Wie man einen Computer von einer Ransomware heilt: Schritt-für-Schritt-Anleitung

Wenn Sie Ihren Computer von einer Ransomware heilen müssen, ist das Wichtigste — nicht in Panik zu geraten und keine impulsiven Entscheidungen zu treffen. Ransomware blockiert den Zugriff auf Dateien und fordert ein Lösegeld für die Entschlüsselung. In diesem Artikel werden die ersten Schritte nach einer Infektion, die sichere Entfernung der schädlichen Software, die Überprüfung von Datenwiederherstellungsoptionen, die Vorbeugung wiederholter Angriffe und Antworten auf häufige Fragen behandelt.

Ein wichtiger Punkt: Die Heilung des Computers und die Wiederherstellung von Dateien sind verschiedene Aufgaben. Ein Antivirenprogramm kann aktiven schädlichen Code entfernen, entschlüsselt jedoch nicht immer bereits beschädigte Dokumente, Fotos, Datenbanken oder Archive. Daher ist die Reihenfolge der Maßnahmen von entscheidender Bedeutung.

Was ist eine Ransomware

Eine Ransomware ist ein schädliches Programm, das Benutzerdateien findet und sie verschlüsselt. Danach erscheint auf dem Bildschirm oder in Ordnern eine Nachricht mit Lösegeldforderung. Darin sind normalerweise die Summe, die Krypto-Wallet, die Zahlungsfrist und Drohungen zur Löschung des Entschlüsselungsschlüssels angegeben.

Meistens werden folgender Dateien verschlüsselt:

• Microsoft Office-Dokumente und PDFs;
• Fotos und Videos;
• ZIP-, RAR-, 7z-Archive;
• Datenbanken und Buchhaltungsdateien;
• Projekte, Zeichnungen, Quellcode;
• Dateien auf angeschlossenen Netzwerklaufwerken und externen Speicherlösungen.

Ransomware kann über einen Anhang in einer E-Mail, einen schädlichen Link, ein Raubkopienprogramm, eine Schwachstelle im Remote-Zugriff, einen infizierten USB-Stick oder einen gehackten Account auf den Computer gelangen. In einem Unternehmensnetzwerk wird manchmal ein infizierter Computer zum Eingangspunkt für Angriffe auf Server und gemeinsame Ordner.

Wie man erkennt, dass der Computer mit einer Ransomware infiziert ist

Die Anzeichen einer Infektion sind normalerweise sofort erkennbar, aber manchmal entwickelt sich der Angriff allmählich. Je früher Sie das Problem erkennen, desto höher ist die Chance, den Schaden zu begrenzen.

Hauptsymptome

• Dateien können nicht mehr geöffnet werden, obwohl sie zuvor funktionierten.
• Dokumente haben merkwürdige Erweiterungen erhalten, zum Beispiel .locked, .crypt, .encrypted oder eine zufällige Zeichenfolge.
• In Ordnern erscheinen Dateien mit Namen wie readme.txt, how_to_decrypt.html, restore_files.txt.
• Der Desktop hat sich geändert, es gibt eine Lösegeldforderung.
• Der Computer läuft plötzlich langsamer, die Festplatte arbeitet aktiv, aber Sie haben nichts gestartet.
• Das Antivirenprogramm meldet Ransomware, Trojaner, Dropper oder einen verdächtigen Prozess.
• Schattenkopien von Windows oder Wiederherstellungspunkte sind nicht verfügbar.

Was man nicht tun sollte

Fehlerhafte Handlungen können die Situation verschlechtern. Daher sollten Sie nicht schnell Windows neu installieren und nicht einfach alles löschen.

Es wird nicht empfohlen:

• Lösegeld ohne Rücksprache mit einem Spezialisten zu zahlen;
• Die Nachricht der Erpresser zu löschen, wenn sie eine Identifikationsnummer der Infektion enthält;
• Die Festplatte zu formatieren, bevor Sie eine Kopie der verschlüsselten Daten erstellen;
• Sicherungslaufwerke an den infizierten Computer anzuschließen;
• Verdächtige „Entschlüsselungsprogramme“ von Foren auszuführen;
• Weiter im Netzwerk zu arbeiten, wenn der Computer mit gemeinsamen Ordnern verbunden ist.

