Ransomware-Angriff! Die ersten 24 Stunden sind kritisch

Die Uhr tickt. Sobald Sie feststellen, dass Ihre Systeme von einem Ransomware-Angriff betroffen sind, zählt jede Sekunde. Die ersten 24 Stunden sind entscheidend, um das Ausmaß des Schadens zu ermitteln, weitere Verluste zu begrenzen und die Voraussetzungen für die Recovery zu schaffen. Dieser Leitfaden enthält einen prägnanten Aktionsplan, der Ihnen hilft, diese entscheidende Phase zu meistern.

Entscheidende erste Schritte

Die erste Stunde nach einem Ransomware-Angriff ist von entscheidender Bedeutung. Zu Ihren Sofortmaßnahmen sollten folgende Schritte gehören:

Sofortmaßnahmen (erste 2–4 Stunden)

• Eindämmung: Priorisieren Sie infizierte Systeme und trennen Sie diese vom Netzwerk, um eine weitere Ausbreitung zu verhindern. Dazu kann es erforderlich sein, Server herunterzufahren, Netzwerksegmente zu deaktivieren und Firewall-Regeln zu aktivieren, um bösartigen Datenverkehr zu blockieren.
• Isolierung: Isolieren Sie kritische Systeme und Datenspeicher physisch oder virtuell, um die Auswirkungen des Angriffs zu begrenzen.
• Identifizierung und Triage: Führen Sie eine Triage kritischer Systeme durch, indem Sie diese identifizieren und ihrer Wiederherstellung in einem „sauberen“ Netzwerk Priorität einräumen. Bereiten Sie diese Systeme für die forensische Analyse vor und ermitteln Sie die von dem Sicherheitsvorfall betroffenen Konten.

Schnelle Reaktion (4–6 Stunden)

• Aktivierung: Leiten Sie Ihren Plan zur Reaktion auf Vorfälle (Incident Response Plan, IRP) ein und stellen Sie Ihr Kernteam für die Reaktion zusammen (IT, Sicherheit, Rechtsabteilung und Kommunikation).
• Einschätzung: Ermitteln Sie das Ausmaß des Angriffs, einschließlich der betroffenen Systeme, der Art der verwendeten Ransomware und etwaiger Lösegeldforderungen.
• Sichere Backups: Isolieren und überprüfen Sie Ihre Backups. Vergewissern Sie sich, dass diese offline und für Angreifer unzugänglich sind und zur Recovery verwendet werden können.
• Kommunikation: Richten Sie interne und externe Kommunikationskanäle ein, um die Beteiligten auf dem Laufenden zu halten.

Laufende Maßnahmen (0–24+ Stunden)

• Dokumentation: Dokumentieren Sie alle Maßnahmen, Beobachtungen und Kommunikationen sorgfältig. Diese Aufzeichnungen sind für die Ermittlungen und die Recovery, einschließlich der forensischen Analyse nach dem Vorfall, von entscheidender Bedeutung. Sammeln Sie alle verfügbaren digitalen Spuren und Protokolle gründlich.
• Untersuchung: Führen Sie eine gründliche Untersuchung durch, um die eigentliche Ursache des Angriffs zu ermitteln und etwaige Schwachstellen zu identifizieren, die behoben werden müssen.

Schadensbegrenzung und Planung Ihrer Reaktion (6–24+ Stunden)

Sobald Sie diese ersten Schritte unternommen haben, können Sie Ihren Fokus auf die folgenden Maßnahmen richten.

• Cyberversicherung in Anspruch nehmen: Wenn Sie über eine Cyberversicherung verfügen, benachrichtigen Sie Ihren Versicherer unverzüglich. Dieser kann Ihnen wertvolle Ratschläge, Ressourcen und finanzielle Unterstützung bieten.
• Meldung bei den Strafverfolgungsbehörden: Wenden Sie sich an die zuständigen Strafverfolgungsbehörden, wie beispielsweise das FBI oder Ihre örtliche Abteilung für Cyberkriminalität, um den Vorfall zu melden.
• Ziehen Sie Cybersicherheitsexperten hinzu: Wenn Ihnen internes Fachwissen fehlt, ziehen Sie Cybersicherheitsspezialisten hinzu. Diese können Sie bei der Malware-Analyse, bei fortschrittlichen Eindämmungsstrategien und bei der Planung der Recovery unterstützen.
• Kommunikationsstrategie: Erstellen Sie einen klaren Kommunikationsplan. Halten Sie Mitarbeiter, Kunden und Interessengruppen durch transparente und zeitnahe Informationen auf dem Laufenden.
• Recovery-Optionen: Prüfen Sie die in Ihrem Cyber-Recovery-Plan dokumentierten Recovery-Optionen. Dazu können gehören:
  • Wiederherstellung aus Sicherungskopien (stellen Sie sicher, dass diese zugänglich, fehlerfrei und geprüft sind).
  • Lassen Sie sich von einem Rechtsbeistand über die Möglichkeit von Verhandlungen mit den Angreifern beraten (gehen Sie dabei mit äußerster Vorsicht vor).

