden, Partnern und Betroffenen entstehen. Konkrete Anforderungen hängen von der Gerichtsbarkeit, der Branche und den Verträgen ab.

Die Kommunikation sollte genau und zurückhaltend sein. Es ist nicht ratsam zu behaupten, dass „es keine Lecks gibt“, solange die Untersuchung nicht abgeschlossen ist. Besser sind Formulierungen, die die Fakten widerspiegeln: Was entdeckt wurde, welche Maßnahmen ergriffen wurden, welche Dienste vorübergehend nicht verfügbar sind, wann weitere Informationen bereitgestellt werden.

Innerhalb des Unternehmens ist eine einheitliche Linie ebenfalls erforderlich. Benutzer sollten wissen, an wen sie verdächtige E-Mails melden, welche Systeme nicht eingeschaltet werden dürfen, wo sie aktuelle Anleitungen erhalten und wer für Kundenfragen zuständig ist.

Nachbesprechung nach dem Vorfall

Wenn die Dienste wiederhergestellt sind, endet die Arbeit nicht. Die Nachbesprechung nach dem Vorfall hilft, die Krise in verbesserte Sicherheitsmaßnahmen umzuwandeln. Untersuchen Sie nicht nur die technischen Ursachen, sondern auch die organisatorischen.

Nützliche Fragen:

• Wie haben die Angreifer den ursprünglichen Zugang erhalten?
• Warum wurde der Angriff nicht früher entdeckt?
• Welche Konten und Privilegien wurden verwendet?
• Welche Systeme wurden verschlüsselt und warum?
• Haben die Backups funktioniert?
• Welche Entscheidungen haben am meisten Zeit in Anspruch genommen?
• Gab es Probleme bei der Kommunikation?
• Welche Maßnahmen müssen in erster Linie umgesetzt werden?

Ergebnis sollte ein Verbesserungsplan mit den Verantwortlichen und Fristen sein. Ohne dies riskiert die Organisation, eine ähnliche Attacke erneut zu erleben.

Häufige Fehler im Kampf gegen Ransomware

Selbst starke Teams machen manchmal Fehler unter Druck. Hier sind die gefährlichsten.

Löschen von Systemen ohne Beweise zu sichern

Wenn man die Server sofort neu installiert, kann man Protokolle, Malware- Dateien, Autostartschlüssel und Spuren der Angreifer verlieren. Dies erschwert die Untersuchung und kann den ursprünglichen Vektor offenlassen.

Wiederherstellung in einer kompromittierten Umgebung

Wenn die Domäne, Konten oder Verwaltungsressourcen noch unter Kontrolle der Angreifer stehen, sind die wiederhergestellten Server erneut bedroht. Zuerst muss das Fundament gereinigt werden.

Blinder Glaube an Backups

Ein Backup gilt nur dann als funktionsfähig, wenn eine erfolgreiche Testwiederherstellung durchgeführt wurde. Man sollte nicht nur die Anwesenheit von Dateien überprüfen, sondern auch die Integrität von Anwendungen, Datenbanken und Abhängigkeiten.

Fehlender Vorfallverantwortlicher

Wenn alle gleichzeitig Entscheidungen treffen, entsteht Chaos. Es braucht einen Koordinator, der das Gesamtbild sieht, Prioritäten setzt und Maßnahmen festhält.

Verschweigen des Problems

Der Versuch, einen Vorfall zu verbergen, kann die rechtlichen und rufschädigenden Risiken erhöhen. Besser ist es, ausgewogene Mitteilungen vorzubereiten und sie nach bestätigten Fakten zu aktualisieren.

FAQ: Häufige Fragen zum Kampf gegen Ransomware

Kann ich Dateien ohne Lösegeld entschlüsseln?

Manchmal ja. Für einige alte oder fehlerhaft implementierte Ransomware-Familien gibt es kostenlose Entschlüsseler. Aber bei modernen Angriffen kommt das selten vor. Überprüfen Sie die Ransomware-Familie über vertrauenswürdige Spezialisten und öffentliche Entschlüsselungsprojekte, aber verlassen Sie sich nicht nur auf diese Option.

Soll ich sofort alle Computer ausschalten?

Nicht immer. Wenn die Verschlüsselung aktiv verbreitet wird, kann Isolation und Abschaltung gerechtfertigt sein. Aber eine massenhafte Abschaltung ohne Plan kann temporaire Daten für die Untersuchung löschen. Es ist besser, infizierte Segmente vom Netzwerk zu trennen und nach dem Reaktionsplan zu handeln.

Hilft Antivirus gegen Ransomware?

Antivirus hilft, ist aber kein vollständiger Schutz. Moderne Angriffe verwenden oft legitime Verwaltungswerkzeuge, gestohlene Passwörter und manuelle Handlungen von Betreibern. Daher sind EDR, MFA, Segmentierung, Kontrollprivilegien und Backups erforderlich.

Wie oft sollte die Wiederherstellung aus Backups getestet werden?

Für kritische Systeme - regelmäßig, unter Berücksichtigung der akzeptablen Ausfallzeit. Eine gute Praxis ist, planmäßige Tests mehrere Male im Jahr und nach großen Änderungen in der Infrastruktur durchzuführen. Wichtig ist, die tatsächliche Wiederherstellungszeit und aufgetretene Probleme festzuhalten.

Kann das Risiko von Ransomware vollständig ausgeschlossen werden?

Das Risiko kann nicht vollständig ausgeschlossen werden. Aber man kann die Wahrscheinlichkeit eines erfolgreichen Angriffs deutlich senken und den Schaden begrenzen. Dazu sind mehrstufiger Schutz, Überwachung, ein vorbereitete Team und eine geprüfte Wiederherstellung erforderlich.

Kurzer Aktionsplan für die Leitung

Wenn Sie die Bereitschaft des Unternehmens schnell beurteilen müssen, beginnen Sie mit zehn Fragen:

1. Gibt es eine Liste kritischer Dienste und deren akzeptable Ausfallzeit?
2. Ist MFA für den Fernzugriff und Administratoren aktiviert?
3. Werden die Backups in isolierter oder unveränderlicher Form aufbewahrt?
4. Wurden Wiederherstellungstests durchgeführt?
5. Gibt es einen Reaktionsplan für Ransomware?
6. Ist ein Leiter der Krisengruppe ernannt?
7. Ist das Netzwerk segmentiert?
8. Werden privilegierte Konten kontrolliert?
9. Werden Protokolle von kritischen Systemen gesammelt?
10. Wurden im letzten Jahr Übungen durchgeführt?

Wenn einige Fragen mit Nein beantwortet werden, ist das jedoch kein Grund zur Panik. Es ist ein Fahrplan. Beginnen Sie mit MFA, Backups, Einschränkungen der Privilegien und dem Reaktionsplan. Diese Maßnahmen haben häufig den schnellsten Effekt.

Fazit

Die Erfahrungen im erfolgreichen Kampf gegen Ransomware basieren auf Bereitschaft, Disziplin und bewährter Wiederherstellung. Warten Sie nicht auf einen Angriff, um zu erfahren, wo die Backups liegen, wer Entscheidungen trifft und welche Server kritische Funktionen haben. Führen Sie eine Inventarisierung durch, aktivieren Sie MFA, isolieren Sie Backups, schränken Sie Privilegien ein, richten Sie Überwachung ein und üben Sie das Ransomware-Szenario in Schulungen. Je früher Sie beginnen, desto größer ist die Chance, den Angriff ohne Lösegeld zu stoppen und schnell ins Geschäft zurückzukehren.