Nach einem Hack oder Ransomware: wiederherstellen, ohne sich erneut zu infizieren

Modul 8: Wenn es schiefgeht · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie die Wiederherstellungsphase nach einem Hack oder Ransomwareangriff durchlaufen: eindämmen, herausfinden, wie es passiert ist, sauber wiederherstellen, Anzeige erstatten, kommunizieren und daraus lernen.

Kernbegriffe: Eindämmen, Isolieren, initialer Zugang, Persistenz, forensische Untersuchung, saubere Neuinstallation, Wiederherstellungsreihenfolge, Anzeige, No More Ransom, Lösegeld, Cyberversicherung, Evaluation

Der größte Fehler: zu schnell „alles wiederherstellen“

Ein Webentwickler erhält am Dienstag eine Meldung: Die WordPress-Website eines Kunden leitet Besucher zu einem gefälschten Shop um. Er spielt das Backup der vergangenen Woche zurück, die Website funktioniert wieder, erledigt. Am Donnerstag passiert es erneut. Der Angreifer war über ein veraltetes Plugin eingedrungen und hatte ein zusätzliches Administratorkonto sowie eine versteckte Datei hinterlassen. Das Backup der vergangenen Woche enthielt diese bereits. Wiederherstellen, ohne zu wissen, wie jemand eingedrungen ist, öffnet auch wieder die Tür.

Dasselbe passiert bei Ransomware in einem Firmennetzwerk. Kriminelle sind oft schon tage oder wochenlang im System, bevor sie verschlüsseln. In dieser Zeit legen sie zusätzliche Konten an, installieren Software für den Fernzugriff und suchen nach den Backups. Wer nur die verschlüsselten Dateien zurückspielt, lässt den Angreifer im System.

Die Wiederherstellung erfolgt daher in fünf Schritten, in dieser Reihenfolge.

Schritt 1: eindämmen

Eindämmen bedeutet: dafür sorgen, dass es nicht schlimmer wird. Die ersten Minuten stehen auf Ihrer Notfallkarte (Lektion 8.1).

• Isolieren Sie betroffene Geräte: Netzwerkkabel ziehen, WLAN und Mobilfunk ausschalten, oder Flugmodus. Das niederländische NCSC rät, betroffene Systeme nicht auszuschalten, sondern vom Netz zu trennen; der Ruhezustand ist erlaubt. So bleiben Spuren im Arbeitsspeicher erhalten und die Ausbreitung stoppt.
• Trennen Sie externe Festplatten und Backup-Medien und schließen Sie diese nicht an ein möglicherweise infiziertes Gerät an.
• Können Sie ein System nicht isolieren, trennen Sie dann die Verbindung zum Netzwerklaufwerk. Ist das gesamte Netzwerk betroffen, trennen Sie es vom Internet (zum Beispiel indem Sie die Internetverbindung oder die Firewall sperren).
• Ändern Sie Passwörter von einem sauberen Gerät aus, beginnend mit den wichtigsten: Administratorkonten, E-Mail, dem Passwort-Manager, der Bank. Melden Sie sich überall von allen Sitzungen ab. Tun Sie dies nicht von einem Computer aus, der möglicherweise einen Infostealer oder Keylogger enthält (Lektion 1.4), denn dann lesen Sie dem Angreifer das neue Passwort direkt vor.
• Bewahren Sie Beweise auf: Foto der Lösegeldforderung, der E-Mails, Zahlungsaufforderungen, Kryptoadressen, Zeitpunkte. Werfen Sie nichts weg.

Bei einer gehackten Website bedeutet Eindämmen: die Website vorübergehend offline nehmen oder in den Wartungsmodus versetzen, alle Passwörter (Verwaltung, FTP, Datenbank, Hosting) ändern und Ihren Hosting-Anbieter einschalten.

Schritt 2: herausfinden, was passiert ist

Sie wollen drei Dinge wissen:

1. Wie sind sie eingedrungen? Der initiale Zugang: eine Phishing-Mail, ein gestohlenes Passwort ohne 2FA, ein veralteter VPN-Server oder ein Plugin, eine offene Verbindung für den Fernzugriff zur Verwaltung.
2. Was haben sie hinterlassen? Die Persistenz: zusätzliche Konten, geplante Aufgaben, Software für den Fernzugriff, Weiterleitungsregeln in Postfächern, zusätzliche Dateien auf dem Webserver.
3. Was haben sie mitgenommen? Bei moderner Ransomware kopieren Kriminelle häufig zuerst Daten und drohen mit Veröffentlichung (doppelte Erpressung, Lektion 1.3). Dann haben Sie auch eine Datenpanne (Lektion 8.2).

