Ransomware-Response-Handlungsleitfaden: die erste Stunde, 24 Stunden und 72 Stunden

Ein zeitlich strukturierter Ransomware-Handlungsleitfaden: Was Sie in der ersten Stunde, den ersten 24 Stunden und den ersten 72 Stunden tun sollten – von Isolierung und Nachweissicherung bis Meldung, Lösegeldzahlung-Entscheidung und sauberer Wiederherstellung.

Dieser Handlungsleitfaden richtet sich an IT-Manager, CISOs, MSPs und die Managementteams, die während eines Ransomware-Angriffs Entscheidungen treffen müssen. Er überführt den allgemeinen Handlungsleitfaden für die Incident Response in eine zeitlich gestaffelte Abfolge für die erste Stunde, die ersten 24 Stunden und die ersten 72 Stunden und behandelt anschließend Wiederherstellung und Härtung. Nutzen Sie ihn neben Ihrem Incident-Response-Plan und dem Handlungsleitfaden für die Incident-Meldung, der die detaillierten behördlichen Fristen enthält.

Bevor Sie beginnen

Ransomware erzeugt Druck auf Ihre Entscheidungen. Bereiten Sie diese Punkte vor, solange Sie noch ruhig sind:

• Gedruckte Kontaktlisten: Ihr DFIR-Retainer, Cyber-Versicherer, Rechtsanwalt, nationales CSIRT, Polizei und die wichtigsten Lieferanten.
• Ein Out-of-Band-Kanal, wie ein separater Messaging-Arbeitsbereich oder eine Telefonkonferenz, der nicht von Ihrem E-Mail- oder Identitätsanbieter abhängt.
• Offline oder unveränderbare Sicherungen mit einem dokumentierten Wiederherstellungstest aus den letzten sechs Monaten.
• Eine vorab genehmigte Entscheidungsmatrix, die festlegt, wer die Produktion herunterfahren darf, wer den Angreifer kontaktieren darf und wer über eine Zahlung entscheidet.

Fenster	Prioritäre Ergebnisse
Erste Stunde	Vorfall erklärt, Ausbreitung gestoppt, Backups und Identitäten geschützt, Nachweise gesichert, Kernteam auf der Brücke
Erste 24 Stunden	Umfang bekannt, Datenabfluss bewertet, Backups validiert, NIS2-Frühwarnung und ggf. DORA-Erstmeldung eingereicht, Polizei informiert, Stellungnahme bereit
Erste 72 Stunden	Grundursache ermittelt, Beseitigungsplan vereinbart, Wiederherstellung läuft, NIS2-Meldung und DSGVO-Meldung eingereicht, Entscheidung über Lösegeld dokumentiert

Phase 1: Erklären und isolieren (erste Stunde)

Geschwindigkeit ist in dieser Phase am wichtigsten, aber halten Sie die Maßnahmen kontrolliert. Der Rat des CCB ist, infizierte Computer vom Internet und vom Netzwerk zu trennen, ohne sie auszuschalten^[1]. Das Ausschalten zerstört die Speicherbeweise und manchmal die Verschlüsselungsschlüssel.

• Erklären Sie den Vorfall, weisen Sie den Vorfallmanager zu und notieren Sie die Zeit.
• Isolieren Sie betroffene Hosts durch EDR-Netzwerk-Eindämmung oder durch Abziehen des Netzwerkkabels oder Deaktivieren des Switch-Ports.
• Trennen Sie Backup-Repositorys und schützen Sie die Anmeldedaten der Backup-Konsole. Prüfen Sie, ob Backup-Jobs oder Snapshots gelöscht werden.
• Deaktivieren Sie Remote-Zugriffspfade (VPN, RDP-Gateways, Remote-Management-Tools), bis Sie wissen, welchen der Angreifer verwendet hat.
• Identität schützen: verdächtige privilegierte Konten sperren und auf neue Admin-Konten sowie Änderungen an Gruppenrichtlinien überwachen.
• Alle Kommunikation auf den Out-of-Band-Kanal verlagern.

Phase 2: Nachweise sichern (erste Stunden)

Nachweise zeigen, wie der Angreifer eindrang und was er entwendete. Sie unterstützen auch eine Strafanzeige und einen Versicherungsanspruch. Erfassen Sie sie, bevor Sie etwas neu aufbauen.

• Erfassen Sie Memory- und Disk-Images von einer Stichprobe verschlüsselter Hosts, mindestens einem Domain Controller und dem wahrscheinlichen Einstiegspunkt.
• Exportieren Sie Firewall-, VPN-, EDR-, Identity-Provider- und Cloud-Audit-Logs, bevor die Aufbewahrung sie löscht.
• Bewahren Sie eine Kopie der Erpressungsnote, die Kontaktdaten des Angreifers, jede Leak-Site-URL und die Kryptowährungsadressen auf.
• Erstellen Sie einen Hash für jedes Element und dokumentieren Sie die Beweiskette.

