Nach Ransomware: Daten sauber wiederherstellen

Warum ein einfacher Restore nach Ransomware nicht genügt

Bei einem Hardwaredefekt ist die Lage vergleichsweise klar: Die Ursache liegt im Gerät, die Daten sind unversehrt, und das Backup stellt den Zustand wieder her. Bei einem Ransomware-Angriff ist es anders. Die Verschlüsselung ist meist der letzte sichtbare Schritt eines Angriffs, der zuvor über Tage oder Wochen vorbereitet worden sein kann. In dieser Zeit können Angreifer Zugangsdaten erbeuten, Rechte ausweiten, Sicherungen ausspähen und Hintertüren einrichten. Spielt man in dieser Lage einfach das jüngste Backup zurück, kann man Schadsoftware, manipulierte Konfigurationen oder gestohlene Zugänge mit zurückholen. Der Angriff beginnt dann von vorn.

Fachlich spricht man deshalb von einer sauberen Wiederherstellung (englisch Clean Restore): Das Ziel ist nicht nur, Daten zurückzuholen, sondern einen Zustand herzustellen, dem Sie vertrauen können. Diese Betrachtung entspricht dem Verständnis von Cyber Resilience, also der Fähigkeit, Angriffe zu verhindern, zu erkennen, ihre Auswirkungen zu begrenzen und den Betrieb kontrolliert wiederherzustellen. Backup ist dabei ein wichtiger, aber nicht der einzige Baustein.

Mehr als Verschlüsselung: Datenabfluss und rechtliche Folgen

Viele Angriffe verbinden die Verschlüsselung mit dem Abfluss von Daten. Man spricht von doppelter Erpressung: Neben der Entschlüsselung wird auch mit der Veröffentlichung kopierter Daten gedroht. Ein Backup kann nur das erste Problem lösen. Es stellt Verfügbarkeit wieder her, macht aber einen etwaigen Datenabfluss nicht rückgängig.

Daraus folgt, dass neben der technischen Wiederherstellung weitere Fragen zu klären sind: Wurde Vertrauliches kopiert, welche Daten sind betroffen, und bestehen Melde- oder Informationspflichten, etwa nach Art. 33 und 34 DSGVO oder aufgrund vertraglicher Vereinbarungen? Diese Bewertung ist eine Einzelfallprüfung, die Sie mit Ihrer oder Ihrem Datenschutzbeauftragten und gegebenenfalls rechtlicher Beratung vornehmen. Dieser Beitrag gibt keine Rechtsberatung.

Phase 1: Eindämmen und Spuren sichern

Zuerst gilt es, die Ausbreitung zu stoppen. Betroffene Systeme werden vom Netz getrennt, beispielsweise durch das Abziehen von Netzwerkverbindungen oder das Sperren von Segmenten. Gleichzeitig sollten Sie klären, ob forensische Spuren gesichert werden müssen, bevor Systeme heruntergefahren oder neu aufgesetzt werden, denn Protokolle und Speicherinhalte helfen, den Angriffsweg nachzuvollziehen. Dazu und für die weitere Koordination empfiehlt sich der Einbezug von Fachleuten für Vorfallsbehandlung (Incident Response), falls Sie keine eigenen haben.

Vorgehensmodelle wie NIST SP 800-61 und die Bausteine zur Behandlung von Sicherheitsvorfällen im BSI IT-Grundschutz beschreiben dafür Phasen von der Vorbereitung über die Eindämmung bis zur Nachbereitung. Beachten Sie, dass backupzentrum.de kein Incident-Response-Dienstleister ist. Die Plattform unterstützt die Wiederherstellung, die Aufklärung des Vorfalls leisten spezialisierte Dienstleister oder Ihre eigene IT-Sicherheit.

Phase 2: Einen vertrauenswürdigen Wiederherstellungspunkt bestimmen

Die zentrale Frage lautet: Welcher Sicherungsstand ist noch sauber? Da der Zeitpunkt der ersten Kompromittierung oft unbekannt ist, lässt er sich nur aus Indizien eingrenzen, etwa aus Protokollen, ersten auffälligen Ereignissen oder Erkenntnissen der Incident-Response. Man wählt in der Regel einen Stand, der sicher davor liegt, und akzeptiert dafür einen größeren Datenverlust.

Dabei zeigt sich, warum mehrere Sicherungsstände und eine ausreichende Aufbewahrungsdauer wichtig sind. Wenn nur wenige Stände aus den letzten Tagen existieren, kann es sein, dass alle bereits kompromittiert sind. Zugleich entsteht ein Zielkonflikt: Je weiter der Stand zurückliegt, desto sicherer ist die Sauberkeit, desto größer jedoch die Datenlücke. Ein Backup mit Sperrfristen stellt sicher, dass ältere Stände nicht durch den Angreifer gelöscht oder verändert wurden. Für die Datenlücke kann ergänzend die kontinuierliche Datensicherung relevant sein, solange der gewählte Punkt vor dem Angriff liegt.