Eine Zahlung garantiert keine Wiederherstellung. Außerdem könnten die Angreifer einen nicht funktionierenden Schlüssel schicken, eine zusätzliche Zahlung verlangen oder die gleiche Infrastruktur erneut angreifen.

Erste Maßnahmen bei einer Infektion

Im Folgenden wird eine grundlegende Reihenfolge vorgestellt, die für einen Heim-PC und für einen Arbeitsplatz im Büro geeignet ist. Wenn ein Server, ein Domänennetzwerk oder eine wichtige Datenbank infiziert ist, ist es besser, sofort einen Sicherheitsexperten hinzuzuziehen.

Schritt-für-Schritt-Plan

1. Trennen Sie das Internet und das lokale Netzwerk. Ziehen Sie das Netzwerkkabel ab, schalten Sie Wi-Fi und Bluetooth aus. Dies hilft, die Verbindung zum Command-Server zu stoppen und das Risiko einer Infektion von Netzordnern zu verringern.
2. Schalten Sie den Computer nicht abrupt aus, wenn der Verschlüsselungsprozess noch läuft. Trennen Sie zunächst das Netzwerk. Überprüfen Sie dann, ob auf der Festplatte eine aktive Last besteht. In strittigen Fällen ist es besser, einen Screenshot des Bildschirms zu machen und einen Spezialisten um Rat zu fragen.
3. Trennen Sie externe Speichergeräte. Wenn USB-Sticks oder Netzwerkspeicher angeschlossen sind, trennen Sie diese. Aber schließen Sie sie nicht an andere Computer an, bevor Sie nicht überprüft haben.
4. Fotografieren Sie die Lösegeldnachricht. Halten Sie Adressen, Dateierweiterungen, ID des Opfers und die Namen der Anleitungsdateien fest.
5. Erstellen Sie eine Kopie der verschlüsselten Dateien. Kopieren Sie wichtige Daten auf ein separates, sauberes Medium oder ein Disk-Image. Dies ist für die zukünftige Entschlüsselung erforderlich, falls ein funktionierender Entschlüsselungsmechanismus verfügbar wird.
6. Überprüfen Sie, ob die Verschlüsselung weitergeht. Öffnen Sie den Task-Manager und schauen Sie sich verdächtige Prozesse mit hoher Festplatten- oder CPU-Belastung an. Löschen Sie sie nicht willkürlich, wenn Sie sich nicht sicher sind.
7. Führen Sie einen Scan mit einem vertrauenswürdigen Antivirenprogramm durch. Es ist besser, eine bootfähige Anti-Viren-CD oder einen Scanner von einem bekannten Hersteller zu verwenden.
8. Nach der Bedrohungsbeseitigung fahren Sie mit der Datenwiederherstellung fort. Verwenden Sie Backups, Schattenkopien von Windows oder offizielle Entschlüsselungsprogramme, falls diese für Ihre Ransomware-Variante verfügbar sind.

Diese Reihenfolge verringert das Risiko, zusätzliche Dateien zu verlieren, und hilft, Beweismittel für die Infektion zu sichern.

Wie man eine Ransomware sicher entfernt

Die Entfernung einer Ransomware sollte vorsichtig erfolgen. Ziel ist es, das schädliche Programm zu stoppen, den Autostart zu entfernen, das System zu überprüfen und sicherzustellen, dass die Bedrohung nach einem Neustart nicht zurückkehrt.

Vorbereitung zur Heilung

Vor der Heilung sollten Sie drei Maßnahmen durchführen:

• Bewahren Sie eine Kopie der Erpressernachricht auf;
• Kopieren Sie mehrere verschlüsselte Dateien zur Analyse;
• Erstellen Sie ein Backup der gesamten Festplatte, wenn die Daten wichtig sind.

Selbst wenn die Dateien derzeit nicht geöffnet werden, sollten sie nicht als wertlos angesehen werden. Für einige Familien von Ransomware werden später kostenlose Entschlüsselungsprogramme veröffentlicht. Ohne die Originalverschlüsselungsdateien wird eine Wiederherstellung unmöglich sein.

