Ransomware-Recovery: Wie Sie Ihre Daten wiederherstellen

Ransomware-Angriffe, also Angriffe, bei denen die Hacker die Unternehmensdaten verschlüsseln und ein Lösegeld fordern, können jeden treffen. In den letzten 12 Monaten wurden 60 Prozent aller deutschen Unternehmen attackiert – viele zahlten.

Umso wichtiger ist es, sich über Ransomware-Recovery Gedanken zu machen: Wie können wir unsere Daten wiederherstellen, falls der Worst Case eintritt? Und das möglichst ohne zu zahlen?

In diesem Artikel erhalten Sie eine praxiserprobte Vorgehensweise, wie unsere Proact-Experten Sie auch für unsere Kunden anwenden. Wir sprechen unter anderem über die Isolation der Systeme, Backup-Strategien und Meldepflichten.

Definition: Was ist Ransomware-Recovery?

Das Ziel von Ransomware-Recovery besteht darin, die Unternehmensdaten nach einem Angriff so schnell wie möglich wiederherzustellen.

Dafür steht im Idealfall ein im Vorfeld entwickelter Recovery-Plan zur Verfügung. Er beinhaltet eine effektive, in Phasen unterteilte Vorgehensweise. Die IT-Verantwortlichen wissen so genau, was als Erstes, als Zweites usw. getan werden muss.

Auf diese Weise können betroffene Segmente des Systems schneller isoliert werden. Indem einer Ausbreitung vorgebeugt wird, verkürzt sich die Recovery-Dauer. Die Geschäftsprozesse kommen entweder gar nicht oder nur für kurze Zeit zum Stehen.

Aber auch für drastischere Fälle bietet ein Ransomware-Recovery-Plan Antworten. Zum Beispiel regelt er, wie im Falle eines fortgeschrittenen Angriffs mit Kunden und Partnern kommuniziert werden muss oder welche forensischen Daten erhoben werden müssen.

Was, wenn Sie Ransomware-Recovery ignorieren?

Zum jetzigen Zeitpunkt ist die Frage nicht „ob“, sondern „wann“ ein Unternehmen von einem Ransomware-Angriff betroffen sein wird:

• Kein anderer Bereich der Cyberkriminalität wächst aktuell schneller als Ransomware-Angriffe
• Im ersten Halbjahr 2024 ereigneten sich mehr als 2500 Angriffe weltweit
• In den letzten 12 Monaten waren 6 von 10 deutschen Unternehmen von einer Ransomware-Attacke betroffen
• 86 Prozent aller betroffenen deutschen Unternehmen zahlten das Lösegeld (die Zahlen/Schätzungen schwanken hier)
• 5,14 Millionen Euro – so viel Lösegeld zahlten deutsche Unternehmen 2023 im Schnitt

Organisationen, die diese Gefahr unterschätzen, riskieren hohe finanzielle Verluste und im schlimmsten Fall sogar die eigene Existenz:

• Betriebsausfall. Jeder Tag, den die Produktion stillsteht oder Ihre Mitarbeiter nicht produktiv sein können, kostet Sie große Summen.

• Diebstahl von sensiblen Daten. Viele Hacker begnügen sich nicht damit, die Daten zu verschlüsseln. Sie drohen auch mit ihrer Veröffentlichung bzw. dem Weiterverkauf der Informationen.

• Image-Verluste. Kunden und Partner verlieren das Vertrauen in ein Unternehmen, wenn sie erfahren, dass ihre Daten kompromittiert wurden.

• Kettenreaktionen. Viele Ransomware-Banden verwenden die erbeuteten Daten von Kunden und Partnern, um diese als Nächstes anzugreifen.

• Finanzieller Ruin. Die geforderten Lösegelder liegen typischerweise bei mehreren Millionen Euro. Gerade KMU kann das an den Rand ihrer Existenz bringen.

• Compliance-Verletzungen. Es existieren verschiedene gesetzliche Vorgaben, was die Absicherung von IT-Systemen angeht. Handeln Unternehmen hier nachlässig, drohen Sanktionen.

