Wiederherstellung nach einem Ransomware-Angriff

Wie sie umgesetzt wird

1. 1Erstmaßnahmen und Eindämmung.
2. 2Bestandsaufnahme der Schäden und der verfügbaren Backups.
3. 3Wiederherstellungsplan nach Kritikalität.
4. 4Wiederherstellung und Validierung mit den Verantwortlichen der jeweiligen Bereiche.
5. 5Bericht und Maßnahmenplan zur Absicherung gegen erneute Vorfälle.

Was Seintec während und nach dem Vorfall leistet

Während des Vorfalls dämmt Seintec den Angriff ein, bewertet den Zustand der Backups, plant die Wiederherstellung nach Prioritäten und führt sie durch, wobei vor der Rückkehr in den Produktivbetrieb geprüft wird, ob die wiederhergestellte Umgebung frei von Schadsoftware und unbefugten Zugriffen ist. Anschließend legt Seintec einen technischen Bericht mit dem zeitlichen Ablauf, den wiederhergestellten Daten und Systemen sowie den terminierten Korrekturmaßnahmen vor. Eine eingehende forensische Analyse und die rechtliche Bewertung erfordern spezialisierte Fachkräfte: Wenn der Fall dies erfordert, wird das von Anfang an klar benannt und mit den zuständigen Stellen koordiniert, statt einen Leistungsumfang zu übernehmen, der nicht abgedeckt werden kann.

Was auf dem Spiel steht, wenn nichts unternommen wird

• Wiederherstellung in einer kompromittierten Umgebung

  Werden Daten in einem Netzwerk wiederhergestellt, auf das der Angreifer weiterhin Zugriff hat, führt dies nach wenigen Tagen zu einer erneuten Verschlüsselung.

• Vom Angriff betroffene Backups

  Backups, die mit Zugangsdaten der Domäne erreichbar sind, gehören zu den vorrangigen Angriffszielen. Die Sicherung muss außerhalb des Zugriffsbereichs kompromittierter Konten liegen.

• Fehlender Notfallkontakt

  Wenn nicht klar ist, wer mit welcher Befugnis anzurufen ist, gehen Stunden genau dann verloren, wenn sie am wertvollsten sind.

Häufige Fragen

Lassen sich immer alle Daten wiederherstellen?

Das lässt sich nicht garantieren. Das Ergebnis hängt vom Ausmaß der Verschlüsselung sowie von der Qualität und dem Alter der verfügbaren Backups ab.

Empfehlen Sie, das Lösegeld zu zahlen?

Nein. Eine Zahlung garantiert keine Wiederherstellung und fördert kriminelle Aktivitäten; der Fokus liegt auf der Wiederherstellung aus verlässlichen Backups.

Besteht eine Meldepflicht?

Je nach Art der Daten und Branche kann eine Meldepflicht bestehen. Diese rechtliche Bewertung muss der Rechtsberater des Unternehmens vornehmen.

Wie lange dauert es, bis wir wieder arbeiten können?

Das hängt vom Datenvolumen, vom Zustand der Backups und von der Anzahl der Systeme ab. Vorrang haben die Systeme, die für die Umsatzerzielung entscheidend sind.

Sollte man das Lösegeld zahlen?

Eine Zahlung garantiert weder die Wiederherstellung der Informationen noch, dass die Daten nicht veröffentlicht werden, und unterstützt das Geschäftsmodell des Angreifers. Die zuständigen Behörden empfehlen grundsätzlich, nicht zu zahlen und Anzeige zu erstatten. Die Entscheidung liegt bei der Unternehmensleitung, möglichst nach rechtlicher Beratung und einer Bewertung des tatsächlichen Zustands der Backups.

Muss der Vorfall gemeldet werden?

Wenn personenbezogene Daten betroffen sind, bestehen Meldepflichten mit festgelegten Fristen, und in vielen Fällen empfiehlt es sich zudem, Anzeige zu erstatten. Seintec liefert die technischen Informationen zum Vorfall und eine detaillierte Aufstellung der wiederhergestellten Daten und Systeme; die rechtliche Bewertung und die Meldung obliegen dem Unternehmen und seiner Rechtsberatung.

Wie lässt sich ein erneuter Vorfall verhindern?

Mit den Maßnahmen, die in der Praxis häufig fehlen: Zwei-Faktor-Authentifizierung für sämtliche Fernzugriffe, Backups außerhalb des Zugriffsbereichs der Domäne, Netzwerksegmentierung, Überprüfung der Administratorrechte, aktuelle Updates und Überwachung der Warnmeldungen. Nach dem Vorfall wird dokumentiert, was versagt hat, und jede Korrekturmaßnahme mit einem Termin geplant.

Kann die Wiederherstellung auch ohne bestehende Kundenbeziehung beauftragt werden?

Ja, allerdings lässt sich immer besser reagieren, wenn die Umgebung bereits bekannt ist. Bei einem Neukunden werden zunächst die Systemlandschaft und der tatsächliche Zustand der Backups erfasst, denn davon hängt ab, was sich in welchem Zeitraum wiederherstellen lässt. Diese Bestandsaufnahme wird vorgelegt, bevor ein verbindlicher Plan zugesagt wird.