Ransomware hat Ihre Daten verschlüsselt — was tun

Eine typische Situation in der Werkstatt: ein Computer, auf dem plötzlich alle Dateien eine seltsame Endung tragen (.lockbit, .encrypted, .crypt — der Name der gerade kursierenden Ransomware-Variante). Auf dem Desktop eine Textdatei mit der Aufforderung, in Bitcoin zu zahlen, meist ein paar Hundert bis tausend Dollar. Kein Backup. Bei Firmen oft die Buchhaltung oder Dokumente aus Jahren der Arbeit. Dieses Szenario taucht bei uns mehrmals im Monat auf.

Bevor wir zur Vorgehensweise kommen, eine Sache gleich am Anfang: Zahlen Sie nicht. Nicht, weil es unethisch wäre (obwohl es wirklich keine gute Idee ist, mit Kriminellen zusammenzuarbeiten). Sondern weil Sie in rund 60 % der Fälle Ihre Daten ohnehin nicht zurückbekommen. Und wenn doch, haben Sie eine Hintertür im System und sind einen Monat später wieder am selben Punkt.

Hier ist die genaue Schritt-für-Schritt-Anleitung, was zu tun ist — ab dem Moment, in dem Sie merken, dass etwas schiefgegangen ist.

Trennen Sie den Computer sofort vom Netzwerk

Schalten Sie das WLAN aus, ziehen Sie das Ethernet-Kabel. Physisch. Jetzt sofort.

Viele moderne Ransomware-Programme verbreiten sich über das Netzwerk. Ein einziger infizierter Computer in einem Großraumbüro kann innerhalb weniger Dutzend Minuten die freigegebenen Laufwerke auf allen anderen Stationen verschlüsseln. In einer kleineren Firma kann sich ein Angriff durchaus über die Buchhaltung, den Vertrieb und das Lager bis zum Server durchfressen — und aus acht Computern werden innerhalb einer Stunde Briketts.

Wenn Sie ein NAS oder Netzlaufwerke haben, trennen Sie auch die. Nicht per Software — gehen Sie zum Gerät und ziehen Sie das Netzwerkkabel.

Schalten Sie den Computer nicht aus. Nicht sofort. Manche Ransomware-Varianten starten beim Neustart eine zerstörerische Routine, oder sie sperren umgekehrt den Zugriff auf temporäre Dateien, aus denen sich noch etwas retten ließe.

Was Sie NICHT tun sollten (das ist wichtiger als das, was Sie tun)

Bevor wir uns an die Rettung machen, ein paar Dinge, die selbst das Wenige zunichtemachen, das noch übrig ist:

• Schließen Sie keine externe Festplatte für ein Backup an. Ist der Computer infiziert, verschlüsselt die Ransomware auch diese Festplatte sofort. Der klassische Fehler: Sie stecken einen USB-Stick an, um die wichtigsten Dateien zu kopieren, und verlieren alles — den Stick inklusive.
• Installieren Sie keinen „Wunder-Decryptor” von der ersten Google-Seite. 90 % davon sind Betrug, der Ihnen nur weitere Malware lädt.
• Löschen Sie die verschlüsselten Dateien nicht. Auch wenn sie verloren aussehen, lassen sich die Daten manchmal aus Kopien oder Schattenkopien wiederherstellen.
• Zahlen Sie das Lösegeld nicht in Kryptowährung, wenn Sie keine Erfahrung damit haben. Menschen in Panik schicken Geld an die falsche Adresse oder kaufen Bitcoin auf einer betrügerischen Börse und verlieren Geld und Daten.

Identifizieren Sie die Art der Ransomware

Bevor Sie irgendetwas lösen, finden Sie heraus, womit Sie es zu tun haben. Ransomware ist nicht gleich Ransomware.

Schauen Sie sich die Endung der verschlüsselten Dateien an (.lockbit, .stop, .djvu, .crypt, .encrypted). Schauen Sie sich die Erpresser-Textdatei an — sie enthält oft den Namen der Gruppe oder eine Angriffs-ID.

Wenn Sie eine verdächtige Datei haben (etwa die, mit der die Infektion begann), laden Sie deren Hash oder die Datei selbst auf VirusTotal. Der jagt sie durch 66+ Virenscanner und schreibt im Bereich „Code Insights” oft gleich, um welche Malware-Familie es sich handelt. Im Bild oben sehen Sie EICAR — eine standardisierte Testdatei, die jeder Virenscanner erkennen soll (daher das Ergebnis 64/66).

Gehen Sie auf nomoreransom.org — ein Projekt von Europol und großen Sicherheitsfirmen. Laden Sie dort eine verschlüsselte Datei und den Erpresser-Text hoch. Das System sagt Ihnen, ob es für diese Ransomware einen frei verfügbaren Decryptor gibt.

Gute Nachricht: Für ältere Varianten (STOP/Djvu, GandCrab, ältere Dharma-Versionen) gibt es Decryptoren. Für neuere Stämme wie LockBit 3.0 oder BlackCat aktuell nicht. Aber die Lage ändert sich jeden Monat, probieren Sie es also immer aus.