Phase 3: Geltungsbereich festlegen und Sicherungen testen (erste 24 Stunden)

Viele Ransomware-Gruppen stehlen Daten, bevor sie diese verschlüsseln. Sie haben daher zwei Probleme zu lösen: Verfügbarkeit und Vertraulichkeit.

• Erfassen Sie, welche Systeme, Standorte und Cloud-Mandanten verschlüsselt sind und welche nicht betroffen sind.
• Suchen Sie nach Anzeichen für Datenabfluss: große ausgehende Datenübertragungen, Archivierungstools, Cloud-Synchronisierungstools und die Aussagen des Angreifers auf einer Leak-Website.
• Ermitteln Sie den ursprünglichen Zugriffspfad. Häufige Fälle sind exponierte VPN oder RDP, gestohlene Anmeldedaten und nicht gepatchte Edge-Geräte.
• Testen Sie Ihre Sicherungen: Sind sie intakt, wann waren sie zuletzt in Ordnung, und liegen sie vor der ersten Aktivität des Angreifers?
• Prüfen Sie No More Ransom (nomoreransom.org) auf einen kostenlosen Entschlüsseler für die identifizierte Variante. Die Initiative wurde von Europol und der niederländischen Polizei mit privaten Partnern gegründet, und die belgische Föderalpolizei hat Schlüssel über diese Plattform veröffentlicht.^[5].

Phase 4: Benachrichtigung und Meldung (24 bis 72 Stunden)

Ransomware bei einer NIS2-Einrichtung ist häufig ein erheblicher Sicherheitsvorfall, daher sollte die 24-Stunden-Frühwarnung die Regel sein, nicht die Ausnahme. Finanzeinrichtungen prüfen zunächst die DORA-Klassifizierung, da die erste Meldung innerhalb von 4 Stunden nach Klassifizierung eines Vorfalls als schwerwiegend fällig ist. Falls personenbezogene Daten verschlüsselt oder gestohlen wurden, prüfen Sie die DSGVO-Meldepflicht innerhalb von 72 Stunden. Die niederländische Polizei vermerkt ausdrücklich, dass Ransomware, die personenbezogene Daten betrifft, wahrscheinlich eine Datenschutzverletzung darstellt^[3]. Der Melde-Handlungsleitfaden enthält den Entscheidungsablauf und die Liste der Empfänger.

• Erstatten Sie Anzeige. In Belgien erstatten Sie diese bei der Polizei (das CCB verweist Unternehmen auf ihre örtliche Polizeiwache)^[1]. Die Bundeseinheit für Computerkriminalität der Föderalen Polizei befasst sich mit schwerer Cyberkriminalität und arbeitet mit dem CCB bei Ransomware zusammen^[7]. In den Niederlanden kann ein Unternehmen online mit eHerkenning melden oder einen Termin unter 0900-8844 vereinbaren^[3]. In Luxemburg erstatten Sie Anzeige bei der Police grand-ducale.
• Benachrichtigen Sie Ihren Cyber-Versicherer innerhalb der Frist der Police und bevor Sie einen Anbieter einbinden, den dieser genehmigen müsste.
• Informieren Sie betroffene Kunden und Partner mit einer sachlichen, von der Rechtsabteilung genehmigten Mitteilung.

Phase 5: Entscheidung über das Lösegeld

Das CCB und die niederländische Polizei raten von einer Zahlung ab. Eine Zahlung garantiert nicht, dass Sie Ihre Daten zurückerhalten oder dass gestohlene Daten gelöscht werden, und sie finanziert weitere Angriffe^[2][3]. Falls das Management eine Zahlung dennoch in Betracht zieht, machen Sie dies zu einer dokumentierten Entscheidung auf Vorstandsebene, getroffen mit:

• Sanktionsprüfung: Das EU-Cyber-Sanktionsregime (Verordnung (EU) 2019/796 des Rates) friert die Vermögenswerte gelisteter Personen ein und verbietet, ihnen Mittel zur Verfügung zu stellen^[6]. Andere EU-Sanktionsregime und US-Regeln, soweit Sie US-Exposition haben, können ebenfalls gelten. Die Rechtsabteilung muss prüfen, ob die Gruppe mit einer gelisteten Person verknüpft werden kann.
• Strafverfolgung: Teilen Sie der Polizei mit, wenn Sie eine Zahlung in Betracht ziehen. Die niederländische Polizei gibt an, dass Zahlungsinformationen Ermittlungen unterstützen.^[3].
• Versicherung und Buchhaltung: Prüfen Sie die Policenbedingungen und dokumentieren Sie jede Zahlung transparent.
• Realitätsprüfung: Selbst wenn ein Entschlüsseler funktioniert, ist er langsam und unvollkommen. Die Wiederherstellung aus sauberen Sicherungen ist oft schneller.

