Wenn Sie das lesen, während gerade verschlüsselt wird, gehen Sie direkt zum ersten Punkt. Wenn Sie es an einem beliebigen Dienstag in Ruhe lesen, umso besser: So etwas bereitet man vorher vor, nicht mittendrin.
Stunde 0: eindämmen
- Trennen Sie die Netzverbindung der betroffenen Geräte. Kabel raus oder WLAN aus. Schalten Sie sie nach Möglichkeit noch nicht ganz aus: Im Arbeitsspeicher stecken nützliche Informationen.
- Isolieren Sie die Datensicherungen als Allererstes. Wenn die Ransomware sie erreicht, ist das Gespräch beendet.
- Kappen Sie die Fernzugänge: VPN, Remotedesktop, Zugänge von Dienstleistern. Wo sie hereinkam, kann sie wieder hereinkommen.
Stunde 1: das Ausmaß bewerten
Bevor Sie irgendetwas anderes anfassen, müssen Sie wissen, was verschlüsselt ist und was nicht: Arbeitsplätze, Server, Freigaben, Sicherungen – und ob es Hinweise darauf gibt, dass Daten zusätzlich zur Verschlüsselung abgeflossen sind. Letzteres ändert die rechtlichen Pflichten.
Hier ist auch zu entscheiden, wer das Sagen hat: Eine Person koordiniert und kommuniziert. In einer Krise richten fünf Personen, die parallel entscheiden, mehr Schaden an als der Vorfall selbst.
Stunde 2: Pflichten
Sind personenbezogene Daten betroffen, gibt die DSGVO 72 Stunden Zeit für die Meldung an die Aufsichtsbehörde. Das ist nicht optional und wartet nicht ab, bis Sie den Betrieb wiederhergestellt haben. Legen Sie vorab fest, wer diese Meldung verfasst.
Das Lösegeld wird nie gezahlt, bevor der Weg der Wiederherstellung ausgeschöpft ist. Und selbst dann garantiert Zahlen nicht, dass Sie irgendetwas zurückbekommen.
Stunde 3 und 4: in der richtigen Reihenfolge wiederherstellen
Die Versuchung ist groß, alles auf einmal wiederherzustellen. Das ist ein Fehler: Zuerst kommt das, was das Geschäft trägt, und nur auf Geräten, die bereits bereinigt oder neu installiert wurden.
- Verzeichnisdienst und Authentifizierung zuerst: Ohne Identität funktioniert nichts anderes.
- Danach das System, das abrechnet oder produziert. Das, was das Unternehmen lahmlegt, wenn es ausfällt.
- Anschließend E-Mail und gemeinsame Dateien.
- Die Arbeitsplätze zum Schluss, neu installiert von einem sauberen Image.
Was 90% dieser Tage verhindert
Unveränderliche Sicherungen, Zwei-Faktor-Authentifizierung bei allen Fernzugängen, Netzsegmentierung, damit ein infiziertes Gerät nicht an den Server kommt, und Benutzer ohne Administratorrechte auf dem eigenen Rechner. Nicht glamourös, aber genau das funktioniert.