Versuchen Sie die Wiederherstellung aus dem Volume Shadow Copy

Windows legt automatisch Schattenkopien von Dateien an. Manche primitiveren Ransomware-Programme löschen sie nicht.

Starten Sie die Eingabeaufforderung als Administrator und tippen Sie:

vssadmin list shadows

Wenn Sie eine Liste von Schattenkopien sehen, haben Sie eine Chance. Laden Sie sich das Werkzeug Shadow Explorer herunter (es ist kostenlos), das diese Kopien durchsuchen und frühere Versionen der Dateien daraus wiederherstellen kann.

Erfolgsquote? Etwa 30 %. Moderne Ransomware löscht die Schattenkopien gleich in der ersten Phase des Angriffs. Aber der Versuch kostet nichts.

Wenn Sie Backups haben — schließen Sie sie nicht an den infizierten PC an

Das ist entscheidend. Wenn Sie Backups auf einer externen Festplatte oder einem NAS haben, schließen Sie sie nicht an den infizierten Computer an, solange er nicht hundertprozentig sauber ist.

Gehen Sie umgekehrt vor:

1. Bauen Sie die Festplatte aus dem infizierten Computer aus (oder nutzen Sie ein sauberes Linux-Live-USB).
2. Kopieren Sie die Daten von der Festplatte auf einem sauberen Computer.
3. Lassen Sie die infizierte Festplatte reinigen oder tauschen Sie sie gleich gegen eine neue.
4. Erst dann stellen Sie die Daten aus Ihren Backups wieder her.

Ein typischer Fehler, den wir in der Werkstatt sehen: Jemand schließt in Panik die Backup-Festplatte direkt an den infizierten PC an, um „schnell die Projekte wiederherzustellen”. Die Ransomware schafft es, sie in Sekunden zu verschlüsseln, und der Kunde verliert Jahre an Arbeit — das Backup endet im selben Zustand wie die Originaldaten.

Was tun, wenn nichts klappt

Wenn es keinen Decryptor gibt, die Schattenkopien weg sind und Sie keine Backups haben, sind Sie in der Klemme. Aber noch ist nicht alles verloren.

Manche Ransomware verschlüsselt nur die Datei-Header, nicht den gesamten Inhalt. Bei Fotos, Videos oder Dokumenten lassen sich die Daten manchmal teilweise wiederherstellen — die Datei lässt sich zwar nicht normal öffnen, aber ein spezialisiertes Werkzeug zieht den Inhalt heraus. Das ist allerdings eine Arbeit von mehreren Stunden und erfordert Erfahrung.

Eine weitere Möglichkeit: Haben die Angreifer eine schwache Verschlüsselung verwendet oder einen Fehler in der Umsetzung gemacht, veröffentlichen Sicherheitsfirmen mit der Zeit einen Decryptor. Behalten Sie Foren wie BleepingComputer und das oben erwähnte No More Ransom im Auge. Manchmal geschehen Wunder — bei der Ransomware Petya tauchte nach zwei Jahren ein Decryptor auf, der Tausenden Menschen die Daten rettete.

Ein praktischer Tipp: Sichern Sie die verschlüsselten Dateien irgendwo (auf einer Festplatte, die Sie dann vom PC trennen) und warten Sie. Formatieren Sie die Festplatte nicht sofort. In einem halben Jahr kann ein Decryptor draußen sein.

Wenn Sie professionelle Hilfe brauchen

Wenn es um Firmendaten, Buchhaltung oder irgendetwas geht, das mehr als ein paar Tausend Kronen wert ist, experimentieren Sie nicht. Jeder unsachgemäße Eingriff senkt die Chance auf eine Wiederherstellung.

In der Werkstatt kümmern wir uns regelmäßig um Ransomware. Das Vorgehen ist immer dasselbe:

1. Wir erstellen ein bitgenaues Abbild der Festplatte (wir arbeiten nur mit der Kopie, das Original bleibt unangetastet).
2. Wir identifizieren den genauen Ransomware-Stamm.
3. Wir prüfen Schattenkopien, temporäre Dateien, Vorschaubilder.
4. Gibt es einen Decryptor, setzen wir ihn ein.
5. Wenn nicht, versuchen wir die Wiederherstellung aus Fragmenten und Metadaten.
6. Wir säubern das System von Hintertüren.
7. Wir richten einen Schutz ein, damit sich das nicht wiederholt.

Die Erfolgsquote liegt je nach Art der Ransomware und Schnelligkeit des Eingriffs bei etwa 40–70 %. Wenn der Kunde sofort kommt und nicht versucht, die Daten selbst zu „retten”, sind die Chancen deutlich höher.

Wenn Sie dieses Problem in Brünn haben, schauen Sie auf unsere Seite Antivirus und Ransomware Brünn oder rufen Sie +420 774 777 774 an.

Servis PC Brno — wir reparieren Computer und Notebooks und retten Daten, schon seit 2008. Wir sitzen in Brünn, helfen aber Kunden aus ganz Südmähren. Wenn es nicht geht, rufen Sie an.