10 Schritte zur Wiederherstellung Ihrer Daten

Im Folgenden möchten wir Ihnen die verschiedenen Phasen eines effektiven Recovery-Plans vorstellen. Natürlich müssen diese Empfehlungen individuell auf Ihr Geschäftsmodell und Ihre Prozesse abgestimmt werden. Gerne helfen Ihnen unsere Proact-Experten hierbei.

Zum Timing: Ein solcher Ransomware-Recovery-Plan sollte unbedingt im Vorfeld eines Angriffs aufgesetzt werden, wenn noch kein Handlungsdruck besteht. Das hört sich selbstverständlich an, ist aber in vielen KMU nicht gegeben. Wenn Sie Ihre Strategie erst erstellen, nachdem die Angreifer zugeschlagen haben, lassen sich Schäden kaum noch vermeiden.

1. Verschaffen Sie sich einen Überblick

Bestimmen Sie im ersten Schritt, welche Systeme betroffen sind. Je schneller Sie hier Klarheit erhalten, desto schneller können Sie die betroffenen Segmente im nächsten Schritt isolieren. Verwenden Sie dafür Detection-Tools, die auf dem neuesten Stand sind und bereits über KI-Funktionen verfügen. Das automatisiert und beschleunigt den Eingrenzungsprozess.

Versuchen Sie, möglichst viele weitere Informationen zu sammeln:

• Welche Ransomware-Familie von Software kommt zum Einsatz? Aktuelle Beispiele sind LockBit, Ryuk oder Maze. Anhaltspunkte liefern Dateiendungen oder auch gleichbleibende, automatisierte Lösegeldforderungen.

• Bestimmen Sie den Einstiegspunkt der Hacker: Wurden Phishing-E-Mails versandt? Wurden wichtige Updates nicht aufgespielt, woraus Schwachstellen resultierten? Wurden Endgeräte mit Login-Daten gestohlen?

• Gibt es Hinweise auf Insider, die involviert sind? Dieses Szenario ist weiter verbreitet, als viele KMU für möglich halten: 2024 berichteten 76 Prozent aller Organisationen über Insider-Vorfälle.

Dokumentieren Sie, was Sie können. Dies hilft Ihnen nicht nur später, den Vorfall gründlich aufzuarbeiten, sondern es ist auch entscheidend, um Forderungen gegenüber Ihrer Versicherung geltend zu machen. Erwägen Sie in diesem Zusammenhang, Ihre Versicherung schon jetzt einzuschalten, um Streitigkeiten über Verfahrensfehler zu vermeiden.

Eine gründliche Dokumentation empfiehlt sich auch, weil gesetzliche Aufzeichnungspflichten bestehen könnten. Hierbei ist insbesondere die neue NIS-2-Direktive zu nennen, auf die wir später noch kurz eingehen. Nicht zuletzt könnten die Daten auch für eine eventuelle Strafverfolgung relevant sein.

2. Betreiben Sie Schadensbegrenzung

Im nächsten Schritt sollte es darum gehen, den Schaden zu minimieren.

Es gibt hier grundsätzlich zwei Vorgehensweisen: die Isolation befallener Bereiche bzw. das Offline-Nehmen der Systeme.

Die Isolation befallener Systembereiche hat den Vorteil, dass der Geschäftsbetrieb nicht komplett zum Erliegen kommt. Allerdings lässt sie den Angreifern auch mehr Zeit, weiter fortzuschreiten.

Das Offline-Nehmen der Systeme kann direkt umgesetzt werden, führt aber zu einem völligen Stillstand des Geschäftsbetriebs – mit entsprechend hohen Verlusten.

Die Entscheidung richtet sich stark nach der Informationslage (s. Schritt 1) und den im Vorfeld getroffenen Sicherheitsmaßnahmen. Wenn Sie zum Beispiel ein aktuelles Immutable Backup vorliegen haben, kann eine Isolation völlig ausreichend sein. Existiert diese Kopie nicht, müssen Sie unter Umständen doch offline gehen.

