Ein Ransomware-Angriff verschlüsselt Server, Arbeitsplätze und oft auch die Datensicherung. Danach steht der Betrieb still, und die Erpresser fordern Geld für die Entschlüsselung. Ob ein Unternehmen in Tagen oder Wochen wieder arbeitet, entscheidet sich meist vor dem Angriff. Entscheidend sind ein Backup, das Angreifer nicht erreichen, und ein Notfallplan, der ohne die betroffenen Systeme funktioniert. Dieser Beitrag zeigt, was in den ersten Stunden zu tun ist und wie Sie Backup und Notfallplan vorbereiten.
Was ist ein Ransomware-Angriff?
Ein Ransomware-Angriff bezeichnet einen Cyberangriff, bei dem Schadsoftware Daten verschlüsselt und die Täter ein Lösegeld für die Freigabe fordern. Häufig kopieren die Angreifer vorher Daten und drohen mit deren Veröffentlichung. Das BSI zählt Ransomware zu den größten Cyberbedrohungen für Staat, Wirtschaft und Gesellschaft.[2]
Typische Einfallstore:
- Phishing: E-Mails mit schädlichen Anhängen oder Links
- Zugangsdaten: gestohlene oder schwache Passwörter ohne MFA
- Schwachstellen: nicht aktualisierte Server, VPN-Zugänge oder Firewalls
- Fernzugänge: offen erreichbare Remote-Desktop-Dienste
Backup-Arten im Vergleich
Nicht jedes Backup schützt vor Ransomware. Die Tabelle zeigt, welche Varianten einem Angriff standhalten.
| Backup-Art | Schutz vor Verschlüsselung | Hinweis |
|---|---|---|
| Synchronisation (z. B. Cloud-Ordner) | gering | verschlüsselte Dateien werden mitsynchronisiert |
| Backup im selben Netzwerk | gering bis mittel | erreichbar mit Admin-Rechten der Domäne |
| Unveränderbares Backup (Immutable) | hoch | Löschen und Ändern für eine festgelegte Zeit gesperrt |
| Offline-Backup (Band, getrennter Datenträger) | hoch | physisch vom Netzwerk getrennt[1] |
Was tun bei einem Ransomware-Angriff?
In den ersten Stunden entscheiden wenige Schritte über den Schaden. Handeln Sie nach Plan, nicht nach Bauchgefühl.
Sofortmaßnahmen
Trennen Sie betroffene Systeme vom Netzwerk, damit sich die Schadsoftware nicht weiter ausbreitet. Schalten Sie Geräte nicht vorschnell ab, sondern stimmen Sie das mit Ihrem IT-Dienstleister ab, damit Spuren für die Analyse erhalten bleiben.
Die ersten Schritte:
- Isolieren: betroffene Geräte vom Netz trennen, WLAN und Kabel
- Informieren: IT-Dienstleister, Geschäftsleitung und Notfallteam alarmieren
- Sichern: Backups vom Netzwerk trennen, falls noch nicht geschehen
- Dokumentieren: Zeitpunkt, Beobachtungen und Maßnahmen notieren
- Melden: Meldepflichten prüfen, etwa nach NIS2 oder DSGVO
Meldepflichten
Für NIS2-betroffene Unternehmen gilt eine Erstmeldung an das BSI spätestens 24 Stunden nach Kenntnis.[3] Sind personenbezogene Daten betroffen, ist nach der Datenschutz-Grundverordnung (DSGVO) eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig.[4] Erstatten Sie zusätzlich Anzeige bei der Polizei.
Lösegeld zahlen?
Eine Zahlung garantiert weder die Entschlüsselung noch, dass kopierte Daten gelöscht werden. Zudem finanziert sie weitere Angriffe. Treffen Sie diese Entscheidung nie allein, sondern mit Polizei, Rechtsberatung und Versicherung. Der sicherere Weg ist die Wiederherstellung aus einem sauberen Backup.
Backup-Strategie gegen Ransomware
Ein Backup schützt nur, wenn Angreifer es nicht verschlüsseln oder löschen können. Die Strategie muss deshalb Trennung und Tests enthalten.
Die 3-2-1-Regel
Die 3-2-1-Regel ist ein verbreiteter Grundsatz für Datensicherungen. Sie hilft, einzelne Ausfälle abzufangen.
Bestandteile der Regel:
- 3 Kopien: Originaldaten plus zwei Sicherungen
- 2 Medien: zum Beispiel Festplatte und Band oder Cloud
- 1 Kopie extern: an einem anderen Standort, offline oder unveränderbar
Offline und unveränderbar
Das BSI empfiehlt, mindestens eine Sicherung offline zu halten, etwa auf getrennten Bändern oder Datenträgern.[1] Unveränderbare Speicher sperren Daten für eine festgelegte Zeit gegen Löschen. Beides verhindert, dass ein Angreifer mit Admin-Rechten alle Sicherungen zerstört.
