Incident Response und Wiederherstellung

Incident Response basiert auf Vorbereitung, nicht auf Improvisation. Ein dokumentiertes Ransomware-Playbook, klar definierte Rollen und eingeübte Abläufe machen aus Chaos einen kontrollierten Prozess.

Die Reaktion folgt anerkannten Phasen: Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und Lessons Learned. Diese Lektion führt Sie im Kontext von Ransomware durch alle Phasen.

Ransomware ist eine geschäftliche Krise, nicht nur ein IT-Problem. Das Team umfasst mehrere Funktionen:

• Incident Commander zur Koordination und Entscheidungsfindung
• Security und IT für technische Aufgaben
• Rechtsabteilung für Pflichten bei Datenschutzverletzungen und Sanktionsrisiken
• Kommunikation für die interne und externe Kommunikation
• Unternehmensleitung für geschäftliche Entscheidungen

Verwenden Sie eine Out-of-Band-Kommunikation (der Angreifer liest möglicherweise Ihre E-Mails und Chats mit).

Bevor Sie umfassende Maßnahmen ergreifen, müssen Sie verstehen, womit Sie es zu tun haben.

• Welche Schadsoftware-Variante und welche Systeme sind betroffen?
• Wo erfolgte der Einstieg (Patient Zero) und wie?
• Wurden Daten exfiltriert, was auf eine Datenschutzverletzung hindeutet?

Sichern Sie forensische Beweise: Erfassen Sie Speicher- und Datenträgerabbilder sowie Protokolle vor dem Löschen, damit Sie diese Fragen beantworten und rechtlichen Anforderungen genügen können. Zerstören Sie nicht in der Eile, aufzuräumen, die Spuren.

Die Eindämmung stoppt die Ausbreitung und bewahrt gleichzeitig Beweise. Isolieren Sie Systeme, schalten Sie sie nicht blind aus, denn das Herunterfahren kann Beweise im flüchtigen Speicher zerstören und bei manchen Varianten eine Falle auslösen.

Bewahren Sie während der Eindämmung sofort die Ressourcen, die Sie für die Wiederherstellung benötigen.

• Vergewissern Sie sich, dass Ihre unveränderlichen und Offline-Backups intakt und für den Angreifer nicht erreichbar sind
• Sichern Sie das Identitätssystem (Domänencontroller); Angreifer verfügen häufig über privilegierte Konten
• Setzen Sie die Anmeldedaten privilegierter Konten und Dienstkonten zurück
• Trennen Sie Backup-Systeme vom kompromittierten Netzwerk, bis sie freigegeben sind

Wenn Sie Ihre Backups jetzt verlieren, verlieren Sie Ihren Wiederherstellungspfad.

Die Beseitigung entfernt den Zugriff des Angreifers vollständig. Eine unvollständige Bereinigung führt leicht zu einer erneuten Infektion.

• Entfernen Sie Malware, Hintertüren und Persistenzmechanismen (Dienste, geplante Aufgaben)
• Ermitteln und schließen Sie den Vektor des Erstzugriffs
• Setzen Sie die Anmeldedaten aller potenziell kompromittierten Konten zurück, einschließlich Dienstkonten
• Suchen Sie nach verbleibenden Zugangspunkten, bevor Sie das System als sauber einstufen

Gehen Sie davon aus, dass der Angreifer weitreichenden Zugriff hatte; wenn Domänencontroller betroffen waren, ist möglicherweise ein vollständiger Wiederaufbau des Identitätssystems erforderlich.

Stellen Sie Systeme in einem sauberen, neu aufgebauten Netzwerk wieder her, niemals in einem kompromittierten. Priorisieren Sie nach geschäftlicher Kritikalität.

• Bauen Sie Systeme aus vertrauenswürdigen Backups oder sauberen Images neu auf, nicht aus den verschlüsselten Systemen
• Stellen Sie zuerst die Kerninfrastruktur (Identität, DNS) und danach kritische Dienste wieder her
• Scannen Sie wiederhergestellte Systeme, bevor Sie sie wieder verbinden
• Führen Sie Dienste in kontrollierten Phasen wieder ein und achten Sie auf eine erneute Infektion

Ob Sie zahlen, ist eine Entscheidung der Unternehmensleitung und der Rechtsabteilung, keine technische, und sollte sich auf rechtliche Beratung und gegebenenfalls die Unterstützung von Strafverfolgungsbehörden stützen.