Überprüfung im abgesicherten Modus

In Windows kann im abgesicherten Modus mit oder ohne Netzwerkunterstützung gebootet werden. Wenn das Risiko besteht, dass die Ransomware weiterhin mit dem Server kommuniziert, sollten Sie zunächst den Modus ohne Netzwerk auswählen.

Allgemeiner Ablauf:

1. Öffnen Sie die Windows Wiederherstellungsoptionen.
2. Gehen Sie zu den erweiterten Startoptionen.
3. Wählen Sie den abgesicherten Modus aus.
4. Starten Sie einen Virenscan.
5. Entfernen Sie die gefundenen Bedrohungen oder quarantänisieren Sie sie.
6. Starten Sie den Computer neu und scannen Sie erneut.

Jedoch hilft der abgesicherte Modus nicht immer. Einige moderne Ransomware verwenden Dienste, Task Scheduler, Treiber oder Administrator-Anmeldeinformationen. Daher reicht eine manuelle Entfernung oft nicht aus.

Verwendung eines bootfähigen Antivirus

Ein bootfähiges Antiviren-Medium ist eine der sichersten Optionen. Es wird vor Windows gestartet und überprüft die Festplatte, ohne dass das infizierte System aktiv ist.

Die Vorteile dieses Ansatzes:

• Schadhafte Prozesse haben keine Zeit, zu starten;
• Gesperrte Dateien sind einfacher zu entfernen;
• Geringeres Risiko, dass die Ransomware die Überprüfung stört;
• Das System kann mit aktuellen Signaturen überprüft werden.

Verwenden Sie Lösungen von bekannten Anbietern. Laden Sie sie nur von offiziellen Websites herunter. Erstellen Sie einen bootfähigen USB-Stick an einem sauberen Computer.

Manuelle Überprüfung des Autostarts

Nach der automatischen Bereinigung ist es hilfreich, die Orte zu überprüfen, von denen aus die schädliche Software möglicherweise erneut gestartet werden konnte:

• Benutzer- und System-Startup-Ordner;
• Windows Aufgabenplaner;
• Registry-Abschnitte Run und RunOnce;
• Temporäre Ordner %Temp% und %AppData%;
• Neu installierte Programme;
• Verdächtige Dienste;
• Firewall-Regeln;
• Browsererweiterungen.

Die manuelle Entfernung erfordert Erfahrung. Wenn Sie sich nicht sicher sind, ändern Sie am besten nicht die Registry und die Systemdienste. Ein Fehler kann zu einer instabilen Windows-Funktion führen.

Wann es besser ist, das System neu zu installieren

Manchmal gibt die Heilung eines Computers von einer Ransomware nicht genügend Sicherheit. Eine Neuinstallation von Windows ist gerechtfertigt, wenn:

• die Infektion mit Administratorrechten erfolgt ist;
• das Antivirenprogramm erneut Bedrohungen findet;
• Sicherheitsdienste ausgeschaltet wurden;
• unklar ist, welche anderen schädlichen Programme in das System gelangt sind;
• der Computer für Bankgeschäfte, Buchhaltung oder Serveradministration verwendet wurde;
• der Angreifer entfernten Zugang erhalten hat.

Vor der Neuinstallation speichern Sie verschlüsselte Dateien, die Erpressernachrichten und wichtige Protokolle. Reinigen Sie dann die Festplatte, installieren Sie das System neu, aktualisieren Sie Windows, installieren Sie Antiviren-Software und schließen Sie erst danach Backups an.

Wie man Dateien nach einer Ransomware wiederherstellt

Nach der Beseitigung der aktiven Bedrohung können Sie mit der Wiederherstellung fortfahren. Dabei ist es wichtig, unrealistische Versprechungen zu vermeiden: Es gibt keine universelle Methode zur Entschlüsselung aller Ransomware. Aber es gibt einige legale und sichere Optionen.

