Erpresser auf dem Desktop: Was tun beim Ransomware-Angriff?

Berichte über Angriffe mit Erpressungstrojanern – sogenannter Ransomware – gehören inzwischen zur Tagesordnung. Dabei werden meist Daten verschlüsselt, für deren Freigabe ein Lösegeld verlangt wird. Die geforderten Summen steigen, der wirtschaftliche Schaden durch organisierte Cyberkriminalität geht in die Milliarden. Unternehmen sollten sich daher auf einen Angriff vorbereiten. Wir geben erste Verhaltenstipps für den Ramsomware-Vorfall.

1. Notfallteam etablieren bzw. Experten einschalten
Ein Ransomware-Angriff lässt sich nur mit Ruhe und strukturiertem professionellem Vorgehen bewältigen. Etablieren Sie einen Notfallplan und einen ausgesuchten Notfallstab, der auf den fachmännischen Umgang mit Cyberangriffen vorbereitet ist. Eine Vorlage für einen IT-Notfallplan mit Tipps und Mustertexten können Sie hier bestellen.

2. Infizierte Systeme isolieren
Viele Ransomware-Varianten versuchen, sich auf andere Systeme zu übertragen und alle über das Netzwerk zugängliche Daten zu verschlüsseln. Betroffene Systeme sollten daher möglichst sofort isoliert und vom Netzwerk getrennt werden. Sinnvoll ist es zudem, den Nutzerzugriff auf geschäftskritische Systeme zu unterbinden bzw. einzuschränken.

3. Sicherungen schützen
Bei der Schadensminimierung spielen Sicherungen eine große Rolle, da sie eine Wiederherstellung der verschlüsselten Daten ermöglichen. Viele Ransomware-Varianten versuchen daher auch auf die Sicherungen zuzugreifen. Trennen Sie Ihre Sicherungen sofort vom Netzwerk und sperren Sie den Zugriff, bis die Schadsoftware eliminiert wurde.

4. Notfallschritte am Gerät
Trennen Sie die Netzwerk- und Kommunikationsverbindungen und melden Sie sich auf keinen Fall mit Adminrechten am System an, solange das Gerät noch im Netzwerk bzw. Internet ist. Versetzen Sie virtuelle Maschinen in den Suspend-Modus und physikalische Maschinen in den Standby-/Hibernationsmodus, um den Arbeitsspeicher zu erhalten.

5. Notfallschritte im IT-Netzwerk
Trennen Sie alle Netzwerkverbindungen nach außen sowie zu den Außenstellen des Unternehmens (MPLS, VPN etc.) und schalten Sie Client-Remote-Zugänge und Funknetze ab. Auch interne Switches und Router sollten Sie abschalten, wenn keine Abschottung von Netzsegmenten möglich ist. Trennen Sie alle IT-Endgeräte vom Netzwerk.

Wichtiger Hinweis: Die obengenannten Verhaltenstipps sind nicht abschließend. Bei einem Angriff sollten Sie im Zweifel Spezialisten hinzuziehen! Weitere praxisorientierte Hinweise zum richtigen Umgang mit Ransomware-Angriffen finden Sie in der VDMA Broschüre „Notfallhilfe Ransomware“, die für Mitglieder kostenlos erhältlich ist.

VSMA GmbH: Kostenlose Cyber-Unterstützung für VDMA-Mitgliedsunternehmen
Die Initiative „Unternehmen Cybersicherheit“ unterstützt Sie mit Tipps, Mustern und Arbeitshilfen aktiv bei der Minimierung Ihrer Cyber Risiken. Einen Überblick über alle Medien finden Sie hier. Gemeinsam mit dem VDMA haben wir zudem eine speziell auf den Maschinen- und Anlagenbaus ausgelegte Cyber-Versicherung entwickelt. Ein konkretes Angebot für die VDMA Cyber-Police kann kostenlos über ein Online-Tool angefragt werden.