Nach einem Hack oder Ransomware: wiederherstellen, ohne sich erneut zu infizieren

Modul 8: Wenn es schiefgeht · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie die Wiederherstellungsphase nach einem Hack oder einer Ransomware-Attacke durchlaufen: eindämmen, herausfinden, wie es passiert ist, sauber wiederherstellen, Anzeige erstatten, kommunizieren und daraus lernen.

Kernbegriffe: Eindämmung, Isolierung, initialer Zugriff, Persistenz, forensische Untersuchung, saubere Neuinstallation, Wiederherstellungsreihenfolge, Anzeige, No More Ransom, Lösegeld, Cyberversicherung, Auswertung

Der grösste Fehler: zu schnell "alles zurücksetzen"

Ein Webentwickler erhält am Dienstag eine Meldung: Die WordPress-Site eines Kunden leitet Besucher auf einen gefälschten Onlineshop um. Er spielt das Backup von vergangener Woche zurück, die Site funktioniert wieder, erledigt. Am Donnerstag passiert es erneut. Der Angreifer war über ein veraltetes Plugin eingedrungen und hatte ein zusätzliches Administratorkonto sowie eine versteckte Datei hinterlassen. Das Backup von vergangener Woche enthielt diese bereits. Wiederherstellen, ohne zu wissen, wie jemand eingedrungen ist, öffnet auch wieder die Tür.

Dasselbe geschieht bei Ransomware in einem Büronetzwerk. Kriminelle sind oft schon Tage oder Wochen im Netzwerk, bevor sie verschlüsseln. In dieser Zeit legen sie zusätzliche Konten an, installieren Software für den Fernzugriff und suchen nach den Backups. Wer nur die verschlüsselten Dateien zurücksetzt, lässt den Angreifer im Netzwerk.

Die Wiederherstellung erfolgt daher in fünf Schritten, in dieser Reihenfolge.

Schritt 1: eindämmen

Eindämmen bedeutet: dafür sorgen, dass es nicht schlimmer wird. Die ersten Minuten stehen auf Ihrer Notfallkarte (Lektion 8.1).

• Isolieren Sie betroffene Geräte: Netzwerkkabel ziehen, WLAN und Mobilfunk ausschalten, oder Flugmodus aktivieren. Das BSI empfiehlt, betroffene Systeme nicht auszuschalten, sondern zu trennen; Ruhezustand ist in Ordnung. So bleiben Spuren im Arbeitsspeicher erhalten und die Ausbreitung stoppt.
• Trennen Sie externe Festplatten und Backup-Medien und schliessen Sie diese nicht an ein möglicherweise infiziertes Gerät an.
• Können Sie ein System nicht isolieren, trennen Sie dann die Verbindung zum Netzlaufwerk. Ist das gesamte Netzwerk betroffen, trennen Sie es vom Internet (zum Beispiel indem Sie die Internetverbindung oder die Firewall sperren).
• Ändern Sie Passwörter von einem sauberen Gerät aus, beginnend mit den wichtigsten: Administratorkonten, E-Mail, der Passwort-Manager, die Bank. Melden Sie sich überall von allen Sitzungen ab. Tun Sie dies nicht von einem Computer aus, der möglicherweise einen Infostealer oder Keylogger enthält (Lektion 1.4), denn dann lesen Sie dem Angreifer das neue Passwort direkt vor.
• Bewahren Sie Beweise auf: Foto der Lösegeldforderung, der E-Mails, Zahlungsaufforderungen, Kryptoadressen, Zeitpunkte. Werfen Sie nichts weg.

Bei einer gehackten Website bedeutet Eindämmung: die Site vorübergehend offline nehmen oder in den Wartungsmodus versetzen, alle Passwörter (Verwaltung, FTP, Datenbank, Hosting) ändern und Ihren Hostinganbieter einschalten.

Schritt 2: herausfinden, was passiert ist

Sie möchten drei Dinge wissen:

1. Wie sind sie eingedrungen? Der initiale Zugriff: eine Phishing-Mail, ein gestohlenes Passwort ohne 2FA, ein veralteter VPN-Server oder ein veraltetes Plugin, eine offene Verbindung für die Fernverwaltung.
2. Was haben sie hinterlassen? Die Persistenz: zusätzliche Konten, geplante Aufgaben, Software für die Fernverwaltung, Weiterleitungsregeln in Postfächern, zusätzliche Dateien auf dem Webserver.
3. Was haben sie mitgenommen? Bei moderner Ransomware kopieren Kriminelle oft zunächst Daten und drohen mit Veröffentlichung (doppelte Erpressung, Lektion 1.3). Dann haben Sie auch eine Datenpanne (Lektion 8.2).