Wovon die Dauer der Wiederherstellung abhängt

Die Frage, wie lange eine Wiederherstellung nach Ransomware dauert, lässt sich seriös nicht pauschal beantworten. Zum einen bestimmt die Technik die Dauer: Datenmenge, Bandbreite zwischen Speicherort und Zielumgebung, Anzahl und Abhängigkeit der betroffenen Systeme und der Zustand der Sicherungen. Zum anderen bestimmen organisatorische Faktoren, wie schnell die Lage bewertet ist, ob ein sauberer Stand gefunden wird und wie viele Systeme neu aufgebaut werden müssen.

Weil der Neuaufbau und die Prüfung zusätzliche Schritte gegenüber einem normalen Restore sind, liegt die Gesamtdauer häufig über der, die man aus einem einfachen Wiederherstellungstest ableiten würde. Planen Sie dies in Ihre Zielwerte ein, siehe RPO und RTO einfach erklärt. Feste Zeiten sagen wir nicht zu.

Phase 3: In einer isolierten Umgebung wiederherstellen und prüfen

Bevor Systeme in das Produktivnetz zurückkehren, werden sie in einer abgeschotteten Umgebung wiederhergestellt und untersucht. Ziel ist festzustellen, ob der gewählte Stand Schadsoftware, verdächtige Konten oder Veränderungen enthält. Sicherungen lassen sich vor der Wiederherstellung auf Schadsoftware prüfen. Für ein Failover in die Cloud steht zudem ein Test-Failover in einer isolierten Umgebung zur Verfügung.

Eine Prüfung mit Virenscannern reduziert das Risiko, kann aber nicht beweisen, dass ein System frei von Manipulationen ist, denn unbekannte Schadsoftware und missbrauchte Administrationswerkzeuge fallen nicht immer auf. Betrachten Sie das Ergebnis deshalb als Indiz, nicht als Entwarnung, und verbinden Sie es mit den Erkenntnissen der Vorfallsanalyse.

Phase 4: Zugangsdaten und Identitäten erneuern

Angreifer verwenden häufig legitime Zugänge. Nach einem Vorfall müssen daher Zugangsdaten als kompromittiert gelten, insbesondere die von Administratoren, Dienstkonten, Remote-Zugängen und der Backup-Verwaltung. Sie sollten geändert, Sitzungen und Token ungültig gemacht, Zertifikate und Schlüssel bei Bedarf ausgetauscht und die Mehr-Faktor-Authentifizierung überprüft werden.

Besonders heikel ist ein kompromittierter Verzeichnisdienst. Ist er betroffen, genügt der Wechsel einzelner Kennwörter möglicherweise nicht, und ein kontrollierter Neuaufbau kann erforderlich werden. Die Entscheidung gehört in die Hände erfahrener Fachleute, weil Fehler hier den gesamten Wiederanlauf gefährden.

Phase 5: Bereinigen oder neu aufbauen und Einfallstore schließen

Ob ein betroffenes System bereinigt oder neu aufgebaut wird, richtet sich nach Schutzbedarf und Vertrauenslage. Für Systeme, bei denen unklar bleibt, welche Änderungen der Angreifer vorgenommen hat, wird häufig der Neuaufbau aus bekannten, sauberen Quellen empfohlen, wobei nur die Daten, nicht die gesamte Systemkonfiguration, aus dem Backup übernommen werden. Dies kostet Zeit, schafft aber einen belastbareren Ausgangszustand.

Mindestens ebenso wichtig ist es, die Einfallstore zu schließen, die den Angriff ermöglicht haben. Häufige Ursachen sind ungepatchte Systeme, offen erreichbare Fernzugänge, schwache oder wiederverwendete Kennwörter und erfolgreiche Phishing-Angriffe. Solange die Ursache besteht, kann der Angriff wiederholt werden, auch mit einem einwandfreien Backup.

Phase 6: Kontrolliert wieder in Betrieb nehmen und beobachten

Die Wiederinbetriebnahme erfolgt priorisiert und schrittweise, beginnend mit den Systemen, die für die Geschäftsprozesse am wichtigsten sind und von denen andere abhängen. Nach jedem Schritt werden Funktion und Datenstand geprüft. In den folgenden Tagen und Wochen sollten Sie Protokolle und Auffälligkeiten besonders aufmerksam beobachten, denn nicht entdeckte Hintertüren zeigen sich häufig erst dann. Eine Erkennung und Abwehr auf den Endgeräten und Servern, etwa durch Endpoint Detection and Response, unterstützt diese Beobachtungsphase.

Zum Abschluss gehört eine Nachbereitung: Was hat funktioniert, was nicht, welche Lücken in Technik, Prozessen und Zuständigkeiten wurden sichtbar, und welche Maßnahmen folgen daraus? Diese Auswertung ist der eigentliche Gewinn aus einem Vorfall.