Eine Zahlung hebt keine Meldungspflicht nach NIS2, DORA oder der DSGVO auf.

Phase 6: Beseitigung und Wiederherstellung (ab 72 Stunden)

In einer sauberen Umgebung wiederherstellen. Systeme wieder in ein Netzwerk zu bringen, das der Angreifer noch kontrolliert, führt nur dazu, dass sie erneut verschlüsselt werden.

• Zuerst die Identitätsgrundlage wiederherstellen: bereinigte oder neu erstellte Domänencontroller, das KRBTGT-Konto zweimal zurücksetzen, alle privilegierten Konten und Dienstkonten mit neuen Passwörtern versehen.
• Systeme in der Reihenfolge ihrer geschäftlichen Auswirkungen aus validierten Sicherungen wiederherstellen und jedes vor der Wiederverbindung scannen.
• Den ursprünglichen Zugangsvektor schließen: patchen, MFA auf allen Remote-Zugriffen erzwingen und freiliegendes RDP entfernen.
• Halten Sie die erhöhte Überwachung mindestens 30 Tage lang aufrecht und achten Sie auf bekannte Kompromittierungsindikatoren.

Phase 7: Härtung und Überprüfung

Führen Sie innerhalb von zwei Wochen nach der Wiederherstellung eine schuldfreie Überprüfung durch und wandeln Sie die Feststellungen in finanzierte Maßnahmen um. Typische Ergebnisse sind unveränderliche Sicherungen mit separaten Anmeldedaten, Phishing-resistente MFA für Administratoren, gestaffelte Verwaltung, EDR-Abdeckung auf jedem Server und schnellere Patches für Edge-Geräte. Die begleitende Vorlage enthält eine zeitgesteuerte Checkliste für die ersten 72 Stunden, ein Entscheidungsprotokoll, ein Kontaktblatt und eine Sicherungsbewertung, die Sie in einer Übung oder bei einem echten Vorfall verwenden können. In Secrato werden die Härtungsmaßnahmen zu verfolgten Risikobehandlungen, sodass ihr Fortschritt für die Geschäftsleitung sichtbar ist.

Wie dies mit anderen Rahmenwerken verbunden ist

Die Ransomware-Bereitschaft beruht auf Kontrollen, die die meisten Rahmenwerke gemeinsam haben: Sicherungen (ISO/IEC 27001-Kontrolle 8.13), Vorfallmanagement (5.24 bis 5.28), Zugriffskontrolle und MFA sowie Schwachstellenmanagement. NIS2 Artikel 21 Absatz 2 nennt Sicherungsverwaltung, Vorfallbehandlung und MFA ausdrücklich. CyFun- und NIS2-Bewertungen belohnen daher dieselbe Vorbereitung.

Häufig gestellte Fragen

Ist die Zahlung eines Lösegelds in Belgien, den Niederlanden oder Luxemburg illegal?

Zum Zeitpunkt der Erstellung gibt es in diesen Ländern kein allgemeines gesetzliches Zahlungsverbot. Eine Zahlung kann dennoch gegen Sanktionsrecht verstoßen, wenn sie eine gelistete Person oder ein gelistetes Unternehmen erreicht, und die Behörden raten davon ab. Holen Sie rechtlichen Rat ein, bevor Sie eine Entscheidung treffen.

Sollten wir die Angreifer kontaktieren, um Zeit zu gewinnen?

Nur durch einen benannten, erfahrenen Verhandlungsführer und nur, nachdem die Rechtsberatung und die Polizei informiert wurden. Ungeplante Kontakte können Informationen preisgeben und den Druck auf Sie erhöhen.

Auch unsere Sicherungen waren verschlüsselt. Was nun?

Prüfen Sie auf Offline-Kopien, Cloud-Snapshots, Replikationen an anderen Standorten und SaaS-Exporte. Suchen Sie auf No More Ransom nach einem Entschlüsseler. Fragen Sie Ihren DFIR-Anbieter, ob der Stamm bekannte Schwachstellen hat.

Müssen wir melden, wenn keine Daten gestohlen wurden?

Möglicherweise. Nach NIS2 kann eine schwerwiegende Betriebsstörung allein einen Vorfall erheblich machen. Die DSGVO deckt auch Verstöße gegen die Verfügbarkeit ab, daher kann ein Verlust des Zugriffs auf personenbezogene Daten eine meldepflichtige Verletzung sein.