Für ein kleines Unternehmen ist dies selten selbst zu bewältigen. Schalten Sie Ihren IT-Dienstleister ein oder ein spezialisiertes Unternehmen für Incident Response. Viele Cyberversicherungen haben eine feste Nummer für ein solches Team. Fragen Sie bei einem externen Unternehmen, welche Erfahrung es mit Ihrer Art von Vorfall hat, und vereinbaren Sie vorab, was die Untersuchung umfasst.

Bei einer Website helfen das Zugriffsprotokoll und das Fehlerprotokoll des Webservers, ein Malware-Scan der Dateien und ein Vergleich mit einer sauberen Kopie des CMS und der Plugins.

Schritt 3: sauber wiederherstellen

Erst wenn Sie wissen, wie der Angreifer eingedrungen ist, und dieser Weg geschlossen ist, beginnen Sie mit der Wiederherstellung.

Stellen Sie in der Reihenfolge wieder her, die Sie in Ihrem Plan festgelegt haben (Lektion 8.1 und 6.3): zuerst, was das Unternehmen braucht, um weiterzulaufen. Halten Sie den wiederhergestellten Teil getrennt von dem, was noch nicht überprüft wurde.

Hier zeigt sich, ob Ihr Backup taugt. Ein Backup, das mit dem Netzwerk verbunden war, ist oft mitverschlüsselt oder gelöscht. Ein Offline- oder unveränderliches Backup (Lektion 6.2) und ein getestetes Wiederherstellungsverfahren (Lektion 6.3) machen den Unterschied zwischen Tagen und Wochen Stillstand.

Schritt 4: Anzeige, Meldung und Lösegeld

Anzeige. Erstatten Sie Anzeige bei der Polizei, über die Onlinewache der Polizei Ihres Bundeslandes. Nehmen Sie die Beweise mit (Lösegeldforderung, E-Mails, Zahlungsdaten). Eine Anzeige ist für Ermittlungen notwendig, hilft der Polizei, Zusammenhänge zu erkennen, und Versicherer verlangen sie oft.

No More Ransom. Auf https://www.nomoreransom.org (eine Initiative unter anderem von Europol und europäischen Polizeibehörden) können Sie eine verschlüsselte Datei oder die Lösegeldforderung erkennen lassen. Für manche Ransomware-Familien gibt es einen kostenlosen Entschlüsseler. Für die meisten neuen Varianten nicht, aber es kostet wenig Zeit, nachzusehen.

Melden. Prüfen Sie, welche Meldungen erforderlich sind: eine Datenpanne bei der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden (Lektion 8.2), ein erheblicher Sicherheitsvorfall über das BSI-Portal, falls Sie unter das BSI-Gesetz (NIS-2-Umsetzung) fallen (Lektion 9.1), und was Sie mit Kunden oder Auftraggebern vereinbart haben.

Lösegeld. Das BSI rät davon ab, Lösegeld zu zahlen. Die Gründe:

• Sie haben keine Garantie, dass Sie einen funktionierenden Schlüssel erhalten oder dass die Daten nicht trotzdem veröffentlicht werden.
• Daten, die Sie zurückerhalten, können beschädigt oder verändert sein.
• Wer zahlt, gilt als jemand, der zahlt. Opfer werden manchmal erneut erpresst oder später erneut angegriffen.
• Sie finanzieren den nächsten Angriff.

Erwägen Sie dennoch zu zahlen, oder haben Sie bereits gezahlt, melden Sie es dann immer der Polizei: Die Zahlungsdaten können den Ermittlungen helfen. Diese Entscheidung liegt bei der entscheidungsbefugten Person aus Ihrem Notfallplan, nicht bei demjenigen, der die Nachricht als Erstes sieht.

