Ransomware-Verdacht: erste Schritte zur Eingrenzung

Eine einzelne beschädigte Datei beweist noch keinen Verschlüsselungsangriff. Werden jedoch viele Dateien gleichzeitig umbenannt, lassen sich verschiedene Dokumente nicht mehr öffnen oder erscheint eine Erpressernachricht, behandeln Sie den Zustand als möglichen Sicherheitsvorfall. Fotografieren Sie die sichtbare Meldung mit einem anderen Gerät und notieren Sie den Zeitpunkt. Öffnen Sie keine weiteren unbekannten Dateien zur Probe.

Trennen Sie das mutmaßlich betroffene Gerät vom Netzwerk: Entfernen Sie das Netzwerkkabel und deaktivieren Sie WLAN, soweit dies kontrolliert möglich ist. Schließen Sie keine weitere Backup-Festplatte an. Informieren Sie bei einem Arbeitsgerät sofort die zuständige IT, damit auch gemeinsam genutzte Speicher betrachtet werden. Eine Fernwartung sollte nicht durch erneutes Verbinden den möglichen Vorfall ausweiten.

Installieren Sie nicht mehrere angebliche Entschlüsselungsprogramme und löschen Sie nicht sofort die auffälligen Dateien. Solche Veränderungen können die spätere Untersuchung erschweren. Ob ein Gerät ausgeschaltet werden sollte, hängt unter anderem von laufender Verschlüsselung und benötigten flüchtigen Spuren ab; stimmen Sie dies mit qualifizierter Hilfe ab. Ein isoliertes Gerät wiederholt neu zu starten ist keine Diagnose.

Erstellen Sie eine Liste betroffener Geräte, Freigaben und sichtbarer Dateiveränderungen. Halten Sie fest, welche getrennten Sicherungen vorhanden sind und wann sie zuletzt erfolgreich waren. Verwenden Sie für die Kommunikation ein unauffälliges anderes Gerät. Geben Sie Sicherungszugänge nicht auf dem mutmaßlich kompromittierten System ein. Die Wiederherstellung beginnt erst, wenn ein geeigneter sauberer Zielzustand geklärt ist.

Fuchsiger kann eine erste Einordnung und den nächsten Hilfsweg mit Ihnen besprechen. Ein größerer Unternehmensvorfall kann spezialisierte Incident-Response-Unterstützung erfordern. Eine Lösegeldzahlung garantiert keine funktionierende Entschlüsselung und beseitigt den ursprünglichen Zugang nicht. Für die erste Kontaktaufnahme reichen Symptome, Zeitpunkt und Umfang. Schicken Sie weder sensible Originaldateien noch interne Zugangsdaten ungefragt mit.