Recovery und Stärkung der Widerstandsfähigkeit (24–48+ Stunden)

In den nächsten 24 Stunden liegt der Schwerpunkt darauf, Ihre Systeme aktiv wiederherzustellen und Maßnahmen zur Verbesserung Ihrer Sicherheitslage umzusetzen:

• Aktivieren Sie Ihren Cyber-Notfallplan. Dazu können die Wiederherstellung aus Sicherungskopien und der Wiederaufbau betroffener Systeme gehören. Ziehen Sie in Betracht, die Wiederherstellung in einer „Cleanroom“-Umgebung durchzuführen, um die wiederhergestellten Systeme und Daten vor anhaltenden Bedrohungen zu schützen. Priorisieren Sie kritische Systeme und Daten, um Ausfallzeiten und Betriebsunterbrechungen zu minimieren.
• Verstärken Sie Ihre Sicherheitsmaßnahmen. Ergreifen Sie Maßnahmen, um künftige Angriffe zu verhindern, indem Sie Sicherheitslücken schließen, Sicherheitssoftware aktualisieren und eine Multi-Faktor-Authentifizierung einführen. Überprüfen Sie Ihre Sicherheitsrichtlinien und -verfahren, um etwaige Schwachstellen zu identifizieren, die möglicherweise zu dem Angriff beigetragen haben.
• Führen Sie eine gründliche Nachbetrachtung des Vorfalls durch. Analysieren Sie den Angriff, um zu verstehen, wie es dazu gekommen ist, identifizieren Sie Schwachstellen in Ihren Systemen und verbessern Sie Ihren Plan zur Reaktion auf Vorfälle für zukünftige Ereignisse. An dieser Nachbetrachtung sollten alle wichtigen Beteiligten beteiligt sein, und sie sollte zu umsetzbaren Änderungen führen.
• Wenden Sie sich an einen Rechtsbeistand. Halten Sie die einschlägigen Gesetze ein, beispielsweise die Vorschriften zur Meldung von Datenschutzverletzungen. Prüfen Sie mögliche rechtliche Schritte gegen die Täter.
• Bleiben Sie wachsam. Überwachen Sie Ihre Systeme weiterhin auf Anzeichen einer erneuten Infektion oder verdächtiger Aktivitäten. Die Bedrohungslage ändert sich ständig; passen Sie Ihre Sicherheitsmaßnahmen daher entsprechend an.

Maßnahmen nach der Recovery (laufend)

Die Recovery-Phase nach einem Ransomware-Angriff ist ein umfangreiches Unterfangen, doch die Arbeit ist nicht erst beendet, wenn Ihre Systeme und Daten wiederhergestellt sind. Die Phase nach der Recovery ist ein fortlaufender Prozess, der bereits innerhalb der ersten 24 Stunden beginnt und sich über den gesamten Recovery-Vorgang erstreckt. Dazu gehören:

• Sofortige Analyse nach dem Vorfall (innerhalb von 24 Stunden): Beginnen Sie unverzüglich mit einer vorläufigen Analyse, um erste Erkenntnisse über die Herkunft des Angriffs, die verwendeten Methoden und die unmittelbaren Schwachstellen zu gewinnen. Diese frühzeitige Analyse dient als Grundlage für dringende Sicherheitsverbesserungen.
• Laufende Verbesserung der Sicherheit (während der gesamten Recovery-Phase): Stärken Sie Ihre Sicherheitslage kontinuierlich auf der Grundlage der sich entwickelnden Erkenntnisse aus den laufenden Ermittlungen. Dies kann Folgendes umfassen:
  • Verstärkung der Zugriffskontrollen und Authentifizierungsmaßnahmen.
  • Schließen von Sicherheitslücken und Aktualisieren von Software.
  • Verbesserung der Netzwerksicherheit durch Firewalls, Intrusion-Detection-Systeme und fortschrittliche Tools zum Schutz vor Bedrohungen.
  • Einführung von E-Mail-Sicherheitslösungen zum Filtern bösartiger Anhänge und Links.
  • Verbesserung der Endpunktsicherheit durch Antiviren-, Anti-Malware- sowie Endpoint-Detection-and-Response-Lösungen (EDR).
• Mitarbeiterschulungen (laufend): Stärkung des Bewusstseins für Cybersicherheit bei den Mitarbeitern durch kontinuierliche Schulungen und Fortbildungen. Der Schwerpunkt liegt dabei auf Themen wie Phishing, Social Engineering, Passwortsicherheit und sichere Surfgewohnheiten.
• Aktualisierung von Richtlinien und Verfahren (laufend): Regelmäßige Überprüfung und Aktualisierung der Sicherheitsrichtlinien und -verfahren auf der Grundlage neuer Erkenntnisse und bewährter Praktiken der Branche. Sicherstellung, dass diese mit den gesetzlichen Anforderungen im Einklang stehen.
• Überprüfung der Backup- und Recovery-Maßnahmen (laufend): Bewerten und verbessern Sie Ihre Backup and Recovery-Strategie kontinuierlich. Stellen Sie sicher, dass Sie über regelmäßige, zuverlässige Backups verfügen, die sicher gespeichert und regelmäßig getestet werden. Ziehen Sie unveränderliche Backups in Betracht, die von Angreifern weder verändert noch gelöscht werden können.
• Weiterentwicklung des Cyber-Recovery-Plans (laufend): Passen Sie Ihren Cyber-Recovery-Plan regelmäßig auf der Grundlage Ihrer Erfahrungen und der sich wandelnden Bedrohungslage an. Ermitteln Sie Verbesserungsmöglichkeiten und stellen Sie sicher, dass Ihr Plan aktuell und umfassend ist.
• Laufende Überwachung: Bleiben Sie wachsam und überwachen Sie Ihre Systeme und Netzwerke kontinuierlich auf verdächtige Aktivitäten. Nutzen Sie SIEM-Tools (Security Information and Event Management) und Bedrohungsinformationen, um potenzielle Bedrohungen proaktiv zu erkennen und darauf zu reagieren.

