Ransomware:
die ersten Stunden

Eine Festplatte mit Hardwaredefekt kündigt sich meist mechanisch an: Klopfen, Klicken, das BIOS erkennt sie nicht, oder das System hängt beim Start. Ransomware dagegen lässt die Festplatte ganz normal laufen: Der Rechner startet, der Dateimanager zeigt die Ordner, aber jede Datei hat eine zusätzliche Endung und lässt sich mit dem zugehörigen Programm nicht öffnen. Fast immer erscheint eine Lösegeldforderung, eine Textdatei oder ein neues Hintergrundbild, das zu Kontaktaufnahme oder Zahlung auffordert. Ein weiteres starkes Indiz: Mehrere Rechner im selben Netz zeigen gleichzeitig dasselbe Problem. Ein Festplattendefekt betrifft eine einzelne Maschine, während sich Ransomware ausbreitet und mehrere Arbeitsplätze fast zeitgleich trifft. Wenn Sie auch nur den geringsten Zweifel haben, handeln Sie so, als wäre es Ransomware: Trennen Sie diesen Rechner und jeden anderen, der Netz oder Laufwerke mit ihm teilt, bevor Sie sich irgendetwas genauer ansehen.

Das hängt davon ab, wo Sie stehen. Verschlüsselt der Rechner gerade noch, unterbricht das Trennen vom Netzwerk bei laufendem Gerät den Kontakt zum Angreifer, ohne den Arbeitsspeicher zu verlieren, der manchmal Reste des Schlüssels enthält, die ein forensisches Werkzeug nutzen kann. Hartes Ausschalten löscht diesen Speicher und kann die Verschlüsselung halbfertig zurücklassen, was jeden späteren Wiederherstellungsversuch erschwert. Ist der Vorgang bereits abgeschlossen und der Rechner untätig, ändert Ausschalten nichts und verhindert, dass ihn jemand versehentlich benutzt. Vorrang hat immer das Netzwerk, nicht der Ausschalter: Erst Kabel und WLAN trennen, dann entscheiden, ob Sie ausschalten – und das nur, wenn der Rechner keine Laufwerke und keine Verbindung mehr mit dem restlichen Büro teilt. Soll jemand den Rechner analysieren, fragen Sie ihn, bevor Sie den Schalter betätigen.

Es gibt keine Garantie, dass der Schlüssel ankommt, dass er bei allen Dateien funktioniert oder dass der Angreifer nicht mehr verlangt, sobald er weiß, dass Sie zahlen. Zudem kopieren viele aktuelle Angriffe Daten, bevor sie sie verschlüsseln; für den Schlüssel zu zahlen löscht diese Kopie also nicht und verhindert nicht, dass sie später verwendet oder veröffentlicht wird: zwei verschiedene Probleme mit derselben Rechnung. Die eigentliche Entscheidung lautet nicht „zahlen oder nicht“, sondern: Welche Alternativen gibt es? Existiert eine Sicherung außerhalb des Rechners, die sich wiederherstellen lässt, ergibt das Lösegeld wirtschaftlich keinen Sinn mehr. Gibt es keine Sicherung, lautet die Frage, ob die Festplatte auf anderem Weg zu retten ist, was von der Art des Schadens abhängt und davon, wie viel nach der Verschlüsselung darübergeschrieben wurde. Zahlen beantwortet keine dieser beiden Fragen, es fügt nur eine dritte hinzu.

Formatieren lässt sich nicht rückgängig machen und löscht genau die Informationen, mit denen man verstehen könnte, was passiert ist, und in manchen Fällen etwas retten könnte. Ob Formatieren vertretbar ist, hängt davon ab, ob es eine geprüfte Sicherung außerhalb des Rechners gibt, auf die die Ransomware zum Zeitpunkt des Angriffs keinen Zugriff hatte. Existiert diese Sicherung und lässt sich eine Testdatei problemlos wiederherstellen, kann der infizierte Rechner beruhigt formatiert werden, weil die Daten bereits woanders sicher liegen. Gibt es keine Sicherung oder sind Sie nicht sicher, dass sie taugt, wird die Festplatte nicht angefasst: Sie wird als Fall für die Datenrettung behandelt, nicht als etwas, das man säubert. In diesem Fall verschließt das Formatieren den einzigen verbliebenen Weg. Die Prüfung, ob die Sicherung funktioniert, ist das Erste, was zu tun ist, bevor irgendetwas über die Festplatte entschieden wird.

