Die erste Stunde nach einer Verschlüsselung entscheidet oft darüber, ob nur ein Arbeitsplatz betroffen bleibt oder die Freigaben und die Sicherung mitgezogen werden. In dieser Stunde wird nicht verhandelt und nicht auf Verdacht alles gelöscht. Es wird getrennt, was noch gesund sein könnte, und es wird unterlassen, mit einem weitreichenden Konto am betroffenen Gerät weiterzuklicken. VYN IT Solution GmbH geht diesen Ablauf mit Betrieben durch, bevor er gebraucht wird, erreichbar unter +43 1 996 96 33 und [email protected].

Die reflexhaften Schritte, die den Schaden vergrößern

Der häufige Reflex ist, Dateien zu öffnen, um zu sehen, wie schlimm es ist, oder den Server neu zu starten, damit es „wieder geht“. Beides kann die Verschlüsselung weiterlaufen lassen oder Spuren überschreiben, die für die spätere Einordnung nützlich wären. Wer sich mit dem Domänenverwaltungs-Konto an dem betroffenen Arbeitsplatz anmeldet, schenkt dem Vorgang genau die Rechte, die ihm noch fehlen. Mail an alle, vom möglicherweise betroffenen Postfach aus, verbreitet zusätzlich den falschen Kanal.

Parallel ist die Sicherung in Gefahr, wenn sie als beschreibbare Freigabe mit demselben Kennwort erreichbar ist. Dann ist der erste technische Handgriff, dieses Ziel vom Netz zu nehmen oder den Zugriff zu unterbrechen, bevor aufgeräumt wird. Synchronisation in die Cloud, die gerade verschlüsselte Dateien hochlädt, wird angehalten. Ob eine Anzeige, eine Meldung an Kunden oder eine Zahlung überhaupt in Frage kommt, entscheiden Geschäftsführung und Rechtsberatung. Wir geben dazu keine Empfehlung und beginnen nicht mit einer Wiederherstellung in ein noch unreines Netz.

Trennen, Konten sichern, erst dann an Wiederherstellung denken

  1. Trennen. Nehmen Sie betroffene Geräte vom LAN und vom WLAN, ohne sie aus Neugier weiter zu benutzen.
  2. Konten. Setzen Sie verdächtige Kennwörter von einem sauberen Gerät aus zurück und sperren Sie Sitzungen, statt sich vor Ort mit dem Verwaltungskonto anzumelden.
  3. Sicherung. Trennen Sie beschreibbare Backup-Ziele und stoppen Sie Synchronisation, die Schäden in eine zweite Kopie schreiben könnte.
  4. Melden. Rufen Sie die Betreuung über einen vorab bekannten Weg an, nicht über das möglicherweise betroffene Postfach.
  5. Sichern. Notieren Sie, welches Gerät und welches Konto zuerst aufgefallen sind, und fassen Sie die Sicherung erst an, wenn sie vom Vorfall getrennt ist.

Wiederherstellung kommt nach der Eindämmung, nicht davor. Ein Backup, das im selben Atemzug mitverschlüsselt wurde, ist kein Restore-Punkt. Ob eine Kopie noch lesbar ist, prüfen wir an einem isolierten Weg. Die Reihenfolge, in der Systeme später wieder anlaufen, steht idealerweise schon auf dem Notfallblatt und wird nicht in der ersten Stunde neu erfunden.

Woran Projekte in der Praxis scheitern

  • Mit dem Administratorkonto am betroffenen Gerät anmelden, um „aufzuräumen“.
  • Die Sicherung als Laufwerk verbunden lassen, während die Verschlüsselung noch läuft.
  • Eine Mail an alle Kundinnen und Kunden aus dem betroffenen Postfach senden.
  • Sofort in das Produktivnetz zurücksichern, bevor klar ist, dass der Weg sauber ist.

Beispiel aus dem Betriebsalltag

In einem Planungsbüro fiel auf, dass ein Projektlaufwerk Dateien mit ungewohnten Endungen zeigte. Die erste Reaktion war, vom Arbeitsplatz aus weitere Ordner zu öffnen. Wir haben das Gerät vom Netz genommen, die Synchronisation des Projektordners angehalten und das Backup-Ziel getrennt, das als Freigabe eingebunden war. Erst danach wurde von einem anderen Gerät geprüft, welche Kopie noch unverschlüsselt aussah. Gezahlt oder öffentlich eingeordnet wurde in dieser Phase nichts. Das blieb bei Geschäftsführung und Beratung.

Kurze Entscheidungshilfe

  • Wissen alle, wen sie anrufen, ohne das betroffene Postfach zu verwenden?
  • Ist klar, wie das Backup-Ziel im Zweifel getrennt wird?
  • Steht fest, dass das Verwaltungskonto nicht am verdächtigen Gerät verwendet wird?
  • Ist die Frage von Meldung und Zahlung Ihrer Beratung zugeordnet und nicht der Technik?

Wenn die erste Stunde nach einer Verschlüsselung bei Ihnen ansteht, klären wir den Umfang unverbindlich: Backup und Wiederherstellung. Immutable Backup erklärt Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.