Durch die Umsetzung dieses kontinuierlichen Ansatzes für die Zeit nach der Recovery können Sie die Sicherheitslage Ihres Unternehmens sowie dessen Widerstandsfähigkeit gegenüber zukünftigen Angriffen kontinuierlich verbessern.

Die wichtigsten Erkenntnisse

Cyber-Recovery-Plan: Ein klar definierter Cyber-Recovery-Plan minimiert Ausfallzeiten, trägt zur Aufrechterhaltung des Geschäftsbetriebs bei und verringert das Risiko einer erneuten Infektion. Er schafft einen Rahmen zur Stärkung der Cyber-Resilienz Ihres Unternehmens, d. h. der Fähigkeit, im Falle eines Cyberangriffs den Zugriff auf die Funktionen kritischer IT-Systeme und Daten wiederherzustellen.

• Notfallplan: Beschreibt die bei einem Angriff zu ergreifenden Maßnahmen, einschließlich Kommunikationsprotokollen, Eskalationsverfahren sowie Rollen und Zuständigkeiten.
• Cyber-Recovery-Plan: Der Schwerpunkt liegt auf der Wiederherstellung kritischer Systeme und Daten nach einem Angriff.
• Geschäftskontinuitätsplan: Ein umfassender Plan, der festlegt, wie wesentliche Geschäftsprozesse bei Störungen – einschließlich Ransomware-Angriffen – aufrechterhalten werden können.

Handeln Sie entschlossen: Die ersten Stunden sind entscheidend. Durch schnelles Handeln und Eindämmung lassen sich die Schäden erheblich begrenzen und Ihre Chancen auf eine erfolgreiche Recovery verbessern.

Lernen und verbessern: Jeder Angriff ist eine Gelegenheit zum Lernen. Führen Sie nach dem Vorfall eine gründliche Analyse durch, um zu verstehen, was passiert ist, warum es passiert ist und wie Sie verhindern können, dass es erneut geschieht. Stärken Sie kontinuierlich Ihre Sicherheitslage und Ihre Cyber-Resilienz.

Ein abschließendes Wort

Die Bewältigung eines Ransomware-Angriffs erfordert entschlossenes Handeln und das Bekenntnis zur Cyber-Resilienz. Dies beginnt damit, bereits heute umfassende Pläne für die Reaktion auf Vorfälle, die Recovery nach Cyberangriffen und die Geschäftskontinuität zu entwickeln. Denken Sie daran, dass Cyber-Resilienz ein fortlaufender Prozess ist. Überprüfen und verfeinern Sie Ihre Pläne regelmäßig, stärken Sie Ihre Sicherheitslage und schulen Sie Ihr Team. Durch einen proaktiven Ansatz können Sie Ihre Chancen erhöhen, Cyberbedrohungen zu widerstehen und sich davon zu erholen. Warten Sie nicht, bis ein Angriff stattfindet. Machen Sie den ersten Schritt in Richtung einer sichereren Zukunft.

Möchten Sie noch besser vorbereitet sein?

Ransomware-Angriffe können verheerende Folgen haben, doch mit der richtigen Planung und Vorbereitung lassen sich die Auswirkungen erheblich mindern. Wenn Sie mehr über die Erstellung eines soliden Plans zur Cyber-Resilienz erfahren möchten, sollten Sie die Teilnahme an unserem Workshop zur Planung der Cyber-Resilienz in Betracht ziehen. Dieser interaktive Workshop, der in Städten weltweit angeboten wird, führt die Teilnehmer durch den Prozess der Erstellung eines umfassenden Cyber-Notfallplans. Anhand realer Szenarien hilft der Workshop Unternehmen dabei, Strategien zu entwickeln, um Cyberangriffen standzuhalten und sich davon zu erholen.

Melden Sie sich noch heute für einen Workshop an und unternehmen Sie einen proaktiven Schritt zum Schutz Ihres Unternehmens.