Die ersten 60 Minuten nach einem Ransomware-Angriff

Ein Hinweis vorweg, damit nichts falsch verstanden wird. Eine amtliche Minutenliste für die erste Stunde gibt es nicht. Die Reihenfolge unten ist unsere Gliederung der Empfehlungen des BSI. Grundlage sind das Arbeitspapier „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ vom 07.10.2022, die IT-Notfallkarte des BSI und die „TOP 12 Maßnahmen bei Cyber-Angriffen“ von 2019. Die Papiere sind ein paar Jahre alt. Es sind trotzdem die einzigen amtlichen deutschen Anleitungen dazu, und das BSI verlinkt sie bis heute.

Verschlüsselt wird laut BSI „häufig nachts oder am Wochenende“. Hängen Sie das Blatt also dahin, wo es morgens um sechs jemand findet.

Das klingt falsch herum. Wer einen Brand sieht, will den Strom abstellen. Das BSI empfiehlt trotzdem das Gegenteil:

„Potenziell infizierte Systeme sollten umgehend vom Netzwerk isoliert werden, um eine weitere Ausbreitung der Schadsoftware im Netz durch Seitwärtsbewegungen (Lateral Movement) zu verhindern. Dazu das Netzwerkkabel ziehen. Gerät nicht herunterfahren oder ausschalten.“

Was eine Seitwärtsbewegung ist, steht in unserer Erklärung, was Ransomware ist.

Der Grund: Beim Herunterfahren fasst das Betriebssystem viele Dateien an und überschreibt manche davon. Damit gehen Spuren verloren. Im laufenden Gerät steckt außerdem der Arbeitsspeicher, und den sichert ein Fachmann zuerst. Erst danach wird hart der Stecker gezogen.

Das BSI-Papier nennt ausdrücklich nur das Netzwerkkabel. Die TOP 12 fragen allgemeiner, ob die Systeme vom Netzwerk und vom Internet getrennt wurden. Für ein Notebook im WLAN heißt das nach unserem Verständnis: WLAN aus, Gerät an lassen. Hängt Microsoft 365 mit drin, ist das Gegenstück das Sperren der betroffenen Konten. Eine amtliche Anleitung dafür haben wir nicht gefunden, das erledigt Ihr IT-Dienstleister.

Die oberste Regel des BSI verbietet eine Anmeldung „mit privilegierten Nutzerkonten (Administratorkonten) auf einem potenziell infizierten System“. Das gilt, „während das System sich noch im internen produktiven Netzwerk befindet oder mit dem Internet verbunden ist“. Im Papier steht der Satz mit Ausrufezeichen.

Was dahintersteckt: Wer sich jetzt mit dem Administrator-Passwort anmeldet, um mal nachzusehen, gibt den Tätern womöglich genau das Passwort, das ihnen noch gefehlt hat.

Spuren sichern oder schnell wieder hochfahren? Das BSI stellt genau diese Frage in seine Liste für die erste Besprechung.

Für das Sichern spricht einiges. Die Polizei braucht Beweise, die vor Gericht halten. Das BSI schreibt dazu, dass bei einer Anzeige „mögliche Beweise gerichtsfest erhoben“ werden müssen. Die Musterbedingungen der Versicherer verlangen, das Schadenbild unverändert zu lassen, bis der Versicherer eine Änderung erlaubt. Und wer nur ein auffälliges Gerät bereinigt, riskiert laut BSI, „dass in kurzer Zeit erneut ein Vorfall eintritt“.

Für das schnelle Hochfahren spricht, dass der Betrieb steht. Deshalb ist das keine Technikfrage, sondern eine Frage der Geschäftsführung.

Das BSI empfiehlt einen Krisenstab. Den hat ein Betrieb mit fünfzehn Leuten nicht. Für ihn heißt die Empfehlung: Eine Person entscheidet, eine andere schreibt mit, und beide sind vorher benannt.

Die Polizei. Zuständig ist die Stelle am Firmensitz oder am Ort des Vorfalls. Die beiden Stellen in NRW sprechen sich ab. Die ZAC NRW schreibt dazu: „Wir arbeiten mit allen Beteiligten zusammen.“

Am Telefon ist dort eine Staatsanwältin oder ein Staatsanwalt, technische Hilfe gibt es unter der Nummer nicht. Warten sollten Sie trotzdem nicht: „Digitale Spuren und IP-Adressen können nicht beliebig lange zurückverfolgt werden.“

Und für alle, die fürchten, dass danach die Server abgeholt werden, schreibt die ZAC NRW wörtlich: „Das wird so nicht passieren!“

Die Versicherung. Das BSI rät: „Wenn Sie eine Cyber-Versicherung haben, informieren Sie diese frühzeitig. Häufig gibt Ihnen diese Vorgaben, was Sie tun können.“

Was das für die Erstattung heißt, steht in unserem Beitrag über Meldepflichten und Versicherung.

Nicht das BSI, jedenfalls nicht als Helfer vor Ort. Das BSI schreibt selbst, es könne „nur in absoluten Ausnahmefällen“ aktiv unterstützen. Eine Infektion mit gängiger Ransomware falle „regelmäßig nicht darunter“. Vermitteln kann es Forensik-Fachleute, und es gibt ohne Ihre Zustimmung nichts an Dritte weiter.

Uns, wenn wir Ihr IT-Dienstleister sind. Wir sind Montag bis Freitag von 8 bis 17 Uhr unter 0221 630615160 erreichbar. Nachts und am Wochenende erreichen Sie uns nur, wenn Sie eine Bereitschaft dazugebucht haben. Das schreiben wir hier hin, damit Sie es nicht erst im Ernstfall erfahren. Die Forensik macht ein Partner von uns.

Das BSI schreibt im Maßnahmenkatalog Ransomware von 2022:

„Stellen Sie sicher, dass auch bei Verschlüsselung von Daten Zugriff auf die Reaktions-Pläne und in diesem Zusammenhang zwingend notwendige Daten besteht. Hierzu kann es nötig sein, dass entsprechende Dokumente, Kontaktdaten und Passwörter in ausgedruckter Form vorliegen.“

Der Notfallplan im Netzlaufwerk ist im Ernstfall mitverschlüsselt. Die Telefonnummern sind oft im gesperrten Rechner gespeichert. Wer mehr festhalten will als diese eine Seite, findet bei uns eine ausführliche Notfallplan-Vorlage mit Zuständigkeiten und Reihenfolge des Wiederanlaufs.