Vergleich der Wiederherstellungsmethoden

Methode	Wann geeignet	Risiken und Einschränkungen
Backup	Es gibt ein sauberes Backup vor der Infektion	Man muss sicherstellen, dass das Backup nicht infiziert oder verschlüsselt ist
Schattenkopien von Windows	Der System Schutz ist aktiviert, Kopien sind nicht gelöscht	Viele Ransomware löschen Schattenkopien
Offizieller Entschlüsseler	Das Ransomware-Familie ist bereits untersucht	Es gibt nicht für alle Varianten einen Entschlüsseler
Wiederherstellung gelöschter Dateien	Ransomware hat Kopien erstellt und Originals gelöscht	Ergebnis hängt vom Zustand der Festplatte und der Zeit nach dem Angriff ab
Fachleute ansprechen	Daten sind von entscheidender Wichtigkeit	Kostet Geld, reduziert aber Fehlerquoten

Wiederherstellung aus einem Backup

Der zuverlässigste Weg ist, die Daten aus einem Backup wiederherzustellen, das vor der Infektion erstellt wurde. Aber schließen Sie das Backup nicht an den infizierten Computer an, bis eine gründliche Reinigung erfolgt ist. Andernfalls könnte die Ransomware auch die Kopien verschlüsseln.

Richtige Reihenfolge:

1. Reinigen oder installieren Sie das System neu.
2. Installieren Sie Updates und Sicherheitssoftware.
3. Überprüfen Sie das Backup-Medium mit Antiviren-Software.
4. Stellen Sie sicher, dass das Datum der Kopie vor der Infektion liegt.
5. Stellen Sie die Daten in einem separaten Ordner wieder her.
6. Überprüfen Sie ausgewählte Dokumente.
7. Erst danach kehren Sie die Dateien in die Arbeitsverzeichnisse zurück.

Für Unternehmen ist es besser, zuerst die Daten in einer isolierten Umgebung wiederherzustellen. So kann die Integrität von Datenbanken, Zugriffsrechten und Protokollen überprüft werden.

Überprüfung der Schattenkopien von Windows

Windows kann Schattenkopien von Dateien und Wiederherstellungspunkten erstellen. Wenn die Ransomware sie nicht gelöscht hat, können vorherige Versionen zurückgeholt werden.

Versuchen Sie Folgendes:

1. Klicken Sie mit der rechten Maustaste auf den Ordner mit den beschädigten Dateien.
2. Wählen Sie „Eigenschaften“.
3. Öffnen Sie die Registerkarte „Frühere Versionen“.
4. Wählen Sie eine Version vor der Infektion aus.
5. Kopieren Sie sie an einen sicheren Ort.

Wenn die Registerkarte leer ist, könnten die Kopien deaktiviert oder gelöscht worden sein. Installieren Sie keine fragwürdigen Programme, die versprechen, „alle Schattenkopien zurückzubringen“. Oft sind sie nutzlos oder gefährlich.

Suche nach einem kostenlosen Entschlüsseler

Für einige Ransomware gibt es kostenlose Entschlüsselungs-Tools. Diese werden von Antivirenfirmen und internationalen Projekten zur Bekämpfung von Ransomware veröffentlicht.

Um die Möglichkeit der Entschlüsselung zu überprüfen:

• Finden Sie den Namen der Ransomware-Familie im Antivirenbericht;
• Überprüfen Sie die Erweiterung der verschlüsselten Dateien;
• Bewahren Sie die Erpressernotiz auf;
• Verwenden Sie Ransomware-Identifizierungsdienste von bekannten Organisationen;
• Laden Sie den Entschlüsseler nur aus einer offiziellen Quelle herunter.

Senden Sie den Angreifern keine zusätzlichen Dateien, wenn dies nicht notwendig ist. Starten Sie den Entschlüsseler nicht, wenn seine Herkunft unbekannt ist. Gefälschte Wiederherstellungstools können den Computer erneut infizieren.

Wiederherstellung gelöschter Originale

Einige alte Ransomware haben eine verschlüsselte Kopie der Datei erstellt, das Original jedoch gelöscht. In diesem Fall helfen manchmal Wiederherstellungsprogramme für gelöschte Daten. Der Erfolg hängt jedoch davon ab, ob die Sektoren der Festplatte überschrieben wurden.