Wichtig: Konsultieren Sie zuerst einen Sicherheitsexperten, bevor Sie die Entscheidung für oder gegen das Offline-Nehmen der Systeme treffen. Falls Sie hier vorschnell handeln, können wichtige forensische Daten verloren gehen oder bei einem Reboot sogar weitere Malware-Programme aktiviert werden.

Falls Sie sich für eine Isolation der befallenen Bereiche entscheiden, vergessen Sie nicht, auch verknüpfte Endpunkte zu isolieren. Sonst kann sich die Ransomware unter Umständen doch weiter ausbreiten.

Noch ein Tipp: Denken Sie auch an geteilte Systemressourcen wie Wechselfestplatten oder geteilte Ordner. Unter Umständen wurden so schon weitere Bereiche infiziert, die Sie bisher noch nicht auf dem Schirm hatten.

3. Kommunizieren Sie den Vorfall

Die Kommunikation ist ein wichtiger Bestandteil jeder Ransomware-Recovery. Die erste Maßnahme sollte sein, Ihre IT-Experten einzubeziehen, externe Managed-Security-Provider zu informieren und Ihre Mitarbeiter in Kenntnis zu setzen.

Aber das ist nur der Anfang. Ein Ransomware-Angriff betrifft praktisch nie nur Sie alleine, sondern auch Kunden, Lieferanten und Partner. Sie müssen sich also überlegen, wie Sie den Vorfall am besten nach außen kommunizieren. Wichtige Maßnahmen sind hier:

• Sie müssen zeitnah alle externen Stakeholder in Kenntnis setzen, damit diese ihrerseits planen können, wenn zum Beispiel Lieferungen ausfallen.

• Sie müssen die Situation realistisch schildern, ohne sie zu beschönigen.

• Gleichzeitig müssen Sie aber auch Kompetenz demonstrieren. Ihre Kunden und Partner müssen verstehen, dass Sie der Situation gewachsen sind. Am besten ist es, regelmäßige Status-Updates anzukündigen (und sich an diese Vorgabe zu halten).

• Vielleicht der prekärste Part: Sie müssen alle Beteiligten darauf aufmerksam machen, dass sich die Angreifer in Folge auch ihren Systemen zuwenden könnten. Denn die Ransomware-Banden nutzen vorgefundene Kundendaten gerne als Einstiegspunkte für zukünftige Angriffe.

Hier den richtigen Ton zu treffen, ist nicht leicht. Es kann deshalb Sinn machen, entsprechende Kommunikationsmittel (zum Beispiel E-Mail-Vorlagen) schon jetzt vorzubereiten, wenn es noch nicht brennt. Genauso kann es Sinn machen, schwierige Stakeholder-Gespräche in Form von Rollenspielen zu üben.

4. Beachten Sie Meldepflichten

In vielen Industrien bestehen mittlerweile gesetzliche Meldepflichten. Das bedeutet: Ransomware-Angriffe müssen der entsprechenden staatlichen Aufsichtsbehörde mitgeteilt werden und das meist innerhalb eines bestimmten Zeitraums. Bei Nichteinhaltung drohen empfindliche Strafzahlungen.

Viele KMU ignorieren diese Pflichten, weil im Moment des Angriffs anderes dringender erscheint. Wir können aber nur davor warnen – die Europäische Union hat in jüngster Zeit mit NIS-2 und DORA die Anforderungen (und Sanktionen) merklich verschärft.

Insbesondere NIS-2 ist für eine Vielzahl von Unternehmen relevant. Wenn Sie in einem von 18 definierten Wirtschaftsbereichen tätig sind (zum Beispiel in der Energiewirtschaft oder dem Gesundheitswesen) und eine gewisse Unternehmensgröße aufweisen, gilt hier eine 24-stündige Erstmeldepflicht.

Informieren Sie sich deshalb schon im Vorfeld über die Kriterien und Ansprechpartner. Dann geht die Meldung im Ernstfall schnell vonstatten und zieht kaum Aufmerksamkeit von der Ransomware-Recovery ab.

