Bei einem Ransomware-Befall zählt jede Minute: Trennen Sie betroffene Geräte sofort vom Netzwerk, schalten Sie nichts aus, löschen Sie nichts und zahlen Sie nicht, bevor Fachleute die Lage bewertet haben. Dann holen Sie Hilfe. Was danach kommt – und was Sie auf keinen Fall tun sollten – erklärt dieser Beitrag Schritt für Schritt.
Woran Sie einen Ransomware-Angriff erkennen
Dateien lassen sich nicht mehr öffnen und haben plötzlich fremde Endungen. Auf dem Bildschirm oder in Ordnern erscheint ein Text, der Geld für die Entschlüsselung fordert. Mitarbeiter melden, dass Programme abstürzen oder Netzlaufwerke „leer“ sind. Manchmal läuft der Angriff noch: Der Rechner arbeitet ungewöhnlich stark, obwohl niemand etwas tut. Jedes dieser Zeichen ist ein Alarm – nicht abwarten.
Die Sofortmaßnahmen – in dieser Reihenfolge
Netzwerk trennen. Ziehen Sie bei betroffenen Geräten das Netzwerkkabel bzw. schalten Sie WLAN ab. Damit verhindern Sie, dass sich die Verschlüsselung auf weitere Rechner und den Server ausbreitet. Das ist die wichtigste Maßnahme überhaupt.
Nicht ausschalten. So widersprüchlich es klingt: Ein laufendes System enthält Spuren, die Fachleute für Analyse und mögliche Wiederherstellung brauchen. Trennen ja, abschalten nein.
Alle informieren. Jeder Mitarbeiter muss sofort wissen: nichts anklicken, nichts öffnen, keine Geräte verbinden – auch kein USB-Stick, kein Laptop aus dem Homeoffice.
Backup schützen. Wenn Ihr Backup auf einem Gerät im Netzwerk liegt, trennen Sie es sofort. Ein unversehrtes Backup ist Ihre wichtigste Rettungsleine.
Hilfe holen. Rufen Sie Ihren IT-Dienstleister oder einen IT-Notdienst an. Ab hier übernehmen Fachleute die Analyse: Wie weit ist der Angriff, welche Systeme sind betroffen, was ist noch intakt.
Was Sie auf keinen Fall tun sollten
Nicht zahlen – nicht sofort und nicht allein. Eine Zahlung garantiert keine Entschlüsselung, finanziert weitere Angriffe und macht Sie als zahlungsbereit bekannt. Ob eine Zahlung überhaupt in Frage kommt, ist eine Entscheidung nach Analyse mit Fachleuten – nie ein Reflex.
Nichts löschen, nichts „aufräumen“. Verschlüsselte Dateien, Erpressertexte, verdächtige Programme: alles bleibt, wo es ist. Es sind Beweise und Analysegrundlage.
Kein Backup blind zurückspielen. Erst muss sicher sein, dass der Angreifer aus dem System ist. Sonst wird die frisch wiederhergestellte Umgebung erneut verschlüsselt.
Nicht weiterarbeiten wie gewohnt. Auch scheinbar nicht betroffene Rechner können kompromittiert sein.
Melde- und Anzeigepflichten
Wenn personenbezogene Daten betroffen sein könnten – Kundendaten, Mitarbeiterdaten, Patientendaten –, besteht nach der DSGVO eine Meldepflicht gegenüber der zuständigen Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden. Zusätzlich sollten Sie den Vorfall bei der Polizei anzeigen; die Landeskriminalämter haben dafür zentrale Ansprechstellen Cybercrime. Ihr IT-Dienstleister unterstützt Sie dabei, die nötigen Informationen zusammenzustellen.
Wiederherstellung und Neustart
Sobald klar ist, welche Systeme betroffen sind und der Angreifer keinen Zugriff mehr hat, beginnt die Wiederherstellung: betroffene Systeme neu aufsetzen, Daten aus dem intakten Backup zurückspielen, alle Passwörter erneuern, Mehrfaktor-Anmeldung aktivieren. Danach die entscheidende Frage: Wie kam der Angreifer hinein? Ohne diese Antwort ist der nächste Angriff nur eine Frage der Zeit.
Häufige Fragen
Können verschlüsselte Dateien ohne Zahlung gerettet werden?
Für manche Ransomware-Varianten existieren Entschlüsselungswerkzeuge. Die verlässlichste Rettung ist aber immer ein intaktes, getrennt gelagertes Backup.
Wir sind kein Kunde – helfen Sie trotzdem?
Ja. Im Notfall helfen wir auch Unternehmen, die wir bisher nicht betreuen – transparent nach Aufwand abgerechnet.
Wie verhindern wir, dass es wieder passiert?
Mit den Grundlagen: getrenntes und getestetes Backup, Mehrfaktor-Anmeldung, überwachte Updates, verwaltete Firewall, geschulte Mitarbeiter. Im Rahmen einer laufenden Betreuung ist das Standard.
Ransomware-Notfall? Sofort anrufen
Team Data ist Ihr IT-Notdienst und IT-Security-Partner in Osnabrück. Netzwerk trennen, nichts löschen, anrufen – den Rest übernehmen wir.
