Gespräch buchen

Was wir tun

Gespräch buchen

Defend · Notfall und Sicherheitsvorfall

Ransomware

Eine Lösegeldforderung am Montagmorgen ist der Tag, für den jedes Backup, jeder Admin-Schlüssel und jede Übung da war. Das ist der Ablauf, und das muss vor diesem Tag stehen.

Gespräch buchen Zurück zu Notfall und Sicherheitsvorfall

Der Tag entscheidet sich, bevor er kommt.

Ransomware verschlüsselt, was sie erreicht, und hinterlässt eine Forderung. Was dann passiert, entscheidet sich weniger an diesem Tag als in den Monaten davor: ob es einen getesteten Weg zurück gibt, an den der Angreifer nicht herankam, ob die Admin-Schlüssel im Tresor lagen oder auf einem Laptop, und ob Ihre Führung durchgespielt hat, wer was entscheidet. Am Tag selbst ist die Reihenfolge dieselbe wie bei jedem Vorfall, mit einem Unterschied: Der Weg zurück ist die Wiederherstellung, in einer mit Ihnen vereinbarten Reihenfolge, und die Frage, ob gezahlt wird, ist Ihre. Wir entscheiden sie nicht für Sie, und nicht in der Nacht. Wir liefern, was sie braucht: was erreicht wurde, was abgeflossen ist, was sich wiederherstellen lässt und bis wann.

Der Ablauf

Was wir tun, in dieser Reihenfolge.

Innerhalb unserer Servicezeiten landet der Vorfall direkt bei den Technikern, die Ihre IT kennen, Ihr TechPilot an der Spitze; außerhalb davon so, wie es in Ihrem Vertrag vereinbart ist. Die Reihenfolge unten ändert sich nicht.

  • Vom Netz trennen

    Betroffene Server und Geräte werden vom Netz und voneinander getrennt, damit die Verschlüsselung nicht weiterläuft. Backups werden von allem getrennt, was der Angreifer erreichen könnte. Nichts wird abgeschaltet, was noch Spuren enthält.

  • Spuren sichern

    Bevor eine Maschine neu aufgebaut wird, werden Protokolle, die Forderung, verschlüsselte Proben und die Anmeldedaten gesichert. Sie zeigen, wie es hineinkam, seit wann und was abgeflossen ist, und Ihr Versicherer und die Behörde werden danach fragen.

  • Den Weg hinein und den Abfluss klären

    Der Weg hinein: ein gephishtes Konto, ein ungepatchtes System, ein Fernzugriff, den niemand geschlossen hat. Und was mitgenommen wurde, bevor die Verschlüsselung begann, denn das entscheidet, was Sie wem melden müssen.

  • Mit Ihnen entscheiden

    Was zuerst wiederhergestellt wird, was gemeldet wird, wer informiert wird und die Frage der Zahlung: Ihre Entscheidungen, getroffen auf den Fakten, die wir Ihnen vorlegen. Die rechtliche Bewertung bleibt bei Ihnen; wir bereiten vor, was Ihr Anwalt, Ihr Datenschutzbeauftragter und Ihr Versicherer brauchen.

  • Zurückholen, in der vereinbarten Reihenfolge

    Wiederhergestellt aus dem getesteten Weg zurück, nicht repariert: saubere Systeme aus sauberen Kopien, in der mit Ihnen vereinbarten Reihenfolge. Zuerst die Anmeldung, dann die Systeme, ohne die Ihre Arbeit nicht läuft, dann der Rest. Jedes wird geprüft, bevor es wieder ans Netz geht.

  • Tür schließen, festhalten

    Der Weg hinein wird geschlossen, jeder Admin-Zugang geändert, und das Monitoring achtet auf eine Rückkehr. Was passiert ist, was wir getan und was wir geändert haben, kommt in Ihre Nachweismappe, mit dem zeitlichen Ablauf, den Ihr Versicherer verlangt.

Schriftlich festgehalten

In Ihrer Nachweismappe.