Für ein kleines Unternehmen ist dies selten selbst zu bewältigen. Ziehen Sie Ihren IT-Dienstleister hinzu, oder ein spezialisiertes Unternehmen für Incident Response. Viele Cyberversicherungen haben eine feste Rufnummer für ein solches Team. Fragen Sie bei einem externen Unternehmen nach, welche Erfahrung es mit Ihrer Art von Vorfall hat, und vereinbaren Sie vorab, was die Untersuchung umfasst.

Bei einer Website helfen das Zugriffsprotokoll und das Fehlerprotokoll des Webservers, ein Malware-Scan der Dateien und ein Abgleich mit einer sauberen Kopie des CMS und der Plugins.

Schritt 3: sauber wiederherstellen

Erst wenn Sie wissen, wie der Angreifer eingedrungen ist, und dieser Weg verschlossen ist, beginnen Sie mit der Wiederherstellung.

Stellen Sie in der Reihenfolge wieder her, die Sie in Ihrem Plan festgelegt haben (Lektion 8.1 und 6.3): zuerst das, was das Unternehmen braucht, um weiterzulaufen. Halten Sie den wiederhergestellten Teil getrennt von dem, was noch nicht geprüft wurde.

Hier zeigt sich, ob Ihr Backup taugt. Ein Backup, das am Netzwerk hing, ist oft mitverschlüsselt oder gelöscht worden. Ein Offline- oder unveränderliches Backup (Lektion 6.2) und ein getestetes Wiederherstellungsverfahren (Lektion 6.3) machen den Unterschied zwischen Tagen und Wochen Stillstand aus.

Schritt 4: Anzeige, Meldung und Lösegeld

Anzeige. Erstatten Sie Anzeige bei der Polizei. Dies geschieht online über die Onlinewache der Polizei Ihres Bundeslandes. Nehmen Sie die Beweise mit (Lösegeldforderung, E-Mails, Zahlungsdaten). Die Anzeige ist für die Ermittlung notwendig, hilft der Polizei, Zusammenhänge zu erkennen, und Versicherer fragen häufig danach.

No More Ransom. Auf https://www.nomoreransom.org (eine Initiative unter anderem von Europol und der niederländischen Polizei) können Sie eine verschlüsselte Datei oder die Lösegeldforderung erkennen lassen. Für manche Ransomware-Familien existiert ein kostenloser Entschlüsseler. Für die meisten neuen Varianten nicht, aber es kostet wenig Zeit, nachzusehen.

Melden. Prüfen Sie, welche Meldungen erforderlich sind: eine Datenpanne bei der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden (Lektion 8.2), ein erheblicher Vorfall beim BSI, falls Sie unter das BSI-Gesetz (NIS-2-Umsetzung) fallen (Lektion 9.1), und was Sie mit Kunden oder Auftraggebern vereinbart haben.

Lösegeld. Das niederländische NCSC rät davon ab, Lösegeld zu zahlen, die Polizei sagt „zahlen Sie vorzugsweise nicht“. Die Gründe:

• Sie haben keine Garantie, dass Sie einen funktionierenden Schlüssel erhalten oder dass die Daten nicht trotzdem veröffentlicht werden.
• Daten, die Sie zurückbekommen, können beschädigt oder verändert sein.
• Wer zahlt, gilt als jemand, der zahlt. Opfer werden manchmal erneut erpresst oder später erneut angegriffen.
• Sie finanzieren den nächsten Angriff.

Erwägen Sie dennoch zu zahlen, oder haben Sie gezahlt, melden Sie dies in jedem Fall der Polizei: Die Zahlungsdaten können der Ermittlung helfen. Diese Entscheidung gehört zu der Person, die im Notfallplan als Entscheider festgelegt ist, nicht zu demjenigen, der die Nachricht als Erstes sieht.