• Die Zahlung kann aufgrund von Sanktionsrecht gegenüber bestimmten Gruppen eingeschränkt oder verboten sein
• Entschlüsselungsprogramme sind unzuverlässig, langsam und werden möglicherweise gar nicht bereitgestellt
• Gestohlene Daten können trotzdem veröffentlicht werden

Eine vertretbare Strategie, die durch gute Backups und IR-Planung ermöglicht wird, ist die Wiederherstellung ohne Zahlung. Beziehen Sie Strafverfolgungsbehörden frühzeitig ein; sie können Informationen oder Entschlüsselungsprogramme bereitstellen.

Wenn Daten exfiltriert wurden, handelt es sich um eine Datenschutzverletzung mit aufsichtsrechtlichen und vertraglichen Pflichten.

• Ermitteln Sie die Meldeanforderungen (Aufsichtsbehörden, Kunden, Partner) und Fristen
• Dokumentieren Sie den Zeitablauf und die Entscheidungen für Prüfer und Versicherer
• Stimmen Sie die externe Kommunikation über einen einzigen Kanal ab
• Melden Sie den Vorfall der Cyberversicherung frühzeitig gemäß den Versicherungsbedingungen

Rechtliche Fragen und Kommunikation müssen parallel zur technischen Wiederherstellung bearbeitet werden, nicht erst danach.

Führen Sie nach der Wiederherstellung eine blameless Post-Incident-Review durch, um aus den Problemen Verbesserungen abzuleiten.

• Wie sind die Angreifer eingedrungen, und warum wurde das nicht früher erkannt?
• Welche Sicherheitsmaßnahmen haben funktioniert, und welche Lücken ermöglichten die Ausbreitung?
• Welche Verbesserungen bei Erkennung oder Backups wären hilfreich gewesen?
• Aktualisieren Sie das Playbook und planen Sie einen erneuten Test

Das wichtigste Ergebnis ist eine konkrete Maßnahmenliste mit Verantwortlichen und Terminen, damit der nächste Angriff auf stärkere Schutzmaßnahmen trifft.

Ein ungeprüfter Plan versagt unter Druck. Üben Sie, bevor Sie ihn brauchen.

• Tabletop-Übungen führen das Team durch einen simulierten Angriff
• Testen Sie Wiederherstellungen im großen Maßstab, nicht nur einzelner Dateien
• Vergewissern Sie sich, dass Out-of-Band-Kommunikation und Kontaktlisten tatsächlich funktionieren
• Messen Sie die Dauer Ihrer Wiederherstellung, um die RTO/RPO-Ziele zu validieren

Teams, die üben, stellen die Systeme in Tagen wieder her; Teams ohne Übung brauchen möglicherweise Wochen.

Sie können nun auf einen bestätigten Ransomware-Angriff reagieren.

• Befolgen Sie die Phasen: vorbereiten, identifizieren, eindämmen, beseitigen, wiederherstellen, lernen
• Setzen Sie ein funktionsübergreifendes Team ein und verwenden Sie Out-of-Band-Kommunikation
• Isolieren Sie Systeme, schalten Sie sie nicht blind aus; bewahren Sie Beweise und schützen Sie Backups und das Identitätssystem
• Beseitigen Sie die Bedrohung vollständig und stellen Sie die Systeme in einem sauberen Netzwerk wieder her, und zwar aus vertrauenswürdigen Backups
• Behandeln Sie Exfiltration als eine Datenschutzverletzung mit rechtlichen Pflichten; machen Sie die Zahlung zu einer Entscheidung der Unternehmensleitung, die nur als letzter Ausweg infrage kommt
• Üben Sie den Plan, damit die Wiederherstellung Tage statt Wochen dauert

Der Kurs ist abgeschlossen: Sie können Ransomware verhindern, erkennen und sich nach einem Angriff davon erholen.