Wichtig:

• Installieren Sie das Wiederherstellungsprogramm nicht auf derselben Festplatte;
• Speichern Sie die gefundenen Dateien nicht im ursprünglichen Partition;
• Arbeiten Sie mit einem Disk-Image, wenn die Daten besonders wertvoll sind;
• Führen Sie keine Defragmentierung oder Festplattensäuberung vor dem Versuch der Wiederherstellung durch.

Auf SSDs ist das Ergebnis oft schlechter aufgrund des TRIM-Befehls, der gelöschte Blöcke reinigt. Daher gilt: Je früher alle Schreibvorgänge auf die Festplatte gestoppt werden, desto besser.

Sollte man das Lösegeld zahlen

Das Bezahlen von Lösegeld ist äußerst riskant. Sie könnten den Schlüssel nicht erhalten, ein nicht funktionierendes Programm erhalten oder Ziel eines weiteren Angriffs werden. Außerdem unterstützt die Zahlung das kriminelle Schema.

Dennoch ziehen es Unternehmen in der realen Welt manchmal in Betracht, wenn eine kritische Produktion gestoppt ist oder keine Backups vorhanden sind. In diesem Fall sollte die Entscheidung nach rechtlicher Beratung, Einschätzung der Sanktriskiken, Überprüfung des Vorfalls durch Spezialisten und Analyse von Alternativen getroffen werden. Für den privaten Nutzer ist die Zahlung fast immer die schlechteste Option.

Es ist besser, zuerst alle sicheren Methoden auszuschöpfen: Backups, Schattenkopien, offizielle Entschlüsseler, Wiederherstellung gelöschter Dateien und professionelle Gutachten.

Wie man erkennt, welche Ransomware den Computer infiziert hat

Die Identifizierung der Ransomware-Familie hilft, die Methode der Wiederherstellung auszuwählen. Manchmal reicht eine einzelne Dateierweiterung bereits aus, um Informationen zu finden, aber dies ist nicht immer zuverlässig. Verschiedene schädliche Programme können ähnliche Erweiterungen verwenden.

Sammeln Sie die folgenden Informationen:

• Den Text der Erpressernachricht;
• E-Mail-Adressen oder Websites aus der Anleitung;
• Die Erweiterung der verschlüsselten Dateien;
• Ein Beispiel für eine verschlüsselte Datei ohne persönliche Daten;
• Die ursprüngliche unverschlüsselte Version derselben Datei, falls vorhanden;
• Datum und ungefähre Uhrzeit der Infektion;
• Den Antivirenbericht.

Diese Informationen helfen Identifizierungsdiensten und Fachleuten. Aber veröffentlichen Sie keine vertraulichen Dokumente öffentlich.

Heilung eines Heimcomputers und eines Arbeitsnetzwerks

Der Ansatz hängt vom Ausmaß der Infektion ab. Ein Heim-PC ist in der Regel einfacher zu isolieren und zu reparieren. Im Büro sind gemeinsame Ordner, Server, Benutzerkonten und Ereignisprotokolle zu berücksichtigen.

Wenn der Heimcomputer infiziert ist

Für den Heimbenutzer könnte ein vernünftiger Plan folgendermaßen aussehen:

1. Das Internet ausschalten.
2. Beweise und Kopien von verschlüsselten Dateien aufbewahren.
3. Das System mit einem bootfähigen Antivirenprogramm überprüfen.
4. Gefundene Bedrohungen löschen.
5. Passwörter von einem anderen sauberen Gerät ändern.
6. Cloud-Speicher und Versionsverlauf überprüfen.
7. Daten aus Backups oder offiziellen Entschlüsselern wiederherstellen.
8. Windows, Browser und Programme aktualisieren.
9. Regelmäßige Backups einrichten.

Überprüfen Sie separat die Synchronisation mit der Cloud. Wenn verschlüsselte Dateien in den Cloud-Speicher hochgeladen wurden, verwenden Sie die Versionshistorie oder den Papierkorb des Dienstes.

Wenn die Organisation infiziert ist

Im Unternehmen ist es wichtig, nicht nur den Computer von der Ransomware zu heilen, sondern auch den Eintrittsweg zu verstehen. Andernfalls kann der Angriff wiederholt werden.

