Woran Sie einen Verschlüsselungstrojaner erkennen
Dateien lassen sich nicht mehr öffnen oder haben eine fremde Endung, auf dem Bildschirm oder in den Ordnern liegt eine Nachricht mit einer Zahlungsforderung, Programme und Netzlaufwerke funktionieren plötzlich nicht mehr. Solche Schadsoftware heißt auch Ransomware.
Schritt für Schritt
- Ruhe bewahren. Handeln Sie zügig, aber ohne überstürzte technische Aktionen.
- Vom Netz trennen. Ziehen Sie an den betroffenen Geräten das Netzwerkkabel und schalten Sie das WLAN aus. Nicht herunterfahren und nicht ausschalten: Für die spätere Analyse werden Spuren im Arbeitsspeicher gebraucht.
- Sicherungen schützen. Ziehen Sie angeschlossene Sicherungsfestplatten ab und schließen Sie keine Sicherung an, um „nur mal nachzusehen“.
- Keine Anmeldungen mit Administrator-Konten an betroffenen Geräten. Zugangsdaten, die dort gespeichert sind oder eingegeben werden, gelten als nicht mehr sicher.
- Erpresserschreiben fotografieren, am besten mit dem Handy. Nehmen Sie keinen Kontakt zu den Erpressern auf.
- Hilfe holen und intern informieren: Ihren IT-Dienstleister, die Geschäftsleitung und, falls vorhanden, den Datenschutzbeauftragten.
- Dokumentieren: Wer hat wann was bemerkt, welche Geräte sind betroffen, was wurde schon getan?
- Anzeige erstatten bei der Polizei. Für Unternehmen gibt es in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime (ZAC).
Was Sie besser nicht tun
- Kein Lösegeld zahlen. Auch nach einer Zahlung ist nicht sicher, dass die Daten wieder entschlüsselt werden.
- Nicht zuerst den Virenscanner laufen lassen. Er verändert Spuren. Das BSI rät, Virenschutzprogramme erst nach der Trennung vom Netz und in Abstimmung mit den Fachleuten einzusetzen.
- Keine Dateien löschen, umbenennen oder „aufräumen“ und keine Entschlüsselungs-Tools aus dem Internet ausprobieren.
Wie es danach weitergeht
Befallene Geräte gelten als vollständig kompromittiert und werden in der Regel neu aufgesetzt. Alle Passwörter, die dort gespeichert oder benutzt wurden, werden geändert. Bevor Daten zurückgespielt werden, wird geprüft, ob die Sicherung sauber ist. Wie lange das dauert, hängt von der Größe des Netzwerks ab. Diese Arbeit gehört in fachkundige Hände.
Prüfen Sie mit Ihrem Datenschutzbeauftragten, ob eine Meldung an die Datenschutzaufsicht nötig ist (Art. 33 DSGVO, innerhalb von 72 Stunden). Unternehmen, die unter NIS-2 fallen, haben zusätzliche Meldepflichten.
Wann Sie Hilfe holen sollten
Sofort. Rufen Sie uns an: +49 2306 946898-0, Mo–Fr 9–17 Uhr. Bis Hilfe da ist, bleiben die betroffenen Geräte getrennt und unverändert. Das bremst die Ausbreitung und erhält die Spuren.
Passende Themen
- Datensicherung: Sicherungen außer Haus, die ein Angriff nicht mitverschlüsselt
- IT-Sicherheit für KMU: vorbeugen mit Virenschutz, Updates, Zwei-Faktor und Notfallplan
- Phishing-Mail angeklickt – was jetzt?
Die Schritte folgen den Checklisten des BSI zum IT-Sicherheitsvorfall und dem Papier „Ransomware: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“. Sie ersetzen keine Beratung im Einzelfall.