Entscheidungen, die nicht allein die IT trifft

Ein Ransomware-Vorfall ist kein reines IT-Ereignis. Die Geschäftsleitung entscheidet, welche Systeme zuerst wieder laufen sollen, wie lange Bereiche ohne IT auskommen, ob Behörden, Kunden oder die Versicherung informiert werden und wie mit Erpressungsforderungen umgegangen wird. Solche Entscheidungen fallen unter Zeitdruck und sind deutlich besser, wenn Kriterien und Zuständigkeiten vorher festgelegt wurden.

Hilfreich sind ein abgestimmter Notfallplan, eine Liste der Systeme in Wiederanlaufreihenfolge und eine Kommunikationsvorlage für Mitarbeitende und Kunden. Prüfen Sie außerdem, ob Ihre Versicherung Anforderungen an das Vorgehen oder an Nachweise stellt, etwa zu eingesetzten Schutzmaßnahmen. Einen Überblick dazu bietet Nachweise für Cyber-Versicherung und Kunden.

Ein konstruiertes Beispiel

Ein Gedankenbeispiel ohne realen Bezug: An einem Montagmorgen sind die Dateiablage und mehrere Arbeitsplätze eines Unternehmens verschlüsselt. Die IT trennt die betroffenen Systeme vom Netz und holt einen Dienstleister für Vorfallsbehandlung hinzu. Die Analyse deutet darauf hin, dass der Angriff rund zehn Tage zuvor über einen offenen Fernzugang begann.

Das Unternehmen wählt daher einen Sicherungsstand, der deutlich vor diesem Zeitpunkt liegt, stellt die Dateiablage in einer isolierten Umgebung wieder her und prüft sie. Administrator- und Dienstkonten werden erneuert, der Fernzugang wird abgesichert, und die betroffenen Systeme werden neu aufgebaut. Erst danach kehren sie schrittweise ins Produktivnetz zurück. Der Preis ist ein Datenverlust von mehreren Tagen, der anhand von Belegen und E-Mails nachgearbeitet wird. Der Gewinn liegt darin, dass der Angriff nicht erneut aufflammt.

Typische Fehlannahmen

• „Wir haben ein Backup, also ist das Problem erledigt.“ Ein Backup stellt Daten wieder her, aber weder die Ursache noch einen Datenabfluss.
• „Das jüngste Backup ist das beste.“ Nach einem Angriff kann es das riskanteste sein, weil es bereits kompromittiert sein kann.
• „Die Backup-Verwaltung ist im selben Netz und mit denselben Konten wie die Produktivsysteme sicher.“ Angreifer suchen gezielt nach Sicherungen und deren Zugangsdaten.
• „Die Zahlung eines Lösegelds beendet den Vorfall.“ Sie sichert weder die Entschlüsselung noch die Löschung gestohlener Daten zu und beseitigt die Einfallstore nicht.
• „Ein Virenscan genügt als Freigabe.“ Er liefert ein Indiz, aber keinen Beleg für einen sauberen Zustand.

Was Sie vor einem Vorfall vorbereiten können

• Sicherungen mit Sperrfristen, damit sie nicht gelöscht oder verändert werden können
• Mehr-Faktor-Authentifizierung und getrennte Zugangsdaten für die Backup-Verwaltung
• Mehrere Sicherungsstände mit ausreichender Aufbewahrungsdauer, damit ein Stand vor dem Angriff verfügbar bleibt
• Regelmäßige Restore-Tests, einschließlich des Wiederanlaufs in einer isolierten Umgebung
• Ein dokumentierter Ablauf mit Zuständigkeiten, Notfallkontakten und Entscheidungswegen, der auch ohne Zugriff auf die eigene IT erreichbar ist
• Vorab geklärte Kontakte zu Dienstleistern für Vorfallsbehandlung, zur Versicherung und zur Datenschutzbeauftragten oder zum Datenschutzbeauftragten

Was die Plattform beiträgt und was nicht

Die Plattform bietet verhaltensbasierten Schutz vor Ransomware, der Verschlüsselungsversuche blockiert und betroffene Dateien bei bestimmten Angriffen zurücksetzen kann, siehe Anti-Ransomware und Anti-Malware. Dazu kommen EDR, Sicherungen mit Sperrfristen auf unterstützten Zielen, die Prüfung von Backups auf Schadsoftware vor der Wiederherstellung und, für Disaster Recovery, ein Test-Failover in einer isolierten Umgebung. Mehr zur Vorsorge steht unter Ransomware-Vorsorge.

Wichtige Grenzen: backupzentrum.de ist kein Incident-Response-Dienstleister. Unterstützung bei Wiederherstellungen bieten wir gegen Vergütung an, soweit Sie es wünschen. Kein Schutz ist absolut, und feste Wiederanlaufzeiten sind nicht zugesagt. Ob und wie Sie Vorfälle melden müssen, entscheiden Sie im Einzelfall.