Ransomware-Notfall-Playbook

Reihenfolge im Ernstfall

1. Netzwerk trennen, nicht ausschalten. Betroffene Systeme physisch vom Netz nehmen (LAN-Kabel ziehen, WLAN aus, Switch-Port deaktivieren). Systeme nicht herunterfahren, im RAM liegen ggf. Schlüssel und flüchtige Spuren für die Forensik.
2. Ausbreitung eindämmen. Im Zweifel ganze Segmente/VLANs oder die Internetverbindung kappen. Lieber zu großzügig isolieren als zu spät.
3. Betroffene Systeme identifizieren. Welche Server, Clients, Freigaben zeigen verschlüsselte Dateien / Lösegeldforderung? Auch scheinbar saubere Systeme im gleichen Segment als verdächtig behandeln.
4. Backups schützen. Backup-Systeme und -Medien sofort vom Netz isolieren, bevor die Ransomware sie erreicht. Offline-/Immutable-Backups nicht anschließen.
5. Krisenteam & Meldekette aktivieren. Geschäftsführung, IT-Dienstleister, ggf. Cyber-Versicherung informieren. Verantwortlichkeiten klären.
6. Alles dokumentieren. Uhrzeiten, Screenshots der Lösegeldforderung, betroffene Systeme, ergriffene Maßnahmen, lückenlos protokollieren (für Forensik, Versicherung und Behörden).

• Kein Lösegeld zahlen. Keine Garantie auf einen funktionierenden Schlüssel, Sie finanzieren organisierte Kriminalität und markieren sich als zahlungswillig (Wiederholungstäter-Risiko). Zahlung kann zudem rechtlich problematisch sein (z. B. bei sanktionierten Gruppen). Immer erst mit Behörden/Versicherung/Dienstleister sprechen.
• Nichts überschreiben oder „aufräumen". Keine Dateien löschen, keine verschlüsselten Daten überschreiben, keine Neuinstallation über das betroffene System, Sie vernichten damit Spuren und mögliche Wiederherstellungsoptionen.
• Systeme nicht vorschnell neu aufsetzen. Erst Ursache und Ausmaß klären. Wer sofort neu installiert, verliert die Chance, Patient Zero und den Einfallsweg zu finden, und richtet die gleiche Lücke wieder ein.
• Betroffene Systeme nicht ausschalten (siehe Sofortmaßnahmen), Trennen statt Abschalten.
• Backups nicht ungeprüft anschließen. Ein infiziertes System an ein sauberes Backup zu hängen, kann auch dieses verschlüsseln.
• Nicht in Panik kommunizieren. Keine ungeprüften Aussagen nach außen; Kommunikation koordinieren (Kunden, Presse, Behörden).

Patient Zero & Einfallsweg

Finden Sie das erste kompromittierte System und den Einstiegspunkt. Typische Einfallstore:

• Phishing-Mail mit Anhang/Link (Makro, Loader).
• Ungeschütztes / aus dem Internet erreichbares RDP oder VPN-Gateway.
• Ungepatchte Schwachstelle in einem exponierten Dienst.
• Kompromittierte Zugangsdaten (kein MFA).

Log-Quellen: Windows-Eventlogs (Anmeldungen 4624/4625, Prozesse 4688), Firewall-/VPN-Logs, EDR/AV-Meldungen, Sysmon. Zeitstempel der ersten Verschlüsselung rückverfolgen.

Ausbreitungsweg & Umfang

• Welche Konten wurden verwendet? Gab es privilegierte (Domänen-Admin-)Zugriffe?
• Wurde laterale Bewegung genutzt (PsExec, WMI, RDP, SMB)?
• Welche Daten sind abgeflossen (Exfiltration prüfen: ausgehender Traffic, Tools wie Rclone/MEGA)?
• Vollständige Liste betroffener Systeme und Datenbestände erstellen.