Cyberversicherung. Eine Cyberversicherung kann Kosten für Untersuchung, Wiederherstellung und Betriebsschaden abdecken und verschafft oft Zugang zu einem Incident-Team. Lesen Sie die Bedingungen: Viele Policen verlangen Grundmaßnahmen wie 2FA und Backups und verlangen eine schnelle Meldung. Das niederländische NCSC schrieb im April 2025, auf Basis einer Untersuchung von über 500 Ransomware-Vorfällen bei kleinen und mittleren Unternehmen, dass Angreifer nach dem Eindringen gezielt nach Dateien mit Namen wie „Versicherung“ oder „Police“ suchen, um ihre Verhandlungsposition zu stärken. Schauen Sie also, wie leicht ein Eindringling Ihre Police findet, und bewahren Sie sie vorzugsweise nicht auf einem gemeinsam genutzten Laufwerk auf. Eine Versicherung ersetzt keine Maßnahmen: Sie bezahlt den Schaden, verhindert ihn aber nicht.

Schritt 5: kommunizieren und lernen

Lassen Sie die im Plan festgelegte Kommunikationsperson eine klare Geschichte an Personal, Kunden und Lieferanten erzählen: was passiert ist, was es für sie bedeutet, was sie tun sollen (zum Beispiel: Achten Sie auf E-Mails, die scheinbar von uns stammen), und wann sie wieder von Ihnen hören. Ehrlich und rechtzeitig wirkt besser als Schweigen, bis es durchsickert.

Planen Sie innerhalb weniger Wochen eine Evaluation: Was lief gut, was lief schief, was ändern Sie? Fast immer kommen dieselben Punkte heraus: 2FA fehlte irgendwo, ein System war nicht aktualisiert, das Backup war nicht getestet, oder niemand wusste, wer entscheiden durfte. Tragen Sie diese Punkte in Ihren Plan aus Lektion 9.3 ein, mit einem Verantwortlichen und einem Datum.

In der Praxis: so sieht es aus

Bei einer gehackten Website auf einem Hostingpaket arbeiten Sie häufig mit den Mitteln Ihres Hosting-Anbieters. Bei WebOké sind das zum Beispiel ein Malware-Scan (Imunify360), die Protokolldateien in DirectAdmin, die Wiederherstellung eines Backups aus WebOké Backups und ein Stufenplan in der DirectAdmin-Anleitung. Bei anderen Hosting-Anbietern gibt es vergleichbare Hilfsmittel; fragen Sie Ihren Anbieter, was verfügbar ist und wie weit die Backups zurückreichen, bevor Sie es brauchen.

Zusammenfassung

• Wiederherstellung in fünf Schritten: eindämmen, herausfinden, sauber wiederherstellen, Anzeige und Meldung, kommunizieren und lernen.
• Isolieren, nicht ausschalten, und Passwörter nur von einem sauberen Gerät aus ändern.
• Stellen Sie nichts wieder her, bevor Sie wissen, wie der Angreifer eingedrungen ist; sonst öffnen Sie auch wieder die Tür.
• Infizierte Geräte neu installieren und aus einem Backup von vor dem Einbruch wiederherstellen.
• Erstatten Sie Anzeige, schauen Sie bei No More Ransom nach, und zahlen Sie vorzugsweise kein Lösegeld.

Quiz

Aufgabe

Aufgabe A8.3: Bringen Sie die Wiederherstellung in die richtige Reihenfolge. Sie erhalten einen Fall und zehn einzelne Schritte (zum Beispiel „Backup wiederherstellen“, „Netzwerkkabel ziehen“, „herausfinden, wie der Angreifer eingedrungen ist“, „Anzeige erstatten“). Bringen Sie diese in die richtige Reihenfolge. Das Programm prüft, ob die festen Reihenfolgeregeln eingehalten werden (zum Beispiel: Isolieren vor Wiederherstellen, Ursache vor Wiederherstellen, Neuinstallieren vor Daten zurückspielen) und erklärt bei jedem Fehler, warum.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 18.2: Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung
• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• Imunify360-Scanner
• WebOké Backups: Ein Backup ansehen, wiederherstellen oder herunterladen
• Niederländisches NCSC, Was tun bei einem Ransomware-Angriff?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Niederländisches NCSC, Ransomware bei KMU: Cyberkriminelle erhöhen das Lösegeld bei Cyberversicherung: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org