Trennen Sie es vom Netzwerk und schalten Sie es nicht ein, „um zu sehen, ob etwas überlebt hat“: War es als Laufwerk auf dem infizierten Rechner eingebunden, hat die Ransomware es wahrscheinlich genauso durchlaufen wie die übrigen Festplatten. Was das Ergebnis ändert, ist die Konfiguration vor dem Angriff. Ein NAS mit versionierten Sicherungen oder Snapshots, die die Ransomware mangels Schreibrechten nicht löschen konnte, bewahrt Versionen von vor der Infektion, auch wenn die aktuellen Dateien verschlüsselt sind. Ein NAS, das nur als weiterer freigegebener Ordner genutzt wurde, ohne Versionen und ohne Schreibschutz, wird genauso verschlüsselt wie eine lokale Festplatte und bietet nichts zusätzlich zu retten. Bevor Sie es anfassen, sollte die Snapshot- oder Versionskonfiguration des NAS geprüft werden, ohne schon etwas wiederherzustellen. Es ist dasselbe Prinzip, das eine echte Sicherung von einem bloß kopierten Ordner unterscheidet: Entscheidend ist, ob die Ransomware darauf schreiben konnte.

Ja, besonders wenn sich auf den betroffenen Rechnern Daten von Kunden, Lieferanten oder Mitarbeitern befinden. Eine Anzeige entsperrt nichts und beschleunigt die Wiederherstellung nicht, dokumentiert den Vorfall aber offiziell, was später gegenüber Versicherungen, Kunden oder Stellen nötig sein kann, die wissen wollen, was passiert ist. Sind personenbezogene Daten betroffen, ist zu prüfen, ob die Datenschutzaufsichtsbehörde und in manchen Fällen die Betroffenen informiert werden müssen; diese Prüfung hängt von der Art der Daten und dem tatsächlichen Risiko für diese Personen ab und ist nicht in jedem Fall automatisch. Bewahren Sie Screenshots der Lösegeldforderung auf, die ungefähre Uhrzeit der Entdeckung und welche Rechner miteinander verbunden waren: Genau diese Informationen verlangen die Polizei und jede Rechts- oder Datenschutzberatung, die Sie später hinzuziehen. Je früher sie gesammelt werden, desto verlässlicher sind sie.

Nur wenn dieser Rechner vor Beginn der Verschlüsselung wirklich vom infizierten getrennt war: keine gemeinsamen Netzlaufwerke, nicht dasselbe NAS eingebunden und idealerweise in einem anderen Netzsegment. Teilt er ohne jede Segmentierung denselben Router oder Switch, heißt „weiterarbeiten“, ihn demselben Weg auszusetzen, den die Ransomware bereits durchs Netz genommen hat, nur ein paar Stunden später. Prüfen Sie vor der Nutzung, welche Laufwerke er eingebunden hat, und trennen Sie sie, auch wenn sie gesund wirken. Die entscheidende Frage ist nicht, ob dieser PC Symptome zeigt, sondern ob er irgendeinen Zugang zu derselben Ressource hatte wie der infizierte Rechner. Wenn Sie das nicht sicher wissen, behandeln Sie ihn als gefährdet: Trennen Sie ihn vom Netz, bis jemand die gesamte Infrastruktur geprüft hat, nicht nur den Rechner mit den Symptomen.

Eine einheitliche Antwort gibt es nicht, und sie hängt von zwei Dingen ab, die vor dem Vorfall entschieden werden. Erstens: Gibt es eine geprüfte und zugängliche Sicherung? Wenn ja, besteht die Arbeit darin, den Rechner von Grund auf neu aufzusetzen und darauf wiederherzustellen – ein Prozess, der von der Datenmenge und der Zahl der betroffenen Rechner abhängt. Zweitens: Gibt es keine Sicherung, kommt die Festplatte in einen Wiederherstellungsprozess, dessen Umfang von der Art der Verschlüsselung abhängt, davon, ob nach dem Angriff etwas darübergeschrieben wurde, und davon, ob es Werkzeuge gibt, die genau diese Ransomware-Familie rückgängig machen können, was nicht immer der Fall ist. Was wirklich den Unterschied zwischen schnellem Wiederanlauf und langem Stillstand macht, entscheidet sich, bevor etwas passiert: eine Sicherung außerhalb des Rechners, die die Ransomware nicht erreichen konnte. Das ist das Einzige, was heute in Ihrer Hand liegt.