Nach Ransomware wieder arbeitsfähig: Was in den ersten 24 Stunden machbar ist

Tobias Mogk

Managing Director, Cyber Resilience

"In 24 Stunden wieder online" ist ein verständlicher Wunsch, aber nach einem echten Ransomware-Angriff selten die Wirklichkeit. Das BSI nennt für eine vollständige Kompromittierung Erfahrungswerte von zwei bis vier Wochen, in denen große Teile des Betriebs eingeschränkt sind. Was in 24 Stunden erreichbar ist: der Angriff eingedämmt, die wichtigsten Entscheidungen getroffen und die zwei oder drei kritischsten Prozesse im Notbetrieb auf sauberer Infrastruktur. Dieser Beitrag zeigt, was Sie dafür vorbereiten müssen und wie die ersten 24 Stunden ablaufen.

Was "wieder arbeitsfähig" realistisch heißt

Nach einem Angriff gibt es vier Stufen: Eindämmung, Notbetrieb, Wiederherstellung und Normalbetrieb. Die Stufen überlappen, aber die Reihenfolge lässt sich nicht abkürzen.

Der Grund liegt im Ablauf der Angriffe. Die Täter haben vor der Verschlüsselung in der Regel Administratorrechte erbeutet und das Active Directory übernommen. Das BSI geht davon aus, dass das Active Directory kompromittiert ist, wenn alle Systeme verschlüsselt sind. Wer Server aus dem Backup einfach in dieses Netz zurückspielt, holt die Angreifer gleich mit zurück. Kurzfristig muss die Benutzerverwaltung deshalb bereinigt, mittelfristig neu aufgebaut werden.

Notbetrieb heißt: Ein Kernnetz aus sauberen Systemen trägt die Prozesse, ohne die Ihr Unternehmen keine Woche durchhält. Typisch sind Auftragsannahme, Versand, Fakturierung und Lohnabrechnung. Alles andere folgt in den Tagen und Wochen danach.

Was vor dem Vorfall vorbereitet sein muss

Ob der Notbetrieb nach 24 Stunden steht, entscheidet sich vorher. Diese Punkte sollten vorbereitet sein:

• Eine Prioritätenliste der Geschäftsprozesse mit tolerierbarer Ausfallzeit und den Systemen, die jeder Prozess braucht. Die Liste stimmt die IT mit der Geschäftsführung und den Fachbereichen ab, nicht allein.
• Eine Wiederanlaufreihenfolge der Systeme: Identität und Netz zuerst, dann Backup-Infrastruktur, Datenbanken, Fachanwendungen, zuletzt die Arbeitsplätze.
• Backups, die außerhalb der Reichweite der Produktivdomäne liegen, mit eigenen Zugängen und zweitem Faktor. Und gemessene Wiederherstellungszeiten statt geschätzter.
• Dokumentation, die ohne die eigene IT verfügbar ist: Netzplan, Notfallzugänge, Lizenzschlüssel, Kontaktliste der Hersteller und Dienstleister. Das BSI empfiehlt, Notfalldokumente auch ausgedruckt zu hinterlegen.
• Eine saubere Ausgangsbasis für das Kernnetz: Ersatzhardware oder vorbereitete Cloud-Kapazität, aktuelle Installationsmedien, gesicherte Konfigurationen von Firewall und Switches.
• Vereinbarte externe Hilfe. Ein Incident-Response-Dienstleister, mit dem Sie im Vorfeld einen Rahmenvertrag haben, ist schneller vor Ort als einer, den Sie am Samstagmorgen erst suchen. Klären Sie auch, welche Dienstleister Ihre Cyberversicherung vorgibt.
• Kommunikationswege, die ohne E-Mail und Teams funktionieren, etwa eine Telefonliste auf Papier und eine vorher eingerichtete Gruppe auf den Diensthandys.

Die ersten 24 Stunden im Ablauf

Stunde 0 bis 2 - eindämmen statt aufräumen

Betroffene Systeme werden vom Netz getrennt, nicht heruntergefahren. Das BSI empfiehlt ausdrücklich, das Netzwerkkabel zu ziehen und das Gerät eingeschaltet zu lassen, damit der Arbeitsspeicher für die Analyse erhalten bleibt. Breitet sich die Verschlüsselung weiter aus, werden Internetanbindung und Standortverbindungen gekappt.

Gleichzeitig tritt der Krisenstab zusammen: Geschäftsführung, IT-Leitung, Kommunikation, bei Bedarf Recht und Datenschutz. Versicherung und Incident-Response-Dienstleister werden informiert. Die noch intakten Backups werden geschützt, Offline-Medien bleiben offline. In dieser Phase wird nichts neu installiert und nichts gelöscht.

