Die erste Reaktion koordinieren

Benennen Sie einen Entscheider und einen technischen Ansprechpartner. Nutzen Sie bei Verdacht auf kompromittierte Kommunikationssysteme einen abgestimmten alternativen Kanal. Mehrere unabhängige Reparaturversuche erschweren die Untersuchung und können laufende Sicherungen, Zugriffe oder Protokolle verändern. Jede Maßnahme braucht deshalb einen Verantwortlichen und einen Zeitstempel.

Die Eindämmung muss betroffene Endgeräte, Server, Identitäten und Verwaltungszugänge berücksichtigen. Eine Netztrennung kann die Ausbreitung begrenzen; ungezieltes Ausschalten kann zugleich flüchtige Beweise vernichten. Die passende Entscheidung richtet sich nach aktiver Schadenswirkung, Abhängigkeiten und den Möglichkeiten des verantwortlichen Response-Teams.

Verschlüsselung und Datenabfluss getrennt untersuchen

Ein funktionierendes Backup beantwortet nicht, ob Daten vorher kopiert wurden. Ebenso beweist eine Erpressungsbehauptung noch keinen Abfluss. Die Untersuchung sollte vorhandene Authentifizierungs-, Speicher- und Netzwerkspuren auswerten und klar ausweisen, welche Aussagen belegt, wahrscheinlich oder derzeit offen sind.

Lösegeldentscheidungen gehören in eine koordinierte Bewertung mit Geschäftsleitung, geeigneter Rechtsberatung, gegebenenfalls Versicherer und zuständigen Stellen. Eine Zahlung ist keine Zusicherung für Entschlüsselung, Löschung kopierter Daten oder das Ende weiterer Forderungen. Diese Seite gibt deshalb keine pauschale Zahlungsanweisung.

Wiederanlauf in einer vertrauenswürdigen Umgebung

Geschäftsprozesse werden in einer vereinbarten Reihenfolge wiederhergestellt. Dazu müssen auch benötigte Identitätsdienste, Datenbanken und Schnittstellen verfügbar sein. Ein isolierter Test der Sicherung kann zeigen, ob Daten lesbar und Anwendungen funktionstüchtig sind, bevor ein größerer Rückspielvorgang beginnt.

Zum Abschluss gehören eine dokumentierte Freigabe, die Kontrolle betroffener Zugänge und eine Nachbeobachtung. Für die erste Notfallanfrage sind Anzahl und Art ausgefallener Systeme, Beginn des Vorfalls und Zustand der Sicherungen besonders hilfreich. Senden Sie keine Erpressungsanhänge ungeprüft weiter.

Ihre Checkliste für den nächsten Schritt

  • Zentrale Koordination und sicheren Kommunikationsweg festlegen.
  • Sicherungen gegen Veränderung und weiteren Zugriff schützen.
  • Ausfall, Verschlüsselung und möglichen Datenabfluss getrennt erfassen.

Häufige Fragen

Kann die Verschlüsselung garantiert rückgängig gemacht werden?

Nein. Das hängt unter anderem vom Verfahren, verfügbaren Sicherungen und gegebenenfalls geeigneten Entschlüsselungswerkzeugen ab.

Darf ich sofort ein Backup zurückspielen?

Zuerst müssen Zielumgebung, Sicherungsstand und Angriffsweg bewertet werden, damit die Wiederherstellung nicht erneut kompromittiert wird.

Quellen & weiterführende Informationen

CISA: StopRansomware Guide ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.