Es sind folgende Maßnahmen erforderlich:

• Isolation der infizierten Arbeitsstationen und Server;
• Deaktivierung kompromittierter Benutzerkonten;
• Sammlung der Ereignisprotokolle;
• Überprüfung der Domänencontroller;
• Analyse des Remote-Zugriffs, VPNs und RDP;
• Suche nach schädlichen Aufgaben und Skripten;
• Einschätzung von Datenlecks;
• Wiederherstellung aus überprüften Backups;
• Ändern von Passwörtern und Zugriffsschlüsseln;
• Dokumentation des Vorfalls.

Wenn persönliche Daten, Finanzsysteme oder kritische Infrastrukturen betroffen sind, können rechtliche Verpflichtungen zur Information von Aufsichtsbehörden und Kunden bestehen. Solche Fragen sollten besser mit Juristen und Fachleuten gelöst werden.

Wie man sich vor einer erneuten Infektion schützt

Prävention ist billiger und zuverlässiger als die Wiederherstellung nach einem Angriff. Ransomware nutzen oft die gleichen Schwachstellen: veraltete Programme, schwache Passwörter, offenes RDP, fehlende Backups und Unachtsamkeit gegenüber Anhängen.

Richten Sie Backups nach der 3-2-1-Regel ein

Die 3-2-1-Regel bedeutet:

• 3 Kopien wichtiger Daten;
• 2 unterschiedliche Arten von Medien;
• 1 Kopie wird getrennt vom Hauptsystem aufbewahrt.

Zum Beispiel befinden sich Arbeitsdateien auf dem Computer, eine Kopie auf einer externen Festplatte und eine weitere in der Cloud mit Versionsgeschichte. Die externe Festplatte sollte nicht ständig angeschlossen bleiben. Andernfalls könnte die Ransomware auch sie verschlüsseln.

Überprüfen Sie regelmäßig die Wiederherstellung. Ein Backup, das sich nicht wiederherstellen lässt, ist kein zuverlässiger Schutz.

Aktualisieren Sie das System und die Programme

Schwachstellen in Windows, Browsern, Büroanwendungen, Archivierungsprogrammen und Remote-Zugängen werden häufig zur Infektion ausgenutzt. Aktivieren Sie automatische Updates. Löschen Sie Programme, die Sie nicht verwenden. Arbeiten Sie nicht ständig mit einem Administratorkonto.

Besondere Aufmerksamkeit sollte auf Folgendes gelegt werden:

• Windows Update;
• Microsoft Office oder alternative Büroanwendungen;
• Browser und Erweiterungen;
• Java, wenn sie wirklich benötigt wird;
• Archivierungsprogramme;
• VPN-Clients;
• Programme für den Fernzugriff.

Schützen Sie den Remote-Zugriff

Offenes RDP mit einfachem Passwort ist eine häufige Ursache für Ransomware-Vorfälle. Wenn Remote-Zugriff erforderlich ist, verwenden Sie VPN, mehrstufige Authentifizierung, komplexe Passwörter und IP-Adressbeschränkungen.

Es wird empfohlen:

• RDP zu deaktivieren, wenn es nicht erforderlich ist;
• direkten Administratorzugang über das Internet zu verbieten;
• eine Sperre nach mehreren fehlgeschlagenen Anmeldeversuchen zu aktivieren;
• eindeutige Passwörter zu verwenden;
• regelmäßig die Benutzerliste zu überprüfen;
• Anmeldeprotokolle und Monitoring zu aktivieren.

Schulen Sie die Benutzer

Ein Großteil der Infektionen beginnt mit menschlichem Handeln: dem Öffnen eines Anhangs, der Aktivierung eines Makros, dem Start eines „Aktivators“ oder dem Herunterladen eines Programms von einer fragwürdigen Website.

Nützliche Regeln:

• unerwartete Anhänge nicht öffnen;
• die Adresse des Absenders überprüfen;
• Makros in Dokumenten nur im Bedarfsfall aktivieren;
• Programme nur von offiziellen Websites herunterladen;
• keine Raubkopien verwenden;
• Verdachtsfälle dem Administrator melden;
• die Warnungen des Antivirenprogramms nicht ignorieren.

Häufige Fragen zur Ransomware

Kann man einen Computer von einer Ransomware heilen, ohne Daten zu verlieren?