5. Spielen Sie das Backup auf

Die vielleicht wichtigste Maßnahme nach einem Ransomware-Angriff: Spielen Sie Ihre Backups auf, um die kompromittierten Systeme wiederherzustellen.

a) Sorgen Sie für die Integrität der Backups

Damit dies reibungslos funktioniert, müssen Sie im Vorfeld den Schutz Ihrer Backups sicherstellen. Denn die Hacker gehen mittlerweile bevorzugt auf die Backups als Erstes los. Sie wissen, dass ihre Lösegeldforderungen nur ernst genommen werden, falls keine Möglichkeit besteht, die Daten wiederherzustellen.

Es gibt unterschiedliche Ansätze, um die Integrität der Backups sicherzustellen, die auch kombiniert werden können:

• Air-Gapped Backups: Hierbei werden die Backups physisch vom Primärsystem isoliert und die Speicherung erfolgt zum Beispiel auf externen Festplatten oder Tapes. Dadurch, dass keine Verbindung zum Internet besteht, können die Angreifer sich nur schwer Zugriff verschaffen.

• Dezentrale Cloud-Backups: Hier werden Kopien des Primärsystems in unterschiedlichen, geografisch verteilten Rechenzentren vorgehalten. Selbst wenn ein Standort in Mitleidenschaft gezogen wurde, gibt es noch alternative Speicherorte.

• Immutable Backups: Bei dieser Variante wird eine unveränderliche Kopie der Daten erzeugt, also eine Kopie, die weder verschlüsselt noch gelöscht werden kann. Dafür wird im Vorfeld definiert, wie lange diese Unveränderlichkeit gelten soll, zum Beispiel für drei Monate.

Alle diese Varianten haben ihre Vor- und Nachteile. Zum Beispiel sind Air-Gapped Backups tendenziell umständlich in der Handhabung und das Aufspielen der Daten dauert meist länger. Cloud-Backups setzen voraus, dass Ihre Infrastruktur entsprechend angebunden wurde und keine Compliance-Vorgaben im Weg stehen. Immutable Backups sind äußerst sicher, aber auch vergleichsweise teuer.

Um hier die richtige Wahl zu treffen, sollten Sie die Zusammenarbeit mit einem externen Security-Provider wie Proact erwägen. Solche Anbieter haben schon für Dutzende oder Hunderte von Kunden Backup-Lösungen implementiert und wissen daher genau, welche Lösung für welches Szenario am meisten Sinn macht.

Unabhängig von der Backup-Form gilt: Sie sollten in regelmäßigen Abständen Ihre Backups validieren, noch bevor ein Angriff stattgefunden hat. Überspielen Sie Backups dafür auf eine VM, um sicherzugehen, dass alles seine Richtigkeit hat.

b) Erzeugen Sie Redundanz

Verlassen Sie sich nie nur auf eine einzige Backup-Kopie. Eine gute Orientierung bietet die 3-2-1-Backup-Strategie. Sie besagt:

• 3 Versionen: Sie sollten immer drei Versionen Ihrer Daten vorhalten – das Primärsystem und zwei Kopien.
• 2 Speichermedien: Es sollten zwei unterschiedliche Speichermedien verwendet werden, zum Beispiel Festplatten- und Cloud-Backups.
• 1 Offsite-Kopie: Eine der Backup-Kopien sollte an einem anderen Ort gelagert werden, um vor lokalen Katastrophenfällen wie Bränden geschützt zu sein.

c) Achten Sie auf die Versions-Historie

Achten Sie darauf, dass Ihre Backup-Lösung eine leicht nachvollziehbare Versions-Historie aufweist. Für viele Prozesse im Unternehmen ist es entscheidend, unterschiedliche Datenpunkte abrufen zu können. Beispielsweise benötigen Ihre Entwickler häufig Zugriff auf frühere Versionen des Codes, um Bugs nach Updates beheben zu können. Ein anderes Beispiel ist die Finanzindustrie: Bei einem Audit muss das Unternehmen die Entwicklung von Kundendaten im Laufe der Zeit abbilden können. Ihre Backup-Lösung muss diesen Szenarien Rechnung tragen.

6. Fragen Sie Anti-Ransomware-Datenbanken ab

Mit etwas Glück können Sie Ihre Daten auch dann entschlüsseln, selbst wenn kein Backup existiert. Denn viele der bekannten Ransomware-Programme wurden in der Zwischenzeit von Kryptografen geknackt.