Wiederherstellung testen
Ein Backup ist erst dann etwas wert, wenn die Wiederherstellung funktioniert. Testen Sie regelmäßig, ob sich Server und Daten aus der Offline-Kopie zurückspielen lassen.[1] Messen Sie dabei, wie lange die Wiederherstellung dauert.
Wie lange darf der Ausfall dauern?
Legen Sie für jedes kritische System fest, wie lange es ausfallen darf und wie viele Daten verloren gehen dürfen. Daraus ergeben sich Häufigkeit der Sicherung und Art der Wiederherstellung. Ein ERP-System braucht meist kürzere Zielzeiten als ein Archiv.
Cloud-Daten nicht vergessen
Auch Microsoft 365 braucht eine durchdachte Sicherung. Papierkorb und Versionsverlauf ersetzen kein separates Backup mit eigener Aufbewahrung. Prüfen Sie, ob Postfächer, OneDrive, SharePoint und Teams in Ihrem Konzept enthalten sind.
IT-Notfallplan: Was hineingehört
Ein IT-Notfallplan beschreibt, wer im Ernstfall was in welcher Reihenfolge tut. Das BSI-Grundschutz-Modul DER.4 behandelt das Notfallmanagement ausführlich.[5]
- Kritische Prozesse: welche Abläufe zuerst wieder laufen müssen
- Kritische Systeme: Server, Anwendungen und Abhängigkeiten
- Wiederanlauf: Reihenfolge und Zielzeiten für die Wiederherstellung
- Rollen: Notfallteam, Entscheider und Vertretungen
- Kontakte: IT-Dienstleister, Versicherung, Rechtsberatung, Behörden
- Kommunikation: Mitarbeitende, Kunden und Partner informieren
- Papierform: ausgedruckt und an mehreren Orten verfügbar[1]
Üben statt abheften
Ein Notfallplan, der nie geübt wurde, scheitert oft an Details. Typisch sind veraltete Telefonnummern, fehlende Passwörter für Backup-Systeme oder unklare Entscheidungswege. Prüfen Sie den Plan deshalb mindestens einmal im Jahr und nach jeder größeren Änderung. Üben Sie die Wiederherstellung und die Alarmierung mindestens in einem Planspiel. Das BSI empfiehlt, auch einen Schwarzstart zu planen und zu üben, also den Wiederanlauf aller Server und Systeme.[1]
Wie Sie Angriffe von vornherein erschweren
Backup und Notfallplan begrenzen den Schaden. Damit es seltener so weit kommt, sollten Sie die Einfallstore schließen.
Vorbeugende Maßnahmen:
- MFA: für alle Konten mit Zugriff aus dem Internet
- Updates: zeitnahes Patch-Management für Server, Clients und Firewall
- Rechte: Admin-Konten trennen und nur bei Bedarf nutzen
- Schulung: Mitarbeitende für Phishing sensibilisieren
- Erkennung: Endpoint-Schutz und Überwachung auffälliger Aktivitäten
Wie Sie Updates automatisieren, zeigt unser Beitrag zu Patch-Management und Monitoring. Die Absicherung der Konten beschreibt Microsoft 365 absichern.
Backup und Notfallplan mit Blured
Ein Ransomware-Angriff lässt sich nicht ausschließen, aber vorbereiten. Als IT-Dienstleister aus Düsseldorf richten wir für Unternehmen mit 25 bis 250 Mitarbeitenden Backup-Konzepte ein, die einem Angriff standhalten sollen, und üben mit Ihnen den Ernstfall. Für IT-Infrastrukturberatung und -implementierung sind wir nach ISO/IEC 27001 zertifiziert.
Ihre Vorteile:
- getrennte Sicherung: Offline- oder unveränderbare Kopie nach BSI-Empfehlung
- überwachte Backups: jede Sicherung geprüft, Fehler gemeldet
- getestete Wiederherstellung: regelmäßige Rücksicherungstests
- Notfallplan: Rollen, Kontakte und Wiederanlauf dokumentiert
Jetzt Erstgespräch vereinbaren · Telefon: +49 211 822 00 80
FAQ
Was tun bei einem Ransomware-Angriff?
Schützt ein Backup vor Ransomware?
Was ist die 3-2-1-Backup-Regel?
Sollte man bei Ransomware Lösegeld zahlen?
Was gehört in einen IT-Notfallplan?
Nächster Schritt
Backup und Notfallplan mit BDT prüfen
Sie möchten wissen, ob Ihr Backup einen Ransomware-Angriff übersteht und wie schnell Sie wieder arbeiten könnten? Wir von Blured Digital Technologies in Düsseldorf prüfen Backup-Konzept, Offline-Kopie und Wiederherstellung und erstellen mit Ihnen einen IT-Notfallplan.
Mehmet Yüksel ist Gründer und Geschäftsführer der BDT Group GmbH (Blured Digital Technologies), eines 2018 gegründeten Managed Service Providers in Düsseldorf. Seine Schwerpunkte sind IT-Infrastruktur, Cyber Security und Managed Services.