Stunde 2 bis 8 - Lage verstehen, Meldungen anstoßen

Jetzt geht es um drei Fragen: Was ist betroffen, wie sind die Angreifer hereingekommen, und welcher Backup-Stand ist sauber? Weil Angreifer oft Wochen im Netz waren, kann der letzte Stand bereits ihre Werkzeuge enthalten.

Parallel laufen die Pflichtmeldungen an. Sind personenbezogene Daten betroffen, ist die Datenschutzaufsicht nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden zu informieren, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Unternehmen, die unter NIS2 fallen, müssen einen erheblichen Sicherheitsvorfall nach § 32 BSIG spätestens 24 Stunden nach Kenntnis mit einer frühen Erstmeldung an das BSI melden. Für eine Strafanzeige gibt es bei den Landeskriminalämtern Zentrale Ansprechstellen Cybercrime. Mitarbeitende erfahren, welche Systeme sie nicht mehr nutzen dürfen, wichtige Kunden, womit sie rechnen müssen.

Stunde 8 bis 24 - Kernnetz aufbauen, Notbetrieb starten

In einem neuen, abgeschotteten Netzsegment entsteht das Kernnetz. Wird das alte Active Directory vorübergehend weiter genutzt, müssen nach BSI alle Administratorpasswörter, die Passwörter der Dienstkonten und alle auf befallenen Systemen eingegebenen Zugangsdaten geändert werden, das Passwort des Kerberos-Kontos krbtgt sogar zweimal. Die priorisierten Systeme werden aus geprüften Backups zurückgespielt, und zwar mit Kopien oder schreibgeschützten Medien, damit ein übersehenes infiziertes System das Backup nicht nachträglich beschädigt.

Auf jedem zurückgeholten System läuft vom ersten Moment an ein Endpoint-Schutz, denn übersehene Hintertüren können zu einem erneuten Angriff führen. Das BSI empfiehlt, nicht zwingend benötigte Fernzugänge für etwa zwei bis drei Wochen zu sperren. Wo Systeme fehlen, helfen vorbereitete manuelle Abläufe: Lieferscheine auf Papier, Auftragsannahme per Telefon, Zahlungsfreigaben im Online-Banking statt über das ERP.

Typische Fehler, die den Wiederanlauf um Tage verlängern

Diese Muster sind typisch:

• Server werden in das kompromittierte Netz zurückgespielt und kurz darauf erneut verschlüsselt.
• Der jüngste Backup-Stand wird ungeprüft genommen, obwohl er bereits Hintertüren enthält.
• Passwörter werden geändert, Dienstkonten und gespeicherte Zugangsdaten in Skripten aber vergessen.
• Alle IT-Fachleute arbeiten an Technik, niemand koordiniert. Das BSI weist darauf hin, dass viele Rollen im Krisenstab nicht mit IT-Personal besetzt sein müssen.
• Die Wiederanlaufdokumentation lag auf dem verschlüsselten Fileserver.
• Die Lösegeldfrage blockiert stundenlang alle anderen Entscheidungen. Das BSI rät, grundsätzlich nicht zu zahlen; auch nach einer Zahlung müssten die Systeme neu aufgebaut werden.

Welche vorbeugenden Kontrollen den Wiederanlauf erst möglich machen, beschreibt unser Beitrag zu Ransomware-Kontrollen. Was die Geschäftsführung zur Datensicherung festlegen muss, steht unter Datensicherung gegen Ransomware.

Wie Sie prüfen, ob Ihr Plan trägt

Zwei Tests geben eine belastbare Antwort. Der technische Test: Stellen Sie in einer isolierten Umgebung einen Domänencontroller, die ERP-Datenbank und einen Fileserver aus dem Backup wieder her und stoppen Sie die Zeit. Liegt das Ergebnis über der tolerierbaren Ausfallzeit aus Ihrer Prioritätenliste, kennen Sie Ihre wichtigste Baustelle.

Der organisatorische Test ist eine Übung am Tisch mit Geschäftsführung und IT, in der ein Ransomware-Szenario Stunde für Stunde durchgespielt wird. Wie die ersten Stunden mit und ohne geübten Krisenstab verlaufen, zeigt unser Szenario Freitag 17 Uhr: die ersten 4 Stunden. Den organisatorischen Rahmen dafür liefert ein Notfallmanagement, das Prioritäten, Rollen und Pläne festhält.

Für die Entscheidung, wie viel Vorbereitung sich lohnt, brauchen Sie eine Zahl: Was kostet ein Tag Stillstand in Ihrem Unternehmen? Der Schadenskalkulator unten rechnet das mit Ihren eigenen Werten durch.