Die bekannteste Plattform in diesem Bereich ist „The No More Ransoware Project“. Das Projekt wurde von Europol, der niederländischen Polizei und verschiedenen Sicherheitsfirmen in Kooperation gestartet. Auf der Website werden Decryptor-Tools für mehr als 150 verschiedene Ransomware-Familien angeboten – kostenlos und in vielen verschiedenen Sprachen.

Machen Sie aber nicht den Fehler, sich ausschließlich auf solche Angebote zu verlassen. Selbst wenn es einen Decryptor gibt, heißt das nicht, dass sämtliche Daten fehlerfrei entschlüsselt werden können. Den wichtigsten Schutz muss Ihre eigene Ransomware-Recovery-Strategie bilden und insbesondere Ihre Backup-Lösung.

Falls nötig, sollten Sie außerdem den Decryptor zuerst mit einem Daten-Subset in einer Sandbox-Umgebung testen. So stellen Sie sicher, dass Sie die Situation nicht ungewollt verschlimmern.

7. Scannen Sie die Systeme auf Backdoors

Ein weit verbreitetes Vorgehen der Angreifer besteht darin, bei der ersten erfolgreichen Infiltration der Systeme sogenannte Backdoors einzubauen, über die sie sich in Zukunft leicht wieder Zugang verschaffen können. Auf diese Weise kassieren die Angreifer beim selben Unternehmen mehrfach ab.

Deswegen ist es entscheidend, unverzüglich nach der Daten-Wiederherstellung einen gründlichen Scan durchzuführen. Untersuchen Sie wirklich alle Systeme – auch Bereiche, die scheinbar nicht betroffen waren.

In der Praxis unterbleibt das häufig. Das ist in gewisser Weise nachvollziehbar: Gerade standen sämtliche Geschäftsprozesse für mehrere Tage oder sogar Wochen still. Nun drängen Kunden und Partner darauf, den Betrieb schnellstmöglich wieder aufzunehmen.

Beharren Sie auf einem System-Check. Niemandem ist geholfen, wenn es jetzt schnell weitergeht, nur damit der Betrieb dann bald wieder stillsteht.

8. Bereiten Sie den Angriff nach

Im Anschluss an jeden Angriff sollte eine gründliche Untersuchung stattfinden. Einige Fragen, die Sie sich stellen sollten:

• Was war der Infection Vector? (Phishing-E-Mails, Malware, Scareware etc.)
• Gab es unter Umständen Insider, die den Angreifern Informationen zugespielt haben?
• Gab es Sicherheitslücken, die ausgenutzt wurden, beispielsweise weil Patches nicht rechtzeitig aufgespielt wurden?
• Konnten sich die Angreifer leicht durch das System bewegen, weil vielleicht Schwächen beim Berechtigungsmanagement existieren?

Nutzen Sie die Ergebnisse dieser Analyse, um die bestehenden Sicherheitsprozesse zu optimieren.

Wichtige Maßnahmen sind hier:

• Zero-Trust-Ansatz. Verfolgen Sie eine Zero-Trust-Strategie: Keinem Gerät und keinem User sollte per se vertraut werden. Jede Aktion sollte aufs Neue validiert werden müssen, bevor sie ausgeführt wird.

• Multi-Faktor-Authentifizierung (MFA). Bei Remote-Zugriffen auf Ihr Netzwerk sollte immer eine MFA verlangt werden. Via Smartphone lässt sich das leicht umsetzen.

• Sichere Kennwörter. Viele Geräte verwenden zu simple, leicht zu erratende Kennwörter. Das betrifft zum Beispiel IoT-Geräte, die mit einem einfachen Standardkennwort ausgeliefert wurden. Aber auch WLAN-Router sind anfällig. Führen Sie deshalb einen umfassenden Gerätecheck durch und verpflichten Sie Ihre User, in regelmäßigen Abständen komplexe neue Passwörter zu erstellen.