Konten sperren & Zugänge dichtmachen

• Alle potenziell kompromittierten Konten sperren, Passwörter domänenweit zurücksetzen (inkl. krbtgt, nach Anleitung, ggf. zweifach).
• Externe Zugänge (RDP, VPN, Fernwartung) schließen.
• Persistenzmechanismen suchen (neue Konten, geplante Aufgaben, Dienste, Autostart).

Bei größeren Vorfällen: spezialisierte Incident-Response / Forensik hinzuziehen, bevor Beweise verloren gehen.

Grundregel

Nur aus einem nachweislich sauberen Backup wiederherstellen, idealerweise offline oder unveränderbar (immutable) und aus der Zeit vor der Kompromittierung (Patient-Zero-Zeitpunkt, nicht nur vor der Verschlüsselung). Wiederherstellung möglichst in einer isolierten, neu aufgesetzten oder gründlich bereinigten Umgebung.

Empfohlene Reihenfolge

1. Saubere Basis schaffen. Domänencontroller und Kernsysteme neu aufsetzen oder verifiziert wiederherstellen. AD-Integrität sicherstellen.
2. Vor dem Wiederanschluss härten. Alle bekannten Lücken schließen: patchen, Passwörter/Keys erneuern, MFA aktivieren, RDP/VPN absichern, unnötige Dienste aus.
3. Backups vor Restore prüfen. Sicherstellen, dass die Sicherung nicht bereits infiziert/verschlüsselt ist. Auf isoliertem System testen.
4. Systeme gestaffelt zurückholen. Kritische Dienste zuerst, jedes System vor der Freigabe auf Sauberkeit prüfen (AV/EDR-Scan, IOC-Abgleich).
5. Überwacht wieder ans Netz. Monitoring/EDR scharf schalten, auf Wiederauftreten achten, Angreifer versuchen oft ein Comeback.
6. Nacharbeit. Vorfall-Bericht, „Lessons Learned", Backup- und Härtungslücken schließen, Notfallplan aktualisieren.

Wer ist zu informieren?

• Datenschutz-Aufsichtsbehörde (Art. 33 DSGVO) bei Betroffenheit personenbezogener Daten, i. d. R. die Behörde des Bundeslandes. Bei hohem Risiko zusätzlich Benachrichtigung der Betroffenen (Art. 34 DSGVO).
• Cyber-Versicherung unverzüglich, oft sind Fristen und ein vorgeschriebenes Vorgehen (Meldung vor Beauftragung von Dienstleistern) Vertragsbestandteil.
• Polizei, Anzeige bei der örtlichen Polizei bzw. der Zentralen Ansprechstelle Cybercrime (ZAC) des jeweiligen Landeskriminalamts.
• BSI: KRITIS-Betreiber und besonders wichtige Einrichtungen unterliegen eigenen Meldepflichten (BSI-Gesetz / NIS-2-Umsetzung). Für andere Unternehmen ist eine freiwillige Meldung möglich und sinnvoll.

Praxis-Hinweis

Meldung lieber vorsorglich und mit dem bekannten Stand („laufende Untersuchung") als zu spät, Details dürfen nachgereicht werden. Interne Meldekette und Vorlagen sollten vor dem Ernstfall bereitliegen. Konkrete Rechtsfragen mit Datenschutzbeauftragtem / Anwalt klären.

• Backups nach 3-2-1 mit mindestens einer Offline-/Immutable-Kopie, regelmäßig getesteter Restore. Siehe Backup-Strategie.
• MFA überall, besonders für Remote-Zugänge (VPN, RDP, M365) und privilegierte Konten.
• Systemhärtung & Patch-Management, Angriffsfläche klein halten, Lücken zeitnah schließen. Siehe Windows-Härtung.
• Least Privilege & Segmentierung, laterale Bewegung erschweren, Domänen-Admins minimieren.
• EDR/Monitoring und zentrale Logs (SIEM/WEF) für frühe Erkennung.
• Awareness, Phishing bleibt Einfallstor Nr. 1; Mitarbeiter schulen.
• Notfallplan schriftlich, mit Meldekette und Kontakten, und geübt.