Manchmal ist das möglich, wenn ein sauberes Backup vorhanden ist, Schattenkopien erhalten geblieben sind oder es einen kostenlosen Entschlüsseler für die spezifische Ransomware gibt. Aber die Entfernung des Virus garantiert nicht die Entschlüsselung der Dateien.

Hat das Antivirenprogramm die Ransomware entfernt, warum lassen sich die Dateien nicht öffnen?

Weil das Antivirenprogramm das schädliche Programm entfernt, die Dateien aber verschlüsselt bleiben. Um darauf zugreifen zu können, wird ein Entschlüsselungsschlüssel, ein Backup oder eine andere Wiederherstellungsmethode benötigt.

Sollte man den Computer vom Stromnetz trennen?

Zunächst das Netzwerk trennen. Ein vollständiges Abschalten kann manchmal helfen, die Verschlüsselung zu stoppen, kann aber die Datensammlung für die Analyse behindern. Wenn die Daten kritisch wichtig sind, ist es besser, das Gerät zu isolieren und einen Spezialisten zu konsultieren.

Kann man Dateien online entschlüsseln?

Einige Dienste helfen dabei, die Art der Ransomware zu bestimmen und zeigen an, ob es einen Entschlüsseler gibt. Aber laden Sie keine vertraulichen Dokumente auf unbekannte Websites hoch. Verwenden Sie nur autorisierte Ressourcen.

Hilft die Systemwiederherstellung in Windows?

Die Systemwiederherstellung kann einige Einstellungen zurückgeben, entschlüsselt aber normalerweise keine persönlichen Dateien. Zudem löschen viele Ransomware die Wiederherstellungspunkte. Es sollte nur nach Sicherung der Kopie der verschlüsselten Daten ausprobiert werden.

Warum sollte man das Backup nicht sofort anschließen?

Wenn die Ransomware aktiv ist, kann sie die angeschlossene Festplatte verschlüsseln. Zuerst müssen Sie das System reinigen oder neu installieren, die Mediene überprüfen und erst dann die Daten wiederherstellen.

Was tun, wenn Dateien in der Cloud verschlüsselt sind?

Trennen Sie die Synchronisation auf dem infizierten Computer. Melden Sie sich dann von einem sauberen Gerät in der Cloud an und überprüfen Sie die Versionshistorie, den Papierkorb und die Massenwiederherstellungsfunktion. Viele Dienste ermöglichen es, Dateien in den Zustand vor dem Angriff zurückzubringen.

Kurze Checkliste von Maßnahmen

Wenn die Zeit knapp ist, verwenden Sie diese Liste:

1. Trennen Sie den Computer vom Internet und vom lokalen Netzwerk.
2. Schließen Sie keine USB-Sticks und Backup-Laufwerke an.
3. Fotografieren Sie die Lösegeldnachricht.
4. Bewahren Sie Kopien der Nachricht und der verschlüsselten Dateien auf.
5. Überprüfen Sie das System mit einem bootfähigen Antivirenprogramm.
6. Entfernen Sie die gefundenen Bedrohungen oder installieren Sie Windows neu.
7. Ändern Sie Passwörter von einem sauberen Gerät aus.
8. Überprüfen Sie Backups, Schattenkopien und Cloud-Verzeichnisse.
9. Suchen Sie den Entschlüsseler nur in offiziellen Ressourcen.
10. Richten Sie Schutz und regelmäßige Backups ein.

Fazit

Um einen Computer von einer Ransomware zu heilen, gehen Sie der Reihe nach vor: Isolieren Sie das Gerät, bewahren Sie Beweise auf, entfernen Sie die schädliche Software mit einem vertrauenswürdigen Tool, und stellen Sie dann die Dateien wieder her. Zahlen Sie das Lösegeld nicht vorschnell und führen Sie keine fragwürdigen Entschlüsseler aus. Wenn die Daten wichtig sind, erstellen Sie eine Disk-Kopie und wenden Sie sich an einen Spezialisten. Nach der Wiederherstellung richten Sie Updates, Schutz vor Fernzugriff und regelmäßige Backups ein, damit der nächste Angriff keine Katastrophe wird.