• Intrusion Detection. Falls Sie noch nicht über entsprechende Lösungen verfügen, sollten Sie moderne XDR- und SIEM-Tools implementieren. Am besten kombinieren Sie diese Tools mit einem 24/7-SOC, um ein durchgehendes Monitoring sicherzustellen. Hacker greifen mittlerweile gezielt abends und am Wochenende an, wenn Ihr Team nicht verfügbar ist. Proact unterstützt Sie hier gerne!

• Benutzer-Schulungen. Ein Großteil aller Ransomware-Angriffe lässt sich schon im Ansatz stoppen, falls Sie Ihre User entsprechend sensibilisieren. Informieren Sie Ihre Anwender über gängige Infection Vectors, wie Phishing-Mails, Malvertising oder Scareware. Wichtig: Führen Sie solche Schulungen nicht nur einmalig, sondern regelmäßig durch, denn auch die Methoden der Angreifer ändern sich ständig.

9. Bewerten Sie Ihre Performance

Die Ursachen-Analyse ist aber nur die eine Hälfte der Nachbereitung. Sie sollten sich auch mit dem Performance-Aspekt Ihrer Ransomware-Recovery auseinandersetzen:

• Wie schnell konnten wir den Angriff identifizieren?
• Wie schnell konnten wir die betroffenen Systeme isolieren?
• Wie schnell und wie gründlich haben wir unsere Kunden und Partner ins Bild gesetzt?
• Wie lange dauerte es, um das Backup aufspielen und die Systeme wieder online zu bringen?
• Welche Kosten entstanden durch Betriebsausfallzeiten?

Auch hier sollte, wo nötig, nachgebessert werden. Das betrifft nicht nur die Anpassung Ihres Recovery-Plans, sondern auch die Durchführung von Simulationen. Diese tragen unserer Erfahrung nach wesentlich zur Verbesserung der Recovery-KPIs bei: Ein Playbook zu besitzen ist gut, aber es einzuüben, ist noch wichtiger.

10. Prüfen Sie weitere Meldepflichten

Zu guter Letzt: Prüfen Sie, ob Sie eine weitere Meldung an die Sicherheitsbehörden machen müssen. Beispielsweise fordert die neue NIS-2-Richtlinie, dass Sie nach der Erstmeldung innerhalb von 24 Stunden auch nach 72 Stunden noch einmal Bericht erstatten. Schließlich muss nach einem Monat ein finaler Report vorgelegt werden, der auch Abhilfemaßnahmen benennt.

Organisieren Sie Ihre Ransomware-Recovery – mit Proact!

Sie möchten Ihre Organisation vor Ransomware-Attacken schützen und wünschen sich dafür einen verlässlichen Partner? Dann sollten Sie sich mit unseren Proact-Experten unterhalten.

Unsere gründliche Ransomware-Recovery-Strategie kennen Sie bereits. Hier möchten wir Ihnen gerne kurz skizzieren, was uns als Dienstleister auszeichnet und wie Sie davon profitieren.

1. Systemische Herangehensweise

Viele IT-Security-Provider bekämpfen nur die Symptome. Wir fragen uns auch: Was muss grundsätzlich anders gemacht werden, um die Wahrscheinlichkeit von Angriffen zu verringern? Gibt es vielleicht Modernisierungslücken bei der Infrastruktur? Oder problematische Prozesse, die hinterfragt werden müssen? Wir analysieren gemeinsam mit Ihnen, was getan werden muss.

2. Kommunikation auf Augenhöhe

Es gibt Security-Provider, die sich entweder abkapseln oder umgekehrt dem Kunden Vorschriften machen. Beides ist nicht unsere Art. Wir wissen: Kommunikationslücken resultieren letztlich in Angriffsvektoren. Außerdem verstehen wir uns als Partner, der mit Ihnen für viele Jahre kooperieren möchte. Das geht nur auf Augenhöhe.

3. Support & Schulungen

Bei uns bekommen Sie mehr als nur die technische Lösung geliefert. Wir bieten Ihnen fortlaufenden, raschen Support sowie effektive Schulungsmaßnahmen, zum Beispiel durch regelmäßige Live- und Online-Workshops.

Kurz gesagt: Proact ist Ihr Rundum-Security-Partner.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!