Cyberversicherung. Eine Cyberversicherung kann Kosten für Untersuchung, Wiederherstellung und Betriebsschäden abdecken und verschafft oft Zugang zu einem Incident-Response-Team. Lesen Sie die Bedingungen: Viele Policen verlangen grundlegende Massnahmen wie 2FA und Backups und fordern eine schnelle Meldung. Das BSI wies auf Grundlage von Untersuchungen zu zahlreichen Ransomware-Vorfällen bei kleinen und mittleren Unternehmen darauf hin, dass Angreifer nach dem Eindringen gezielt nach Dateien mit Namen wie "Versicherung" oder "Police" suchen, um ihre Verhandlungsposition zu stärken. Prüfen Sie also, wie leicht ein Eindringling Ihre Police findet, und bewahren Sie sie vorzugsweise nicht auf einem gemeinsamen Laufwerk auf. Eine Versicherung ersetzt keine Massnahmen: Sie zahlt den Schaden, verhindert ihn aber nicht.

Schritt 5: kommunizieren und lernen

Lassen Sie die Person, die in Ihrem Plan für die Kommunikation zuständig ist, Mitarbeitenden, Kunden und Lieferanten eine klare, einheitliche Geschichte erzählen: was passiert ist, was es für sie bedeutet, was sie tun sollten (zum Beispiel: Achten Sie auf E-Mails, die scheinbar von uns kommen), und wann sie wieder von Ihnen hören. Ehrlich und rechtzeitig wirkt besser als Schweigen, bis es durchsickert.

Planen Sie innerhalb weniger Wochen eine Auswertung: Was lief gut, was lief schief, was ändern Sie? Fast immer kommen dieselben Punkte heraus: 2FA fehlte irgendwo, ein System war nicht aktualisiert, das Backup war nicht getestet, oder niemand wusste, wer entscheiden durfte. Tragen Sie diese Punkte in Ihren Plan aus Lektion 9.3 ein, mit einem Verantwortlichen und einem Datum.

In der Praxis: so sieht es aus

Bei einer gehackten Website auf einem Hostingpaket arbeiten Sie oft mit den Mitteln Ihres Hostinganbieters. Bei WebOké sind das zum Beispiel ein Malware-Scan (Imunify360), die Logdateien in DirectAdmin, das Wiederherstellen eines Backups aus WebOké Backups und eine Schritt-für-Schritt-Anleitung im DirectAdmin-Handbuch. Bei anderen Hostinganbietern gibt es vergleichbare Hilfsmittel; fragen Sie Ihren Anbieter, was vorhanden ist und wie weit zurück die Backups reichen, bevor Sie es brauchen.

Zusammenfassung

• Wiederherstellung in fünf Schritten: eindämmen, herausfinden, sauber wiederherstellen, Anzeige und Meldung, kommunizieren und lernen.
• Isolieren Sie, schalten Sie nicht aus, und ändern Sie Passwörter nur von einem sauberen Gerät aus.
• Setzen Sie nichts zurück, bevor Sie wissen, wie der Angreifer eingedrungen ist; sonst öffnen Sie auch wieder die Tür.
• Installieren Sie infizierte Geräte neu und stellen Sie aus einem Backup von vor dem Einbruch wieder her.
• Erstatten Sie Anzeige, schauen Sie bei No More Ransom nach, und zahlen Sie vorzugsweise kein Lösegeld.

Quiz

Aufgabe

Aufgabe A8.3: Bringen Sie die Wiederherstellung in die richtige Reihenfolge. Sie erhalten einen Fall und zehn einzelne Schritte (zum Beispiel "Backup zurücksetzen", "Netzwerkkabel ziehen", "herausfinden, wie der Angreifer eingedrungen ist", "Anzeige erstatten"). Bringen Sie sie in die richtige Reihenfolge. Das Programm prüft, ob die festen Reihenfolgeregeln eingehalten werden (zum Beispiel: isolieren vor dem Zurücksetzen, Ursache klären vor dem Zurücksetzen, neu installieren vor dem Zurücksetzen von Daten) und erklärt bei jedem Fehler, warum.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 18.2: Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung
• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• Imunify360-Scanner
• WebOké Backups: Ein Backup ansehen, wiederherstellen oder herunterladen
• BSI, Vorgehen bei einem Ransomware-Angriff: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/ransomware-angriffe_node.html
• BSI, Ransomware bei kleinen und mittleren Unternehmen: Hilfe und Prävention: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/it-sicherheitsvorfall_node.html
• No More Ransom: https://www.nomoreransom.org/de/index.html