10.10.2022 Erste Hilfe

Was tun im Sicherheitsnotfall?

Ransomware-Angriffe häufen sich derzeit vielerorts – umso besser müssen Unternehmen darüber informiert sein, was im Notfall zu tun ist. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet erste Hilfe.

Auch nach einem umfangreichen Hackerangriff können noch nicht kompromittierte Daten vorliegen – etwa auf dem PC eines Mitarbeiters im Urlaub. Diese können im Notfall kriegsentscheidend sein.

Das BSI unterteilt die Hilfestellung, die sich an IT-Sicherheitsbeauftragte, CISOs und Systemadministratoren von kleinen und mittleren Unternehmen (KMU) sowie an kleinere Behörden richtet, in die Bereiche „Organisation“ und „Technik“ und erklärt detailliert, wie Unternehmen vorgehen sollten. Ein Überblick:

Organisation: Das BSI rät dazu, im Notfall Ruhe zu bewahren und nicht übereilt zu handeln. Wichtig ist, einen Krisenstab oder eine Projektgruppe einzurichten, die Fragen wie „Wer macht was bis wann?“ oder „Sollen Systeme schnell wieder aufgesetzt oder Spuren gesichert werden?“ klärt. Meldepflichten sollten nicht vergessen werden und bei Bedarf sollte rechtzeitig externe Unterstützung angefordert werden.

Zudem sollten Betroffene daran denken, dass kurzfristig für den Notbetrieb wichtige Daten noch nicht kompromittiert sein könnten – etwa solche, die sich an gegebenenfalls abgesetzten Außenstellen oder Systemen von Mitarbeitern im Urlaub befinden.

Technik: Die oberste Regel ist laut Bundesamt, dass keinesfalls eine Anmeldung mit privilegierten Nutzerkonten (z.B. Administratorkonten) auf einem potenziell infizierten System erfolgen darf, während das System sich noch im internen produktiven Netzwerk befindet oder mit dem Internet verbunden ist. Zudem sollten infizierte Systeme umgehend vom Netzwerk isoliert werden, um eine weitere Ausbreitung der Schadsoftware möglichst zu verhindern. Dazu sollte das Netzwerkkabel gezogen und nicht das Gerät heruntergefahren oder ausgeschaltet werden.

Lokale Systeme neu aufsetzen

Im nächsten Schritt muss die Schadsoftware identifiziert werden, wofür es verschiedene Seiten gibt. Auch passende Entschlüsselungs-Tools können helfen, sollte es diese für die angreifende Ransomware bereits geben. Eine einfache Hilfesuche per Suchmaschine im Internet kann Informationen zu bekannter Ransomware liefern.

Grundsätzlich empfiehlt das BSI, infizierte lokale Systeme als vollständig kompromittiert zu betrachten und neu aufzusetzen, da Schadprogramme teils tiefgreifende Änderungen am lokalen System vornehmen, die nicht einfach rückgängig gemacht werden können. Auch sollten alle auf betroffenen Systemen gespeicherten bzw. nach Infektion eingegebenen Zugangsdaten als kompromittiert betrachtet und Passwörter geändert werden.

Kein Lösegeld zahlen

Jede nicht unbedingt benötigte Remote-Verbindung sollte beobachtet und Antiviren-Scans laufen gelassen werden. Auch rät das BSI dazu, zu überprüfen, ob saubere, integre Backups vorliegen. Im Fall einer bereits erfolgten Verschlüsselung sollte nicht auf eine Erpressung eingegangen und kein Lösegeld gezahlt werden – stattdessen werden Daten bestenfalls in ein sauberes Netzwerk aus Backups zurückgespielt.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2022. Bestellen Sie ein kostenfreies Probe-Abo.

Um einem weiteren zukünftigen Zugriff von Angreifern auf das interne Netzwerk und eine erneute Ausbreitung der Schadsoftware zu entgehen, rät das BSI dazu, das Netz komplett neu aufzubauen.