  • Der zeitliche Ablauf: erstes Anzeichen, getrennt, Weg hinein gefunden, Entscheidungen, Systeme zurück, letzte Prüfung
  • Was erreicht wurde und was abgeflossen ist, soweit die Spuren es zeigen
  • Was Sie entschieden haben, und was Datenschutzbeauftragter und Versicherer wann bekommen haben
  • Was aus welcher Kopie in welcher Reihenfolge wiederhergestellt wurde, und was vorher geprüft wurde
  • Was wir danach geändert haben, damit es nicht auf demselben Weg wieder passiert

Was vor dem Tag da sein muss.

  • Ein Backup, das der Angreifer nicht löschen kann

    Angreifer gehen zuerst an die Backups, mit dem gestohlenen Admin-Passwort. Der Weg zurück muss eine Kopie sein, die ein gestohlenes Admin-Passwort weder erreichen noch löschen kann, und aus der im Test schon einmal wiederhergestellt wurde.

  • Admin-Schlüssel im Tresor, nicht auf einem Laptop

    Ein Admin-Passwort in einer Tabelle oder im Browser ist der Generalschlüssel des Angreifers. Im Tresor, mit jeder Nutzung protokolliert, ist es das eine, was er mit dem ersten Laptop nicht bekommt.

  • Der Plan, mit der Führung durchgespielt

    Wer was entscheidet, wer wen informiert, in welcher Reihenfolge die Systeme zurückkommen und wer an diesem Tag ans Telefon geht: mit Ihrer Führung geübt, bevor es gebraucht wird, nicht in der Nacht improvisiert.

Ebenfalls unter Notfall und Sicherheitsvorfall

Häufige Fragen

Würden Sie uns raten zu zahlen?

Das ist Ihre Entscheidung, und wir nehmen sie Ihnen nicht ab. Was wir tun: Wir liefern, was die Entscheidung braucht: was erreicht wurde, was abgeflossen ist, was sich aus dem getesteten Weg zurück wiederherstellen lässt und ungefähr bis wann. Unternehmen mit einer getesteten Wiederherstellung stellt sich die Frage selten so wie Unternehmen ohne.

Wie lange, bis wir wieder arbeiten können?

Das hängt davon ab, was erreicht wurde und was vorbereitet war. Deshalb versprechen wir keine Zeit. Was wir sagen können: Die Reihenfolge, in der Ihre Systeme zurückkommen, ist vorher mit Ihnen vereinbart, zuerst die Anmeldung, dann die Systeme, ohne die Ihre Arbeit nicht läuft, und jede Wiederherstellung wurde vor dem Tag getestet.

Müssen wir einen Ransomware-Angriff melden?

Oft, und an mehrere Stellen: an die Datenschutzbehörde, wenn personenbezogene Daten betroffen sind, an Ihren Versicherer innerhalb der Frist seiner Police, manchmal an Mandanten, Kunden oder Ihre Aufsicht. Welche davon gelten, ist eine rechtliche Bewertung, die bei Ihnen und Ihren Beratern bleibt. Wir liefern die Fakten und den zeitlichen Ablauf, die diese Meldungen brauchen, während es passiert.

Können Sie dafür sorgen, dass es nie passiert?

Das kann niemand. Die Schichten vor dieser Seite, Patches, Geräteschutz, Admin-Zugänge im Tresor, ein zweiter Faktor für alle, halten das meiste draußen. Diese Seite ist für den Tag, an dem etwas durchkommt, und was sie verspricht, ist ein Weg zurück, der getestet war, bevor Sie ihn brauchten.

Start

Zeigte morgen ein Server eine Lösegeldforderung: Was käme zurück?

Im Erstgespräch gehen wir durch, wo Ihre Backups liegen und ob ein Angreifer sie erreichen könnte, wer Ihre Admin-Schlüssel hält und ob Ihre Führung diesen Tag schon einmal durchgespielt hat.

Gespräch buchen Drei Monate testen