Die Stunde „Null“: Wie sich Firmen bei einem Ransomware-Angriff verhalten sollten
Strategie zur Abwehr von Ransomware und ein Backup-Plan
Um Systemschwachstellen schnell zu erkennen, sollten Unternehmen zudem über eine Strategie zur proaktiven Analyse und Behebung verfügen. Ratsam ist auch, Lösungen zur Netzwerküberwachung, Bedrohungsanalyse und Endpoint-Erkennung einzusetzen.
Darüber hinaus ist die richtige Backup-Strategie erforderlich, um sicherzustellen, dass verschlüsselte Daten nicht für immer verloren sind. Damit Backups im Ernstfall bei einem Angriff widerstandsfähig und zuverlässig bleiben, sollten Systeme wie Medien- und Metaserver resilient sein und sicher miteinander kommunizieren. Diesen Aspekt gilt es bereits in der Architektur zu berücksichtigen.
Aber auch für den Fall, dass Backup-Dateien durch einen Ransomware-Angriff verschlüsselt wurden, hat sich eine Best Practice bewährt: Sogenannte Immutable-Storage-Systeme dienen als Ablageort für eine unveränderliche Kopie des Backups. Damit lassen sich Daten fehlerfrei wiederherstellen. Allerdings sollten Unternehmen genau darauf achten, wo sie den Medienbruch (Air-Gap) einbauen. Entscheidend ist auch, die Wiederherstellung regelmäßig zu testen. Auf diese Weise stellen die Verantwortlichen sicher, dass sie die jeweils wichtigsten Daten zuerst wiederherstellen.
Schnelle Reaktionszeit bei allen Beteiligten
Wird ein Angriff gemeldet, kommt es auf jede Minute an, um den Schaden so schnell wie möglich einzudämmen. Das IT-Sicherheitsteam sollte sofort eingreifen und dafür sorgen, dass die betroffenen Endnutzer und Systeme vom Netzwerk isoliert werden. Danach sollten die Anwender danach befragt werden, wie der Angriff abgelaufen ist und was der Auslöser war – beispielsweise eine Phishing-Mail.
Mithilfe von Datenmanagement-Tools lässt sich schnell feststellen, auf welche Daten welche Nutzer zugreifen. Das Scannen dieser Informationen ermöglicht es dann zu ermitteln, welche Daten infiziert wurden oder fehlen. Solange die Datensicherungen des Unternehmens ordnungsgemäß geschützt sind, lassen sich Informationen wiederherstellen, ohne dass es zu Unterbrechungen kommt oder Lösegeld gezahlt werden muss.
Aber nicht nur das IT-Team, auch die Mitarbeiter müssen sofort reagieren, wenn ein Angriff erfolgreich war. Innerhalb von einer Stunde nach der Attacke sollten sie ihre Computer vom Netzwerk und vor allen externen Laufwerken trennen. Das komplette Abschalten verhindert, dass der Ransomware-Angriff nicht noch einen größeren Schaden anrichten kann. Anschließend sollte jemand ein Foto von der erhaltenen Lösegeldforderung machen. Der nächste Schritt besteht für die Mitarbeiter darin, die IT-Abteilung sofort zu benachrichtigen und alle Informationen zu dem Angriff mitzuteilen. Eine Vertrauenskultur hilft zu vermeiden, dass Cyber-Attacken vertuscht werden. Niemand sollte Angst haben, einen Vorfall zu melden. Fazit: Um wirklich resilient gegenüber Ransomware zu sein, brauchen Unternehmen eine Kombination aus sorgfältiger Vorbereitung, gut eingeübten Prozessen sowie einer vollständigen Transparenz und Kontrolle ihrer Daten.
